NISTの楕円曲線に隠された謎のシードはハッシュ値ではなく、Claudeは30分足らずでそれを突き止めた

TL;DR. NISTのP-192、P-224、P-256、P-384、P-521曲線とともに公開されたシードは、一度もハッシュ出力ではなかった。それらはUnixタイムスタンプをシードとするCライブラリのlrand48生成器から生み出されていた...

主な要点

導出されたように見える係数と、誰も説明できなかったシード. ECDSAは2000年、FIPS 186-2デジタル署名標準の一部としてNISTに採用された。曲線の仕様書には「シード」パラメータが記載されており、そのハッシュ値を使って曲線の係数 b を定義する仕組みになっていた。書面上、これは安心感のある設計である。公開されたシードのハッシュから係数が出てくるのであれば、誰も手作業で曲線を都合よく調整することはできないはずだ、という理屈である。.
30分、ヒントなし、そしてハッシュではなかったという結果. 2026年10月、好奇心旺盛なAnthropicの社員が、手がかりを一切示さずに、それらのシードがどう生成されたか突き止められるか社内研究モデルに尋ねた。この問いかけの形式が重要である。モデルは何を探すべきか教えられておらず、確認すべき答えをあらかじめ渡されていたわけでもなかった。.
スキャナはいかにして1990年代の生成器の指紋を見つけたか. その手法は、他の人々が再利用できる部分であるため注目に値する。.
時計を読むために生成器を逆回しする. 内部状態を復元すれば、シードが「どのように」作られたかは分かる。しかし「いつ」作られたかはまだ分からない。そのためにClaudeは、順方向と同じくらい簡単に逆方向にも動かせるという生成器の性質を利用した。各シードについて、下位16ビットが 0x330E になるという srand48 の初期化形式に到達するまで、状態を1ステップずつ巻き戻したのである。.

答えを知っていたかもしれない唯一の人物が2023年に亡くなり未解決となっていた問いには、拍子抜けするほど平凡な答えがあった。時計で初期化された1990年代の乱数生成器である。著者らは、この結果によって曲線が誠実に選ばれたという確信が弱まるのではなく、むしろ強まったと述べている。

エグゼクティブ・サマリー

楕円曲線DSA（ECDSA）は2000年、FIPS 186-2デジタル署名標準の一部として米国国立標準技術研究所（NIST）に採用された。その仕様書には、曲線係数 b を定義するためのハッシュ値の元となる「シード」パラメータが掲載されていた。米国家安全保障局（NSA）は何の説明も根拠も示さずにこれらのシードを提供していた。

2026年10月、Anthropicの社員がヒントを一切与えずに、これらのシードがどのように生成されたかを社内研究モデルに調べさせた。30分足らずで、Claudeはどのシードもハッシュ出力ではないことを発見した。それらは時計によって初期化された一般的な疑似乱数生成器 lrand48 の出力だったのである。

この発見はECDSA曲線の暗号学的な破綻や新たな攻撃、あるいは脆弱性を意味するものではない。著者らは、バックドアや意図的な弱点なしに曲線が選ばれたという確信がむしろ強まったと述べている。

さらにClaudeは、1997年5月に生成された6つの曲線のベースポイントについても、Arjen Lenstraの多倍長整数演算パッケージ「FreeLIP」に含まれる乱数生成器から作られたことを突き止めた。著者らの知る限り、NIST曲線のベースポイントが解明されたのはこれが初めてである。

未解決の問いも残されている。P-224、P-256、P-384、P-521のベースポイントがどのように選ばれたのか、そしてスキップされた候補曲線の背後にどのような基準があったのか（あるいはなかったのか）である。

導出されたように見える係数と、誰も説明できなかったシード #

ECDSAは2000年、FIPS 186-2デジタル署名標準の一部としてNISTに採用された。曲線の仕様書には「シード」パラメータが記載されており、そのハッシュ値を使って曲線の係数 b を定義する仕組みになっていた。書面上、これは安心感のある設計である。公開されたシードのハッシュから係数が出てくるのであれば、誰も手作業で曲線を都合よく調整することはできないはずだ、という理屈である。

しかし、その理屈はシード自体の素性が確かであって初めて成り立つ。シードは何の説明も正当化もなしにNSAから提供されたものであり、その空白こそが問題のすべてだった。ハッシュ関数は片道切符の扉である。シードから係数が導かれたことは証明できても、そのシードがどこから来たかについては何も語らない。何年もの間、シードは説明のつかない定数として標準規格の中に鎮座していた。

その空白を埋めるための逸話も存在した。最もよく知られた説は、NSAに長年勤務していたJerry Solinasが、ユーモラスなパスフレーズのハッシュからシードを生成したというものだ。しかし元報告が後に述べている通り、これは誤りだったことが判明した。こうした逸話は、具体的で少し愛嬌があり、しかも誰にも反証できないため信じられやすい。だが証拠としては不十分である。実際、誰もその主張を検証することはできず、噂をもとにそのフレーズを探索する試みはすべて空振りに終わっていた。

尋ねるべき相手は明らかにSolinas本人だった。しかしJerryは2023年に亡くなり、当時の他の同僚たちからも反応は得られなかった。そのため、これらのシードが元々どのように導出されたのかという問いは未解決のまま残されていた。

私は、これこそが状況を正しく捉える見方だと思う。デジタル署名の根幹を支える標準規格の来歴が、数人の記憶に依存しているというのは極めて脆い構造である。そして次に起きた出来事の興味深い点は、そうした記憶を一切必要としなかったことだ。答えは公開されたシードの中にずっと置かれており、誰かが正しい仮説を検証するのを待っていたのである。

30分、ヒントなし、そしてハッシュではなかったという結果 #

2026年10月、好奇心旺盛なAnthropicの社員が、手がかりを一切示さずに、それらのシードがどう生成されたか突き止められるか社内研究モデルに尋ねた。この問いかけの形式が重要である。モデルは何を探すべきか教えられておらず、確認すべき答えをあらかじめ渡されていたわけでもなかった。

30分足らずで、ClaudeはNISTのP-192、P-224、P-256、P-384、およびP-521のシードの起源を発見した。結果は極めて単刀直入だ。どのシードも、いかなるハッシュアルゴリズムの結果でもなかった。C標準ライブラリの乱数生成器 lrand48 の出力だったのである。

つまり、パスフレーズの逸話が実証されることは永遠になかったわけだ。探すべきパスフレーズなど最初から存在しなかったからである。シードは、時計によって初期化されたありふれた疑似乱数生成器によって生成されていた。華やかさのない説明だが、まさにそこが魅力である。秘密も、特別な知識も、説明不能な定数も必要としないからだ。

そのメカニズムは簡単に説明できる。アルゴリズムの各反復において、生成器から候補シードとして20バイトを引き出す。ここで反復回数が興味深い細部となる。なぜなら、このプロセスが1回限りの抽出ではなく「探索」であったことを示しているからだ。たとえばP-256は、標準化されたシードを出力するまでに1842回の反復を要した。このプログラムを実行した人物は、要件を満たす曲線が見つかるまで候補を次々と回し続けたのである。

著者らは、これが何を意味し何を意味しないかについて慎重に言葉を選んでおり、その位置づけは繰り返しておく価値がある。これはECDSA曲線の暗号学的な破綻でも、新たな攻撃でも、脆弱性でもない。取るべき対応も一切ない。さらに著者らは一歩踏み込んで、バックドアや意図的な弱点なしに曲線が選ばれたという確信がより強まったと述べている。これは留保付きの結論であり、そのまま受け止めるべきだ。元報告はこれを曲線の無実の「証明」としてではなく、著者らの「確信」として表現している。この発見がもたらしたのは、検証不可能な噂話に代わる、誰でも検証可能な平凡な事実の記録である。

スキャナはいかにして1990年代の生成器の指紋を見つけたか #

その手法は、他の人々が再利用できる部分であるため注目に値する。

Claudeは、曲線を生成したソフトウェアが1990年代のCライブラリに同梱されていた疑似乱数生成器（PRNG）を使っていたのではないかと推測した。元報告はこれを「推測」として扱っているが、実に的確な推測だった。際限のない探索空間を、ある時代の短い候補リストへと一気に絞り込んだからである。

次にClaudeはスキャナを書いた。公開された各シードに沿って1ビットずつスライドしながら、隣接するチャンクが1990年代の生成器の連続した出力になっているかどうかをテストしたのである。スキャンは生成器と出力スライスの34通りの組み合わせをカバーした。当たりは上位ビットのパターンとして現れた。偶然に発生する確率はわずか5810分の1というパターンである。

そのパターンは、48ビットの内部状態のうち上位31ビットだけを返す線形合同法生成器 lrand48 の特徴（シグネチャ）だった。ここで生成器の設計が自ら証拠を漏らすことになる。lrand48 は呼び出しのたびに48ビットの状態のうち17ビットを隠すため、その出力には真のランダム文字列には現れない規則性が生じ、その規則性を探すように作られたスキャナはそれを見つけ出すことができる。

内部状態を復元するため、Claudeは最初のワードを取り、隠された17ビットのすべての値（2^17通り）を試した。生成器が非常に単純なため、これは小さくて安価な探索である。各候補状態をシードの次のチャンクと照合することで、正しい状態がシーケンス全体を見事に一致させた。

素数体曲線（プライム曲線）のシードはもう少し難しかったが、それもわずかな違いにすぎなかった。同じ lrand48 生成器から作られていたものの、各出力から保持されるビット数が少なかったのである。見えるビットが少ないということは推測の足がかりが減ることを意味するため、総当たり攻撃がそのまま綺麗には決まらない。これに対する元報告の答えは、切り詰められた線形合同法生成器の状態復元は教科書的な格子問題であり、Lenstra-Lenstra-Lovasz（LLL）基底簡約アルゴリズムで解けるというものだ。モデルはそれを認識し、奇抜な手法に頼ることなく標準的なツールを適用できたのである。

NISTの5つの素数体曲線シードと、ANSI X9.62標準のさらに5つのシードは、すべて同じパターン「lrand48() >> 23」を持っていた。10個のシードが単一の抽出ルールを共有しているという事実は、それらの背後に単一のプロセスが存在したことの強力な証拠である。

そして、偶然の一致と本物の一致を分ける検証が続く。復元された各48ビット状態は、それぞれのシードの全160ビットを完全に再生成した。これは偶然では起こり得ない。部分的な一致なら偶然ということもあり得るが、全ビットの完全な再生成を偶然で片付けることは極めて難しく、だからこそこの結果を平明な事実として断言できるのである。

時計を読むために生成器を逆回しする #

内部状態を復元すれば、シードが「どのように」作られたかは分かる。しかし「いつ」作られたかはまだ分からない。そのためにClaudeは、順方向と同じくらい簡単に逆方向にも動かせるという生成器の性質を利用した。各シードについて、下位16ビットが 0x330E になるという srand48 の初期化形式に到達するまで、状態を1ステップずつ巻き戻したのである。

その形式自体が1つの指紋となる。復元された状態を巻き戻して下位16ビットが 0x330E になる形に行き着くなら、その生成器は srand48 に渡されたシード値から標準的な方法で起動されたことになる。そして今回の場合、そのシード値は「時刻」だった。シードはUnixタイムスタンプをシードとする脆弱な疑似乱数生成器を使って生成されていたのである。

当時のClaudeの内部思考ログには、それを認識した瞬間が記録されている。「上位ビットがすべてクリア、20ビット、偶然の確率は 1e-6」。小さなディテールだが、後から組み立てた物語ではなく、目の前に現れた数値そのものに基づいて推論が進んでいたことを示している。

もっとも、すべての日付が最初から綺麗に揃っていたわけではない。4つの二元体曲線（バイナリ曲線）の初期化時刻は1984年2月と読み取れたが、これは1990年代後半に使われていた生成器として誰もが予想するような日付ではない。ところがタイムスタンプを2倍にすると、二元体曲線の初期化時刻はP-224の実行からちょうど2週間後にあたる1998年4月17日にピタリと重なった。元報告は、当時のプログラムが時計の値を半分に割っていた可能性があると結論づけている。これには留保がつけられており、そうあるべきだ。生の値がなぜ1984年と読めるのかに対する仮説的な説明であり、2倍すると別の実行の2週間後に着地するという事実は強く示唆的ではあるものの、プログラムの内部実装を確定させる証拠ではないからだ。

私は暗号学とは別の理由で、この部分こそが報告全体の中で最も説得力のある箇所だと感じている。もし作られた物語であれば、最初から整然とした日付が並んでいたはずだ。しかし実際にはまず奇妙な日付が出てきて、次にそれを補正することで二元体曲線がP-224の実行と整合する一連の時系列に収まった。単純な仮説のもとで綺麗に解消される雑多なデータこそ、本物の来歴（プロヴナンス）が持つ姿である。

ベースポイントにもレシピがあった #

シードは曲線を定義する。一方、ベースポイント（基準点）は別の問題であり、元報告もそれらを別個に扱っている。

1997年5月に生成された6つの曲線（P-192および5つのANSI X9.62サンプル曲線 prime192v2、prime192v3、prime239v1からv3）のベースポイントは、Arjen Lenstraの多倍長整数演算パッケージ「FreeLIP」内の乱数生成器から作られていた。Victor ShoupのNTLライブラリの初期バージョンにも同じコードが同梱されていた。この2つ目の事実は検証において重要である。生成器が非公開のツールではなく、他の人が読める公開コードとして存在しているからだ。

そのレシピは短い。小さな整数で生成器にシードを与える。最初の7個の出力を捨てる。mod p で簡約された26ビット出力から候補となる x 座標を生成する。その x が曲線上に乗るまで候補生成を繰り返す。

Claudeは生成器のシードを見つけ出した。P-192が 20000、prime239v1からv3が 20420、20507、20509、そしてprime192v2とv3が 20512 と 20517 である。これらは人間がプログラムに手入力するような小さな整数であり、レシピの最初のステップが求める通りのものだ。

ここで著者らは控えめながらも、その趣旨を引用する価値のある主張をしている。彼らの知る限り、NISTのベースポイントが説明されたことはこれまで一度もなかったというのだ。この留保は著者ら自身によるものであり、適切である。彼らはこれまでに書かれたあらゆる文書を調査したと断言しているのではなく、自分たちの知識の限界を述べているにすぎない。

しかし、このレシピはここで通用しなくなる。P-224、P-256、P-384、およびP-521のベースポイントはこのレシピに当てはまらず、著者らもそれらがどのように選ばれたのかを説明できなかった。この点を取り繕って省いてしまえば報告書の見た目はもっとすっきりしただろうが、著者らはあえてそのまま残した。つまりこの説明は1997年5月の6つの曲線をカバーする一方で、NISTの4つの素数体曲線のベースポイントについては未解明のまま残しているのである。

見送られた候補たち #

最後の発見は最も議論を呼びそうな点であるため、正確に読み解く価値がある。

P-256の場合、公開されたシードは1842番目の候補である。しかし同じ実行の876番目の候補もまた、公開された曲線と同じ方法で選ばれたパラメータを持つ、適切なサイズの素数位数曲線を与える。言い換えれば、このプロセスは一見したところ全く問題なく受け入れられたはずの曲線を通り過ぎていたのである。

これは1回限りの例外ではない。P-224の実行ではそのような曲線を3つ通り過ぎており、ANSI X9.62サンプル曲線の背後にある2回の実行ではさらに7つを通り過ぎていた。

著者らは自分たちに分からないことについて率直である。曲線をスキップするためにどのような基準が使われたのか、あるいはそれが意図しないプログラム上の副産物（アーティファクト）だったのかは分からないと述べている。これは限界として明記されており、「意図しない副産物」という表現に留保をつけているのも誠実な姿勢だ。データは候補がスキップされたことを示してはいるが、その理由は示していないからである。

その上で著者らは1つの判断を示している。スキップされた候補の数が少ないため、弱体化した曲線が意図的に選ばれたと考えるのは妥当ではない（もっともらしいとは言えない）という見解である。これは妥当性に関する留保付きの推論であり、候補の数に依拠している。プロセス全体でほんの一握りの候補しかスキップしていないのであれば、そこに都合の良い弱点を探索する余地はほとんどないという理屈だ。

ただし1つだけ留保が残っており、元報告もそれを「発見」ではなく「可能性」として記している。乱数生成器に与えるタイムスタンプ自体を探索することで、原理的には特定の性質を持つ曲線を意図的に選ぶことも依然として考え得るという点である。これは推測であり、報告内でも推測として明示されている。何らかの不正の証拠として読まれるべきではないし、かといって黙って切り捨てられるべきでもない。公正な報告とは、著者らが弱体化した曲線の選択は考えにくいとみていることを踏まえつつ、排除しきれない経路としてこれをテーブルの上に残しておくものである。

この結果が変えるものと、未解決のまま残すもの #

まず、変わらないものから始めよう。曲線は破られていない。元報告は言葉を変えて2度そう明言しており、取るべき対応も一切ない。これをP-256を廃止すべき理由として読む人がいれば、それは明らかな誤読である。

この結果が変えるのは、長年の疑念の位置づけである。シードの由来が説明されない限り、「何の説明もなくNSAから提供された」という事実は標準規格の上に常にぶら下がる疑問符であり続けた。その疑問符に今、具体的な答えが与えられた。シードは秘密のフレーズから作られた不可解なハッシュ値などではなかった。時計をシードとするプログラムから出力された lrand48 の値であり、復元された内部状態から各シードの全ビットを完全に再生成できるものだったのである。公開されたシードを持つ人なら誰でも自分で検証できる説明は、誰にも検証できない噂に勝る。

暗号標準の上にシステムを構築する創業者やエンジニアにとっても、ここに重要な示唆がある。来歴に関する主張は唱えるのは安上がりだが検証するのは高くつく。しかしここで述べられた検証は、正しい問いが立てられた瞬間から30分もかからずに完了した。スキャナも、2^17通りの探索も、格子基底簡約もすべて標準的な手法である。何年もの間欠けていたのは、公開された数値に対してそれらを地道に試してみるという泥臭い作業を行う誰かだったのだ。

同時に、この手法を過大評価する誘惑にも抗いたい。元報告は特定のシード群に対するあるチームの成果を報告したものであり、同じアプローチがあらゆる標準規格のあらゆる未解明な定数を解き明かすとは主張していないし、私も彼らに代わってそんな主張をするつもりはない。この成果が実証しているのはもっと限定的で、そして私の考えではもっと有用なことだ。パラメータの起源が謎に包まれているとき、当時のツール群について妥当な推測を持つ注意深いモデルがあれば、その推測を素早くテストし、検証可能な形で作業過程を示せるということである。

やり残された課題は、そのまま次の研究アジェンダになるほど明確である。P-224、P-256、P-384、P-521という4つのベースポイントには依然として説明がない。P-256において公開された1842番目の前に現れる876番目のようなスキップされた候補には明示された基準がなく、そのスキップが意図的なものだったのかプログラム上の副産物だったのかもまだ誰も知らない。それらの答えが古いソースコードの中に残っているのか、存命の同僚たちの記憶の中にあるのか、それともシードを解き明かしたのと同じようなパターン探索の先にあるのかは未解決の問いである。シードの解明には30分しかかからなかったが、ベースポイントはすでにこのアプローチを一度跳ね返している。

よくある質問 #

この発見によって、P-256やP-384などのNIST ECDSA曲線は危殆化しますか？

いいえ。曲線のシードがパスフレーズのハッシュではなく lrand48 によって生成されていたという発見は、ECDSA曲線にいかなる暗号学的破綻や新たな攻撃、数学的脆弱性をもたらすものではなく、この発見によって修正や移行作業を行う必要は一切ありません。

NISTの素数体曲線のシードは、実際にはどのように生成されていたのですか？

各160ビットのシードは、Unixタイムスタンプを用いて srand48 で初期化されたC標準ライブラリの線形合同法生成器 lrand48 を呼び出すことで生成されていました（具体的には、5つのNIST素数体曲線と5つのANSI X9.62曲線すべてにおいて lrand48() >> 23 が使われていました）。Lenstra-Lenstra-Lovasz（LLL）格子基底簡約によって48ビットの内部状態を復元すると、公開された各シードの全160ビットが完全に再生成されます。

NISTの楕円曲線パラメータについて、まだ解明されていない点は何ですか？

P-192および5つのANSI X9.62曲線のベースポイントは、小さな整数をシードとするArjen LenstraのFreeLIPパッケージ内の乱数生成器に由来することが突き止められましたが、P-224、P-256、P-384、P-521のベースポイントはそのレシピに一致していません。また、より早い段階で出現していた素数位数の候補曲線（P-256における1842番目の前の876番目の候補など）がスキップされた基準についても不明のままです。

参考文献 #

Anthropic Frontier Red Team, (2026). Claude reveals ECDSA curve origins ⧉. Anthropic.
National Institute of Standards and Technology, (2000). FIPS PUB 186-2: Digital Signature Standard (DSS) ⧉. NIST.
Victor Shoup, (2024). NTL: A Library for doing Number Theory ⧉. libntl.org.

最終確認日 2026-11-01.

この記事を転載

NISTの楕円曲線に隠された謎のシードはハッシュ値ではなく、Claudeは30分足らずでそれを突き止めた — Sebastien Rousseau

NISTのP-192、P-224、P-256、P-384、P-521曲線とともに公開されたシードは、一度もハッシュ出力ではなかった。それらはUnixタイムスタンプをシードとするCライブラリのlrand48生成器から生み出されていた...

本記事のライセンスは Creative Commons Attribution 4.0 International. 転載の際は正規URLへの帰属表示が必要です。

NISTの楕円曲線に隠された謎のシードはハッシュ値ではなく、Claudeは30分足らずでそれを突き止めた — Sebastien Rousseau

NISTのP-192、P-224、P-256、P-384、P-521曲線とともに公開されたシードは、一度もハッシュ出力ではなかった。それらはUnixタイムスタンプをシードとするCライブラリのlrand48生成器から生み出されていた...

Originally published at https://sebastienrousseau.com/ja/2026-10-26-nist-daen-kyokusen-nazo-shido-hasshu/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER