ज्या प्रश्नाचे उत्तर देऊ शकणाऱ्या एकमेव व्यक्तीचे 2023 मध्ये निधन झाल्यानंतर जो प्रश्न अनुत्तरित राहिला होता, त्याचे एक अतिशय साधे उत्तर होते: घड्याळावरून सुरू केलेला 1990 च्या दशकातील रँडम नंबर जनरेटर. लेखकांचे म्हणणे आहे की या उत्तरामुळे वक्र प्रामाणिकपणे निवडले गेले होते याबद्दलचा त्यांचा विश्वास कमी नाही, तर अधिक दृढ होतो.
कार्यकारी सारांश
- FIPS 186-2 डिजिटल सिग्नेचर स्टँडर्डचा भाग म्हणून 2000 मध्ये NIST द्वारे ECDSA स्वीकारण्यात आले. त्याच्या तपशिलांमध्ये "सीड" पॅरामीटर्स प्रकाशित केले गेले होते ज्यांच्या हॅश मूल्याचा उद्देश वक्र सहगुणक (curve coefficient) b निश्चित करणे हा होता. NSA ने कोणत्याही स्पष्टीकरणाशिवाय किंवा समर्थनाशिवाय हे सीड्स पुरवले होते.
- ऑक्टोबर 2026 मध्ये, एका अँथ्रोपिक (Anthropic) कर्मचाऱ्याने कोणत्याही दुव्याकडे बोट न दाखवता एका अंतर्गत संशोधन मॉडेलला हे सीड्स कसे तयार केले गेले हे शोधून काढण्यास सांगितले. अर्ध्या तासाच्या आत, Claude ला आढळले की कोणताही सीड हॅश आउटपुट नव्हता. ते घड्याळावरून सुरू केलेल्या एका सामान्य स्यूडोरँडम नंबर जनरेटरचे (pseudorandom number generator), म्हणजेच lrand48 चे आउटपुट होते.
- हा शोध म्हणजे ECDSA वक्रांमधील कोणतीही क्रिप्टोग्राफिक फूट, नवीन हल्ला किंवा कमकुवतपणा नाही. लेखकांचे म्हणणे आहे की यामुळे वक्र कोणत्याही छुप्या मार्गाशिवाय (backdoors) किंवा हेतुपुरस्सर ठेवलेल्या कमकुवतपणाशिवाय निवडले गेले होते याबद्दलचा त्यांचा विश्वास अधिक वाढतो.
- Claude ने मे 1997 मधील सहा वक्रांच्या पायाभूत बिंदूंचेही स्पष्टीकरण दिले की ते अर्जेन लेन्स्ट्रा (Arjen Lenstra) यांच्या लांब-पूर्णांक अंकगणितीय पॅकेजमधील, म्हणजेच FreeLIP मधील रँडम नंबर जनरेटरमधून आले होते. लेखकांच्या माहितीनुसार, यापूर्वी कधीही कोणत्याही NIST पायाभूत बिंदूचे स्पष्टीकरण दिले गेले नव्हते.
- काही खुले प्रश्न शिल्लक आहेत: P-224, P-256, P-384 आणि P-521 चे पायाभूत बिंदू कसे निवडले गेले, आणि वगळलेल्या उमेदवार वक्रांमागे काही निकष असल्यास ते काय होते.
व्युत्पन्न केल्यासारखा दिसणारा सहगुणक आणि ज्याचा कोणीही हिशेब देऊ शकले नाही असा सीड #
FIPS 186-2 डिजिटल सिग्नेचर स्टँडर्डचा भाग म्हणून 2000 मध्ये NIST द्वारे ECDSA स्वीकारण्यात आले. त्याच्या वक्रांच्या तपशिलांमध्ये एक "सीड" पॅरामीटर होता ज्याचे हॅश मूल्य वक्राचा सहगुणक b निश्चित करण्यासाठी वापरले जाते. कागदावर, ही एक आश्वासक रचना आहे. असा युक्तिवाद केला जातो की जर सहगुणक प्रकाशित सीडच्या हॅशमधून बाहेर येत असेल, तर कोणीही हाताने वक्रात फेरफार करू शकले नसते.
हा युक्तिवाद केवळ सीडइतकाच चांगला आहे. सीड्स NSA द्वारे कोणत्याही स्पष्टीकरणाशिवाय किंवा समर्थनाशिवाय पुरवले गेले होते, आणि ती दरी हीच संपूर्ण समस्या आहे. हॅश हा एकतर्फी दरवाजा आहे: तो हे सिद्ध करतो की सहगुणक सीडमधून निघाला आहे, आणि सीड कुठून आला याबद्दल काहीही सांगत नाही. वर्षानुवर्षे हे सीड्स मानकामध्ये अस्पष्टीकृत स्थिरांक (unexplained constants) म्हणून पडून राहिले.
ती दरी भरून काढण्यासाठी एक कथा प्रचलित होती. सर्वात प्रसिद्ध आवृत्तीनुसार NSA चे जुने कर्मचारी जेरी सोलिनास (Jerry Solinas) यांनी एका विनोदी पासफ्रेजच्या हॅशमधून हे सीड्स तयार केले होते. स्रोत नंतर सांगतो की हे चुकीचे निघाले. अशा कथांवर विश्वास ठेवला जातो कारण त्या विशिष्ट आणि थोड्या आकर्षक असतात, आणि कारण कोणीही त्यांना खोडून काढू शकत नाही. पुराव्या म्हणून त्या अपुऱ्या पडतात. याचा व्यावहारिक परिणाम असा झाला की कोणीही या दाव्याची पडताळणी करू शकले नाही, आणि अफवांच्या आधारे केलेल्या त्या वाक्यांशाच्या शोधांमधून काहीच हाती लागले नाही.
विचारण्यासाठी सर्वात उघड व्यक्ती म्हणजे सोलिनास होते. जेरी यांचे 2023 मध्ये निधन झाले, आणि त्या काळातील इतर सहकाऱ्यांनी प्रतिसाद दिला नाही. त्यामुळे हे सीड्स मुळात कसे तयार केले गेले होते हा प्रश्न अनुत्तरितच राहिला.
माझा असा युक्तिवाद आहे की परिस्थितीकडे पाहण्याचा हाच योग्य मार्ग आहे: डिजिटल स्वाक्षऱ्यांना आधार देणाऱ्या मानकासाठी काही लोकांच्या आठवणींवर अवलंबून असलेला उगमाचा प्रश्न ही एक नाजूक व्यवस्था आहे. पुढे जे घडले त्याबद्दलची मनोरंजक गोष्ट म्हणजे त्याला त्या आठवणींची गरजच भासली नाही. उत्तर प्रकाशित सीड्समध्येच दडलेले होते, आणि कोणीतरी योग्य गृहीतकाची चाचणी घेण्याची वाट पाहत होते.
तीस मिनिटे, कोणताही इशारा नाही, आणि हॅश नसलेला एक निकाल #
ऑक्टोबर 2026 मध्ये, एका जिज्ञासू अँथ्रोपिक कर्मचाऱ्याने कोणत्याही दुव्याकडे बोट न दाखवता एका अंतर्गत संशोधन मॉडेलला विचारले की ते सीड्स कसे तयार केले गेले हे ते शोधून काढू शकते का. येथील शब्दरचना महत्त्वाची आहे. मॉडेलला काय शोधायचे हे सांगितले गेले नव्हते, आणि केवळ दुजोरा देण्यासाठी त्याच्या हातात उत्तर ठेवले गेले नव्हते.
अर्ध्या तासाच्या आत, Claude ने NIST P-192, P-224, P-256, P-384 आणि P-521 सीड्सच्या उगमाचा शोध लावला. निकाल थेट आणि स्पष्ट आहे: कोणताही सीड कोणत्याही हॅश अल्गोरिदमचा निकाल नव्हता. ते C लायब्ररीच्या lrand48 रँडम-नंबर जनरेटरचे आउटपुट होते.
त्यामुळे पासफ्रेजची कथा कधीच सापडणार नव्हती, कारण शोधण्यासाठी कोणताही पासफ्रेज अस्तित्वातच नव्हता. सीड्स घड्याळावरून सुरू केलेल्या एका सामान्य स्यूडोरँडम नंबर जनरेटरद्वारे तयार केले गेले होते. हे एक साधे, कोणताही भपका नसलेले स्पष्टीकरण आहे, आणि हेच नेमके त्याचे आकर्षण आहे: यासाठी कोणत्याही गुपिताची, कोणत्याही विशेष ज्ञानाची आणि कोणत्याही अस्पष्टीकृत स्थिरांकाची गरज नाही.
याची कार्यपद्धती वर्णन करण्यास सोपी आहे. अल्गोरिदमची प्रत्येक पुनरावृत्ती उमेदवार सीड म्हणून जनरेटरमधून 20 बाइट्स काढते. पुनरावृत्तीची संख्या हा एक मनोरंजक तपशील आहे, कारण तो दाखवतो की ही प्रक्रिया एक शोध होती, एकाच प्रयत्नात काढलेला आकडा नव्हता. उदाहरणार्थ, P-256 ला प्रमाणित सीड आउटपुट करण्यासाठी 1842 पुनरावृत्तींची गरज लागली. ज्याने कोणी हा प्रोग्राम चालवला त्याने त्यांच्या अटी पूर्ण करणारा वक्र मिळेपर्यंत उमेदवारांची छाननी चालू ठेवली.
याचा काय अर्थ होतो आणि काय होत नाही याबद्दल लेखक सावध आहेत, आणि त्यांची मांडणी पुन्हा सांगण्यासारखी आहे. ही ECDSA वक्रांमधील कोणतीही क्रिप्टोग्राफिक फूट, नवीन हल्ला किंवा कमकुवतपणा नाही. यात कोणतीही कृती करण्याची गरज नाही. ते एक पाऊल पुढे जातात आणि म्हणतात की यामुळे वक्र कोणत्याही छुप्या मार्गाशिवाय किंवा हेतुपुरस्सर ठेवलेल्या कमकुवतपणाशिवाय निवडले गेले होते याबद्दलचा त्यांचा विश्वास अधिक वाढतो. हा एक सावध निष्कर्ष आहे, आणि तो तसाच राहिला पाहिजे. स्रोत याला लेखकांचा विश्वास म्हणून मांडतो, जी वक्रांच्या निर्दोषतेच्या पुराव्यापेक्षा वेगळी गोष्ट आहे. हा शोध एका न तपासता येणाऱ्या कथेच्या जागी एक साधा, तपासता येण्याजोगा हिशेब देतो.
एका स्कॅनरने 1990 च्या दशकातील जनरेटरचा ठसा कसा शोधून काढला #
या पद्धतीकडे लक्ष देणे गरजेचे आहे, कारण हाच तो भाग आहे जो इतर लोक पुन्हा वापरू शकतात.
Claude ने असा अंदाज बांधला की ज्या सॉफ्टवेअरने हे वक्र तयार केले त्याने 1990 च्या दशकातील C लायब्ररींसोबत येणाऱ्या PRNG चा वापर केला होता. स्रोत याला एक अंदाज मानतो, आणि तो एक चांगला अंदाज होता. त्याने एका अमर्याद शोधाला एकाच काळातील उमेदवारांच्या छोट्या यादीत मर्यादित केले.
Claude ने नंतर एक स्कॅनर लिहिला. तो प्रत्येक प्रकाशित सीडवरून एका वेळी एक बिट पुढे सरकला आणि शेजारचे तुकडे (adjacent chunks) 1990 च्या दशकातील जनरेटरचे सलग आउटपुट होते का याची त्याने चाचणी घेतली. या स्कॅनमध्ये जनरेटर आणि आउटपुट तुकड्यांच्या 34 जोड्यांचा समावेश होता. सर्वात वरच्या बिट्समध्ये एका पॅटर्नच्या स्वरूपात यश मिळाले, असा पॅटर्न जो योगायोगाने घडण्याची शक्यता केवळ 1/5810 इतकीच होती.
तो पॅटर्न लिनियर कॉन्ग्रुएंशियल जनरेटर (linear congruential generator) lrand48 ची स्वाक्षरी (signature) होता, जो 48-बिट स्थितीमधील केवळ वरचे 31 बिट्स परत करतो. इथे जनरेटरची रचनाच गुपित उघड करते. कारण lrand48 प्रत्येक कॉलवर आपल्या 48-बिट स्थितीमधील 17 बिट्स लपवतो, त्यामुळे त्याच्या आउटपुटमध्ये एक प्रकारची नियमितता असते जी रँडम स्ट्रिंगमध्ये दिसणार नाही, आणि ती नियमितता शोधण्यासाठी तयार केलेला स्कॅनर ती पकडू शकतो.
स्थिती परत मिळवण्यासाठी, Claude ने पहिला शब्द (word) घेतला आणि 17 लपलेल्या बिट्सच्या सर्व 2^17 मूल्यांवर प्रयोग केला. हा एक छोटा शोध आहे, आणि तो स्वस्त आहे कारण जनरेटर खूप सोपा आहे. प्रत्येक उमेदवार स्थितीची सीडच्या पुढील तुकड्याशी ताडून पाहणी केली जाऊ शकत होती, आणि योग्य स्थितीमुळे संपूर्ण क्रम एका ओळीत जुळून आला.
प्राईम-वक्र (prime-curve) सीड्स थोडे कठीण होते, तरीही अगदी किंचितच. ते त्याच lrand48 जनरेटरमधून आले होते परंतु प्रत्येक आउटपुटचे कमी बिट्स ठेवत होते. कमी दृश्यमान बिट्स म्हणजे अंदाज बांधण्यासाठी कमी आधार, त्यामुळे ब्रूट-फोर्स (brute-force) युक्ती तितक्या सफाईदारपणे लागू होत नाही. स्रोताचे उत्तर असे आहे की कापलेल्या (truncated) लिनियर कॉन्ग्रुएंशियल जनरेटरची स्थिती परत मिळवणे ही पाठ्यपुस्तकातील लॅटिस समस्या आहे, जी लेन्स्ट्रा-लेन्स्ट्रा-लोवाझ (LLL) बेसिस रिडक्शन अल्गोरिदमने सोडवली जाते. एक मॉडेल हे ओळखू शकले, आणि कोणत्याही अनोख्या गोष्टीशिवाय त्यावर एक प्रमाणित साधन लागू करू शकले.
पाच NIST प्राईम-वक्र सीड्स, आणि त्याशिवाय ANSI X9.62 मानकामधील आणखी पाच सीड्स, या सर्वांमध्ये एकच पॅटर्न होता: lrand48() >> 23. दहा सीड्सनी एकच निष्कर्षण नियम सामायिक करणे हा त्यांच्यामागे एकच प्रक्रिया असल्याचा भक्कम पुरावा आहे.
मग ती तपासणी येते जी नशिबाने जुळलेल्या गोष्टीला खऱ्या गोष्टीपासून वेगळे करते. परत मिळवलेली प्रत्येक 48-बिट स्थिती तिच्या सीडचे सर्व 160 बिट्स पुन्हा तयार (regenerate) करते, जे योगायोगाने घडत नाही. अंशत: जुळणी हा योगायोग असू शकतो. प्रत्येक बिटची पूर्ण पुनर्निर्मिती ही झटकून टाकण्यास खूप कठीण गोष्ट आहे, आणि याच कारणामुळे हा निकाल स्पष्टपणे मांडला जाऊ शकतो.
घड्याळ वाचण्यासाठी जनरेटर उलटा चालवणे #
एखादी स्थिती परत मिळवल्यामुळे सीड कसा तयार झाला हे समजते. परंतु तो कधी तयार झाला हे अद्याप समजत नाही. त्यासाठी, Claude ने जनरेटरच्या एका गुणधर्माचा वापर केला: तो जितक्या सहजतेने पुढे चालतो तितक्याच सहजतेने मागेही चालतो. प्रत्येक सीडसाठी, Claude ने स्थिती तोपर्यंत मागे नेली जोपर्यंत ती srand48 इनिशियलायझेशन तयार करेल अशा स्वरूपात पोहोचली नाही, जिथे खालचे 16 बिट्स 0x330E च्या बरोबरीचे असतात.
ते स्वरूप स्वतःच एक ठसा (fingerprint) आहे. जर परत मिळवलेली स्थिती खालचे 16 बिट्स 0x330E असलेल्या स्थितीपर्यंत मागे नेली जाऊ शकत असेल, तर जनरेटर प्रमाणित पद्धतीने, म्हणजेच srand48 ला दिलेल्या सीड मूल्यावरून सुरू केला गेला होता. आणि या प्रकरणात, ते सीड मूल्य म्हणजे एक वेळ होती. सीड्स युनिक्स टाइमस्टॅम्पद्वारे सीड केलेल्या कमकुवत PRNG चा वापर करून तयार केले गेले होते.
त्या वेळच्या Claude च्या अंतर्गत विचारप्रक्रियेने ओळख पटल्याचा तो क्षण टिपला: सर्व वरचे बिट्स स्वच्छ (शून्य) होते, 20 बिट्स, 1e-6 च्या शक्यतेसह. हा एक छोटा तपशील आहे, परंतु तो दाखवतो की तर्क नंतर रचलेल्या कोणत्याही कथेवर नाही, तर आकडे जसे समोर आले त्यावर काम करत होता.
सर्वच तारखा स्वच्छ नव्हत्या. चार बायनरी-वक्र इनिशियलायझेशन फेब्रुवारी 1984 असे वाचले गेले, जी 1990 च्या दशकाच्या उत्तरार्धात वापरात असलेल्या जनरेटरसाठी कोणीही अपेक्षित धरू नये अशी तारीख आहे. टाइमस्टॅम्प दुप्पट केल्यावर, बायनरी-वक्र इनिशियलायझेशन 17 एप्रिल 1998 या तारखेशी जुळतात, जी P-224 रनच्या दोन आठवड्यांनंतरची तारीख आहे. स्रोत असा निष्कर्ष काढतो की प्रोग्रामने घड्याळाची वेळ निम्मी केली असावी. हे विधान सावधगिरीने केले आहे, आणि तसेच असायला हवे: कच्ची मूल्ये 1984 अशी का वाचली जातात याचे हे एक प्रस्तावित स्पष्टीकरण आहे, आणि दुप्पट केल्याने दुसऱ्या रनच्या बरोबर दोन आठवड्यांनंतरची तारीख मिळणे हे प्रोग्रामच्या अंतर्गत रचनेची पुष्टी नसले तरी एक सूचक गोष्ट नक्कीच आहे.
मला हा संपूर्ण वृत्तांतातील सर्वात पटणारा भाग वाटतो, आणि त्यामागील कारण क्रिप्टोग्राफीपासून स्वतंत्र आहे. एका बनावट कथेने नीटनेटके आकडे आणि तारखा दिल्या असत्या. याने आधी एक विसंगत तारीख दिली, आणि मग एक दुरुस्ती दिली ज्याने बायनरी वक्रांना P-224 रनसोबत एका सुसंगत क्रमात बसवले. एका साध्या गृहीतकाखाली सुटणारा विस्कळीत डेटा - खरा उगम (provenance) असाच दिसतो.
पायाभूत बिंदूंचीही एक कृती आहे #
सीड्स वक्र निश्चित करतात. पायाभूत बिंदू (base points) हा एक वेगळा विषय आहे, आणि स्रोत त्यांच्याकडे स्वतंत्रपणे पाहतो.
मे 1997 मध्ये तयार केलेल्या सहा वक्रांचे (P-192 आणि पाच ANSI X9.62 उदाहरण वक्र prime192v2, prime192v3 आणि prime239v1 ते v3) पायाभूत बिंदू अर्जेन लेन्स्ट्रा यांच्या लांब-पूर्णांक अंकगणितीय पॅकेजमधील, म्हणजेच FreeLIP मधील रँडम नंबर जनरेटरमधून आले आहेत. व्हिक्टर शूप (Victor Shoup) यांच्या NTL लायब्ररीच्या सुरुवातीच्या आवृत्त्यांमध्ये हाच कोड होता. दुसरी वस्तुस्थिती पडताळणीसाठी महत्त्वाची आहे: हा जनरेटर खाजगी साधन म्हणून नाही, तर इतर लोक वाचू शकतील अशा प्रकाशित कोडच्या स्वरूपात अस्तित्वात आहे.
याची कृती छोटी आहे. एका लहान पूर्णांकाने जनरेटर सीड करा. सात आउटपुट फेकून द्या. मॉड p (mod p) ने कमी केलेल्या 26-बिट आउटपुटमधून उमेदवार x-निर्देशक (x-coordinates) तयार करा. जोपर्यंत x वक्रावर येत नाही तोपर्यंत उमेदवार तयार करण्याची ही प्रक्रिया पुन्हा पुन्हा करा.
Claude ने जनरेटर सीड्स शोधून काढले: P-192 साठी 20000, prime239v1 ते v3 साठी 20420, 20507 आणि 20509, आणि prime192v2 व v3 साठी 20512 आणि 20517. हे अशा प्रकारचे लहान पूर्णांक आहेत जे एखादी व्यक्ती प्रोग्राममध्ये टाईप करते, आणि कृतीच्या पहिल्या पायरीची नेमकी हीच मागणी आहे.
लेखक इथे एक असा दावा करतात जो नम्र आहे आणि त्याचा आशय उद्धृत करण्यासारखा आहे: त्यांच्या माहितीनुसार, यापूर्वी कधीही कोणत्याही NIST पायाभूत बिंदूचे स्पष्टीकरण दिले गेले नव्हते. ही सावधगिरी त्यांची स्वतःची आहे, आणि ती योग्य आहे. ते आजवर लिहिलेल्या प्रत्येक दस्तऐवजाचे सर्वेक्षण केल्याचा दावा करत नाहीत, तर केवळ आपल्या ज्ञानाची मर्यादा सांगत आहेत.
त्यानंतर ही कृती काम करणे थांबवते. P-224, P-256, P-384 आणि P-521 चे पायाभूत बिंदू या कृतीमध्ये बसत नाहीत, आणि ते कसे निवडले गेले याचे स्पष्टीकरण लेखक देऊ शकले नाहीत. ज्या लेखाने यावर पांघरूण घातले असते तो अधिक नीटनेटका दिसला असता, परंतु लेखकांनी हे तसेच ठेवले. हे स्पष्टीकरण मे 1997 मधील सहा वक्रांना लागू पडते आणि NIST प्राईम वक्रांच्या चार पायाभूत बिंदूंना अस्पष्टीकृत सोडते.
उमेदवार जे नाकारले गेले #
शेवटचा निष्कर्ष हा वादाला तोंड फोडण्याची सर्वाधिक शक्यता असलेला निष्कर्ष आहे, त्यामुळे तो अचूकपणे वाचणे गरजेचे आहे.
P-256 साठी, प्रकाशित सीड हा उमेदवार क्रमांक 1842 आहे. परंतु त्याच रनमधील उमेदवार 876 देखील योग्य आकाराचा प्राईम-ऑर्डर वक्र देतो, ज्याचे पॅरामीटर्स प्रकाशित वक्राप्रमाणेच निवडलेले आहेत. दुसऱ्या शब्दांत सांगायचे तर, या प्रक्रियेने असा एक वक्र ओलांडून पुढे प्रवास केला जो सकृतदर्शनी स्वीकारार्ह ठरला असता.
ही काही एकमेव घटना नाही. P-224 च्या रनने असे तीन वक्र वगळले, आणि ANSI X9.62 उदाहरण वक्रांमागील दोन रन्सनी आणखी सात वक्र वगळले.
आपल्याला काय माहित नाही याबद्दल लेखक स्पष्ट आहेत. वक्र वगळण्यासाठी कोणते निकष वापरले गेले असावेत, किंवा तो एक अनावधानाने झालेला परिणाम (unintentional artifact) होता का, हे त्यांना माहित नाही. ही एक मर्यादा आहे, जी तशीच मांडली गेली आहे, आणि "अनावधानाने झालेला परिणाम" याबद्दलची सावधगिरी हीच प्रामाणिक भूमिका आहे: उमेदवार वगळले गेले हे डेटा दाखवतो, पण का वगळले गेले हे दाखवत नाही.
त्यानंतर ते एक अनुमान मांडतात. वगळलेल्या उमेदवारांची संख्या कमी असल्यामुळे, कमकुवत केलेले वक्र निवडले गेले असावेत हे त्यांना पटण्यासारखे (plausible) वाटत नाही. हा संभाव्यतेबद्दलचा सावध तर्क आहे, आणि तो मोजणीवर आधारित आहे. जर एखादी प्रक्रिया एकूण मिळून केवळ मोजकेच उमेदवार वगळत असेल, तर कमकुवतपणा शोधण्यासाठी तिथे फारच कमी वाव उरतो.
एक इशारा अजूनही शिल्लक राहतो, आणि स्रोत त्याला निष्कर्ष म्हणून नाही तर एक शक्यता म्हणून मांडतो. रँडम नंबर जनरेटरच्या टाइमस्टॅम्पवर शोध घेऊन विशिष्ट गुणधर्म असलेले हे वक्र तत्त्वतः निवडले गेले असावेत, अशी कल्पना करणे अजूनही शक्य आहे. हा तर्कवितर्क (speculation) आहे, आणि त्याला तसेच चिन्हांकित केले आहे. याला कशाचाही पुरावा म्हणून वाचले जाऊ नये, आणि गुपचूप वगळलेही जाऊ नये. एक निष्पक्ष वृत्तांत याला नाकारता न येणारा मार्ग म्हणून टेबलावर ठेवतो, आणि त्याच वेळी हे नोंदवतो की लेखकांना कमकुवत वक्रांची शक्यता अकल्पनीय वाटते.
हा निकाल काय बदलतो, आणि काय अनुत्तरित ठेवतो #
हा निकाल काय बदलत नाही तिथून सुरुवात करूया. हे वक्र तुटलेले (broken) नाहीत. स्रोत वेगवेगळ्या शब्दांत दोनदा असे सांगतो, आणि कोणतीही कृती करण्याची गरज नाही. जो कोणी P-256 काढून टाकण्याचे कारण म्हणून हे वाचत आहे, त्याने याचा चुकीचा अर्थ लावला आहे.
हा निकाल काय बदलतो, तर एका जुन्या संशयाचा दर्जा. जोपर्यंत सीड्स अस्पष्टीकृत होते, तोपर्यंत "कोणत्याही स्पष्टीकरणाशिवाय NSA द्वारे पुरवलेले" हे एका मानकावर उभे असलेले कायमचे प्रश्नचिन्ह होते. त्या प्रश्नचिन्हाला आता एक ठोस उत्तर मिळाले आहे. सीड्स कोणत्याही गुप्त वाक्यांशाचे अनाकलनीय हॅश नव्हते. ते घड्याळावरून सीड केलेल्या प्रोग्राममधील lrand48 आउटपुट होते, जे परत मिळवलेल्या स्थितीवरून प्रत्येक सीडचा प्रत्येक बिट पुन्हा तयार करतात. प्रकाशित सीड्स असलेला कोणीही माणूस ज्याची चाचणी घेऊ शकतो असे स्पष्टीकरण, कोणीही तपासू न शकणाऱ्या अफवेपेक्षा कधीही श्रेष्ठ ठरते.
क्रिप्टोग्राफिक मानकांवर काम करणाऱ्या संस्थापक आणि अभियंत्यांसाठी इथे एक महत्त्वाचा मुद्दा आहे. उगमाबद्दलचे दावे करणे स्वस्त असते आणि तपासणे महाग असते, आणि इथे वर्णन केलेल्या तपासणीला योग्य प्रश्न विचारल्यानंतर अर्ध्या तासापेक्षा कमी वेळ लागला. स्कॅनर, 2^17 शोध आणि लॅटिस रिडक्शन या सर्व प्रमाणित चाली आहेत. वर्षानुवर्षे काय गहाळ होते, तर प्रकाशित आकड्यांवर त्या चालवून पाहण्याचे कोणताही भपका नसलेले काम करणारी व्यक्ती.
या पद्धतीचा अवाजवी गवगवा करण्याच्या मोहालाही मी आवर घालीन. स्रोत सीड्सच्या एका विशिष्ट संचावर एका टीमने मिळवलेल्या निकालाची नोंद करतो. हाच दृष्टिकोन प्रत्येक मानकातील प्रत्येक अस्पष्टीकृत स्थिरांक फोडेल असा दावा तो करत नाही, आणि मी त्यांच्या वतीने असा दावा करणार नाही. तो जे दाखवून देतो ते अधिक मर्यादित आहे आणि माझ्या मते अधिक उपयुक्त आहे: जेव्हा एखाद्या पॅरामीटरचा उगम रहस्य असतो, तेव्हा त्या काळातील साधनांबद्दल सयुक्तिक अंदाज असलेले एक काळजीपूर्वक काम करणारे मॉडेल त्या अंदाजाची वेगाने चाचणी घेऊ शकते आणि आपले काम दाखवू शकते.
अपूर्ण राहिलेले काम संशोधनाचा विषय ठरण्याइतपत स्पष्ट आहे. चार पायाभूत बिंदू - P-224, P-256, P-384 आणि P-521 चे - अजूनही स्पष्टीकरणाच्या प्रतीक्षेत आहेत. वगळलेले उमेदवार, जसे की P-256 साठी प्रकाशित 1842 च्या आधीचा 876, यांना कोणताही स्पष्ट निकष नाही, आणि ते वगळणे हेतुपुरस्सर होते की केवळ एक तांत्रिक परिणाम, हे अद्याप कोणालाही माहित नाही. ती उत्तरे जुन्या सोर्स कोडमध्ये, हयात असलेल्या सहकाऱ्यांच्या आठवणींमध्ये, किंवा ज्या पॅटर्न-हंटिंगने सीड्सचे रहस्य उलगडले त्याच प्रकारच्या शोधात टिकून आहेत का, हा एक खुला प्रश्न आहे. सीड्सना अर्धा तास लागला; पायाभूत बिंदूंनी या दृष्टिकोनाला आधीच एकदा दाद दिलेली नाही.
वारंवार विचारले जाणारे प्रश्न #
या शोधामुळे P-256 किंवा P-384 सारखे NIST ECDSA वक्र तुटतात का?
नाही. वक्रांचे सीड्स पासफ्रेज हॅशऐवजी lrand48 द्वारे तयार केले गेले होते या शोधामुळे ECDSA वक्रांमध्ये कोणतीही क्रिप्टोग्राफिक फूट, नवीन हल्ला किंवा गणितीय कमकुवतपणा येत नाही, आणि या शोधामुळे कोणत्याही दुरुस्तीची किंवा स्थलांतराची (migration) कृती करण्याची आवश्यकता नाही.
NIST प्राईम-वक्र सीड्स प्रत्यक्षात कसे तयार केले गेले होते?
प्रत्येक 160-बिट सीड C स्टँडर्ड लायब्ररीच्या lrand48 लिनियर कॉन्ग्रुएंशियल जनरेटरला (विशेषतः पाच NIST प्राईम वक्र आणि पाच ANSI X9.62 वक्रांसाठी lrand48() >> 23) कॉल करून तयार केला गेला होता, जो युनिक्स टाइमस्टॅम्पसह srand48 द्वारे सुरू केला गेला होता. लेन्स्ट्रा-लेन्स्ट्रा-लोवाझ (LLL) लॅटिस रिडक्शनद्वारे 48-बिट अंतर्गत स्थिती परत मिळवल्यास प्रत्येक प्रकाशित सीडचे सर्व 160 बिट्स पुन्हा तयार होतात.
NIST लंबगोलाकार वक्र पॅरामीटर्सबद्दल काय अस्पष्टीकृत राहिले आहे?
जरी P-192 आणि पाच ANSI X9.62 वक्रांचे पायाभूत बिंदू लहान पूर्णांकांनी सीड केलेल्या अर्जेन लेन्स्ट्रा यांच्या FreeLIP पॅकेजमधील रँडम नंबर जनरेटरपर्यंत शोधले गेले असले, तरी P-224, P-256, P-384 आणि P-521 चे पायाभूत बिंदू त्या कृतीशी जुळत नाहीत, आणि आधीचे प्राईम-ऑर्डर उमेदवार वक्र (जसे की P-256 मध्ये उमेदवार 1842 पूर्वीचा उमेदवार 876) वगळण्यामागील निकष अज्ञात राहिले आहेत.
संदर्भ #
- Anthropic Frontier Red Team, (2026). Claude reveals ECDSA curve origins ⧉. Anthropic.
- National Institute of Standards and Technology, (2000). FIPS PUB 186-2: Digital Signature Standard (DSS) ⧉. NIST.
- Victor Shoup, (2024). NTL: A Library for doing Number Theory ⧉. libntl.org.
शेवटचे पुनरावलोकन .
हा लेख क्रॉस-पोस्ट करा
Medium साठी स्वरूपित कॉपी करा
# NIST च्या वक्रांमागील रहस्यमय सीड्स कधीच हॅश नव्हते, आणि Claude ने अर्ध्या तासाच्या आत याचा शोध लावला — Sebastien Rousseau > Originally published at [https://sebastienrousseau.com/mr/2026-10-26-nist-chya-vakranmagil-rahasyamay-sids-kadhich/](https://sebastienrousseau.com/mr/2026-10-26-nist-chya-vakranmagil-rahasyamay-sids-kadhich/) NIST P-192, P-224, P-256, P-384 आणि P-521 वक्रांसोबत प्रकाशित केलेले सीड्स कधीच हॅश आउटपुट नव्हते. ते युनिक्स टाइमस्टॅम्पद्वारे सीड केलेल्या C लायब्ररीच्या lrand48 जनरेटरमधून आले होते. Read the full article on sebastienrousseau.com: https://sebastienrousseau.com/mr/2026-10-26-nist-chya-vakranmagil-rahasyamay-sids-kadhich/
Mastodon साठी स्वरूपित कॉपी करा
NIST च्या वक्रांमागील रहस्यमय सीड्स कधीच हॅश नव्हते, आणि Claude ने अर्ध्या तासाच्या आत याचा शोध लावला — Sebastien Rousseau NIST P-192, P-224, P-256, P-384 आणि P-521 वक्रांसोबत प्रकाशित केलेले सीड्स कधीच हॅश आउटपुट नव्हते. ते युनिक्स टाइमस्टॅम्पद्वारे सीड केलेल्या C लायब्ररीच्या lrand48 जनरेटरमधून आले होते. https://sebastienrousseau.com/mr/2026-10-26-nist-chya-vakranmagil-rahasyamay-sids-kadhich/
LinkedIn साठी स्वरूपित कॉपी करा
NIST च्या वक्रांमागील रहस्यमय सीड्स कधीच हॅश नव्हते, आणि Claude ने अर्ध्या तासाच्या आत याचा शोध लावला — Sebastien Rousseau NIST P-192, P-224, P-256, P-384 आणि P-521 वक्रांसोबत प्रकाशित केलेले सीड्स कधीच हॅश आउटपुट नव्हते. ते युनिक्स टाइमस्टॅम्पद्वारे सीड केलेल्या C लायब्ररीच्या lrand48 जनरेटरमधून आले होते. येथे मुख्य धोरणात्मक मुद्दे आहेत: - व्युत्पन्न केल्यासारखा दिसणारा सहगुणक आणि ज्याचा कोणीही हिशेब देऊ शकले नाही असा सीड. FIPS 186-2 डिजिटल सिग्नेचर स्टँडर्डचा भाग म्हणून 2000 मध्ये NIST द्वारे ECDSA स्वीकारण्यात आले. - तीस मिनिटे, कोणताही इशारा नाही, आणि हॅश नसलेला एक निकाल. ऑक्टोबर 2026 मध्ये, एका जिज्ञासू अँथ्रोपिक कर्मचाऱ्याने कोणत्याही दुव्याकडे बोट न दाखवता एका अंतर्गत संशोधन मॉडेलला विचारले की ते सीड्स कसे तयार केले गेले हे ते शोधून काढू शकते का. - एका स्कॅनरने 1990 च्या दशकातील जनरेटरचा ठसा कसा शोधून काढला. या पद्धतीकडे लक्ष देणे गरजेचे आहे, कारण हाच तो भाग आहे जो इतर लोक पुन्हा वापरू शकतात. - घड्याळ वाचण्यासाठी जनरेटर उलटा चालवणे. एखादी स्थिती परत मिळवल्यामुळे सीड कसा तयार झाला हे समजते. या लेखात मांडलेल्या आव्हानांसाठी तुमच्या संस्थेचा दृष्टिकोन काय आहे? → https://sebastienrousseau.com/mr/2026-10-26-nist-chya-vakranmagil-rahasyamay-sids-kadhich/ #रहस्य #सीड्स #मागील #Nist #वक्र Sebastien Rousseau | CC-BY-4.0
हा लेख उद्धृत करा
NIST च्या वक्रांमागील रहस्यमय सीड्स कधीच हॅश नव्हते, आणि Claude ने अर्ध्या तासाच्या आत याचा शोध लावला — Sebastien Rousseau
NIST P-192, P-224, P-256, P-384 आणि P-521 वक्रांसोबत प्रकाशित केलेले सीड्स कधीच हॅश आउटपुट नव्हते. ते युनिक्स टाइमस्टॅम्पद्वारे सीड केलेल्या C लायब्ररीच्या lrand48 जनरेटरमधून आले होते.
BibTeX
@online{rousseau2026nist,
author = {Rousseau, Sebastien},
title = {{NIST च्या वक्रांमागील रहस्यमय सीड्स कधीच हॅश नव्हते, आणि Claude ने अर्ध्या तासाच्या आत याचा शोध लावला — Sebastien Rousseau}},
year = {2026},
url = {https://sebastienrousseau.com/mr/2026-10-26-nist-chya-vakranmagil-rahasyamay-sids-kadhich/},
urldate = {2026}
}RIS
TY - GEN AU - Rousseau, Sebastien TI - NIST च्या वक्रांमागील रहस्यमय सीड्स कधीच हॅश नव्हते, आणि Claude ने अर्ध्या तासाच्या आत याचा शोध लावला — Sebastien Rousseau PY - 2026 UR - https://sebastienrousseau.com/mr/2026-10-26-nist-chya-vakranmagil-rahasyamay-sids-kadhich/ ER -
Vancouver
Rousseau S. NIST च्या वक्रांमागील रहस्यमय सीड्स कधीच हॅश नव्हते, आणि Claude ने अर्ध्या तासाच्या आत याचा शोध लावला — Sebastien Rousseau. sebastienrousseau.com. 2026 Oct 26. Available from: https://sebastienrousseau.com/mr/2026-10-26-nist-chya-vakranmagil-rahasyamay-sids-kadhich/
Chicago
Rousseau, Sebastien. "NIST च्या वक्रांमागील रहस्यमय सीड्स कधीच हॅश नव्हते, आणि Claude ने अर्ध्या तासाच्या आत याचा शोध लावला — Sebastien Rousseau." sebastienrousseau.com. October 26, 2026. https://sebastienrousseau.com/mr/2026-10-26-nist-chya-vakranmagil-rahasyamay-sids-kadhich/.
APA
Rousseau, S. (2026, October 26). NIST च्या वक्रांमागील रहस्यमय सीड्स कधीच हॅश नव्हते, आणि Claude ने अर्ध्या तासाच्या आत याचा शोध लावला — Sebastien Rousseau. sebastienrousseau.com. https://sebastienrousseau.com/mr/2026-10-26-nist-chya-vakranmagil-rahasyamay-sids-kadhich/
हा लेख पुनःप्रकाशित करा
NIST च्या वक्रांमागील रहस्यमय सीड्स कधीच हॅश नव्हते, आणि Claude ने अर्ध्या तासाच्या आत याचा शोध लावला — Sebastien Rousseau
NIST P-192, P-224, P-256, P-384 आणि P-521 वक्रांसोबत प्रकाशित केलेले सीड्स कधीच हॅश आउटपुट नव्हते. ते युनिक्स टाइमस्टॅम्पद्वारे सीड केलेल्या C लायब्ररीच्या lrand48 जनरेटरमधून आले होते.
हा लेख यानुसार परवानाकृत आहे Creative Commons Attribution 4.0 International. पुनःप्रकाशनासाठी कॅनॉनिकल URL ला श्रेय देणे आवश्यक आहे.
NIST च्या वक्रांमागील रहस्यमय सीड्स कधीच हॅश नव्हते, आणि Claude ने अर्ध्या तासाच्या आत याचा शोध लावला — Sebastien Rousseau NIST P-192, P-224, P-256, P-384 आणि P-521 वक्रांसोबत प्रकाशित केलेले सीड्स कधीच हॅश आउटपुट नव्हते. ते युनिक्स टाइमस्टॅम्पद्वारे सीड केलेल्या C लायब्ररीच्या lrand48 जनरेटरमधून आले होते. Originally published at https://sebastienrousseau.com/mr/2026-10-26-nist-chya-vakranmagil-rahasyamay-sids-kadhich/ by Sebastien Rousseau. Licensed under CC-BY-4.0.