線形トレイル

線形解読法には、平文、暗号文、鍵ビットの間で、成立確率が½から目に見えて外れる関係が必要だ。それをラウンドごとに組み立てる。各Sボックスを線形近似し、あるラウンドの出力マスクを次のラウンドの入力マスクとして使い、鎖全体のバイアスを松井のパイリングアップ補題で計算する。松井はこれを線形特性と呼んだ。「トレイル」は後年の用語である。

一本のトレイルは真実を過小評価しがちだ。同じ入力・出力マスクを持つトレイルは多数あり、その寄与は足し合わされる。それが線形ハルである。設計者は最良のトレイルの上界を証明し、ハルが予想外の結果を出さないことを願う。