Ang Mga Misteryosong Seed sa Likod ng Mga Curve ng NIST ay Hindi Kailanman Naging Hash, at Natuklasan Ito ni Claude sa Loob ng Wala Pang Kalahating Oras

TL;DR. Ang mga seed na inilathala kasama ng mga curve na NIST P-192, P-224, P-256, P-384 at P-521 ay hindi kailanman naging mga hash output. Nagmula ang mga ito sa lrand48 generator ng C library, na binigyan ng seed gamit ang Unix timestamp. Nalaman ito ni Claude...

Mga Pangunahing Punto

Isang coefficient na mukhang hinango at isang seed na walang makapagpaliwanag. Pinagtibay ng NIST ang ECDSA noong 2000 bilang bahagi ng FIPS 186-2 Digital Signature Standard.
Tatlumpung minuto, walang pahiwatig, at isang resulta na hindi isang hash. Noong Oktubre 2026, tinanong ng isang mausisang empleyado ng Anthropic ang isang panloob na modelo ng pananaliksik kung kaya nitong alamin kung paano nabuo ang mga seed na iyon, nang hindi itinuturo ang pahiwatig.
Paano nahanap ng isang scanner ang fingerprint ng isang generator noong dekada 1990. Karapat-dapat bigyan ng pansin ang pamamaraan, dahil ito ang bahaging magagamit muli ng ibang tao.
Pagpapatakbo ng generator nang paatras upang basahin ang orasan. Ang pagbawi sa isang estado ay nagsasabi sa iyo kung paano nabuo ang seed.

Ang isang tanong na nanatiling bukas matapos pumanaw noong 2023 ang nag-iisang taong maaaring nakasagot nito ay may pangkaraniwang sagot: isang random number generator noong dekada 1990 na sinimulan mula sa orasan. Sinasabi ng mga may-akda na ang sagot na iyon ay nagbibigay sa kanila ng higit na kumpiyansa na tapat na pinili ang mga curve, hindi mas kaunti.

Buod na Ehekutibo

Pinagtibay ng NIST ang ECDSA noong 2000 bilang bahagi ng FIPS 186-2 Digital Signature Standard. Naglathala ang mga detalye ng mga parametrong "seed" na ang hash value ay nakalaang tukuyin ang curve coefficient b. Ibinigay ng NSA ang mga seed nang walang paliwanag o katwiran.

Noong Oktubre 2026, tinanong ng isang empleyado ng Anthropic ang isang panloob na modelo ng pananaliksik upang alamin kung paano nabuo ang mga seed, nang hindi itinuturo ang pahiwatig. Sa loob ng wala pang kalahating oras, natuklasan ni Claude na wala ni isa sa mga seed ang naging hash output. Ang mga ito ay output ng lrand48, isang karaniwang pseudorandom number generator na sinimulan mula sa orasan.

Ang natuklasan ay hindi isang cryptographic break, bagong pag-atake, o kahinaan sa mga ECDSA curve. Sinasabi ng mga may-akda na nagbibigay ito sa kanila ng higit na kumpiyansa na pinili ang mga curve nang walang mga backdoor o sinadyang kahinaan.

Ipinaliwanag din ni Claude ang mga base point ng anim na curve mula Mayo 1997 bilang nagmula sa random number generator sa FreeLIP, ang long-integer arithmetic package ni Arjen Lenstra. Sa abot ng kaalaman ng mga may-akda, wala pang NIST base point ang naipaliwanag dati.

Nananatili ang mga bukas na tanong: kung paano pinili ang mga base point ng P-224, P-256, P-384 at P-521, at kung anong mga pamantayan, kung mayroon man, ang nasa likod ng mga nilaktawang kandidatong curve.

Isang coefficient na mukhang hinango at isang seed na walang makapagpaliwanag #

Pinagtibay ng NIST ang ECDSA noong 2000 bilang bahagi ng FIPS 186-2 Digital Signature Standard. Ang mga detalye para sa mga curve nito ay may dalang parametrong "seed" na ang hash value ay ginagamit upang tukuyin ang coefficient b ng curve. Sa papel, iyon ay isang nakapagpapapanatag na disenyo. Kung ang coefficient ay nagmula sa isang hash ng isang inilathalang seed, ayon sa argumento, walang sinuman ang maaaring nag-tune ng curve nang mano-mano.

Ang argumentong iyon ay kasinghusay lamang ng seed. Ang mga seed ay ibinigay ng NSA nang walang paliwanag o katwiran, at ang agwat na iyon ang buong problema. Ang isang hash ay isang one-way na pinto: pinatutunayan nito na ang coefficient ay sumunod mula sa seed, at walang sinasabi tungkol sa kung saan nagmula ang seed. Sa loob ng maraming taon ay nanatili ang mga seed sa pamantayan bilang mga hindi maipaliwanag na constant.

Mayroong isang kuwento upang punan ang agwat. Sa pinakakilalang bersyon ay binuo diumano ni Jerry Solinas, isang matagal nang empleyado ng NSA, ang mga seed mula sa hash ng isang nakakatawang passphrase. Sinasabi ng pinagmulan kalaunan na lumabas na mali ito. Ang mga ganoong kuwento ay madalas paniwalaan dahil tiyak ang mga ito at medyo kaakit-akit, at dahil walang makakasalungat sa kanila. Kapos ang mga ito bilang ebidensya. Ang praktikal na kahihinatnan ay walang makapagsuri sa pag-aangkin, at ang mga paghahanap para sa parirala, na binuo mula sa mga tsismis, ay walang nakuha.

Ang malinaw na taong dapat tanungin ay si Solinas. Pumanaw si Jerry noong 2023, at ang ibang mga kasamahan noong panahong iyon ay hindi tumutugon. Iniwan nitong bukas ang tanong kung paano orihinal na hinango ang mga seed na ito.

Ipapakipagtalo ko na ito ang tamang paraan upang tingnan ang sitwasyon: ang isang tanong sa pinagmulan (provenance) na nakasalalay sa alaala ng ilang tao ay isang marupok na kaayusan para sa isang pamantayan na sumusuporta sa mga lagda. Ang kawili-wiling bagay tungkol sa sumunod na nangyari ay hindi nito kinailangan ang mga alaalang iyon. Ang sagot ay nakaupo lamang sa mga inilathalang seed, naghihintay sa isang tao na subukan ang tamang hipotesis.

Tatlumpung minuto, walang pahiwatig, at isang resulta na hindi isang hash #

Noong Oktubre 2026, tinanong ng isang mausisang empleyado ng Anthropic ang isang panloob na modelo ng pananaliksik kung kaya nitong alamin kung paano nabuo ang mga seed na iyon, nang hindi itinuturo ang pahiwatig. Mahalaga ang pagkakasabi. Hindi sinabihan ang modelo kung ano ang hahanapin, at hindi ito binigyan ng sagot upang kumpirmahin.

Sa loob ng wala pang kalahating oras, natuklasan ni Claude ang pinagmulan ng mga seed ng NIST P-192, P-224, P-256, P-384 at P-521. Tuwiran ang resulta: wala ni isa sa mga seed ang naging resulta ng anumang hash algorithm. Ang mga ito ay output ng lrand48 random-number generator ng C library.

Kaya ang kuwento ng passphrase ay hindi kailanman mahahanap, dahil walang passphrase na hahanapin. Ang mga seed ay nabuo sa pamamagitan ng isang karaniwang pseudorandom number generator na sinimulan mula sa orasan. Isa itong hindi kaakit-akit na paliwanag, at iyon mismo ang pang-akit nito: hindi ito nangangailangan ng lihim, walang espesyal na kaalaman, at walang hindi maipaliwanag na constant.

Simple lang ilarawan ang mekanismo. Ang bawat iterasyon ng algorithm ay kumukuha ng 20 byte mula sa generator bilang kandidatong seed. Ang bilang ng iterasyon ang kawili-wiling detalye, dahil ipinapakita nito na ang proseso ay isang paghahanap at hindi isang beses na bunot lamang. Ang P-256, halimbawa, ay nangailangan ng 1842 na iterasyon upang mailabas ang istandardisadong seed. Ang sinumang nagpatakbo ng programang ito ay hinayaan itong dumaan sa mga kandidato hanggang sa may isang makabuo ng curve na tumugon sa kanilang mga kinakailangan.

Maingat ang mga may-akda tungkol sa kung ano ang ibig sabihin at hindi ibig sabihin nito, at karapat-dapat ulitin ang kanilang pagbabalangkas. Hindi ito isang cryptographic break, bagong pag-atake, o kahinaan sa mga ECDSA curve. Walang aksyon na kailangang gawin. Humakbang pa sila nang isa at sinabing nagbibigay ito sa kanila ng higit na kumpiyansa na pinili ang mga curve nang walang anumang backdoor o sinadyang kahinaan. Iyon ay isang may-pasubaling konklusyon, at dapat itong manatiling ganoon. Binabalangkas ito ng pinagmulan bilang kumpiyansa ng mga may-akda, na ibang bagay mula sa isang patunay ng pagiging inosente ng mga curve. Ang ibinibigay ng natuklasan ay isang pangkaraniwan at nasusuring salaysay kapalit ng isang hindi mapatunayang kuwento.

Paano nahanap ng isang scanner ang fingerprint ng isang generator noong dekada 1990 #

Karapat-dapat bigyan ng pansin ang pamamaraan, dahil ito ang bahaging magagamit muli ng ibang tao.

Hinulaan ni Claude na ang software na bumuo sa mga curve ay gumamit ng isang PRNG na kasama sa mga C library noong dekada 1990. Itinuturing ito ng pinagmulan bilang isang hula, at isa itong magandang hula. Pinakitid nito ang isang walang-hangganang paghahanap tungo sa isang maikling listahan ng mga kandidato mula sa isang panahon.

Pagkatapos ay nagsulat si Claude ng isang scanner. Dumausdos ito sa kahabaan ng bawat inilathalang seed nang paisa-isang bit at sinubukan kung ang magkakatabing tipak ay magkakasunod na output ng isang generator noong dekada 1990. Sinaklaw ng scan ang 34 na kombinasyon ng generator at mga hiwa ng output. Dumating ang tama bilang isang padron sa mga pang-itaas na bit, isang bagay na mangyayari nang hindi sinasadya nang may probabilidad na 1/5810.

Ang padrong iyon ay isang lagda ng linear congruential generator na lrand48, na nagbabalik lamang ng pang-itaas na 31 bit ng isang 48-bit na estado. Dito tumatagas ang disenyo ng generator. Dahil itinatago ng lrand48 ang 17 bit ng 48-bit na estado nito sa bawat tawag, ang output ay may regularidad na hindi ipapakita ng isang random na string, at mahahanap ito ng isang scanner na binuo upang hanapin ang regularidad na iyon.

Upang mabawi ang estado, kinuha ni Claude ang unang word at sinubukan ang lahat ng 2^17 na halaga ng 17 nakatagong bit. Iyon ay isang maliit na paghahanap, at mura ito dahil napakasimple ng generator. Ang bawat kandidatong estado ay maaaring suriin laban sa susunod na tipak ng seed, at ang tama ay nagpantay sa buong pagkakasunud-sunod.

Mas mahirap ang mga seed ng prime-curve, bagama't bahagya lamang. Nagmula ang mga ito sa parehong lrand48 generator ngunit nagpanatili ng mas kaunting bit ng bawat output. Ang mas kaunting nakikitang bit ay nangangahulugang mas kaunti ang mapagkakapitan ng hula, kaya hindi na mailalapat nang ganoon kalinis ang brute-force trick. Ang sagot ng pinagmulan ay ang pagbawi sa estado ng isang pinutol (truncated) na linear congruential generator ay isang pang-textbook na problema sa lattice, na nilulutas gamit ang Lenstra-Lenstra-Lovasz (LLL) basis reduction algorithm. Makikilala iyon ng isang modelo, at mailalapat ang isang karaniwang kasangkapan dito, nang walang anumang kakaiba.

Ang limang NIST prime-curve seed, kasama ang lima pa mula sa pamantayang ANSI X9.62, ay pawang may parehong padron: lrand48() >> 23. Ang sampung seed na nagbabahagi ng iisang patakaran sa pagkuha ay matibay na ebidensya ng iisang proseso sa likod nila.

Pagkatapos ay darating ang pagsusuri na naghihiwalay sa isang masuwerteng pagkakasya mula sa isang tunay. Ang bawat nabawing 48-bit na estado ay muling bumubuo sa lahat ng 160 bit ng seed nito, na hindi nangyayari nang hindi sinasadya. Ang isang bahagyang pagtutugma ay maaaring nagkataon lamang. Ang buong muling pagbuo ng bawat bit ay isang mas mahirap na bagay na ipagsawalang-bahala, at ito ang dahilan kung bakit masasabi nang tuwiran ang resulta.

Pagpapatakbo ng generator nang paatras upang basahin ang orasan #

Ang pagbawi sa isang estado ay nagsasabi sa iyo kung paano nabuo ang seed. Hindi pa nito sinasabi sa iyo kung kailan. Para doon, gumamit si Claude ng isang katangian ng generator: tumatakbo ito nang paatras nang kasingdali ng pasulong. Para sa bawat seed, pinaatras ni Claude ang estado hanggang sa maabot nito ang anyo na lilikhain ng pagsisimula ng srand48, kung saan ang mababang 16 na bit ay katumbas ng 0x330E.

Ang anyong iyon ay isang fingerprint sa sarili nito. Kung ang isang nabawing estado ay maaaring ibalik sa isang bagay na ang mababang 16 na bit ay nasa 0x330E, ang generator ay sinimulan sa karaniwang paraan, mula sa isang seed value na ipinasa sa srand48. At ang seed value, sa kasong ito, ay isang oras. Ang mga seed ay nabuo gamit ang mahinang PRNG na binigyan ng seed sa pamamagitan ng Unix timestamp.

Naitala ng panloob na pag-iisip ni Claude noong panahong iyon ang sandali ng pagkilala: malinaw ang lahat ng pang-itaas na bit, 20 bit, na may tsansang 1e-6. Isa itong maliit na detalye, ngunit ipinapakita nito ang pangangatwiran na gumagana sa mga numero habang lumilitaw ang mga ito, hindi sa isang kuwentong binuo pagkatapos.

Hindi lahat ng petsa ay malinis. Ang apat na pagsisimula ng binary-curve ay nababasa bilang Pebrero 1984, na hindi isang petsang aasahan ng sinuman para sa isang generator na ginagamit noong huling bahagi ng dekada 1990. Kapag dinoble ang mga timestamp, ang mga pagsisimula ng binary-curve ay tumutugma sa Abril 17, 1998, dalawang linggo pagkatapos ng pagpapatakbo ng P-224. Naghinuha ang pinagmulan na maaaring hinati ng programa sa kalahati ang orasan. Iyon ay may pasubali, at dapat lang: isa itong iminungkahing paliwanag kung bakit nababasa bilang 1984 ang mga hilaw na halaga, at ang pagdodoble na bumabagsak dalawang linggo pagkatapos ng isa pang pagpapatakbo ay nagpapahiwatig nang hindi nagiging kumpirmasyon ng panloob na gawa ng programa.

Para sa akin, ito ang pinakanakakukumbinsing bahagi ng buong salaysay, sa isang dahilang hiwalay sa cryptography. Ang isang gawa-gawang kuwento ay lilikha sana ng maayos na mga petsa. Ang isang ito ay lumikha ng isang alanganin, at pagkatapos ay isang pagwawasto na naglagay sa mga binary curve sa isang magkakaugnay na pagkakasunud-sunod kasama ng pagpapatakbo ng P-224. Ang magulong datos na nalulutas sa ilalim ng isang simpleng hipotesis ay kung ano ang hitsura ng tunay na pinagmulan.

Ang mga base point ay may recipe rin #

Tinutukoy ng mga seed ang mga curve. Ang mga base point ay ibang usapin, at hiwalay silang itinuturing ng pinagmulan.

Ang mga base point ng anim na curve na nabuo noong Mayo 1997 (ang P-192 at ang limang halimbawang curve ng ANSI X9.62 na prime192v2, prime192v3 at prime239v1 hanggang v3) ay nagmula sa random number generator sa FreeLIP, ang long-integer arithmetic package ni Arjen Lenstra. Ang mga unang bersyon ng NTL library ni Victor Shoup ay may kasamang parehong code. Mahalaga ang pangalawang katotohanang iyon para sa pagsusuri: umiiral ang generator bilang inilathalang code na mababasa ng iba, hindi bilang isang pribadong kasangkapan.

Maikli lang ang recipe. Bigyan ng seed ang generator gamit ang isang maliit na integer. Itapon ang pitong output. Bumuo ng mga kandidatong x-coordinate mula sa 26-bit na mga output na pinaliit mod p. Ulitin ang pagbuo ng kandidatong iyon hanggang sa ang x ay nasa curve.

Nahanap ni Claude ang mga seed ng generator: 20000 para sa P-192, 20420, 20507 at 20509 para sa prime239v1 hanggang v3, at 20512 at 20517 para sa prime192v2 at v3. Ang mga ito ay maliliit na integer ng uri na tina-type ng isang tao sa isang programa, na eksaktong kung ano ang hinihingi ng unang hakbang ng recipe.

Gumagawa ang mga may-akda ng isang pag-aangkin dito na mapagkumbaba at karapat-dapat sipiin ang diwa: sa abot ng kanilang kaalaman, wala pang NIST base point ang naipaliwanag dati. Sa kanila ang pasubali, at ito ay naaangkop. Hindi nila iginigiit na nasuri nila ang bawat dokumentong naisulat kailanman, kundi ang hangganan lamang ng kanilang kaalaman.

Pagkatapos ay huminto sa paggana ang recipe. Ang mga base point ng P-224, P-256, P-384 at P-521 ay hindi akma sa recipe na ito, at hindi naipaliwanag ng mga may-akda kung paano pinili ang mga ito. Ang isang sulatin na nagtakip dito ay magmumukhang mas maayos, ngunit iniwan ito ng mga may-akda. Sinasaklaw ng paliwanag ang anim na curve mula Mayo 1997 at iniiwang hindi maipaliwanag ang apat sa mga base point ng mga NIST prime curve.

Mga kandidatong nilaktawan #

Ang huling natuklasan ang pinakamalamang na magsimula ng mga pagtatalo, kaya karapat-dapat itong basahin nang eksakto.

Para sa P-256, ang inilathalang seed ay ang kandidatong 1842. Ngunit ang kandidatong 876 ng parehong pagpapatakbo ay nagbibigay rin ng isang prime-order curve na may tamang sukat, na may mga parametrong pinili sa parehong paraan tulad ng sa inilathalang curve. Sa madaling salita, nilaktawan ng proseso ang isang curve na, sa unang tingin, ay magiging katanggap-tanggap sana.

Hindi ito nangyari nang minsan lang. Ang pagpapatakbo ng P-224 ay lumaktaw sa tatlong ganoong curve, at ang dalawang pagpapatakbo sa likod ng mga halimbawang curve ng ANSI X9.62 ay lumaktaw sa pito pa.

Tuwiran ang mga may-akda tungkol sa hindi nila alam. Hindi nila alam kung anong mga pamantayan ang maaaring ginamit sa paglaktaw sa mga curve, o kung ito ay isang hindi sinasadyang artifact. Iyon ay isang limitasyon, na nakasaad bilang ganoon, at ang pasubali sa "hindi sinasadyang artifact" ang tapat na posisyon: ipinapakita ng datos na may mga kandidatong nilaktawan at hindi ipinapakita kung bakit.

Pagkatapos ay nag-aalok sila ng paghatol. Dahil maliit ang bilang ng mga nilaktawang kandidato, hindi sila naniniwala na kapani-paniwalang pinili ang mga pinahinang curve. Iyon ay may-pasubaling pangangatwiran tungkol sa pagiging kapani-paniwala, at nakasalalay ito sa pagbibilang. Kung ang isang proseso ay lumalaktaw lamang sa iilang kandidato sa kabuuan, may maliit na puwang lamang upang maghanap ng isang kahinaan.

May isang babala na nananatili, at isinasaad ito ng pinagmulan bilang isang posibilidad at hindi isang natuklasan. Posible pa ring isipin na ang mga curve na ito ay pinili upang magkaroon ng isang partikular na katangian sa prinsipyo sa pamamagitan ng paghahanap sa mga timestamp para sa random number generator. Ito ay haka-haka, na minarkahan bilang ganoon. Hindi ito dapat basahin bilang ebidensya ng anuman, at hindi rin ito dapat tahimik na ibasura. Pinapanatili ito ng isang patas na salaysay sa hapag bilang isang hindi pa naiaalis na ruta, habang binabanggit na itinuturing ng mga may-akda na hindi kapani-paniwala ang mga pinahinang curve.

Ano ang binabago ng resulta, at ano ang iniiwan nitong bukas #

Magsimula sa kung ano ang hindi nito binabago. Ang mga curve ay hindi sira. Dalawang beses itong sinabi ng pinagmulan, sa magkaibang salita, at walang aksyon na kailangang gawin. Ang sinumang nagbabasa nito bilang dahilan upang alisin ang P-256 ay nagkamali sa pagbasa nito.

Ang binabago nito ay ang katayuan ng isang matandang pagdududa. Hangga't hindi naipapaliwanag ang mga seed, ang "ibinigay ng NSA nang walang paliwanag" ay isang nakatayong tandang pananong sa ibabaw ng isang pamantayan. Ang tandang pananong na iyon ay may konkreto nang sagot ngayon. Ang mga seed ay hindi mahiwagang mga hash ng isang lihim na parirala. Ang mga ito ay output ng lrand48 mula sa isang programang binigyan ng seed mula sa orasan, na muling bumubuo sa bawat bit ng bawat seed mula sa isang nabawing estado. Ang isang paliwanag na masusubukan ng sinumang may hawak ng mga inilathalang seed ay tumatalo sa isang tsismis na walang sinuman ang makakasubok.

May punto rito para sa mga tagapagtatag at inhinyero na bumubuo sa ibabaw ng mga kriptograpikong pamantayan. Ang mga pag-aangkin sa pinagmulan ay murang gawin at mahal suriin, at ang pagsusuring inilarawan dito ay umabot ng wala pang kalahating oras nang maitanong ang tamang tanong. Ang scanner, ang 2^17 na paghahanap at ang lattice reduction ay pawang mga karaniwang hakbang. Ang nawawala sa loob ng maraming taon ay isang taong gagawa ng hindi kaakit-akit na trabaho ng pagsubok sa mga ito laban sa mga inilathalang numero.

Lalabanan ko rin ang tukso na ipagmalaki nang labis ang pamamaraan. Iniuulat ng pinagmulan ang resulta ng isang koponan sa isang partikular na set ng mga seed. Hindi nito inaangkin na ang parehong pamamaraan ay makakabasag sa bawat hindi maipaliwanag na constant sa bawat pamantayan, at hindi ko iyon aangkinin para sa kanila. Ang ipinapakita nito ay mas makitid at, sa aking isipan, mas kapaki-pakinabang: kapag misteryo ang pinagmulan ng isang parametro, ang isang maingat na modelo na may kapani-paniwalang hula tungkol sa mga kasangkapan ng panahong iyon ay maaaring sumubok sa hula nang mabilis at magpakita ng gawa nito.

Ang hindi pa tapos na gawain ay sapat na malinaw upang maging isang adyenda sa pananaliksik. Apat na base point, yaong sa P-224, P-256, P-384 at P-521, ang wala pa ring paliwanag. Ang mga nilaktawang kandidato, tulad ng 876 laban sa inilathalang 1842 para sa P-256, ay walang nakasaad na pamantayan, at wala pang nakakaalam kung ang paglaktaw ay sinadya o isang artifact. Kung ang mga sagot na iyon ay nananatiling buhay sa lumang source code, sa alaala ng mga nabubuhay pang kasamahan, o sa parehong uri ng paghahanap ng padron na nakabasag sa mga seed ang siyang bukas na tanong. Ang mga seed ay umabot ng kalahating oras; ang mga base point ay minsan nang nakaiwas sa pamamaraang ito.

Mga Madalas Itanong #

Sinisira ba ng pagtuklas na ito ang mga NIST ECDSA curve tulad ng P-256 o P-384?

Hindi. Ang pagtuklas na ang mga seed ng curve ay nabuo sa pamamagitan ng lrand48 sa halip na isang hash ng passphrase ay hindi nagpapakilala ng anumang cryptographic break, bagong pag-atake o matematikal na kahinaan sa mga ECDSA curve, at walang kinakailangang aksyon sa pagkukumpuni o paglipat dahil sa natuklasang ito.

Paano talaga nabuo ang mga seed ng NIST prime-curve?

Ang bawat 160-bit na seed ay ginawa sa pamamagitan ng pagtawag sa lrand48 linear congruential generator ng C standard library (partikular ang lrand48() >> 23 para sa limang NIST prime curve at limang ANSI X9.62 curve), na sinimulan sa pamamagitan ng srand48 gamit ang isang Unix timestamp. Ang pagbawi sa 48-bit na panloob na estado sa pamamagitan ng Lenstra-Lenstra-Lovasz (LLL) lattice reduction ay muling bumubuo sa lahat ng 160 bit ng bawat inilathalang seed.

Ano ang nananatiling hindi maipaliwanag tungkol sa mga parametro ng NIST elliptic curve?

Bagama't ang mga base point ng P-192 at limang ANSI X9.62 curve ay natunton sa random number generator sa FreeLIP package ni Arjen Lenstra na binigyan ng seed gamit ang maliliit na integer, ang mga base point ng P-224, P-256, P-384 at P-521 ay hindi tumutugma sa recipe na iyon, at ang mga pamantayan sa paglaktaw sa mas naunang prime-order na mga kandidatong curve (tulad ng kandidatong 876 bago ang kandidatong 1842 sa P-256) ay nananatiling hindi alam.

Mga Sanggunian #

Anthropic Frontier Red Team, (2026). Claude reveals ECDSA curve origins ⧉. Anthropic.
National Institute of Standards and Technology, (2000). FIPS PUB 186-2: Digital Signature Standard (DSS) ⧉. NIST.
Victor Shoup, (2024). NTL: A Library for doing Number Theory ⧉. libntl.org.

Huling sinuri 2026-11-01.

Muling i-publish ang artikulong ito

Ang Mga Misteryosong Seed sa Likod ng Mga Curve ng NIST ay Hindi Kailanman Naging Hash, at Natuklasan Ito ni Claude sa Loob ng Wala Pang Kalahating Oras — Sebastien Rousseau

Ang mga seed na inilathala kasama ng mga curve na NIST P-192, P-224, P-256, P-384 at P-521 ay hindi kailanman naging mga hash output. Nagmula ang mga ito sa lrand48 generator ng C library, na binigyan ng seed gamit ang Unix timestamp. Nalaman ito ni Claude...

Ang artikulong ito ay nakapailalim sa lisensya ng Creative Commons Attribution 4.0 International. Kailangan ng pagkilala sa canonical URL para sa muling pag-publish.

Ang Mga Misteryosong Seed sa Likod ng Mga Curve ng NIST ay Hindi Kailanman Naging Hash, at Natuklasan Ito ni Claude sa Loob ng Wala Pang Kalahating Oras — Sebastien Rousseau

Ang mga seed na inilathala kasama ng mga curve na NIST P-192, P-224, P-256, P-384 at P-521 ay hindi kailanman naging mga hash output. Nagmula ang mga ito sa lrand48 generator ng C library, na binigyan ng seed gamit ang Unix timestamp. Nalaman ito ni Claude...

Originally published at https://sebastienrousseau.com/fil/2026-10-26-misteryosong-seed-likod-curve-nist-hindi/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER