Záhadná semínka za křivkami NIST nikdy nebyla hashe a Claude na to přišel za méně než půl hodiny

TL;DR. Semínka publikovaná s křivkami NIST P-192, P-224, P-256, P-384 a P-521 nikdy nebyla výstupy hashovacích funkcí. Pocházela z generátoru lrand48 knihovny jazyka C, inicializovaného unixovým časovým...

Klíčové body

Koeficient, který vypadal odvozeně, a semínko, které nikdo nedokázal vysvětlit. Algoritmus ECDSA byl přijat institutem NIST v roce 2000 jako součást standardu digitálního podpisu FIPS 186-2.
Třicet minut, žádná nápověda a výsledek, který nebyl hashem. V říjnu 2026 se zvídavý zaměstnanec společnosti Anthropic zeptal interního výzkumného modelu, zda by dokázal přijít na to, jak byla ona semínka vygenerována, aniž by mu ukázal na jakoukoli stopu.
Jak skener našel otisk prstu generátoru z 90. let. Samotná metoda si zaslouží pozornost, protože jde o část, kterou mohou ostatní znovu použít.
Chod generátoru pozpátku k přečtení hodin. Obnovení stavu vám řekne, jak bylo semínko vytvořeno.

Otázka, která zůstávala otevřená poté, co v roce 2023 zemřel jediný člověk, jenž na ni mohl odpovědět, měla prozaické řešení: generátor náhodných čísel z 90. let inicializovaný systémovými hodinami. Autoři říkají, že tato odpověď posiluje, a nikoli oslabuje jejich důvěru v to, že křivky byly vybrány poctivě.

Manažerské shrnutí

Algoritmus ECDSA byl přijat institutem NIST v roce 2000 jako součást standardu digitálního podpisu FIPS 186-2. Specifikace zveřejnily parametry "semínka" (seed), jejichž hashová hodnota měla definovat koeficient křivky b. Agentura NSA tato semínka dodala bez jakéhokoli vysvětlení či zdůvodnění.

V říjnu 2026 požádal zaměstnanec společnosti Anthropic interní výzkumný model, aby zjistil, jak byla tato semínka vygenerována, aniž by mu naznačil stopu. Za méně než půl hodiny Claude zjistil, že žádné ze semínek nebylo výstupem hashovací funkce. Šlo o výstup lrand48, běžného generátoru pseudonáhodných čísel inicializovaného systémovými hodinami.

Zjištění není kryptografickým prolomením, novým útokem ani slabinou v křivkách ECDSA. Autoři uvádějí, že jim dodává větší jistotu, že křivky byly vybrány bez zadních vrátek (backdoorů) či úmyslných slabin.

Claude rovněž vysvětlil bázové body šesti křivek z května 1997 jako výstup generátoru náhodných čísel v balíčku FreeLIP, knihovně pro aritmetiku velkých celých čísel od Arjena Lenstry. Pokud je autorům známo, žádný bázový bod NIST nebyl dříve vysvětlen.

Otevřené otázky zůstávají: jak byly vybrány bázové body křivek P-224, P-256, P-384 a P-521 a jaká kritéria, pokud vůbec nějaká, stála za přeskočenými kandidátskými křivkami.

Koeficient, který vypadal odvozeně, a semínko, které nikdo nedokázal vysvětlit #

Algoritmus ECDSA byl přijat institutem NIST v roce 2000 jako součást standardu digitálního podpisu FIPS 186-2. Specifikace jeho křivek obsahovaly parametr "semínka" (seed), jehož hashová hodnota slouží k definování koeficientu b dané křivky. Na papíře jde o uklidňující návrh. Pokud koeficient vychází z hashe publikovaného semínka, říká tento argument, nikdo nemohl křivku ručně upravit na míru.

Tento argument je však jen tak dobrý jako samotné semínko. Semínka dodala agentura NSA bez jakéhokoli vysvětlení či zdůvodnění, a právě tato mezera představuje celý problém. Hash je jednosměrnými dveřmi: dokazuje, že koeficient vyplynul ze semínka, ale neříká vůbec nic o tom, odkud se vzalo samotné semínko. Celé roky semínka seděla ve standardu jako nevysvětlené konstanty.

Existoval příběh, který tuto mezeru zaplňoval. Nejznámější verze tvrdila, že Jerry Solinas, dlouholetý zaměstnanec NSA, vygeneroval semínka z hashe vtipné heslové fráze (passphrase). Zdroj později uvádí, že se to ukázalo jako mylné. Takovým příběhům se snadno věří, protože jsou konkrétní, trochu půvabné a nikdo je nemůže vyvrátit. Jako důkaz však neobstojí. Praktickým důsledkem bylo, že toto tvrzení nemohl nikdo ověřit a pátrání po oné frázi, postavené na kolujících zvěstech, skončilo s prázdnýma rukama.

Nabízelo se zeptat se přímo Solinase. Jerry však zemřel v roce 2023 a ostatní tehdejší kolegové nereagovali. Tím zůstala otázka, jak byla tato semínka původně odvozena, otevřená.

Tvrdil bych, že přesně takto je třeba celou situaci vnímat: otázka původu parametrů, která závisí na paměti několika lidí, je křehkým uspořádáním pro standard, jenž tvoří základ digitálních podpisů. Zajímavé na tom, co následovalo, je, že tyto vzpomínky vůbec nebyly potřeba. Odpověď ležela přímo v publikovaných semínkách a čekala jen na někoho, kdo otestuje správnou hypotézu.

Třicet minut, žádná nápověda a výsledek, který nebyl hashem #

V říjnu 2026 se zvídavý zaměstnanec společnosti Anthropic zeptal interního výzkumného modelu, zda by dokázal přijít na to, jak byla ona semínka vygenerována, aniž by mu ukázal na jakoukoli stopu. Na formulaci záleží. Modelu nebylo řečeno, co má hledat, a nedostal do ruky hotovou odpověď k potvrzení.

Za méně než půl hodiny Claude odhalil původ semínek křivek NIST P-192, P-224, P-256, P-384 a P-521. Výsledek je přímočarý: žádné ze semínek nebylo výsledkem žádného hashovacího algoritmu. Byla výstupem generátoru náhodných čísel lrand48 ze standardní knihovny jazyka C.

Příběh s heslovou frází se tedy nikdy nemohl potvrdit, protože žádná heslová fráze k nalezení neexistovala. Semínka byla vygenerována běžným generátorem pseudonáhodných čísel inicializovaným systémovými hodinami. Je to málo okázalé vysvětlení, a právě v tom spočívá jeho půvab: nepotřebuje žádné tajemství, žádné zasvěcené znalosti ani žádnou nevysvětlenou konstantu.

Mechanismus lze popsat jednoduše. Každá iterace algoritmu si vezme 20 bajtů z generátoru jako kandidátské semínko. Počet iterací je zajímavým detailem, protože ukazuje, že proces byl prohledáváním, a nikoli jediným tahem. Například křivka P-256 vyžadovala 1842 iterací k vydání standardizovaného semínka. Kdokoli tento program spustil, nechal jej chrlit kandidáty, dokud jeden z nich nevytvořil křivku splňující požadované podmínky.

Autoři pečlivě rozlišují, co to znamená a co nikoli, a jejich vymezení stojí za zopakování. Nejde o kryptografické prolomení, nový útok ani slabinu v křivkách ECDSA. Není třeba podnikat žádné kroky. Jdou ještě o krok dále a říkají, že jim to dodává větší jistotu, že křivky byly vybrány bez jakýchkoli zadních vrátek či úmyslných slabin. To je opatrně formulovaný závěr a takovým by měl i zůstat. Zdroj to rámuje jako důvěru autorů, což je něco jiného než matematický důkaz nevinnosti křivek. Co toto zjištění přináší, je prozaický, ověřitelný popis namísto neověřitelné historky.

Jak skener našel otisk prstu generátoru z 90. let #

Samotná metoda si zaslouží pozornost, protože jde o část, kterou mohou ostatní znovu použít.

Claude odhadl, že software, který křivky generoval, používal generátor PRNG dodávaný s knihovnami jazyka C v 90. letech. Zdroj to označuje jako odhad, a byl to odhad trefný. Zúžil neomezené prohledávání na krátký seznam kandidátů z jedné éry.

Claude poté napsal skener. Ten se posouval podél každého publikovaného semínka bit po bitu a testoval, zda sousední úseky nejsou po sobě jdoucími výstupy některého generátoru z 90. let. Skenování pokrylo 34 kombinací generátorů a výstupních výřezů. Zásah přišel v podobě vzorce v nejvyšších bitech, takového, který by náhodou nastal s pravděpodobností 1/5810.

Tento vzorec byl podpisem lineárního kongruentního generátoru lrand48, který vrací pouze nejvyšších 31 bitů ze 48bitového vnitřního stavu. Zde konstrukce generátoru prosakuje navenek. Protože lrand48 při každém volání skrývá 17 bitů svého 48bitového stavu, vykazuje výstup pravidelnost, kterou by skutečně náhodný řetězec neměl, a skener postavený k hledání této pravidelnosti ji dokáže najít.

Aby Claude stav obnovil, vzal první slovo a vyzkoušel všech 2^17 hodnot oněch 17 skrytých bitů. To je malé prohledávání a je výpočetně levné, protože samotný generátor je velmi jednoduchý. Každý kandidátský stav bylo možné ověřit vůči dalšímu úseku semínka a ten správný způsobil, že do sebe zapadla celá posloupnost.

Semínka křivek nad prvočíselnými tělesy (prime curves) byla obtížnější, i když jen nepatrně. Pocházela ze stejného generátoru lrand48, ale ponechávala si méně bitů z každého výstupu. Méně viditelných bitů znamená méně opěrných bodů pro odhad, takže trik s hrubou silou (brute-force) již nefunguje tak přímočaře. Odpověď zdroje zní, že obnovení stavu seříznutého lineárního kongruentního generátoru je učebnicovou mřížkovou úlohou, řešitelnou pomocí algoritmu redukce báze mřížky Lenstra-Lenstra-Lovasz (LLL). Model to dokázal rozpoznat a použít na to standardní nástroj bez čehokoli exotického.

Pět semínek prvočíselných křivek NIST plus pět dalších ze standardu ANSI X9.62 mělo tentýž vzorec: lrand48() >> 23. Deset semínek sdílejících jediné pravidlo extrakce je silným důkazem, že za nimi stojí jediný proces.

Pak přichází kontrola, která odděluje šťastnou shodu od skutečné trefy. Každý obnovený 48bitový stav znovu vygeneruje všech 160 bitů svého semínka, což se neděje náhodou. Částečná shoda by mohla být souhrou okolností. Úplná regenerace každého jednotlivého bitu je něco, co lze jen velmi těžko vymluvit, a právě proto lze výsledek konstatovat tak jednoznačně.

Chod generátoru pozpátku k přečtení hodin #

Obnovení stavu vám řekne, jak bylo semínko vytvořeno. Neřekne vám však ještě kdy. K tomu Claude využil vlastnost generátoru: běží pozpátku stejně snadno jako popředu. U každého semínka Claude krokoval stav zpět, dokud nedosáhl tvaru, který by vytvořila inicializace funkcí srand48, s dolními 16 bity rovnými hodnotě 0x330E.

Tento tvar je sám o sobě otiskem prstu. Pokud lze obnovený stav přetočit zpět do podoby s dolními 16 bity na hodnotě 0x330E, byl generátor spuštěn standardním způsobem z počáteční hodnoty předané funkci srand48. A touto počáteční hodnotou byl v daném případě čas. Semínka byla vygenerována pomocí slabého generátoru PRNG inicializovaného unixovým časovým razítkem (Unix timestamp).

Vnitřní myšlenkový pochod Claudea v té chvíli zaznamenal okamžik rozpoznání: všechny horní bity byly nulové, 20 bitů, s pravděpodobností náhody 1e-6. Je to drobný detail, ale ukazuje uvažování pracující s čísly tak, jak se objevovala, nikoli s příběhem sestaveným dodatečně.

Ne všechna data byla hned čistá. Čtyři inicializace binárních křivek vycházely jako únor 1984, což není datum, které by kdokoli čekal u generátoru používaného na konci 90. let. Po zdvojnásobení časových razítek se inicializace binárních křivek namapují na 17. dubna 1998, dva týdny po běhu pro křivku P-224. Zdroj dochází k závěru, že program mohl hodnotu hodin vydělit dvěma. To je formulováno opatrně, a také by mělo být: jde o navrhované vysvětlení toho, proč surové hodnoty ukazují rok 1984, a zdvojnásobení, které dopadne přesně dva týdny po jiném běhu, je sice silně návodné, ale nepředstavuje přímé potvrzení vnitřního kódu programu.

Tuto část považuji za nejpřesvědčivější z celého líčení, a to z důvodu nezávislého na kryptografii. Vykonstruovaný příběh by přinesl úhledná data. Tento přinesl jedno nepohodlné datum a poté opravu, která binární křivky zařadila do souvislé časové řady s během pro P-224. Neuspořádaná data, která do sebe zapadnou pod jednoduchou hypotézou, přesně ukazují, jak vypadá skutečný původ dat.

Bázové body mají také svůj recept #

Semínka definují samotné křivky. Bázové body jsou samostatnou záležitostí a zdroj s nimi také samostatně zachází.

Bázové body šesti křivek vygenerovaných v květnu 1997 (P-192 a pět příkladových křivek ze standardu ANSI X9.62: prime192v2, prime192v3 a prime239v1 až v3) pocházejí z generátoru náhodných čísel v balíčku FreeLIP, knihovně pro aritmetiku velkých celých čísel od Arjena Lenstry. Rané verze knihovny NTL Victora Shoupa obsahovaly tentýž kód. Tento druhý fakt je důležitý pro kontrolu: generátor existuje jako publikovaný kód, který si ostatní mohou přečíst, nikoli jako soukromý nástroj.

Recept je krátký. Inicializujte generátor malým celým číslem. Zahoďte sedm výstupů. Generujte kandidátské souřadnice x z 26bitových výstupů redukovaných modulo p. Opakujte toto generování kandidátů, dokud x neleží na křivce.

Claude našel semínka tohoto generátoru: 20000 pro P-192, 20420, 20507 a 20509 pro prime239v1 až v3 a konečně 20512 a 20517 pro prime192v2 a v3. Jsou to malá celá čísla toho druhu, jaká člověk zadává do programu z klávesnice, což přesně odpovídá prvnímu kroku receptu.

Autoři zde vznášejí tvrzení, které je skromné a stojí za to jej v duchu citovat: pokud je jim známo, žádný bázový bod NIST nebyl dříve vysvětlen. Výhrada je jejich vlastní a je zcela na místě. Netvrdí, že prozkoumali každý dokument, který byl kdy napsán, nýbrž jen hranici svých znalostí.

Pak recept přestává fungovat. Bázové body křivek P-224, P-256, P-384 a P-521 tomuto receptu neodpovídají a autoři nedokázali vysvětlit, jak byly vybrány. Zpráva, která by to přešla mlčením, by vypadala úhledněji, ale autoři to v textu ponechali. Vysvětlení pokrývá šest křivek z května 1997 a bázové body čtyř prvočíselných křivek NIST ponechává nevysvětlené.

Kandidáti, kteří byli přeskočeni #

Poslední zjištění je tím, které nejpravděpodobněji vyvolá spory, a proto stojí za to číst jej velmi přesně.

U křivky P-256 je publikovaným semínkem kandidát 1842. Jenže kandidát 876 z téhož běhu rovněž dává křivku prvočíselného řádu správné velikosti, s parametry zvolenými stejným způsobem jako u publikované křivky. Jinými slovy, proces přešel křivku, která by na první pohled byla přijatelná.

Nejde o ojedinělý případ. Běh pro P-224 přešel tři takové křivky a dva běhy stojící za příkladovými křivkami ANSI X9.62 přešly dalších sedm.

Autoři jsou přímí v tom, co nevědí. Nevědí, jaká kritéria mohla být použita pro přeskakování křivek, ani zda šlo o neúmyslný artefakt. To je omezení, uvedené jako omezení, a opatrná formulace o "neúmyslném artefaktu" představuje poctivý postoj: data ukazují, že kandidáti byli přeskočeni, ale neukazují proč.

Poté nabízejí svůj úsudek. Protože počet přeskočených kandidátů je malý, nepovažují za věrohodné, že by byly vybírány oslabené křivky. To je opatrná úvaha o věrohodnosti a opírá se o prosté počty. Pokud proces přeskočí celkem jen hrstku kandidátů, je zde velmi málo prostoru, v němž by šlo hledat slabinu.

Jedna výhrada zůstává a zdroj ji uvádí jako možnost, nikoli jako zjištění. Je stále představitelné, že tyto křivky byly vybrány tak, aby měly v principu určitou vlastnost, a to prohledáváním časových razítek předávaných generátoru náhodných čísel. Jde o spekulaci a jako taková je i označena. Neměla by být čtena jako důkaz čehokoli, ale neměla by být ani potichu vypuštěna. Poctivý popis ji nechává na stole jako nevyloučenou cestu a zároveň zaznamenává, že autoři považují oslabené křivky za nepravděpodobné.

Co výsledek mění a co nechává otevřené #

Začněme tím, co nemění. Křivky nejsou prolomené. Zdroj to říká dvakrát, různými slovy, a není třeba podnikat žádné kroky. Každý, kdo to čte jako důvod k vyřazení P-256, to pochopil špatně.

Co se mění, je status staré pochybnosti. Dokud byla semínka nevysvětlená, visela formulace "dodáno agenturou NSA bez vysvětlení" nad standardem jako trvalý otazník. Tento otazník má nyní konkrétní odpověď. Semínka nebyla neproniknutelnými hashi tajné fráze. Byla výstupem funkce lrand48 z programu inicializovaného hodinami, který z obnoveného stavu regeneruje každý bit každého semínka. Vysvětlení, které si může každý s publikovanými semínky sám otestovat, předčí fámu, kterou nemůže ověřit nikdo.

Plyne z toho poznatek pro zakladatele a inženýry, kteří stavějí na kryptografických standardech. Tvrzení o původu parametrů se levně vyslovují a draze ověřují, přičemž zde popsaná kontrola zabrala méně než půl hodiny od chvíle, kdy byla položena správná otázka. Skener, prohledávání prostoru 2^17 i redukce mřížky jsou veskrze standardní tahy. Co celé roky chybělo, byl někdo, kdo by odvedl neokázalou práci a vyzkoušel je proti publikovaným číslům.

Rovněž bych odolal pokušení tuto metodu přeceňovat. Zdroj podává zprávu o výsledku jednoho týmu na konkrétní sadě semínek. Netvrdí, že týž přístup rozlouskne každou nevysvětlenou konstantu v každém standardu, a nebudu to za ně tvrdit ani já. To, co demonstruje, je užší a podle mého soudu užitečnější: když je původ parametru záhadou, pečlivý model s věrohodným odhadem ohledně dobových nástrojů dokáže tento odhad rychle otestovat a předvést svou práci.

Nedokončené úkoly jsou dostatečně jasné na to, aby tvořily výzkumný program. Čtyři bázové body, a sice u křivek P-224, P-256, P-384 a P-521, stále postrádají vysvětlení. Přeskočení kandidáti, jako například 876 oproti publikovanému 1842 u P-256, postrádají uvedené kritérium a nikdo zatím neví, zda bylo přeskočení záměrné, nebo šlo o artefakt. Zda tyto odpovědi přežívají ve starém zdrojovém kódu, v paměti žijících kolegů, nebo ve stejném druhu lovu na vzorce, který rozluštil semínka, je otevřenou otázkou. Semínka zabrala půl hodiny; bázové body tomuto přístupu již jednou odolaly.

Často kladené otázky #

Prolamuje tento objev křivky NIST ECDSA, jako jsou P-256 nebo P-384?

Ne. Zjištění, že semínka křivek byla vygenerována funkcí lrand48 namísto hashe heslové fráze, nevnáší do křivek ECDSA žádné kryptografické prolomení, nový útok ani matematickou slabinu a kvůli tomuto zjištění není vyžadována žádná náprava ani migrace.

Jak byla semínka prvočíselných křivek NIST ve skutečnosti vygenerována?

Každé 160bitové semínko vzniklo voláním lineárního kongruentního generátoru lrand48 ze standardní knihovny jazyka C (konkrétně lrand48() >> 23 pro pět prvočíselných křivek NIST a pět křivek ANSI X9.62), inicializovaného přes srand48 unixovým časovým razítkem. Obnovení 48bitového vnitřního stavu pomocí redukce mřížky algoritmem Lenstra-Lenstra-Lovasz (LLL) znovu vygeneruje všech 160 bitů každého publikovaného semínka.

Co zůstává na parametrech eliptických křivek NIST nevysvětleno?

Zatímco bázové body křivky P-192 a pěti křivek ANSI X9.62 byly vysledovány ke generátoru náhodných čísel v balíčku FreeLIP Arjena Lenstry inicializovanému malými celými čísly, bázové body křivek P-224, P-256, P-384 a P-521 tomuto receptu neodpovídají a kritéria pro přeskočení dřívějších kandidátských křivek prvočíselného řádu (jako je kandidát 876 před kandidátem 1842 u P-256) zůstávají neznámá.

Literatura #

Anthropic Frontier Red Team, (2026). Claude reveals ECDSA curve origins ⧉. Anthropic.
National Institute of Standards and Technology, (2000). FIPS PUB 186-2: Digital Signature Standard (DSS) ⧉. NIST.
Victor Shoup, (2024). NTL: A Library for doing Number Theory ⧉. libntl.org.

Naposledy revidováno 2026-11-01.

Znovu publikovat tento článek

Záhadná semínka za křivkami NIST nikdy nebyla hashe a Claude na to přišel za méně než půl hodiny — Sebastien Rousseau

Semínka publikovaná s křivkami NIST P-192, P-224, P-256, P-384 a P-521 nikdy nebyla výstupy hashovacích funkcí. Pocházela z generátoru lrand48 knihovny jazyka C, inicializovaného unixovým časovým...

Tento článek je licencován pod Creative Commons Attribution 4.0 International. Při opětovné publikaci uveďte odkaz na kanonickou URL.

Záhadná semínka za křivkami NIST nikdy nebyla hashe a Claude na to přišel za méně než půl hodiny — Sebastien Rousseau

Semínka publikovaná s křivkami NIST P-192, P-224, P-256, P-384 a P-521 nikdy nebyla výstupy hashovacích funkcí. Pocházela z generátoru lrand48 knihovny jazyka C, inicializovaného unixovým časovým...

Originally published at https://sebastienrousseau.com/cs/2026-10-26-zahadna-seminka-krivkami-nist-nikdy-nebyla/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER