Les graines mystérieuses derrière les courbes du NIST n'ont jamais été des hachages, et Claude l'a découvert en moins d'une demi-heure

TL;DR. Les graines publiées avec les courbes P-192, P-224, P-256, P-384 et P-521 du NIST n'ont jamais été des sorties de fonctions de hachage. Elles provenaient du générateur lrand48 de la bibliothèque C...

Points clés

Un coefficient d'apparence dérivée et une graine dont personne ne pouvait rendre compte. ECDSA a été adopté par le NIST en 2000 dans le cadre du Digital Signature Standard FIPS 186-2.
Trente minutes, aucun indice et un résultat qui n'était pas un hachage. En octobre 2026, un employé curieux d'Anthropic a demandé à un modèle de recherche interne s'il pouvait déterminer comment ces graines avaient été générées, sans lui pointer l'indice.
Comment un analyseur a débusqué l'empreinte d'un générateur des années 1990. La méthode mérite qu'on s'y attarde, car c'est la partie que d'autres chercheurs peuvent réutiliser.
Faire tourner le générateur à rebours pour lire l'horloge. Retrouver un état indique comment la graine a été produite.

Une question restée ouverte après le décès en 2023 de la seule personne qui aurait pu y répondre avait une réponse banale : un générateur de nombres aléatoires des années 1990 initialisé à partir de l'horloge. Les auteurs affirment que cette réponse renforce leur confiance dans l'honnêteté du choix des courbes, loin de l'affaiblir.

Synthèse exécutive

ECDSA a été adopté par le NIST en 2000 dans le cadre du Digital Signature Standard FIPS 186-2. Les spécifications publiaient des paramètres « seed » (graine) dont la valeur de hachage devait définir le coefficient b de la courbe. La NSA avait fourni ces graines sans explication ni justification.

En octobre 2026, un employé d'Anthropic a demandé à un modèle de recherche interne de comprendre comment ces graines avaient été générées, sans lui indiquer la piste. En moins d'une demi-heure, Claude a découvert qu'aucune des graines n'était le résultat d'un hachage. Elles provenaient de l'exécution de lrand48, un générateur courant de nombres pseudo-aléatoires initialisé à partir de l'horloge.

Cette découverte ne constitue ni une cassure cryptographique, ni une nouvelle attaque, ni une faiblesse dans les courbes ECDSA. Les auteurs affirment qu'elle les rend plus confiants dans le fait que les courbes ont été choisies sans portes dérobées ni faiblesses intentionnelles.

Claude a également expliqué que les points de base de six courbes de mai 1997 provenaient du générateur de nombres aléatoires de FreeLIP, le paquet d'arithmétique des grands entiers d'Arjen Lenstra. À la connaissance des auteurs, aucun point de base du NIST n'avait jamais été expliqué auparavant.

Des questions restent ouvertes : comment les points de base de P-224, P-256, P-384 et P-521 ont été sélectionnés, et quels critères éventuels ont présidé à l'omission des courbes candidates écartées.

Un coefficient d'apparence dérivée et une graine dont personne ne pouvait rendre compte #

ECDSA a été adopté par le NIST en 2000 dans le cadre du Digital Signature Standard FIPS 186-2. Les spécifications de ses courbes comportaient un paramètre « seed » dont la valeur de hachage sert à définir le coefficient b de la courbe. Sur le papier, c'est une conception rassurante. Si le coefficient découle du hachage d'une graine publiée, selon le raisonnement classique, personne n'a pu façonner la courbe à la main.

Ce raisonnement ne vaut toutefois que ce que vaut la graine. Or les graines avaient été fournies par la NSA sans explication ni justification, et ce silence constituait tout le problème. Une fonction de hachage est une porte à sens unique : elle prouve que le coefficient découle bien de la graine, mais ne dit rien de l'endroit d'où provient cette graine. Pendant des années, les graines ont figuré dans la norme comme des constantes inexpliquées.

Une histoire circulait pour combler ce vide. La version la plus connue attribuait à Jerry Solinas, employé de longue date de la NSA, la génération des graines à partir du hachage d'une phrase secrète (passphrase) humoristique. La source précise plus loin que cela s'est révélé faux. Ce genre d'anecdotes a tendance à être cru parce qu'elles sont précises et un peu pittoresques, et parce que personne ne peut les contredire. En tant que preuves, elles ne tiennent pas. La conséquence pratique fut que personne ne put vérifier cette affirmation, et que les recherches de la phrase, fondées sur les rumeurs, n'avaient rien donné.

La personne évidente à interroger était Solinas. Jerry est décédé en 2023, et d'autres collègues de l'époque n'ont pas donné suite aux sollicitations. Cela laissait ouverte la question de savoir comment ces graines avaient été dérivées à l'origine.

Je dirais que c'est la bonne manière d'envisager la situation : une question de provenance qui repose sur la mémoire de quelques personnes est un dispositif bien fragile pour une norme sur laquelle reposent les signatures numériques. Ce qu'il y a d'intéressant dans ce qui s'est passé ensuite, c'est qu'on n'a pas eu besoin de ces souvenirs. La réponse se trouvait sous nos yeux, dans les graines publiées, attendant que quelqu'un teste la bonne hypothèse.

Trente minutes, aucun indice et un résultat qui n'était pas un hachage #

En octobre 2026, un employé curieux d'Anthropic a demandé à un modèle de recherche interne s'il pouvait déterminer comment ces graines avaient été générées, sans lui pointer l'indice. La formulation a son importance. On n'a pas dit au modèle quoi chercher, et on ne lui a pas non plus soufflé la réponse à confirmer.

En moins d'une demi-heure, Claude a découvert l'origine des graines P-192, P-224, P-256, P-384 et P-521 du NIST. Le verdict est sans appel : aucune de ces graines n'était le résultat d'un quelconque algorithme de hachage. Elles étaient la sortie du générateur de nombres aléatoires lrand48 de la bibliothèque C.

L'histoire de la phrase secrète n'avait donc aucune chance d'être vérifiée un jour, puisqu'il n'y avait aucune phrase secrète à trouver. Les graines avaient été produites par un générateur courant de nombres pseudo-aléatoires initialisé à partir de l'horloge. C'est une explication sans éclat, et c'est précisément ce qui fait sa force : elle ne requiert aucun secret, aucun savoir particulier et aucune constante inexpliquée.

Le mécanisme est simple à décrire. Chaque itération de l'algorithme tire 20 octets du générateur en guise de graine candidate. Le nombre d'itérations est le détail intéressant, car il montre que le processus était une recherche et non un tirage unique. P-256, par exemple, a nécessité 1842 itérations avant de produire la graine normalisée. La personne qui a exécuté ce programme l'a laissé passer en revue les candidats jusqu'à ce que l'un d'eux donne une courbe répondant aux critères exigés.

Les auteurs prennent soin de préciser ce que cela signifie et ce que cela ne signifie pas, et leur cadrage mérite d'être repris. Il ne s'agit ni d'une cassure cryptographique, ni d'une nouvelle attaque, ni d'une faiblesse dans les courbes ECDSA. Aucune mesure n'est à prendre. Ils vont même plus loin en affirmant que cela renforce leur confiance dans le fait que les courbes ont été choisies sans portes dérobées ni faiblesses intentionnelles. C'est une conclusion nuancée, et elle doit le rester. La source la présente comme la confiance des auteurs, ce qui est autre chose qu'une preuve mathématique de l'innocence des courbes. Ce qu'apporte cette découverte, c'est un compte rendu banal et vérifiable à la place d'une histoire invérifiable.

Comment un analyseur a débusqué l'empreinte d'un générateur des années 1990 #

La méthode mérite qu'on s'y attarde, car c'est la partie que d'autres chercheurs peuvent réutiliser.

Claude a fait l'hypothèse que le logiciel ayant généré les courbes utilisait un PRNG livré avec les bibliothèques C des années 1990. La source traite cela comme une intuition, et ce fut une bonne intuition. Elle a ramené une recherche non bornée à une courte liste de candidats issus d'une même époque.

Claude a ensuite écrit un programme d'analyse (scanner). Celui-ci a glissé le long de chaque graine publiée, bit par bit, pour tester si des blocs adjacents correspondaient à des sorties consécutives d'un générateur datant des années 1990. Le balayage a couvert 34 combinaisons de générateurs et de découpages de sortie. La touche positive est apparue sous la forme d'un motif dans les bits de poids fort, un motif qui ne se produirait par hasard qu'avec une probabilité de 1/5810.

Ce motif était la signature du générateur congruentiel linéaire lrand48, qui ne renvoie que les 31 bits supérieurs d'un état de 48 bits. C'est ici que la conception du générateur trahit sa présence. Parce que lrand48 masque 17 bits de son état de 48 bits à chaque appel, la sortie présente une régularité qu'une chaîne aléatoire ne montrerait pas, et un analyseur conçu pour chercher cette régularité peut la repérer.

Pour reconstruire l'état, Claude a pris le premier mot et a testé les 2^17 valeurs possibles des 17 bits cachés. C'est une recherche de petite taille, très peu coûteuse tant le générateur est simple. Chaque état candidat pouvait être confronté au bloc suivant de la graine, et le bon candidat a fait s'aligner toute la séquence.

Les graines des courbes définies sur des corps premiers se sont révélées un peu plus coriaces, mais à peine. Elles provenaient du même générateur lrand48, mais conservaient moins de bits à chaque sortie. Moins de bits visibles signifie moins d'appui pour ancrer une hypothèse, de sorte que l'astuce par force brute ne s'applique plus aussi directement. La réponse donnée par la source est que retrouver l'état d'un générateur congruentiel linéaire tronqué est un problème de réseau euclidien (lattice) classique, résolu à l'aide de l'algorithme de réduction de base de Lenstra-Lenstra-Lovasz (LLL). Un modèle pouvait reconnaître cette structure et lui appliquer un outil standard, sans rien d'exotique.

Les cinq graines des courbes premières du NIST, ainsi que cinq autres issues de la norme ANSI X9.62, suivaient toutes le même schéma : lrand48() >> 23. Dix graines partageant une unique règle d'extraction constituent une preuve solide de l'existence d'un processus unique derrière elles.

Vient ensuite la vérification qui distingue un ajustement chanceux d'un véritable résultat. Chaque état de 48 bits reconstruit régénère l'intégralité des 160 bits de sa graine, ce qui n'arrive pas par hasard. Une correspondance partielle pourrait être une coïncidence. La régénération intégrale de chaque bit est beaucoup plus difficile à écarter d'un revers de main, et c'est la raison pour laquelle le résultat peut être énoncé sans détour.

Faire tourner le générateur à rebours pour lire l'horloge #

Retrouver un état indique comment la graine a été produite. Cela ne dit pas encore quand elle l'a été. Pour le savoir, Claude a exploité une propriété du générateur : il tourne aussi aisément à l'envers qu'à l'endroit. Pour chaque graine, Claude a fait reculer l'état pas à pas jusqu'à atteindre la forme que produirait une initialisation par srand48, caractérisée par les 16 bits de poids faible égaux à 0x330E.

Cette forme constitue en soi une empreinte digitale. Si un état retrouvé peut être rembobiné jusqu'à une valeur dont les 16 bits inférieurs valent 0x330E, c'est que le générateur a été démarré de la manière standard, à partir d'une valeur de graine passée à srand48. Et cette valeur de graine, en l'occurrence, était une heure. Les graines ont été générées à l'aide de ce PRNG faible initialisé par un horodatage Unix.

Le raisonnement interne de Claude à ce moment-là a enregistré l'instant de la découverte : tous les bits supérieurs étaient à zéro, soit 20 bits, avec une probabilité de 1e-6. C'est un petit détail, mais il montre le raisonnement à l'œuvre sur les nombres tels qu'ils apparaissaient, et non sur un récit reconstruit après coup.

Les dates n'étaient pas toutes limpides. Les quatre initialisations des courbes binaires affichaient février 1984, ce qui n'est pas une date que l'on s'attendrait à voir pour un générateur utilisé à la fin des années 1990. Une fois les horodatages doublés, les initialisations des courbes binaires correspondent au 17 avril 1998, soit deux semaines après l'exécution de P-224. La source en conclut que le programme a pu diviser la valeur de l'horloge par deux. L'affirmation est prudente, et doit l'être : c'est une explication proposée pour comprendre pourquoi les valeurs brutes donnent 1984, et un doublement qui tombe deux semaines après une autre exécution est suggestif sans constituer pour autant une confirmation du code interne du programme.

Je trouve que c'est la partie la plus convaincante de tout le récit, pour une raison indépendante de la cryptographie. Une histoire fabriquée de toutes pièces aurait donné des dates bien propres. Celle-ci a produit une date incongrue, puis une correction qui a replacé les courbes binaires dans une séquence cohérente avec l'exécution de P-224. Des données imparfaites qui s'éclaircissent sous une hypothèse simple, voilà exactement à quoi ressemble une provenance authentique.

Les points de base suivent eux aussi une recette #

Les graines définissent les courbes. Les points de base sont une autre question, et la source les traite séparément.

Les points de base de six courbes générées en mai 1997 (P-192 et les cinq courbes d'exemple ANSI X9.62 : prime192v2, prime192v3 et prime239v1 à v3) proviennent du générateur de nombres aléatoires de FreeLIP, le paquet d'arithmétique des grands entiers d'Arjen Lenstra. Les premières versions de la bibliothèque NTL de Victor Shoup embarquaient le même code. Ce second détail compte pour la vérification : le générateur existe sous forme de code publié que d'autres peuvent lire, et non comme un outil privé.

La recette tient en quelques lignes. On initialise le générateur avec un petit entier. On jette sept sorties. On génère des coordonnées x candidates à partir de sorties de 26 bits réduites modulo p. On répète cette génération de candidats jusqu'à ce que x appartienne à la courbe.

Claude a retrouvé les graines du générateur : 20000 pour P-192, 20420, 20507 et 20509 pour prime239v1 à v3, ainsi que 20512 et 20517 pour prime192v2 et v3. Ce sont de petits entiers du genre de ceux qu'une personne tape au clavier dans un programme, ce qui correspond exactement à la première étape de la recette.

Les auteurs formulent ici une affirmation modeste dont l'esprit mérite d'être cité : à leur connaissance, aucun point de base du NIST n'avait été expliqué auparavant. La réserve est la leur, et elle est bienvenue. Ils ne prétendent pas avoir dépouillé chaque document jamais écrit, mais indiquent simplement la limite de leur savoir.

Puis la recette cesse de fonctionner. Les points de base de P-224, P-256, P-384 et P-521 ne correspondent pas à cette recette, et les auteurs n'ont pas été en mesure d'expliquer comment ils avaient été sélectionnés. Un compte rendu qui aurait passé ce fait sous silence aurait paru plus net, mais les auteurs l'ont conservé. L'explication couvre six courbes de mai 1997 et laisse inexpliqués les points de base de quatre des courbes premières du NIST.

Des candidates qui ont été écartées #

Le dernier constat est celui qui risque le plus d'alimenter les débats ; il mérite donc d'être lu avec précision.

Pour P-256, la graine publiée est la candidate 1842. Or la candidate 876 issue de la même exécution donne elle aussi une courbe d'ordre premier de la bonne taille, avec des paramètres choisis de la même façon que sur la courbe publiée. Autrement dit, le processus est passé devant une courbe qui, à première vue, aurait été tout à fait acceptable.

Ce n'est pas un cas isolé. L'exécution de P-224 a laissé passer trois courbes de ce type, et les deux exécutions à l'origine des courbes d'exemple ANSI X9.62 en ont écarté sept autres.

Les auteurs sont francs sur ce qu'ils ignorent. Ils ne savent pas quels critères ont pu être utilisés pour écarter ces courbes, ni s'il s'agissait d'un artefact involontaire. C'est une limite, présentée comme telle, et la prudence entourant l'expression « artefact involontaire » est la posture honnête : les données montrent que des candidates ont été sautées, mais ne disent pas pourquoi.

Ils proposent ensuite une appréciation. Comme le nombre de candidates écartées est faible, ils ne jugent pas plausible que des courbes affaiblies aient été sélectionnées. C'est un raisonnement mesuré sur la plausibilité, qui repose sur le décompte. Si un processus n'écarte au total qu'une poignée de candidates, il reste bien peu d'espace pour chercher une faiblesse exploitable.

Une réserve subsiste, que la source énonce comme une possibilité et non comme un résultat établi. Il reste concevable que ces courbes aient été sélectionnées en principe pour posséder une propriété particulière en effectuant une recherche sur les horodatages fournis au générateur de nombres aléatoires. Il s'agit là d'une spéculation, signalée comme telle. Elle ne doit pas être lue comme la preuve de quoi que ce soit, mais ne doit pas non plus être escamotée en silence. Un compte rendu équilibré la garde sur la table comme une piste non exclue, tout en notant que les auteurs jugent implausible l'hypothèse de courbes affaiblies.

Ce que ce résultat change, et ce qu'il laisse ouvert #

Commençons par ce qu'il ne change pas. Les courbes ne sont pas cassées. La source le répète à deux reprises, en des termes différents, et aucune mesure n'est à prendre. Quiconque lirait ceci comme une raison de remplacer P-256 en urgence ferait un contresens.

Ce qui change, c'est le statut d'un vieux doute. Tant que les graines restaient inexpliquées, la mention « fournies par la NSA sans explication » faisait planer un point d'interrogation permanent au-dessus d'une norme. Ce point d'interrogation a désormais une réponse concrète. Les graines n'étaient pas les hachages impénétrables d'une phrase secrète. Elles étaient la sortie de lrand48 issue d'un programme initialisé par l'horloge, capable de régénérer chaque bit de chaque graine à partir d'un état retrouvé. Une explication que n'importe qui disposant des graines publiées peut vérifier vaut mieux qu'une rumeur que personne ne peut contrôler.

Il y a là un enseignement pour les fondateurs et les ingénieurs qui s'appuient sur des normes cryptographiques. Les affirmations de provenance coûtent peu à formuler et cher à vérifier, or la vérification décrite ici a pris moins d'une demi-heure une fois la bonne question posée. L'analyseur, la recherche en 2^17 et la réduction de réseau sont autant de techniques classiques. Ce qui a manqué pendant des années, c'est quelqu'un pour accomplir le travail peu spectaculaire consistant à les essayer sur les nombres publiés.

Je me garderais aussi de survendre la méthode. La source rapporte le résultat d'une équipe sur un jeu précis de graines. Elle ne prétend pas que la même approche permettra de percer à jour chaque constante inexpliquée de chaque norme, et je ne le prétendrai pas à sa place. Ce qu'elle démontre est plus circonscrit et, à mon sens, plus utile : lorsque l'origine d'un paramètre est mystérieuse, un modèle rigoureux doté d'une hypothèse plausible sur les outils de l'époque peut tester cette hypothèse rapidement et exposer sa démarche.

Les questions en suspens sont suffisamment claires pour constituer un programme de recherche. Quatre points de base, ceux de P-224, P-256, P-384 et P-521, restent sans explication. Les candidates écartées, telles que la 876 face à la 1842 publiée pour P-256, n'ont pas de critère connu, et nul ne sait encore si ces sauts étaient délibérés ou le fruit d'un artefact. Savoir si ces réponses survivent dans d'anciens codes sources, dans la mémoire de collègues encore en vie ou dans le même genre de chasse aux motifs qui a élucidé les graines demeure une question ouverte. Les graines ont demandé une demi-heure ; les points de base ont déjà résisté une fois à cette approche.

Questions fréquentes #

Cette découverte compromet-elle les courbes ECDSA du NIST telles que P-256 ou P-384 ?

Non. Découvrir que les graines des courbes ont été générées par lrand48 plutôt que par le hachage d'une phrase secrète n'introduit aucune cassure cryptographique, aucune nouvelle attaque ni aucune faiblesse mathématique dans les courbes ECDSA, et aucune action de remédiation ou de migration n'est requise à la suite de ce résultat.

Comment les graines des courbes premières du NIST ont-elles réellement été générées ?

Chaque graine de 160 bits a été produite en appelant le générateur congruentiel linéaire lrand48 de la bibliothèque standard C (plus précisément lrand48() >> 23 pour les cinq courbes premières du NIST et cinq courbes ANSI X9.62), initialisé via srand48 avec un horodatage Unix. La récupération de l'état interne de 48 bits par réduction de réseau de Lenstra-Lenstra-Lovasz (LLL) régénère l'intégralité des 160 bits de chaque graine publiée.

Que reste-t-il d'inexpliqué concernant les paramètres des courbes elliptiques du NIST ?

Alors que les points de base de P-192 et de cinq courbes ANSI X9.62 ont pu être rattachés au générateur de nombres aléatoires du paquet FreeLIP d'Arjen Lenstra initialisé avec de petits entiers, les points de base de P-224, P-256, P-384 et P-521 ne correspondent pas à cette recette, et les critères ayant conduit à écarter des courbes candidates antérieures d'ordre premier (comme la candidate 876 avant la candidate 1842 pour P-256) demeurent inconnus.

References #

Anthropic Frontier Red Team, (2026). Claude reveals ECDSA curve origins ⧉. Anthropic.
National Institute of Standards and Technology, (2000). FIPS PUB 186-2: Digital Signature Standard (DSS) ⧉. NIST.
Victor Shoup, (2024). NTL: A Library for doing Number Theory ⧉. libntl.org.

Dernière révision 2026-11-01.

Republier cet article

Les graines mystérieuses derrière les courbes du NIST n'ont jamais été des hachages, et Claude l'a découvert en moins d'une demi-heure — Sebastien Rousseau

Les graines publiées avec les courbes P-192, P-224, P-256, P-384 et P-521 du NIST n'ont jamais été des sorties de fonctions de hachage. Elles provenaient du générateur lrand48 de la bibliothèque C...

Cet article est sous licence Creative Commons Attribution 4.0 International. La republication nécessite l'attribution à l'URL canonique.

Les graines mystérieuses derrière les courbes du NIST n'ont jamais été des hachages, et Claude l'a découvert en moins d'une demi-heure — Sebastien Rousseau

Les graines publiées avec les courbes P-192, P-224, P-256, P-384 et P-521 du NIST n'ont jamais été des sorties de fonctions de hachage. Elles provenaient du générateur lrand48 de la bibliothèque C...

Originally published at https://sebastienrousseau.com/fr/2026-10-26-graines-mysterieuses-derriere-courbes-nist-ont/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FONDATEUR · INGÉNIEUR