一种高度程式化的密钥高效分析方法

摘要

本发明公开了一种高度程式化的密钥高效分析方法，包括如下步骤：A、对明文d进行加密采集光辐射迹；B、确定光辐射迹光泄漏点中间值的汉明重量；C、攻击密钥k的一个字节k

说明书

技术领域

本发明涉及电子信息技术领域，尤其是一种高度程式化的密钥高效分析方法。

背景技术

光旁路攻击是利用密码芯片运行时的光辐射特性或者某种光(激光、紫外线等)对密码芯片运行时的影响对其进行被动或者主动攻击的一种新型旁路攻击方法，光旁路攻击可以分为光辐射分析攻击和光故障注入攻击。自Kocher在1996和1999年发表具有开创性意义的文章——基于时间的旁路攻击和基于功率的旁路攻击以来，旁路攻击成为密码分析学研究的一个重要领域。相关旁路攻击手段(如功耗分析攻击、电磁辐射攻击、故障注入攻击等)及多种分析方法(如模板攻击、差分分析等)相继被研究。传统的功耗、电磁等旁路攻击主要针对整个系统的信息泄漏进行分析，随着2008年光辐射分析攻击首次被提出，其允许选择密码芯片硬件的特定部分进行光辐射分析，使得光辐射分析攻击的选择性要远胜于功耗、电磁等分析攻击。通过选取密码芯片特定位置/区域进行攻击可以得到信噪比非常好的光旁路信号，这是由于光泄漏信号主要由我们所关心的密码芯片的相关指令操作及其操作数变化导致产生的。然而由于文献中的皮秒成像电路分析系统(PICA)的巨大实验花费和实验的复杂性，使得光辐射分析攻击在当时没有被视为现实的威胁。随着半导体技术和适合可见光、近红外等波段的硅基、铟镓砷、超导等单光子探测技术的快速发展，以及光辐射分析攻击新的研究(例如简单光辐射分析、差分光辐射分析等)的提出，使用中低成本设备开展密码芯片光辐射分析攻击成为可能和现实。

在这样的技术背景下，提出并建立一种基于汉明重量和光子泄漏数对应关系的密码芯片光辐射分析方法，尤其是一种高效的、适用于计算机自动运算操作的、高度程式化的密钥分析方法成为目前亟需开展的工作。

相关背景技术资料可参考如下文献：

[1]J,KasperM,SeifertJ-P201419thAsiaandSouthPacificDesignAutomationConferenceSingapore,January20-23,2014p780；

[2]J,NedospasovD,SchlosserA,SeifertJ-P2013ConstructiveSide-ChannelAnalysisandSecureDesign(Berlin:Springer-Verlag)p1；

[3]SchlosserA,NedospasovD,J,OrlicS,SeifertJ-P2013J.Cryptogr.Eng.3；

[4]WangHS2015Ph.D.Dissertation(Shijiazhuang:OrdnanceEngineeringCollage)(inChinese)]；

[5]KocherP1996CRYPTOCalifornia,August18-22,1996p104；

[6]KocherP,JaffeJ,JunB.1999CRYPTOCalifornia,August15-19,1999p388；

[7]HnathW2010Ph.D.Dissertation(Massachusetts:WorcesterPolytechnicInstitute)(inUSA)；

[8]MulderED2010Ph.D.Dissertation(Leuven:KatholiekeUniversiteit)(inTheKingdomofBelgium)；

[9]BihamE,ShamirA1997CRYPTOVol.1294,LectureNotesinComputerScience,Springer-VerlagUSA,August1997p513；

[10]WangT,ZhaoXJ,GuoSZ,ZhangF,LiuHY,ZhengTM2012ChineseJournalofComputers35(2)325(inChinese)；

[11]KircanskiA,YoussefAM2010AFRICACRYPT2010Stellenbosch,May03-06,2010p261；

[12]FerrignoJ,HlaváM2008IETInfor.Secur.294；

[13]WangYJ,DingT,MaHQ,JiaoRZ2014Chin.Phys.B23(6)060308；

[14]LIANGY,ZENGHP2014Sci.ChinaPhys.Mech.Astron.57(7)1218；

[15]SunZB,MaHQ,LeiM,YangHD,WuLA,ZhaiGJ,FengJ2007ActaPhys.Sin.565790(inChinese)；

[16]WangHS，JiDG,GaoYL,ZhangY,ChenKY,ChenJG,WuLA,WangYZ2015ActaPhys.Sin.64(5)058901-1；

[17]ZhangLB,KangL,ChenJ,ZhaoQY,JiaT,XuWW,CaoCH,JinBB,WuPH2011ActaPhys.Sin.60(3)038501LiuY,WuQL,HanZF,DaiYM,GuoGC2010Chin.Phys.B.19(8)080308；

[18]MangardS,OswaldE,PoppT(translatedbyFengDG,ZhouYB,LiuJY)2010PowerAnalysisAttacks(Beijing:SciencePress)pp1-129(inChinese)；

[19]HuXD,WeiJF,HuR2011AppliedCryptography(secondedition)(Beijing:ElectronicIndustryPress)pp1-95(inChinese)；

[20]BeckerW(translatedbyQuJL)2009AdvancedTime-CorrelatedSinglePhotonCountingTechniques(Beijing:SciencePress)pp1-126(inChinese)。

发明内容

本发明要解决的技术问题是提供一种高效的、高度程式化的密钥分析方法。

为解决上述技术问题，本发明所采取的技术方案如下。

一种高度程式化的密钥高效分析方法，该方法基于汉明重量值和泄漏光子数对应关系，对AES加密算法的密码芯片进行高度程式化和高效率的破译分析，该方法包括如下步骤：

A、对明文d进行加密，采集密码芯片的光泄漏信号，每组明文采集若干遍并求均值得到一条光辐射迹，对多条明文进行操作并获得多条光辐射迹；

B、对每条光辐射迹根据汉明重量值和泄漏光子数的对应关系确定出各自光泄漏点中间值的汉明重量；

C、攻击密钥k的一个字节k₀，首先初始化取值集合C，此集合包含k₀字节所有256种可能数值组合；

D、针对k₀字节，在一条明文的光辐射迹内得到满足两个光泄漏点中间值汉明重量的可能密钥值集合，通过两步筛选将密钥可能取值进行大范围压缩；

E、重复步骤D的操作，对不同明文进行上述操作至集合C中的元素个数为1时即得到密钥的第一个字节k₀；

F、重复步骤C、D、E分析密钥k的剩余字节，至获取完整密钥。

作为本发明的一种优选技术方案，步骤A中，明文加密的条数由步骤E决定，如果两条明文即支撑步骤E获得k₀则仅仅采集两条明文的光辐射迹；否则逐一增加明文条数至足够支撑步骤E获取结果。

作为本发明的一种优选技术方案，步骤B中，依据密码芯片光辐射迹的数据依赖性，即光泄漏点中间值不同的汉明重量与泄漏光子数呈的近线性关系，通过步骤A的光辐射迹确定出两个光泄漏点中间值的汉明重量。

作为本发明的一种优选技术方案，步骤C中，k₀的取值范围为0-255。

作为本发明的一种优选技术方案，步骤D中，用HW()表示汉明重量，用S()表示AES算法过程中的S盒变换操作；用d_i,0表示第i个明文分组d_i的第一个字节，用k₀表示原始密钥k的第一个字节，用HW(X_i,0)表示d_i,0与k₀异或后值的汉明重量；用HW(S_i,0)表示d_i,0与k₀异或后再经S盒变换后值的汉明重量；任意选择第i条明文加密对应的光辐射迹，初始化集合A、B，此时A、B为空集；HW(X_i,0)＝HW(d_i,0⊕k₀)，如果HW(X_i,0)＝＝首次轮密钥加中间值的汉明重量值，则保留k₀至集合A中，否则丢弃k₀，j取值为集合A中的元素个数减一，HW(S_i,0)＝S(HW(d_i,0⊕A(j)))；如果(HW(S_i,0)＝＝首次字节变换中间值的汉明重量值，则保留A(j)至集合B中；否则丢弃A(j)；然后求集合B与集合C的交集并保存至集合C；此时集合C中的元素个数与集合A、B比较得到大范围的压缩。

作为本发明的一种优选技术方案，步骤E中，如果对步骤A获取的所有光辐射迹都操作完后仍然为得到字节k₀的唯一值，则返回步骤A增加获取新的光辐射迹。

采用上述技术方案所产生的有益效果在于：本发明的技术对于密码的破译或密码破译的防御均具有重要的意义。参见下文的实施例，本发明的方法在密码芯片的泄露光子数与操作数的汉明重量呈近似线性关系时对AES密码芯片的解析具有很高的实际可操作性。本发明高度程式化，便于利用计算机编程进行自动化密钥分析，具有很高的技术优越性。

附图说明

图1为实施例3中R7寄存器9种不同汉明重量的平均光泄漏点状图及其线性拟合结果。

图2为实施例4中AES密码算法的状态矩阵及其光泄漏点(中间值)的示意图；AES是美国UIST批准的一个分组长度为128-bit的迭代型分组密码算法，其针对一个4×4字节的明文矩阵进行操作，称为状态矩阵；其使用128-bit密钥加密128-bit的明文分组，数据和密钥均使用一个4×4的字节矩阵，除了最后一轮不包括列混淆操作外，每个循环包括四个不同的步骤(字节替换，行移位，列混淆，轮密钥加)，此外还在第一轮前进行轮密钥加操作；在整个加密过程中，原始密钥用于首轮循环前的轮密钥加操作，后面循环的轮密钥由初始密钥衍生得到。

图3是实施例7中R7寄存器9种汉明重量的平均泄漏轨迹图示。

具体实施方式

实施例1、密码芯片光辐射迹组成

光辐射迹是在密码芯片运行过程中，利用单光子探测器和光子记录模块采样的光子数在时域上的分布，它是光泄漏信号强度与时间的一个函数，反映了运行过程中的密码芯片在各时间点上的光子泄露情况。光辐射迹中既包含了对于破解密钥有用的信息，也包含了部分噪声信号。对于噪声信号的处理很大程度上决定了密钥分析的效率和精确性。光辐射迹某一时间点的信号组成如下：

P＝P_op+P_da+P_co+P_no，(1)

在式(1)中，P为光辐射迹某一点的光子泄漏总量，P_op为该点的操作依赖分量，P_da为该点的数据依赖分量，P_no是电子噪声，P_co是一个常数分量。其中，P_op和P_da是光辐射分析中最重要的分量，尤其是P_da，这是因为光辐射分析攻击主要是利用了运行时密码芯片的光辐射迹依赖于其执行的运算和处理的数据，执行不同的操作及处理不同的数据，会导致产生不同的光辐射迹。电子噪声P_no主要由量子化噪声、外部环境干扰、电源及时钟噪声等组成，它导致密码芯片在运行程序和处理数据不变的情况下采集的光辐射迹仍然会出现不同。为了提高信噪比并降低电子噪声对分析效率的影响，一方面，可以采用TCSPC(时间相关单光子计数，下同)技术记录光子，其具有比模拟信号记录技术更小的量子化噪声；另一方面，因为P_no服从正态分布N(0,σ²)，为使得期望值趋于0，可以进行多次光信号采集，用求平均值的方法减少电子噪声影响。P_co主要是由与运行程序和处理数据没有关联的晶体管转换造成的，一般认为是一个常量。

实施例2、密码芯片光辐射信号仿真模型

开展密码芯片光辐射分析攻击，经常需要将指令的操作数或者其变化映射为光子泄漏的数量。对于某次攻击而言，攻击者关心的是多次仿真所获得的光辐射迹之间的差异，其绝对值在分析攻击中并无实际意义，因此，攻击者采用的仿真模型比较简单，常用两类四种模型，多元模型：汉明重量模型(Hamming-WeightModel)、汉明距离模型(Hamming-DistanceModel)，二元模型：比特模型(Bitmodel)、零值模型(ZeroModel)。实际攻击时采用哪一种仿真模型，需要根据攻击对象(数据)变化特点、密码芯片对密码算法的实现方式(软件实现、硬件实现)、攻击方法的使用等灵活选择。

令X、Y表示两个n位二进制数，可以将X和Y分别看作一个具有n个元素的位向量(bitvector)，X,Y∈{0,1}ⁿ；x_i和y_i分别是X和Y的第i位二进制数，则x_i∈{0,1}，y_i∈{0,1}，i∈[0,n-1]。

汉明重量模型：该模型假设密码芯片光子泄漏数量与被处理数据所等效二进制数的各位“1”的个数成正比。使用HW(X)表示X的汉明重量，则有：

$>HW\left(X\right)=\underset{i=0}{\overset{n-1}{\Sigma }}{x}_i,---\left(2\right)$>

汉明距离模型：该模型假设密码芯片光子泄漏数量与被转换的先后两个数据所等效二进制数的各对应二进制位“1”转换成“0”和“0”转换成“1”的总数成正比。值X和Y的汉明距离可以表示为(⊕表示异或操作)：

$>HD=HW(X\oplus Y)=\underset{i=0}{\overset{n-1}{\Sigma }}{x}_i\oplus y_i,---\left(3\right)$>

使用汉明距离模型进行密码芯片光辐射仿真时，需要作出的假设是：对于二进制数位，所有“0”变“1”转换和“1”变“0”转换对于光子泄漏的贡献完全相同。

如果X的各二进制位均为“0”，即X＝0，那么，在这种情况下，X变换为Y，Y的汉明重量模型与X变换为Y的汉明距离模型是等价的，即HW(Y)＝HD(X,Y)。

比特模型：比特模型非常简单，对于值X，其所等效二进制数的某一位，称为某一比特(bit)。该模型假设密码芯片光子泄漏数量与被处理数据所等效二进制数被指定的某一位的值成正比。例如，仅考虑X的最低位x₀，其比特模型即为HW(x₀)＝x₀。

零值模型：该模型假设处理数值0所需要的光子泄漏要小于处理所有其它非零值。X的零值模型为：

$>ZV\left(X\right)=\left(\begin{array}{c}0,X=0\\ 1,X\ne 0\end{array}\right),---\left(4\right)$>

实际上，上述模型是对被处理的数据对象在密码芯片上进行运算时导致的光子泄漏数量的一种相对估值和模拟，具体采用哪一种模型，除了上面所说的注意事项外，还需与具体攻击模型相结合。对于针对AES算法密码芯片的攻击模型而言，AES算法的攻击点(光泄漏点)一般选择在AES算法第一轮的轮密钥加输出/S盒输出或最后一轮S盒的输入，如果针对的是字节分析攻击，可以选择汉明重量模型或汉明距离模型。

实施例3、密码芯片光辐射迹的数据依赖性

对密码芯片进行光辐射分析攻击，我们主要关心光辐射迹中的数据依赖分量。为获取密码芯片AT89C52执行相同指令并操作不同数据的光泄漏特征，我们让芯片执行指令MOVR7,A，利用基于TCSPC技术的测量配置，使硅基单光子探测器通过光纤对准芯片的R7寄存器，对R7寄存器的光泄漏信号进行采集。我们的研究中参考了汉明仿真模型，每次改变R7寄存器值前先将R7值设置为00(十六进制，下同)，使R7寄存器值每次变换都是从00变换到某个数值；然后将R7值分别改变为00、01、03、07、0F、1F、3F、7F、FF，对应寄存器R7依次翻转0-8位(二进制)。因此，在这个实验中，R7寄存器值的汉明重量与汉明距离是相同的。实验结果表明，如图1所示，寄存器R7变换位数越多，泄漏光子数越多，数据变化(二进制数各位的变化)与密码芯片光子泄漏存在相关性。同时，图1实验结果表明，密码芯片的光泄漏与R7寄存器值的9种不同汉明重量存在依赖关系，R7寄存器值不同的汉明重量，其泄露的光子数不同，两者呈现出近似的线性关系。该结果至关重要，这意味着如果已经采集到R7寄存器泄露的光子数，根据其值的大小，可以判断R7寄存器值的汉明重量。由于R7寄存器值是个8位二进制数，其值有256种可能，如果知道其汉明重量，就可以缩小搜索范围，建立一个与其汉明重量匹配的可能值的集合。这也是基于汉明重量和光子泄漏数对应关系的AES光辐射分析攻击的理论和实验基础。

实施例4、AES算法及光泄露点(中间值)选取

AES是美国UIST批准的一个分组长度为128-bit的迭代型分组密码算法，其针对一个4×4字节的明文矩阵进行操作，称为状态矩阵。根据密钥的长度为128-bit、192-bit或256-bit，分别称为AES-128、AES-192或AES-256。对于AES-128十轮循环加密算法而言，其使用128-bit密钥加密128-bit的明文分组，数据和密钥均使用一个4×4的字节矩阵，除了最后一轮不包括列混淆操作外，每个循环包括四个不同的步骤(字节替换，行移位，列混淆，轮密钥加)，此外，在第一轮前进行轮密钥加操作。在整个加密过程中，原始密钥用于首轮循环前的轮密钥加操作，后面循环的轮密钥由初始密钥衍生得到。

图2给出了光辐射分析攻击AES算法光泄漏点(AES算法的某个或某几个中间值)的选取，其表示AES-128加密算法第一轮循环前的轮密钥加(实质是异或)操作和第一轮字节替换(又称为S盒变换)操作的流程。在该加密过程中，原始密钥k不变，分别选取字节变换的输入(轮密钥加的输出)和输出(即S盒变换输出)作为两个光泄漏采集点。

对已知若干条明文分组d_i(i＝0,1,2,……)进行加密运算，可分别得到该加密流程下明文第一个字节与原始密钥第一个字节异或操作后和S盒变换操作后输出值的汉明重量：

$>HW(d_{i,0}\oplus k_0)=HW\left(X_{i,0}\right),---\left(5\right)$>

$>HW\left(S\right(d_{i,0}\oplus k_0\left)\right)=HW\left(S_{i,0}\right),---\left(6\right)$>

这里用HW()表示汉明重量，S()表示上述AES算法过程中的S盒变换操作。公式(5)中d_i,0表示明文分组d_i的第一个字节，k₀表示原始密钥k的第一个字节，HW(X_i,0)表示d_i,0与k₀异或后值的汉明重量；公式(6)中HW(S_i,0)表示d_i,0与k₀异或后再经S盒变换后值的汉明重量。

实施例5、基于汉明重量和光子泄漏数对应关系的AES密钥分析

基于汉明重量值和泄漏光子数对应关系的密钥分析方法如下表所示，主要包括5个步骤：

步骤(1)中不再是传统的随机明文的旁路攻击，而是采用选择明文加密的方式进行光辐射分析攻击。其中m条明文用于采集密码芯片加密时的光泄漏信号，大多数情况下m取值为2或3就可以确定出密钥。对每组明文采集n遍是为了更好的抑制电子噪声，由于电子噪声呈正态分布，可以采取求均值的方法减少电子噪声的干扰。需要注意的是，进行光泄漏信号采集时，必须将光纤对准我们所关心的操作数在密码芯片上的位置(区域)。通过步骤(1)，得到m条光辐射迹。

步骤(2)中确定出各条光辐射迹中光泄漏点中间值的汉明重量。由于密码芯片光辐射迹的数据依赖性，光泄漏点中间值(例如R7寄存器值)不同的汉明重量与泄漏光子数呈现出近似的线性关系，因此，可以建立二者之间的对应关系，从而使用在步骤(1)获得的光辐射迹实验数据确定出两个光泄漏点中间值的汉明重量。

步骤(3)、(4)针对密钥的某个字节，得到满足两个光泄漏点中间值汉明重量的可能密钥值集合，通过两步筛选能够将密钥可能值压缩于很小的范围内，通过多条明文加密的光辐射迹(例如2条或者3条)就可以确定出该密钥字节。

步骤(5)主要是通过对密钥k的其它字节和明文其它对应字节重复进行步骤(3)、(4)，就可以恢复出密钥的其它字节，进而得到完整的密钥。

实施例6、AES密码芯片光辐射分析攻击的硬件配置

以AT89C52密码芯片为待测芯片，在其上运行AES加密算法。为了更好地对光泄漏信号进行探测，需要对AT89C52密码芯片进行开片处理，主要使用机械打磨和化学腐蚀的方法对待测芯片进行处理。参考文献[4,16]，使用了基于TCSPC的密码芯片光泄漏测量配置，整个实验测量装置主要由TCSPC光信号记录模块、单片机、主控计算机、分析处理计算机、单光子探测器(SPAD)、两个反相器和两个衰减器等组成。

主控计算机通过RS232串行口给单片机发送相关指令，以控制其执行相关程序和数据处理；分析处理计算机主要保存光辐射迹并进行相关格式转换等处理；TCSPC模块主要用于接收单光子探测器的输出，完成密码芯片在运行时泄漏光子的计数并形成光辐射迹，为后期的分析处理做准备；使用硅基SPAD单光子探测器，其捕获光子波长的范围为400至1060nm，对可见光有较高的采集效率。

实施例7、建立汉明重量和泄漏光子数对应关系

当密码芯片执行相同的指令并操作不同的数据时，密码芯片的光泄漏和操作数(例如R7寄存器的值)的汉明重量存在着近似线性关系。为实施基于汉明重量和泄露光子数对应关系的AES密码芯片光辐射分析攻击，需要首先建立操作数汉明重量与密码芯片泄露光子数的对应关系。具体实验过程为：以R7数据寄存器为测试对象，运行MOVR7,A指令进行光泄漏分析，整个过程让光纤和透镜对准密码芯片上R7数据寄存器的位置，工作电压选用6.4V的电压值,核心被测代码如下，时间是4μs：

NOP1μs

MOVR7，A1μs

XRLP1，#08H2μs

在实验中设定TCSPC模块的单次时间周期为5μs，实际有效周期是4μs，每次采集周期中光信号根据到达时间的先后分布在4096个时间通道中，由于需要建立操作数R7寄存器值的汉明重量与泄露光子数的对应关系，需要在给R7寄存器送入数值前对其进行清零操作(上述核心被测代码未包含该指令)。对每个样本进行重复采集十分钟。对于R7寄存器而言，数据存储形式为一个8位的二进制数，且各位之间相互独立，故可能的值有2⁸＝256种，其汉明重量有9种可能(即0、1、2、3、4、5、6、7、8)。实验中我们将这256种取值分别送至R7寄存器，对256个值分别送2次，因此，实验中总共采集512个光辐射迹样本。根据R7寄存器数据汉明重量的值对各光辐射迹进行平均化处理，选择光辐射迹中与R7数据处理相关的时间通道(1119时间通道至1122时间通道)，对其进行放大处理得到图3。如图所示，可明显看出时间通道1120至1121区间的光子泄露数量随操作数R7的不同汉明重量而发生变化的情况，从上往下，9条光辐射迹对应的汉明重量依次是8、7、6、5、4、3、2、1、0，随着操作数R7汉明重量的增加，密码芯片泄漏的光子数增多。效果较为明显的时间通道为1120通道，故以1120通道为参考时间点，从中我们可以得到操作数R7的汉明重量与泄漏光子数的对应关系，如下表所示。

汉明重量值与泄漏光子数的对应关系

实施例8、通过选择明文的AES光辐射分析攻击

如下表(除明文用十六进制表示外，其它用十进制表示)所示，通过2组明文就可以获得密钥的首字节。实验中，使用R7寄存器保存图2所示AES加密流程中不同光泄露点的2个中间值(异或的结果和S盒变换的结果)，通过实验分别采集到d₀和d₁两条明文的首字节(分别是十六进制表示的0x00和0xAA)在异或后和S盒变换后泄漏的光子数，根据上述给出的泄漏光子数与汉明重量的对应关系，得到其相应中间值(泄露点)的汉明重量值，进而分别筛选出缩小范围的两个密钥可能值集合，斜体加粗为两个密钥可能值集合的重叠部分。

通过选择明文的AES光辐射分析攻击

然后，对两条明文首字节经上述处理得到的两个密钥可能值集合进行求交集运算，可以确定出密钥的第一个字节为十进制数93，其十六进制表示为“0x5d”。

按照上述方法，对明文的后面字节进行类似处理，可以得到完整的密钥。

实际上，上述基于汉明重量和光子泄漏数对应关系的密码芯片光辐射分析方法还可以进一步优化。对于图2所示AES加密流程中的2个中间值(异或的结果及S盒变换的结果)的汉明重量，当处理密钥k的某个字节k_i的时候，考虑到极端情况，例如异或操作结果的汉明重量为0或者8，那么，一条明文就足以破解密钥的对应字节，这可以极大地缩小搜索范围。

综上所述，运行状态的密码芯片的光辐射迹与被处理的操作数之间存在着相关性，即所谓的光辐射迹的数据依赖性。借助于汉明仿真模型，当密码芯片泄露光子数与操作数的汉明重量呈近似线性关系时，可以采用基于操作数汉明重量和泄漏光子数对应关系的密钥分析方法实施AES密码芯片光辐射分析攻击。我们的研究表明，选择AES算法第一次异或后和S盒变换后的结果作为中间值和光泄漏信号采集点，通过2条或多条已知明文，结合汉明重量与泄漏光子数对应关系，获得相关中间值的汉明重量，就可以反推并破解密钥，实验结果验证了方法的可行性和密钥的正确性。

上述描述仅作为本发明可实施的技术方案提出，不作为对其技术方案本身的单一限制条件。