Tại sao phân tích mật mã vi sai luôn bắt đầu từ vòng cuối cùng?

Giả sử chúng ta đang làm việc với một mật mã có cùng cấu trúc chung với AES.

Tôi muốn tấn công mật mã theo cách sau: giả sử rằng vi phân chỉ giữ cho vòng đầu tiên (xác suất cao hơn nhiều so với việc muốn nó giữ cho tất cả các vòng từ vòng đầu tiên đến vòng áp chót), khôi phục khóa con đầu tiên, sau đó tiếp tục từ đó , luôn tạo bản rõ sao cho sự khác biệt có khả năng giữ cho vòng tiếp theo mà từ đó tôi cần khóa con.

Có lẽ tôi đang thiếu một cái gì đó cơ bản, nhưng tại sao chúng ta không thể tấn công như thế này thay vì tiến lên từ khóa con cuối cùng?

Tôi muốn tấn công mật mã theo cách sau: giả sử rằng vi phân chỉ giữ cho vòng đầu tiên (xác suất cao hơn nhiều so với việc muốn nó giữ cho tất cả các vòng từ vòng đầu tiên đến vòng áp chót), khôi phục khóa con đầu tiên

Làm thế nào điều này sẽ làm việc? Nếu chúng ta có một vi phân trong vòng đầu tiên (và phần còn lại của mật mã hoạt động một cách ngẫu nhiên), làm thế nào chúng ta có thể xác định xem vi phân có đúng hay không bằng cách kiểm tra bản mã?

Hoặc, bạn đang nghĩ về một chiến lược khác?