Почему дифференциальный криптоанализ всегда начинается с последнего раунда?

Предположим, мы работаем с шифром с той же общей структурой, что и AES.

Я хочу атаковать шифр следующим образом: предположим, что дифференциал сохраняется только для первого раунда (гораздо более высокая вероятность, чем хотеть, чтобы он сохранялся для всех раундов от первого до предпоследнего), восстановить первый подключа, затем продолжить оттуда , всегда создавая открытый текст таким образом, чтобы дифференциал, вероятно, сохранялся для следующего раунда, из которого мне нужен подключаемый ключ.

Я, вероятно, упускаю что-то основное, но почему мы не можем атаковать таким образом, вместо того, чтобы двигаться вверх от последнего подраздела?

Я хочу атаковать шифр следующим образом: предположим, что дифференциал сохраняется только для первого раунда (гораздо более высокая вероятность, чем желать, чтобы он сохранялся для всех раундов от первого до предпоследнего), восстановить первый подключа

Как это будет работать? Если у нас есть дифференциал в первом раунде (и остальная часть шифра действует фактически случайным образом), как мы можем определить, соблюдается ли дифференциал, исследуя зашифрованный текст?

Или вы думаете о другой стратегии?