# 와이드 트레일 전략 (Wide Trail Strategy)

와이드 트레일 전략은 요안 대먼과 빈센트 레이먼이 제안한 블록 암호 설계 방법으로, 선형 확산 층을 이용해 차분·선형 공격의 경로(트레일)에 많은 S-박스가 관여하도록 만들어 안전성 한계를 증명 가능하게 합니다. AES의 설계 기반입니다. '넓은 경로 전략'이라는 직역 대신 학계에서는 '와이드 트레일 전략'이라고 부릅니다.

## 자세히 알아보기

차분 공격과 선형 공격은 블록 암호를 분석하는 가장 강력한 일반 기법입니다. 차분 공격은 입력 차이가 라운드를 거치며 어떤 출력 차이로 이어지는지의 확률을, 선형 공격은 입력·출력 비트 사이의 선형 관계가 성립하는 편향을 이용합니다. 여러 라운드에 걸친 이런 연결을 '트레일'이라고 하며, 트레일이 지나가는 S-박스를 '활성 S-박스'라고 합니다. 트레일의 확률은 각 활성 S-박스의 확률을 곱한 값으로 근사되므로, 활성 S-박스가 많을수록 공격에 쓸 수 있는 트레일의 확률이 작아집니다.

과거 설계는 S-박스 자체를 크고 복잡하게 만들어 안전성을 높이려 했습니다. 와이드 트레일 전략은 반대로 작은 S-박스는 적당히 좋은 것을 쓰고, 대신 확산 층을 신중하게 설계해 어떤 트레일이든 반드시 많은 S-박스를 지나가게 하는 데 집중합니다. 이때 확산의 정도는 '분기 수(branch number)'로 측정합니다. 분기 수는 0이 아닌 입력에 대해 입력과 출력에서 활성화되는 바이트 수 합의 최솟값이며, MDS 행렬을 쓰면 가능한 최댓값을 얻을 수 있습니다.

AES에서는 바이트 단위 행 이동(ShiftRows)과 열 섞기(MixColumns)가 이 역할을 합니다. MixColumns는 분기 수 5인 MDS 변환이고, ShiftRows와 결합되면 연속된 4라운드의 어떤 차분·선형 트레일도 최소 25개의 활성 S-박스를 갖는다는 것이 증명됩니다. AES S-박스의 최대 차분 확률이 2⁻⁶이므로, 4라운드 트레일 하나의 확률은 2⁻¹⁵⁰ 이하가 되어 128비트 블록 암호에서 실용적인 공격에 쓸 수 없습니다.

## 한계와 의의

이 증명은 '단일 트레일'의 확률에 대한 것이고, 같은 입출력 차이를 공유하는 여러 트레일을 합친 '차분'의 확률이나 다른 종류의 공격(대수적 공격, 관련 키 공격 등)까지 자동으로 막아 주지는 않습니다. 그럼에도 설계자가 안전성 한계를 수치로 제시할 수 있게 했다는 점에서 현대 블록 암호와 해시 함수 설계의 표준적인 접근이 되었고, 여러 경량 암호와 해시 함수 설계에도 같은 사고방식이 쓰입니다.

## 블록체인·암호화폐에서는

AES는 지갑 파일 암호화, 키스토어, 거래소 서버와 통신 구간의 암호화에 쓰이므로, 와이드 트레일 전략은 간접적으로 이런 보안의 이론적 토대가 됩니다. 또 영지식 증명용 해시 함수 Poseidon처럼 블록체인을 위해 설계된 일부 대칭 프리미티브도 MDS 행렬로 확산을 확보하는 와이드 트레일식 사고를 따릅니다.

## 쉽게 말하면

도둑이 지나갈 수 있는 모든 길이 반드시 수많은 검문소를 통과하도록 도로망을 설계하는 방식입니다. 검문소 하나하나는 평범해도, 통과해야 할 개수가 많으면 몰래 빠져나갈 확률은 사실상 0이 됩니다.

---
출처: https://achivx.kr/glossary/wide-trail-strategy-%EB%84%93%EC%9D%80-%EA%B2%BD%EB%A1%9C-%EC%A0%84%EB%9E%B5/ · ACHIVX 용어 사전 · 수정일 2026-10-20