Die rätselhaften Seeds hinter den NIST-Kurven waren nie Hashes, und Claude fand das in unter einer halben Stunde heraus

TL;DR. Die mit den Kurven NIST P-192, P-224, P-256, P-384 und P-521 veröffentlichten Seeds waren niemals Hash-Ausgaben. Sie stammten aus dem lrand48-Generator der C-Bibliothek, initialisiert mit einem...

Wichtige Erkenntnisse

Ein Koeffizient, der abgeleitet aussah, und ein Seed, den niemand erklären konnte. ECDSA wurde im Jahr 2000 vom NIST als Teil des Digital Signature Standard FIPS 186-2 übernommen.
Dreißig Minuten, kein Hinweis und ein Ergebnis, das kein Hash war. Im Oktober 2026 fragte ein neugieriger Mitarbeiter von Anthropic ein internes Forschungsmodell, ob es herausfinden könne, wie diese Seeds erzeugt wurden, ohne dabei auf irgendeine Spur hinzuweisen.
Wie ein Scanner den Fingerabdruck eines Generators aus den 1990er-Jahren fand. Die Methode verdient Beachtung, weil andere genau diesen Teil wiederverwenden können.
Den Generator rückwärts laufen lassen, um die Uhr abzulesen. Die Wiederherstellung eines Zustands verrät, wie der Seed erzeugt wurde.

Eine Frage, die offenblieb, nachdem die einzige Person, die sie hätte beantworten können, im Jahr 2023 verstarb, hatte eine unspektakuläre Antwort: ein über die Systemuhr initialisierter Zufallszahlengenerator aus den 1990er-Jahren. Die Autoren sagen, diese Antwort stärke ihr Vertrauen, dass die Kurven ehrlich gewählt wurden.

Zusammenfassung für Entscheidungsträger

ECDSA wurde im Jahr 2000 vom NIST als Teil des Digital Signature Standard FIPS 186-2 verabschiedet. Die Spezifikationen veröffentlichten "Seed"-Parameter, deren Hash-Wert den Kurvenkoeffizienten b definieren sollte. Die NSA lieferte diese Seeds ohne jede Erklärung oder Begründung.

Im Oktober 2026 bat ein Mitarbeiter von Anthropic ein internes Forschungsmodell herauszufinden, wie die Seeds erzeugt worden waren, ohne einen Hinweis auf die Spur zu geben. In weniger als einer halben Stunde stellte Claude fest, dass keiner der Seeds eine Hash-Ausgabe war. Sie waren die Ausgabe von lrand48, einem verbreiteten, über die Uhr initialisierten Pseudozufallszahlengenerator.

Der Befund ist kein kryptografischer Bruch, kein neuer Angriff und keine Schwachstelle in den ECDSA-Kurven. Die Autoren erklären, er stärke ihr Vertrauen, dass die Kurven ohne Hintertüren (Backdoors) oder absichtliche Schwächen gewählt wurden.

Claude erklärte zudem die Basispunkte von sechs Kurven vom Mai 1997 als Ausgabe des Zufallszahlengenerators in FreeLIP, Arjen Lenstras Programmpaket für Langzahlarithmetik. Soweit den Autoren bekannt ist, wurde zuvor noch nie ein NIST-Basispunkt erklärt.

Offene Fragen bleiben: wie die Basispunkte von P-224, P-256, P-384 und P-521 ausgewählt wurden und welche Kriterien, falls überhaupt welche vorlagen, hinter den übersprungenen Kandidatenkurven standen.

Ein Koeffizient, der abgeleitet aussah, und ein Seed, den niemand erklären konnte #

ECDSA wurde im Jahr 2000 vom NIST als Teil des Digital Signature Standard FIPS 186-2 übernommen. Die Spezifikationen seiner Kurven enthielten einen "Seed"-Parameter, dessen Hash-Wert zur Bestimmung des Koeffizienten b der jeweiligen Kurve dient. Auf dem Papier ist das ein beruhigendes Design. Wenn der Koeffizient aus dem Hash eines veröffentlichten Seeds hervorgeht, so das Argument, kann niemand die Kurve von Hand gezielt manipuliert haben.

Dieses Argument ist jedoch nur so gut wie der Seed selbst. Die Seeds wurden von der NSA ohne Erklärung oder Begründung bereitgestellt, und genau diese Lücke ist das eigentliche Problem. Ein Hash ist eine Einbahnstraße: Er beweist, dass der Koeffizient aus dem Seed folgte, sagt aber nichts darüber aus, woher der Seed stammte. Jahrelang standen die Seeds als unerklärte Konstanten im Standard.

Es gab eine Geschichte, um diese Lücke zu füllen. Die bekannteste Version besagte, dass Jerry Solinas, ein langjähriger NSA-Mitarbeiter, die Seeds aus dem Hash einer humorvollen Passphrase erzeugt habe. Wie die Quelle später ausführt, erwies sich dies als falsch. Solche Geschichten werden gern geglaubt, weil sie konkret und ein wenig charmant sind und weil ihnen niemand widersprechen kann. Als Beleg taugen sie jedoch nicht. Die praktische Folge war, dass niemand die Behauptung überprüfen konnte, und Suchen nach dem Satz, die auf diesen Gerüchten aufbauten, liefen ins Leere.

Die naheliegende Person, die man hätte fragen können, war Solinas selbst. Jerry starb im Jahr 2023, und andere damalige Kollegen reagierten nicht auf Anfragen. Damit blieb die Frage offen, wie diese Seeds ursprünglich abgeleitet worden waren.

Ich würde sagen, genau so sollte man die Situation betrachten: Eine Herkunftsfrage, die vom Gedächtnis einiger weniger Personen abhängt, ist ein fragiles Konstrukt für einen Standard, auf dem digitale Signaturen ruhen. Das Interessante an dem, was als Nächstes geschah, ist, dass es dieser Erinnerungen gar nicht bedurfte. Die Antwort lag direkt in den veröffentlichten Seeds und wartete nur darauf, dass jemand die richtige Hypothese testete.

Dreißig Minuten, kein Hinweis und ein Ergebnis, das kein Hash war #

Im Oktober 2026 fragte ein neugieriger Mitarbeiter von Anthropic ein internes Forschungsmodell, ob es herausfinden könne, wie diese Seeds erzeugt wurden, ohne dabei auf irgendeine Spur hinzuweisen. Die Formulierung ist entscheidend. Dem Modell wurde weder gesagt, wonach es suchen sollte, noch wurde ihm die Antwort zur bloßen Bestätigung vorgelegt.

In weniger als einer halben Stunde entdeckte Claude den Ursprung der Seeds für NIST P-192, P-224, P-256, P-384 und P-521. Das Ergebnis ist unmissverständlich: Keiner der Seeds war das Resultat irgendeines Hash-Algorithmus. Sie waren die Ausgabe des Zufallszahlengenerators lrand48 aus der C-Standardbibliothek.

Die Geschichte mit der Passphrase hätte also niemals bestätigt werden können, weil es gar keine Passphrase zu finden gab. Die Seeds wurden von einem gewöhnlichen, über die Systemuhr initialisierten Pseudozufallszahlengenerator erzeugt. Es ist eine nüchterne Erklärung, und genau darin liegt ihr Reiz: Sie kommt ohne Geheimnis, ohne Insiderwissen und ohne unerklärte Konstante aus.

Der Mechanismus lässt sich einfach beschreiben. Jede Iteration des Algorithmus zieht 20 Byte aus dem Generator als Kandidaten-Seed. Die Anzahl der Iterationen ist das interessante Detail, denn sie zeigt, dass der Prozess eine Suche war und keine einmalige Ziehung. P-256 benötigte beispielsweise 1842 Iterationen, um den standardisierten Seed auszugeben. Wer auch immer dieses Programm ausführte, ließ es so lange Kandidaten durchprobieren, bis einer davon eine Kurve lieferte, die den Anforderungen entsprach.

Die Autoren wägen sorgfältig ab, was dies bedeutet und was nicht, und ihre Einordnung verdient es, wiederholt zu werden. Dies ist kein kryptografischer Bruch, kein neuer Angriff und keine Schwachstelle in den ECDSA-Kurven. Es sind keinerlei Maßnahmen erforderlich. Sie gehen noch einen Schritt weiter und sagen, das Ergebnis stärke ihr Vertrauen, dass die Kurven ohne Hintertüren oder absichtliche Schwächen ausgewählt wurden. Das ist eine vorsichtig formulierte Schlussfolgerung, und sie sollte es auch bleiben. Die Quelle stellt dies als das Vertrauen der Autoren dar, was etwas anderes ist als ein mathematischer Beweis für die Unbedenklichkeit der Kurven. Was der Befund liefert, ist eine nüchterne, überprüfbare Erklärung anstelle einer nicht überprüfbaren Anekdote.

Wie ein Scanner den Fingerabdruck eines Generators aus den 1990er-Jahren fand #

Die Methode verdient Beachtung, weil andere genau diesen Teil wiederverwenden können.

Claude vermutete, dass die Software zur Erzeugung der Kurven einen PRNG verwendete, der in den 1990er-Jahren mit C-Bibliotheken ausgeliefert wurde. Die Quelle behandelt dies als Vermutung, und es war ein Volltreffer. Sie grenzte eine uferlose Suche auf eine kurze Liste von Kandidaten aus einer einzigen Epoche ein.

Anschließend schrieb Claude einen Scanner. Dieser glitt Bit für Bit an jedem veröffentlichten Seed entlang und prüfte, ob benachbarte Abschnitte aufeinanderfolgende Ausgaben eines Generators aus den 1990er-Jahren waren. Der Scan deckte 34 Kombinationen aus Generatoren und Ausgabeausschnitten ab. Der Treffer zeigte sich als Muster in den obersten Bits, eines, das zufällig nur mit einer Wahrscheinlichkeit von 1/5810 auftreten würde.

Dieses Muster war die Signatur des linearen Kongruenzgenerators lrand48, der lediglich die obersten 31 Bit eines 48-Bit-Zustands zurückgibt. Hier verrät sich das Design des Generators. Da lrand48 bei jedem Aufruf 17 Bit seines 48-Bit-Zustands verbirgt, weist die Ausgabe eine Regelmäßigkeit auf, die eine echte Zufallsfolge nicht zeigen würde, und ein Scanner, der gezielt nach dieser Regelmäßigkeit sucht, kann sie aufspüren.

Um den Zustand wiederherzustellen, nahm Claude das erste Wort und probierte alle 2^17 Werte der 17 verborgenen Bits durch. Das ist eine kleine Suche, und sie ist rechentechnisch billig, weil der Generator so simpel aufgebaut ist. Jeder Kandidatenzustand ließ sich gegen den nächsten Abschnitt des Seeds prüfen, und der richtige brachte die gesamte Sequenz in Einklang.

Die Seeds der Kurven über Primkörpern (Prime Curves) waren schwieriger, wenn auch nur geringfügig. Sie stammten aus demselben lrand48-Generator, behielten aber pro Ausgabe weniger Bits bei. Weniger sichtbare Bits bedeuten weniger Halt für eine Schätzung, sodass der Brute-Force-Trick nicht mehr ganz so glatt greift. Die Antwort der Quelle lautet, dass die Wiederherstellung des Zustands eines abgeschnittenen linearen Kongruenzgenerators ein lehrbuchmäßiges Gitterproblem ist, das mit dem Basisreduktionsalgorithmus von Lenstra, Lenstra und Lovasz (LLL) gelöst wird. Ein Modell konnte dies erkennen und ein Standardwerkzeug darauf anwenden, ganz ohne exotische Kniffe.

Die fünf Seeds der NIST-Primkurven sowie fünf weitere aus dem Standard ANSI X9.62 wiesen alle dasselbe Muster auf: lrand48() >> 23. Zehn Seeds, die ein und dieselbe Extraktionsregel teilen, sind ein starker Beleg dafür, dass ein einziger Prozess dahintersteht.

Dann folgt die Gegenprobe, die einen Zufallstreffer von einem echten Befund unterscheidet. Jeder wiederhergestellte 48-Bit-Zustand regeneriert sämtliche 160 Bit seines Seeds, was nicht durch Zufall geschieht. Eine teilweise Übereinstimmung könnte Zufall sein. Eine vollständige Wiederherstellung jedes einzelnen Bits lässt sich kaum wegdiskutieren, und genau deshalb kann das Ergebnis so klar formuliert werden.

Den Generator rückwärts laufen lassen, um die Uhr abzulesen #

Die Wiederherstellung eines Zustands verrät, wie der Seed erzeugt wurde. Sie verrät aber noch nicht, wann. Dafür nutzte Claude eine Eigenschaft des Generators: Er läuft genauso leicht rückwärts wie vorwärts. Für jeden Seed rechnete Claude den Zustand Schritt für Schritt zurück, bis er jene Form erreichte, die eine Initialisierung über srand48 erzeugen würde, bei der die unteren 16 Bit gleich 0x330E sind.

Diese Form ist ihrerseits ein Fingerabdruck. Wenn sich ein wiederhergestellter Zustand auf einen Wert zurückspulen lässt, dessen untere 16 Bit bei 0x330E liegen, wurde der Generator auf dem Standardweg gestartet, über einen an srand48 übergebenen Startwert. Und dieser Startwert war im vorliegenden Fall eine Uhrzeit. Die Seeds wurden mithilfe des schwachen PRNG erzeugt, der mit einem Unix-Zeitstempel (Unix Timestamp) initialisiert worden war.

Claudes interner Gedankengang hielt damals den Moment des Erkennens fest: Alle oberen Bits waren null, 20 Bit, bei einer Zufallswahrscheinlichkeit von 1e-6. Es ist ein kleines Detail, aber es zeigt eine Schlussfolgerung, die direkt an den auftauchenden Zahlen arbeitet, und nicht an einer im Nachhinein konstruierten Geschichte.

Die Datumsangaben waren nicht alle auf Anhieb sauber. Die vier Initialisierungen der Binärkurven lasen sich als Februar 1984, kein Datum, das man für einen Ende der 1990er-Jahre genutzten Generator erwarten würde. Verdoppelt man die Zeitstempel, fallen die Initialisierungen der Binärkurven auf den 17. April 1998, zwei Wochen nach dem Lauf für P-224. Die Quelle schließt daraus, dass das Programm den Uhrwert möglicherweise halbiert hat. Das ist vorsichtig formuliert, und das zu Recht: Es ist eine vorgeschlagene Erklärung dafür, warum die Rohwerte auf 1984 deuten, und eine Verdopplung, die exakt zwei Wochen nach einem anderen Lauf landet, ist zwar äußerst aufschlussreich, aber noch keine direkte Bestätigung des internen Programmcodes.

Ich halte dies für den überzeugendsten Teil des gesamten Berichts, aus einem Grund, der nichts mit Kryptografie zu tun hat. Eine erfundene Geschichte hätte glatte Daten geliefert. Diese hier lieferte ein sperriges Datum und anschließend eine Korrektur, die die Binärkurven in eine stimmige zeitliche Abfolge mit dem P-224-Lauf brachte. Unordentliche Daten, die sich unter einer einfachen Hypothese auflösen, zeigen genau, wie echte Provenienz aussieht.

Auch die Basispunkte folgen einem Rezept #

Seeds definieren die Kurven. Die Basispunkte sind eine eigene Angelegenheit, und die Quelle behandelt sie auch getrennt.

Die Basispunkte von sechs im Mai 1997 erzeugten Kurven (P-192 sowie die fünf Beispielkurven aus ANSI X9.62: prime192v2, prime192v3 und prime239v1 bis v3) stammen aus dem Zufallszahlengenerator in FreeLIP, Arjen Lenstras Programmpaket für Langzahlarithmetik. Frühe Versionen von Victor Shoups NTL-Bibliothek enthielten denselben Code. Dieser zweite Umstand ist für die Überprüfbarkeit wichtig: Der Generator existiert als veröffentlichter Code, den andere lesen können, nicht als privates Werkzeug.

Das Rezept ist kurz. Initialisiere den Generator mit einer kleinen ganzen Zahl. Verwirf sieben Ausgaben. Erzeuge Kandidaten für die x-Koordinate aus 26-Bit-Ausgaben, reduziert modulo p. Wiederhole diese Kandidatenerzeugung, bis x auf der Kurve liegt.

Claude fand die Generator-Seeds: 20000 für P-192, 20420, 20507 und 20509 für prime239v1 bis v3 sowie 20512 und 20517 für prime192v2 und v3. Das sind kleine ganze Zahlen von der Art, wie sie ein Mensch von Hand in ein Programm eintippt, was exakt dem ersten Schritt des Rezepts entspricht.

Die Autoren stellen hier eine bescheidene Behauptung auf, die es dem Sinn nach zu zitieren lohnt: Soweit ihnen bekannt ist, wurde zuvor noch nie ein NIST-Basispunkt erklärt. Die Einschränkung stammt von ihnen, und sie ist angemessen. Sie behaupten nicht, jedes jemals geschriebene Dokument gesichtet zu haben, sondern benennen lediglich die Grenze ihres Wissensstands.

Dann hört das Rezept auf zu funktionieren. Die Basispunkte von P-224, P-256, P-384 und P-521 passen nicht zu diesem Rezept, und die Autoren konnten nicht erklären, wie sie ausgewählt wurden. Eine Darstellung, die darüber hinweggegangen wäre, sähe glatter aus, doch die Autoren haben diese Lücke offengelassen. Die Erklärung deckt sechs Kurven vom Mai 1997 ab und lässt die Basispunkte von vier der NIST-Primkurven ungeklärt.

Kandidaten, die übergangen wurden #

Der letzte Befund ist derjenige, der am ehesten Diskussionen auslösen dürfte, weshalb man ihn sehr genau lesen sollte.

Für P-256 ist der veröffentlichte Seed Kandidat 1842. Doch Kandidat 876 desselben Laufs liefert ebenfalls eine Kurve primer Ordnung in der richtigen Größe, mit Parametern, die auf dieselbe Weise gewählt sind wie bei der veröffentlichten Kurve. Mit anderen Worten: Der Prozess überging eine Kurve, die auf den ersten Blick akzeptabel gewesen wäre.

Das ist kein Einzelfall. Der Lauf für P-224 überging drei solche Kurven, und die beiden Läufe hinter den Beispielkurven aus ANSI X9.62 übergingen sieben weitere.

Die Autoren sprechen offen aus, was sie nicht wissen. Sie wissen nicht, welche Kriterien möglicherweise für das Überspringen von Kurven herangezogen wurden oder ob es sich um ein unbeabsichtigtes Artefakt handelte. Das ist eine Einschränkung, die auch als solche benannt wird, und die vorsichtige Formulierung vom "unbeabsichtigten Artefakt" ist die redliche Haltung: Die Daten zeigen, dass Kandidaten übersprungen wurden, aber sie zeigen nicht warum.

Anschließend geben sie eine Einschätzung ab. Da die Anzahl der übersprungenen Kandidaten gering ist, halten sie es nicht für plausibel, dass gezielt geschwächte Kurven ausgewählt wurden. Das ist eine abwägende Überlegung zur Plausibilität, und sie stützt sich auf die bloße Anzahl. Wenn ein Prozess insgesamt nur eine Handvoll Kandidaten überspringt, bleibt kaum Spielraum, um darin nach einer Schwachstelle zu suchen.

Ein Vorbehalt bleibt, und die Quelle formuliert ihn als Möglichkeit, nicht als Befund. Es ist prinzipiell weiterhin denkbar, dass diese Kurven durch eine Suche über die Zeitstempel für den Zufallszahlengenerator so ausgewählt wurden, dass sie eine bestimmte Eigenschaft aufweisen. Dies ist Spekulation und wird auch ausdrücklich so gekennzeichnet. Man sollte es weder als Beleg für irgendetwas lesen noch stillschweigend unter den Tisch fallen lassen. Ein fairer Bericht behält es als nicht ausgeschlossenen Weg im Blick und vermerkt zugleich, dass die Autoren geschwächte Kurven für unplausibel halten.

Was das Ergebnis verändert und was es offenlässt #

Beginnen wir mit dem, was es nicht verändert. Die Kurven sind nicht gebrochen. Die Quelle betont dies zweimal in unterschiedlichen Worten, und es besteht keinerlei Handlungsbedarf. Wer dies als Grund liest, P-256 auszubauen, hat den Text falsch verstanden.

Was sich verändert, ist der Status eines alten Zweifels. Solange die Seeds unerklärt waren, stand die Formulierung "von der NSA ohne Erklärung bereitgestellt" als dauerhaftes Fragezeichen über einem Standard. Dieses Fragezeichen hat nun eine konkrete Antwort. Die Seeds waren keine undurchdringlichen Hashes einer geheimen Phrase. Sie waren lrand48-Ausgaben eines über die Systemuhr initialisierten Programms, das aus einem wiederhergestellten Zustand jedes einzelne Bit jedes Seeds neu generiert. Eine Erklärung, die jeder anhand der veröffentlichten Seeds selbst nachprüfen kann, schlägt ein Gerücht, das niemand prüfen kann.

Hier liegt eine Erkenntnis für Gründer und Ingenieure, die auf kryptografischen Standards aufbauen. Behauptungen über die Herkunft von Parametern sind billig aufzustellen und teuer zu prüfen, und die hier beschriebene Prüfung dauerte keine halbe Stunde, sobald die richtige Frage gestellt war. Der Scanner, die 2^17-Suche und die Gitterreduktion sind allesamt Standardzüge. Was jahrelang fehlte, war jemand, der die unspektakuläre Arbeit auf sich nahm, sie an den veröffentlichten Zahlen auszuprobieren.

Ich würde auch der Versuchung widerstehen, die Methode zu überschätzen. Die Quelle berichtet über das Ergebnis eines Teams an einem spezifischen Satz von Seeds. Sie behauptet nicht, dass derselbe Ansatz jede unerklärte Konstante in jedem Standard knacken wird, und ich werde das auch nicht an ihrer Stelle behaupten. Was sie demonstriert, ist enger gefasst und meines Erachtens nützlicher: Wenn die Herkunft eines Parameters ein Rätsel ist, kann ein sorgfältig arbeitendes Modell mit einer plausiblen Vermutung über die Werkzeuge der jeweiligen Epoche diese Vermutung rasch testen und seinen Lösungsweg offenlegen.

Die offenen Punkte sind klar genug umrissen, um eine Forschungsagenda zu bilden. Vier Basispunkte, nämlich jene von P-224, P-256, P-384 und P-521, sind nach wie vor ungeklärt. Für die übersprungenen Kandidaten, etwa 876 gegenüber dem veröffentlichten Kandidaten 1842 bei P-256, fehlt ein bekanntes Kriterium, und niemand weiß bisher, ob das Überspringen Absicht oder ein Artefakt war. Ob diese Antworten in altem Quellcode, im Gedächtnis noch lebender Kollegen oder in derselben Art von Mustersuche schlummern, die bereits die Seeds geknackt hat, ist die offene Frage. Die Seeds dauerten eine halbe Stunde; die Basispunkte haben diesem Ansatz bereits einmal widerstanden.

Häufig gestellte Fragen #

Bricht diese Entdeckung NIST-ECDSA-Kurven wie P-256 oder P-384?

Nein. Die Erkenntnis, dass die Kurven-Seeds durch lrand48 statt durch den Hash einer Passphrase erzeugt wurden, führt zu keinem kryptografischen Bruch, keinem neuen Angriff und keiner mathematischen Schwachstelle in den ECDSA-Kurven; aufgrund dieses Befunds sind weder Korrekturmaßnahmen noch eine Migration erforderlich.

Wie wurden die Seeds der NIST-Primkurven tatsächlich erzeugt?

Jeder 160-Bit-Seed entstand durch den Aufruf des linearen Kongruenzgenerators lrand48 aus der C-Standardbibliothek (konkret lrand48() >> 23 für die fünf NIST-Primkurven und fünf ANSI-X9.62-Kurven), der über srand48 mit einem Unix-Zeitstempel initialisiert wurde. Die Wiederherstellung des internen 48-Bit-Zustands mittels Lenstra-Lenstra-Lovasz-Gitterreduktion (LLL) regeneriert sämtliche 160 Bit jedes veröffentlichten Seeds.

Was bleibt bei den Parametern der elliptischen Kurven des NIST ungeklärt?

Während die Basispunkte von P-192 und fünf ANSI-X9.62-Kurven auf den mit kleinen ganzen Zahlen initialisierten Zufallszahlengenerator in Arjen Lenstras FreeLIP-Paket zurückgeführt werden konnten, passen die Basispunkte von P-224, P-256, P-384 und P-521 nicht zu diesem Rezept; zudem sind die Kriterien für das Überspringen früherer Kandidatenkurven primer Ordnung (wie Kandidat 876 vor Kandidat 1842 bei P-256) weiterhin unbekannt.

Referenzen #

Anthropic Frontier Red Team, (2026). Claude reveals ECDSA curve origins ⧉. Anthropic.
National Institute of Standards and Technology, (2000). FIPS PUB 186-2: Digital Signature Standard (DSS) ⧉. NIST.
Victor Shoup, (2024). NTL: A Library for doing Number Theory ⧉. libntl.org.

Zuletzt überprüft 2026-11-01.

Diesen Artikel republizieren

Die rätselhaften Seeds hinter den NIST-Kurven waren nie Hashes, und Claude fand das in unter einer halben Stunde heraus — Sebastien Rousseau

Die mit den Kurven NIST P-192, P-224, P-256, P-384 und P-521 veröffentlichten Seeds waren niemals Hash-Ausgaben. Sie stammten aus dem lrand48-Generator der C-Bibliothek, initialisiert mit einem...

Dieser Artikel ist lizenziert unter Creative Commons Attribution 4.0 International. Eine Republikation erfordert Attribution zur kanonischen URL.

Die rätselhaften Seeds hinter den NIST-Kurven waren nie Hashes, und Claude fand das in unter einer halben Stunde heraus — Sebastien Rousseau

Die mit den Kurven NIST P-192, P-224, P-256, P-384 und P-521 veröffentlichten Seeds waren niemals Hash-Ausgaben. Sie stammten aus dem lrand48-Generator der C-Bibliothek, initialisiert mit einem...

Originally published at https://sebastienrousseau.com/de/2026-10-26-ratselhaften-seeds-hinter-nist-kurven-waren/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER