Οι μυστηριώδεις σπόροι πίσω από τις καμπύλες του NIST δεν ήταν ποτέ κατακερματισμοί, και το Claude το ανακάλυψε σε λιγότερο από μισή ώρα

TL;DR. Οι σπόροι που δημοσιεύθηκαν με τις καμπύλες NIST P-192, P-224, P-256, P-384 και P-521 δεν ήταν ποτέ αποτελέσματα κατακερματισμού. Προήλθαν από τη γεννήτρια lrand48 της βιβλιοθήκης C.

Βασικά συμπεράσματα

Ένας συντελεστής που έμοιαζε παράγωγος και ένας σπόρος που κανείς δεν μπορούσε να εξηγήσει. Ο αλγόριθμος ECDSA υιοθετήθηκε από το NIST το 2000 ως μέρος του Προτύπου Ψηφιακής Υπογραφής FIPS 186-2.
Τριάντα λεπτά, καμία υπόδειξη, και ένα αποτέλεσμα που δεν ήταν κατακερματισμός. Τον Οκτώβριο του 2026, ένας περίεργος υπάλληλος της Anthropic ρώτησε ένα εσωτερικό ερευνητικό μοντέλο αν θα μπορούσε να καταλάβει πώς δημιουργήθηκαν αυτοί οι σπόροι, χωρίς να δείξει προς το στοιχείο.
Πώς ένας σαρωτής βρήκε το αποτύπωμα μιας γεννήτριας της δεκαετίας του 1990. Η μέθοδος αξίζει προσοχής, επειδή είναι το μέρος που μπορούν να επαναχρησιμοποιήσουν άλλοι άνθρωποι.
Εκτέλεση της γεννήτριας προς τα πίσω για την ανάγνωση του ρολογιού. Η ανάκτηση μιας κατάστασης σας λέει πώς παρήχθη ο σπόρος.

Ένα ερώτημα που έμεινε ανοιχτό αφότου το μόνο άτομο που θα μπορούσε να το απαντήσει πέθανε το 2023 είχε μια πεζή απάντηση: μια γεννήτρια τυχαίων αριθμών της δεκαετίας του 1990 που αρχικοποιήθηκε από το ρολόι. Οι συγγραφείς λένε ότι αυτή η απάντηση τους κάνει πιο σίγουρους ότι οι καμπύλες επιλέχθηκαν έντιμα, όχι λιγότερο.

Επιτελική Σύνοψη

Ο αλγόριθμος ECDSA υιοθετήθηκε από το NIST το 2000 ως μέρος του Προτύπου Ψηφιακής Υπογραφής FIPS 186-2. Οι προδιαγραφές δημοσίευσαν παραμέτρους "σπόρου" (seed) των οποίων η τιμή κατακερματισμού προοριζόταν να ορίσει τον συντελεστή b της καμπύλης. Η NSA παρείχε τους σπόρους χωρίς καμία εξήγηση ή αιτιολόγηση.

Τον Οκτώβριο του 2026, ένας υπάλληλος της Anthropic ζήτησε από ένα εσωτερικό ερευνητικό μοντέλο να βρει πώς δημιουργήθηκαν οι σπόροι, χωρίς να του υποδείξει το στοιχείο. Σε λιγότερο από μισή ώρα, το Claude διαπίστωσε ότι κανένας από τους σπόρους δεν ήταν έξοδος κατακερματισμού. Ήταν η έξοδος της lrand48, μιας κοινής γεννήτριας ψευδοτυχαίων αριθμών που αρχικοποιήθηκε από το ρολόι.

Το εύρημα δεν αποτελεί κρυπτογραφική παραβίαση, νέα επίθεση ή αδυναμία στις καμπύλες ECDSA. Οι συγγραφείς λένε ότι τους κάνει πιο σίγουρους ότι οι καμπύλες επιλέχθηκαν χωρίς κερκόπορτες ή σκόπιμες αδυναμίες.

Το Claude εξήγησε επίσης τα σημεία βάσης έξι καμπυλών από τον Μάιο του 1997 ως προερχόμενα από τη γεννήτρια τυχαίων αριθμών στο FreeLIP, το πακέτο αριθμητικής μεγάλων ακεραίων του Arjen Lenstra. Από όσο γνωρίζουν οι συγγραφείς, κανένα σημείο βάσης του NIST δεν είχε εξηγηθεί προηγουμένως.

Ανοιχτά ερωτήματα παραμένουν: πώς επιλέχθηκαν τα σημεία βάσης των P-224, P-256, P-384 και P-521, και ποια κριτήρια, αν υπήρχαν, βρίσκονταν πίσω από τις υποψήφιες καμπύλες που παρακάμφθηκαν.

Ένας συντελεστής που έμοιαζε παράγωγος και ένας σπόρος που κανείς δεν μπορούσε να εξηγήσει #

Ο αλγόριθμος ECDSA υιοθετήθηκε από το NIST το 2000 ως μέρος του Προτύπου Ψηφιακής Υπογραφής FIPS 186-2. Οι προδιαγραφές για τις καμπύλες του έφεραν μια παράμετρο "σπόρου" της οποίας η τιμή κατακερματισμού χρησιμοποιείται για τον ορισμό του συντελεστή b της καμπύλης. Στα χαρτιά, αυτός είναι ένας καθησυχαστικός σχεδιασμός. Αν ο συντελεστής προκύπτει από έναν κατακερματισμό ενός δημοσιευμένου σπόρου, σύμφωνα με το επιχείρημα, κανείς δεν θα μπορούσε να έχει ρυθμίσει την καμπύλη με το χέρι.

Αυτό το επιχείρημα είναι τόσο καλό όσο και ο ίδιος ο σπόρος. Οι σπόροι παρασχέθηκαν από την NSA χωρίς καμία εξήγηση ή αιτιολόγηση, και αυτό το κενό είναι ολόκληρο το πρόβλημα. Ένας κατακερματισμός είναι μια πόρτα μονής κατεύθυνσης: αποδεικνύει ότι ο συντελεστής προέκυψε από τον σπόρο, και δεν λέει τίποτα για το από πού προήλθε ο σπόρος. Για χρόνια οι σπόροι κάθονταν στο πρότυπο ως ανεξήγητες σταθερές.

Υπήρχε μια ιστορία για να γεμίσει το κενό. Η πιο γνωστή εκδοχή ήθελε τον Jerry Solinas, έναν επί χρόνια υπάλληλο της NSA, να δημιουργεί τους σπόρους από τον κατακερματισμό μιας χιουμοριστικής φράσης πρόσβασης. Η πηγή αναφέρει αργότερα ότι αυτό αποδείχθηκε λάθος. Ιστορίες σαν κι αυτή τείνουν να γίνονται πιστευτές επειδή είναι συγκεκριμένες και λίγο γοητευτικές, και επειδή κανείς δεν μπορεί να τις διαψεύσει. Ως αποδεικτικά στοιχεία όμως υστερούν. Η πρακτική συνέπεια ήταν ότι κανείς δεν μπορούσε να ελέγξει τον ισχυρισμό, και οι αναζητήσεις για τη φράση, χτισμένες πάνω στις φήμες, είχαν αποβεί άκαρπες.

Το προφανές πρόσωπο για να ρωτήσει κανείς ήταν ο Solinas. Ο Jerry πέθανε το 2023, και άλλοι συνάδελφοι της εποχής δεν ανταποκρίθηκαν. Αυτό άφησε ανοιχτό το ερώτημα του πώς προέκυψαν αρχικά αυτοί οι σπόροι.

Θα υποστήριζα ότι αυτός είναι ο σωστός τρόπος να δούμε την κατάσταση: ένα ζήτημα προέλευσης που εξαρτάται από τις αναμνήσεις λίγων ανθρώπων είναι μια εύθραυστη διευθέτηση για ένα πρότυπο που στηρίζει ψηφιακές υπογραφές. Το ενδιαφέρον με αυτό που συνέβη στη συνέχεια είναι ότι δεν χρειάστηκε αυτές τις αναμνήσεις. Η απάντηση βρισκόταν μέσα στους δημοσιευμένους σπόρους, περιμένοντας κάποιον να δοκιμάσει τη σωστή υπόθεση.

Τριάντα λεπτά, καμία υπόδειξη, και ένα αποτέλεσμα που δεν ήταν κατακερματισμός #

Τον Οκτώβριο του 2026, ένας περίεργος υπάλληλος της Anthropic ρώτησε ένα εσωτερικό ερευνητικό μοντέλο αν θα μπορούσε να καταλάβει πώς δημιουργήθηκαν αυτοί οι σπόροι, χωρίς να δείξει προς το στοιχείο. Η διατύπωση έχει σημασία. Στο μοντέλο δεν ειπώθηκε τι να ψάξει, και δεν του δόθηκε η απάντηση για να την επιβεβαιώσει.

Σε λιγότερο από μισή ώρα, το Claude ανακάλυψε την προέλευση των σπόρων NIST P-192, P-224, P-256, P-384 και P-521. Το αποτέλεσμα είναι ωμό: κανένας από τους σπόρους δεν ήταν αποτέλεσμα οποιουδήποτε αλγορίθμου κατακερματισμού. Ήταν η έξοδος της γεννήτριας τυχαίων αριθμών lrand48 της βιβλιοθήκης C.

Έτσι η ιστορία με τη φράση πρόσβασης δεν επρόκειτο ποτέ να βρεθεί, επειδή δεν υπήρχε καμία φράση πρόσβασης για να βρεθεί. Οι σπόροι δημιουργήθηκαν από μια κοινή γεννήτρια ψευδοτυχαίων αριθμών που αρχικοποιήθηκε από το ρολόι. Είναι μια καθόλου λαμπερή εξήγηση, και ακριβώς εκεί βρίσκεται η γοητεία της: δεν χρειάζεται κανένα μυστικό, καμία ειδική γνώση και καμία ανεξήγητη σταθερά.

Ο μηχανισμός είναι απλός στην περιγραφή. Κάθε επανάληψη του αλγορίθμου τραβάει 20 byte από τη γεννήτρια ως υποψήφιο σπόρο. Ο αριθμός των επαναλήψεων είναι η ενδιαφέρουσα λεπτομέρεια, επειδή δείχνει ότι η διαδικασία ήταν μια αναζήτηση και όχι μία μεμονωμένη κλήρωση. Η P-256, για παράδειγμα, απαίτησε 1842 επαναλήψεις για να εξαγάγει τον τυποποιημένο σπόρο. Όποιος έτρεξε αυτό το πρόγραμμα το άφησε να εξετάζει υποψηφίους μέχρι που ένας παρήγαγε μια καμπύλη που πληρούσε τις απαιτήσεις του.

Οι συγγραφείς είναι προσεκτικοί σχετικά με το τι σημαίνει και τι δεν σημαίνει αυτό, και η πλαισίωσή τους αξίζει να επαναληφθεί. Αυτό δεν είναι κρυπτογραφική παραβίαση, νέα επίθεση ή αδυναμία στις καμπύλες ECDSA. Δεν υπάρχει καμία ενέργεια που πρέπει να γίνει. Πηγαίνουν ένα βήμα παραπέρα και λένε ότι τους κάνει πιο σίγουρους ότι οι καμπύλες επιλέχθηκαν χωρίς κερκόπορτες ή σκόπιμες αδυναμίες. Αυτό είναι ένα συμπέρασμα διατυπωμένο με επιφύλαξη, και έτσι πρέπει να παραμείνει. Η πηγή το πλαισιώνει ως την πεποίθηση των συγγραφέων, που είναι διαφορετικό πράγμα από μια απόδειξη της αθωότητας των καμπυλών. Αυτό που δίνει το εύρημα είναι μια πεζή, ελέγξιμη εξήγηση στη θέση μιας μη επαληθεύσιμης ιστορίας.

Πώς ένας σαρωτής βρήκε το αποτύπωμα μιας γεννήτριας της δεκαετίας του 1990 #

Η μέθοδος αξίζει προσοχής, επειδή είναι το μέρος που μπορούν να επαναχρησιμοποιήσουν άλλοι άνθρωποι.

Το Claude μάντεψε ότι το λογισμικό που δημιούργησε τις καμπύλες χρησιμοποιούσε μια γεννήτρια ψευδοτυχαίων αριθμών (PRNG) που συνοδευόταν από τις βιβλιοθήκες C της δεκαετίας του 1990. Η πηγή το αντιμετωπίζει αυτό ως εικασία, και ήταν μια καλή εικασία. Περιόρισε μια απεριόριστη αναζήτηση σε μια σύντομη λίστα υποψηφίων από μία εποχή.

Στη συνέχεια το Claude έγραψε έναν σαρωτή. Ολίσθαινε κατά μήκος κάθε δημοσιευμένου σπόρου ένα bit τη φορά και δοκίμαζε αν τα γειτονικά τμήματα ήταν διαδοχικές έξοδοι μιας γεννήτριας της δεκαετίας του 1990. Η σάρωση κάλυψε 34 συνδυασμούς γεννητριών και τμημάτων εξόδου. Η επιτυχία ήρθε ως ένα μοτίβο στα ανώτερα bit, ένα μοτίβο που θα συνέβαινε τυχαία με πιθανότητα 1/5810.

Αυτό το μοτίβο ήταν η υπογραφή της γραμμικής ισοϋπόλοιπης γεννήτριας (linear congruential generator) lrand48, η οποία επιστρέφει μόνο τα ανώτερα 31 bit μιας κατάστασης 48 bit. Εδώ ο σχεδιασμός της γεννήτριας προδίδεται. Επειδή η lrand48 κρύβει 17 bit της κατάστασης των 48 bit σε κάθε κλήση, η έξοδος έχει μια κανονικότητα που μια τυχαία συμβολοσειρά δεν θα έδειχνε, και ένας σαρωτής φτιαγμένος να ψάχνει αυτή την κανονικότητα μπορεί να τη βρει.

Για να ανακτήσει την κατάσταση, το Claude πήρε την πρώτη λέξη και δοκίμασε όλες τις 2^17 τιμές των 17 κρυφών bit. Αυτή είναι μια μικρή αναζήτηση, και είναι φθηνή επειδή η γεννήτρια είναι πολύ απλή. Κάθε υποψήφια κατάσταση μπορούσε να ελεγχθεί έναντι του επόμενου τμήματος του σπόρου, και η σωστή έκανε ολόκληρη την ακολουθία να ευθυγραμμιστεί.

Οι σπόροι των καμπυλών πρώτου σώματος (prime-curve seeds) ήταν δυσκολότεροι, αν και μόνο ελαφρώς. Προήλθαν από την ίδια γεννήτρια lrand48 αλλά κράτησαν λιγότερα bit από κάθε έξοδο. Λιγότερα ορατά bit σημαίνει λιγότερα στοιχεία για να αγκιστρωθεί μια εικασία, οπότε το τέχνασμα της ωμής βίας δεν εφαρμόζεται πλέον τόσο καθαρά. Η απάντηση της πηγής είναι ότι η ανάκτηση της κατάστασης μιας αποκομμένης γραμμικής ισοϋπόλοιπης γεννήτριας είναι ένα κλασικό πρόβλημα πλέγματος (lattice problem), που επιλύεται με τον αλγόριθμο αναγωγής βάσης Lenstra-Lenstra-Lovasz (LLL). Ένα μοντέλο μπορούσε να το αναγνωρίσει αυτό και να του εφαρμόσει ένα τυπικό εργαλείο, χωρίς τίποτα εξωτικό.

Οι πέντε σπόροι καμπυλών πρώτου σώματος του NIST, συν πέντε ακόμη από το πρότυπο ANSI X9.62, είχαν όλοι το ίδιο μοτίβο: lrand48() >> 23. Δέκα σπόροι που μοιράζονται έναν κανόνα εξαγωγής αποτελούν ισχυρή ένδειξη μιας ενιαίας διαδικασίας πίσω τους.

Έπειτα έρχεται ο έλεγχος που ξεχωρίζει μια τυχερή προσαρμογή από μια πραγματική. Κάθε ανακτημένη κατάσταση 48 bit αναπαράγει και τα 160 bit του σπόρου της, κάτι που δεν συμβαίνει τυχαία. Ένα μερικό ταίριασμα θα μπορούσε να είναι σύμπτωση. Μια πλήρης αναγέννηση κάθε bit είναι κάτι πολύ πιο δύσκολο να απορριφθεί ως τυχαίο, και είναι ο λόγος που το αποτέλεσμα μπορεί να διατυπωθεί ξεκάθαρα.

Εκτέλεση της γεννήτριας προς τα πίσω για την ανάγνωση του ρολογιού #

Η ανάκτηση μιας κατάστασης σας λέει πώς παρήχθη ο σπόρος. Δεν σας λέει ακόμα πότε. Για αυτό, το Claude χρησιμοποίησε μια ιδιότητα της γεννήτριας: τρέχει προς τα πίσω εξίσου εύκολα όσο και προς τα εμπρός. Για κάθε σπόρο, το Claude γύρισε την κατάσταση πίσω βήμα προς βήμα μέχρι να φτάσει στη μορφή που θα παρήγαγε η αρχικοποίηση srand48, με τα κατώτερα 16 bit ίσα με 0x330E.

Αυτή η μορφή είναι ένα αποτύπωμα από μόνη της. Αν μια ανακτημένη κατάσταση μπορεί να γυρίσει πίσω σε κάτι με τα κατώτερα 16 bit στο 0x330E, η γεννήτρια ξεκίνησε με τον τυπικό τρόπο, από μια τιμή σπόρου που περάστηκε στην srand48. Και η τιμή του σπόρου, σε αυτή την περίπτωση, ήταν ένας χρόνος. Οι σπόροι δημιουργήθηκαν χρησιμοποιώντας την ασθενή PRNG αρχικοποιημένη με χρονοσφραγίδα Unix.

Η εσωτερική σκέψη του Claude εκείνη τη στιγμή κατέγραψε τη στιγμή της αναγνώρισης: όλα τα ανώτερα bit ήταν μηδενικά, 20 bit, με πιθανότητα 1e-6. Είναι μια μικρή λεπτομέρεια, αλλά δείχνει τον συλλογισμό να δουλεύει πάνω στους αριθμούς καθώς εμφανίζονταν, όχι πάνω σε μια ιστορία που συναρμολογήθηκε εκ των υστέρων.

Οι ημερομηνίες δεν ήταν όλες καθαρές. Οι τέσσερις αρχικοποιήσεις δυαδικών καμπυλών (binary-curve) διαβάζονταν ως Φεβρουάριος 1984, που δεν είναι μια ημερομηνία που θα περίμενε κανείς για μια γεννήτρια σε χρήση στα τέλη της δεκαετίας του 1990. Με τις χρονοσφραγίδες διπλασιασμένες, οι αρχικοποιήσεις των δυαδικών καμπυλών αντιστοιχίζονται στις 17 Απριλίου 1998, δύο εβδομάδες μετά την εκτέλεση της P-224. Η πηγή συμπεραίνει ότι το πρόγραμμα μπορεί να είχε διαιρέσει το ρολόι διά δύο. Αυτό είναι διατυπωμένο με επιφύλαξη, και έτσι πρέπει να είναι: είναι μια προτεινόμενη εξήγηση για το γιατί οι ακατέργαστες τιμές διαβάζονται ως 1984, και ένας διπλασιασμός που προσγειώνεται δύο εβδομάδες μετά από μια άλλη εκτέλεση είναι ενδεικτικός χωρίς να αποτελεί επιβεβαίωση του εσωτερικού κώδικα του προγράμματος.

Βρίσκω αυτό το πιο πειστικό μέρος ολόκληρης της αφήγησης, για έναν λόγο ανεξάρτητο από την κρυπτογραφία. Μια κατασκευασμένη ιστορία θα είχε παραγάγει τακτοποιημένες ημερομηνίες. Αυτή εδώ παρήγαγε μια αμήχανη ημερομηνία, και έπειτα μια διόρθωση που έβαλε τις δυαδικές καμπύλες σε μια συνεκτική ακολουθία με την εκτέλεση της P-224. Ακατάστατα δεδομένα που επιλύονται κάτω από μια απλή υπόθεση: έτσι μοιάζει η πραγματική προέλευση.

Τα σημεία βάσης έχουν κι αυτά μια συνταγή #

Οι σπόροι ορίζουν τις καμπύλες. Τα σημεία βάσης είναι ένα ξεχωριστό ζήτημα, και η πηγή τα αντιμετωπίζει ξεχωριστά.

Τα σημεία βάσης έξι καμπυλών που δημιουργήθηκαν τον Μάιο του 1997 (η P-192 και οι πέντε υποδειγματικές καμπύλες ANSI X9.62 prime192v2, prime192v3 και prime239v1 έως v3) προέρχονται από τη γεννήτρια τυχαίων αριθμών στο FreeLIP, το πακέτο αριθμητικής μεγάλων ακεραίων του Arjen Lenstra. Οι πρώιμες εκδόσεις της βιβλιοθήκης NTL του Victor Shoup περιείχαν τον ίδιο κώδικα. Αυτό το δεύτερο γεγονός έχει σημασία για τον έλεγχο: η γεννήτρια υπάρχει ως δημοσιευμένος κώδικας που μπορούν να διαβάσουν άλλοι, όχι ως ιδιωτικό εργαλείο.

Η συνταγή είναι σύντομη. Αρχικοποιήστε τη γεννήτρια με έναν μικρό ακέραιο. Πετάξτε επτά εξόδους. Δημιουργήστε υποψήφιες συντεταγμένες x από εξόδους 26 bit ανηγμένες mod p. Επαναλάβετε αυτή τη δημιουργία υποψηφίων μέχρι το x να βρίσκεται πάνω στην καμπύλη.

Το Claude βρήκε τους σπόρους της γεννήτριας: 20000 για την P-192, 20420, 20507 και 20509 για τις prime239v1 έως v3, και 20512 και 20517 για τις prime192v2 και v3. Αυτοί είναι μικροί ακέραιοι του είδους που πληκτρολογεί ένας άνθρωπος σε ένα πρόγραμμα, που είναι ακριβώς αυτό που ζητά το πρώτο βήμα της συνταγής.

Οι συγγραφείς κάνουν εδώ έναν ισχυρισμό που είναι μετριοπαθής και αξίζει να παρατεθεί ως προς το πνεύμα του: από όσο γνωρίζουν, κανένα σημείο βάσης του NIST δεν έχει εξηγηθεί προηγουμένως. Η επιφύλαξη είναι δική τους, και είναι εύστοχη. Δεν ισχυρίζονται ότι εξέτασαν κάθε έγγραφο που γράφτηκε ποτέ, παρά μόνο το όριο της γνώσης τους.

Έπειτα η συνταγή σταματά να λειτουργεί. Τα σημεία βάσης των P-224, P-256, P-384 και P-521 δεν ταιριάζουν σε αυτή τη συνταγή, και οι συγγραφείς δεν μπόρεσαν να εξηγήσουν πώς επιλέχθηκαν. Ένα κείμενο που θα το προσπερνούσε αυτό θα έδειχνε πιο τακτοποιημένο, αλλά οι συγγραφείς το άφησαν μέσα. Η εξήγηση καλύπτει έξι καμπύλες από τον Μάιο του 1997 και αφήνει τέσσερα από τα σημεία βάσης των καμπυλών πρώτου σώματος του NIST ανεξήγητα.

Υποψήφιοι που προσπεράστηκαν #

Το τελευταίο εύρημα είναι εκείνο που είναι πιο πιθανό να ξεκινήσει διαφωνίες, οπότε αξίζει να διαβαστεί με ακρίβεια.

Για την P-256, ο δημοσιευμένος σπόρος είναι ο υποψήφιος 1842. Αλλά ο υποψήφιος 876 της ίδιας εκτέλεσης δίνει επίσης μια καμπύλη πρώτης τάξης του σωστού μεγέθους, με παραμέτρους επιλεγμένες με τον ίδιο τρόπο όπως στη δημοσιευμένη καμπύλη. Με άλλα λόγια, η διαδικασία προσπέρασε μια καμπύλη που, εκ πρώτης όψεως, θα ήταν αποδεκτή.

Δεν είναι μεμονωμένο περιστατικό. Η εκτέλεση της P-224 προσπέρασε τρεις τέτοιες καμπύλες, και οι δύο εκτελέσεις πίσω από τις υποδειγματικές καμπύλες ANSI X9.62 προσπέρασαν επτά ακόμη.

Οι συγγραφείς είναι ευθείς σχετικά με το τι δεν γνωρίζουν. Δεν γνωρίζουν ποια κριτήρια μπορεί να χρησιμοποιήθηκαν για την παράκαμψη καμπυλών, ή αν ήταν ένα ακούσιο τεχνούργημα (artifact). Αυτό είναι ένας περιορισμός, διατυπωμένος ως τέτοιος, και η επιφύλαξη στο "ακούσιο τεχνούργημα" είναι η έντιμη θέση: τα δεδομένα δείχνουν ότι παρακάμφθηκαν υποψήφιοι και δεν δείχνουν γιατί.

Στη συνέχεια προσφέρουν μια κρίση. Επειδή ο αριθμός των υποψηφίων που παρακάμφθηκαν είναι μικρός, δεν πιστεύουν ότι είναι εύλογο να επιλέχθηκαν αποδυναμωμένες καμπύλες. Αυτός είναι ένας επιφυλακτικός συλλογισμός περί αληθοφάνειας, και βασίζεται στην καταμέτρηση. Αν μια διαδικασία παρακάμπτει μόνο μια χούφτα υποψηφίων συνολικά, υπάρχει ελάχιστος χώρος στον οποίο μπορεί να αναζητηθεί μια αδυναμία.

Μία επιφύλαξη παραμένει, και η πηγή τη δηλώνει ως πιθανότητα και όχι ως εύρημα. Είναι ακόμα νοητό ότι αυτές οι καμπύλες επιλέχθηκαν ώστε να έχουν μια συγκεκριμένη ιδιότητα επί της αρχής, μέσω αναζήτησης πάνω στις χρονοσφραγίδες που τροφοδοτούνταν στη γεννήτρια τυχαίων αριθμών. Αυτό είναι εικασία, επισημασμένη ως τέτοια. Δεν πρέπει να διαβαστεί ως απόδειξη οτιδήποτε, αλλά δεν πρέπει ούτε να αποσιωπηθεί. Μια δίκαιη παρουσίαση το κρατά στο τραπέζι ως μια μη αποκλεισμένη διαδρομή, σημειώνοντας παράλληλα ότι οι συγγραφείς θεωρούν τις αποδυναμωμένες καμπύλες μη αληθοφανείς.

Τι αλλάζει το αποτέλεσμα, και τι αφήνει ανοιχτό #

Ας ξεκινήσουμε με αυτό που δεν αλλάζει. Οι καμπύλες δεν έχουν σπάσει. Η πηγή το λέει δύο φορές, με διαφορετικά λόγια, και δεν υπάρχει καμία ενέργεια που πρέπει να γίνει. Όποιος το διαβάζει αυτό ως λόγο για να ξηλώσει την P-256 το έχει παρερμηνεύσει.

Αυτό που αλλάζει είναι το καθεστώς μιας παλιάς αμφιβολίας. Για όσο διάστημα οι σπόροι ήταν ανεξήγητοι, το "παρασχέθηκαν από την NSA χωρίς εξήγηση" ήταν ένα μόνιμο ερωτηματικό πάνω από ένα πρότυπο. Αυτό το ερωτηματικό έχει τώρα μια συγκεκριμένη απάντηση. Οι σπόροι δεν ήταν ανεξιχνίαστοι κατακερματισμοί μιας μυστικής φράσης. Ήταν έξοδος της lrand48 από ένα πρόγραμμα αρχικοποιημένο από το ρολόι, που αναγεννά κάθε bit κάθε σπόρου από μια ανακτημένη κατάσταση. Μια εξήγηση που μπορεί να δοκιμάσει οποιοσδήποτε διαθέτει τους δημοσιευμένους σπόρους κερδίζει μια φήμη που δεν μπορεί να δοκιμάσει κανείς.

Υπάρχει ένα σημείο εδώ για τους ιδρυτές και τους μηχανικούς που χτίζουν πάνω σε κρυπτογραφικά πρότυπα. Οι ισχυρισμοί προέλευσης είναι φθηνοί στη διατύπωση και ακριβοί στον έλεγχο, και ο έλεγχος που περιγράφεται εδώ πήρε λιγότερο από μισή ώρα μόλις τέθηκε το σωστό ερώτημα. Ο σαρωτής, η αναζήτηση 2^17 και η αναγωγή πλέγματος είναι όλα τυπικές κινήσεις. Αυτό που έλειπε για χρόνια ήταν κάποιος να κάνει την καθόλου λαμπερή δουλειά να τα δοκιμάσει πάνω στους δημοσιευμένους αριθμούς.

Θα αντιστεκόμουν επίσης στον πειρασμό να υπερπροβάλω τη μέθοδο. Η πηγή αναφέρει το αποτέλεσμα μιας ομάδας σε ένα συγκεκριμένο σύνολο σπόρων. Δεν ισχυρίζεται ότι η ίδια προσέγγιση θα ξεκλειδώσει κάθε ανεξήγητη σταθερά σε κάθε πρότυπο, και δεν θα το ισχυριστώ εγώ για λογαριασμό τους. Αυτό που επιδεικνύει είναι πιο στενό και, κατά τη γνώμη μου, πιο χρήσιμο: όταν η προέλευση μιας παραμέτρου είναι μυστήριο, ένα προσεκτικό μοντέλο με μια εύλογη εικασία για τα εργαλεία της εποχής μπορεί να δοκιμάσει την εικασία γρήγορα και να δείξει τη δουλειά του.

Οι εκκρεμότητες είναι αρκετά σαφείς ώστε να αποτελέσουν ερευνητική ατζέντα. Τέσσερα σημεία βάσης, εκείνα των P-224, P-256, P-384 και P-521, εξακολουθούν να στερούνται εξήγησης. Οι υποψήφιοι που παρακάμφθηκαν, όπως ο 876 έναντι του δημοσιευμένου 1842 για την P-256, στερούνται δηλωμένου κριτηρίου, και κανείς δεν γνωρίζει ακόμη αν η παράκαμψη ήταν σκόπιμη ή τεχνούργημα. Το αν αυτές οι απαντήσεις επιβιώνουν σε παλιό πηγαίο κώδικα, στις αναμνήσεις επιζώντων συναδέλφων ή στο ίδιο είδος κυνηγιού μοτίβων που ξεκλείδωσε τους σπόρους είναι το ανοιχτό ερώτημα. Οι σπόροι πήραν μισή ώρα· τα σημεία βάσης έχουν ήδη αντισταθεί σε αυτή την προσέγγιση μία φορά.

Συχνές Ερωτήσεις #

Μήπως αυτή η ανακάλυψη σπάει τις καμπύλες NIST ECDSA όπως οι P-256 ή P-384;

Όχι. Η ανακάλυψη ότι οι σπόροι των καμπυλών δημιουργήθηκαν από την lrand48 αντί για τον κατακερματισμό μιας φράσης πρόσβασης δεν εισάγει καμία κρυπτογραφική παραβίαση, νέα επίθεση ή μαθηματική αδυναμία στις καμπύλες ECDSA, και δεν απαιτείται καμία ενέργεια αποκατάστασης ή μετάβασης εξαιτίας αυτού του ευρήματος.

Πώς δημιουργήθηκαν πραγματικά οι σπόροι των καμπυλών πρώτου σώματος του NIST;

Κάθε σπόρος 160 bit παρήχθη με κλήση της γραμμικής ισοϋπόλοιπης γεννήτριας lrand48 της τυπικής βιβλιοθήκης C (συγκεκριμένα lrand48() >> 23 για τις πέντε καμπύλες πρώτου σώματος του NIST και τις πέντε καμπύλες ANSI X9.62), αρχικοποιημένης μέσω της srand48 με μια χρονοσφραγίδα Unix. Η ανάκτηση της εσωτερικής κατάστασης 48 bit μέσω της αναγωγής πλέγματος Lenstra-Lenstra-Lovasz (LLL) αναπαράγει και τα 160 bit κάθε δημοσιευμένου σπόρου.

Τι παραμένει ανεξήγητο σχετικά με τις παραμέτρους των ελλειπτικών καμπυλών του NIST;

Ενώ τα σημεία βάσης της P-192 και πέντε καμπυλών ANSI X9.62 εντοπίστηκαν στη γεννήτρια τυχαίων αριθμών στο πακέτο FreeLIP του Arjen Lenstra αρχικοποιημένη με μικρούς ακεραίους, τα σημεία βάσης των P-224, P-256, P-384 και P-521 δεν ταιριάζουν σε αυτή τη συνταγή, και τα κριτήρια για την παράκαμψη προγενέστερων υποψήφιων καμπυλών πρώτης τάξης (όπως ο υποψήφιος 876 πριν από τον υποψήφιο 1842 στην P-256) παραμένουν άγνωστα.

Βιβλιογραφία #

Anthropic Frontier Red Team, (2026). Claude reveals ECDSA curve origins ⧉. Anthropic.
National Institute of Standards and Technology, (2000). FIPS PUB 186-2: Digital Signature Standard (DSS) ⧉. NIST.
Victor Shoup, (2024). NTL: A Library for doing Number Theory ⧉. libntl.org.

Τελευταία αναθεώρηση 2026-11-01.

Αναδημοσίευση αυτού του άρθρου

Οι μυστηριώδεις σπόροι πίσω από τις καμπύλες του NIST δεν ήταν ποτέ κατακερματισμοί, και το Claude το ανακάλυψε σε λιγότερο από μισή ώρα — Sebastien Rousseau

Οι σπόροι που δημοσιεύθηκαν με τις καμπύλες NIST P-192, P-224, P-256, P-384 και P-521 δεν ήταν ποτέ αποτελέσματα κατακερματισμού. Προήλθαν από τη γεννήτρια lrand48 της βιβλιοθήκης C.

Αυτό το άρθρο διατίθεται με άδεια Creative Commons Attribution 4.0 International. Η αναδημοσίευση απαιτεί αναφορά στην κανονική διεύθυνση URL.

Οι μυστηριώδεις σπόροι πίσω από τις καμπύλες του NIST δεν ήταν ποτέ κατακερματισμοί, και το Claude το ανακάλυψε σε λιγότερο από μισή ώρα — Sebastien Rousseau

Οι σπόροι που δημοσιεύθηκαν με τις καμπύλες NIST P-192, P-224, P-256, P-384 και P-521 δεν ήταν ποτέ αποτελέσματα κατακερματισμού. Προήλθαν από τη γεννήτρια lrand48 της βιβλιοθήκης C.

Originally published at https://sebastienrousseau.com/el/2026-10-26-mystiriodeis-sporoi-piso-kabyles-nist-den/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER