De mysterieuze seeds achter de NIST-curven waren nooit hashes, en Claude ontdekte dat in minder dan een half uur

TL;DR. De seeds die zijn gepubliceerd bij de NIST-curven P-192, P-224, P-256, P-384 en P-521 waren nooit hash-uitvoer. Ze kwamen uit de lrand48-generator van de C-bibliotheek, geïnitialiseerd met een Unix-tijdstempel...

Belangrijkste punten

Een coëfficiënt die afgeleid leek en een seed die niemand kon verklaren. ECDSA werd in 2000 door NIST aangenomen als onderdeel van de FIPS 186-2 Digital Signature Standard.
Dertig minuten, geen enkele hint, en een resultaat dat geen hash was. In oktober 2026 vroeg een nieuwsgierige medewerker van Anthropic aan een intern onderzoeksmodel of het kon achterhalen hoe die seeds waren gegenereerd, zonder op het spoor te wijzen.
Hoe een scanner de vingerafdruk van een generator uit de jaren negentig vond. De gebruikte methode verdient aandacht, omdat anderen dit onderdeel opnieuw kunnen gebruiken.
De generator achteruit laten lopen om de klok af te lezen. Het herstellen van een toestand vertelt je hoe de seed is geproduceerd, maar nog niet wanneer.

Een vraag die openbleef nadat de enige persoon die haar had kunnen beantwoorden in 2023 overleed, bleek een alledaags antwoord te hebben: een randomgenerator uit de jaren negentig, geïnitialiseerd met de klok. Volgens de auteurs sterkt dat antwoord hun vertrouwen dat de curven eerlijk zijn gekozen.

Managementoverzicht

ECDSA werd in 2000 door NIST aangenomen als onderdeel van de FIPS 186-2 Digital Signature Standard. De specificaties publiceerden "seed"-parameters waarvan de hashwaarde bedoeld was om de curvecoëfficiënt b vast te leggen. De NSA leverde de seeds aan zonder uitleg of verantwoording.

In oktober 2026 vroeg een medewerker van Anthropic aan een intern onderzoeksmodel om uit te zoeken hoe de seeds waren gegenereerd, zonder naar de aanwijzing te wijzen. In minder dan een half uur ontdekte Claude dat geen enkele seed een hash-uitvoer was. Het was de uitvoer van lrand48, een gangbare pseudotoevalsgenerator die vanuit de systeemklok wordt geïnitialiseerd.

De bevinding is geen cryptografische kraak, nieuwe aanval of zwakte in de ECDSA-curven. De auteurs zeggen dat het hen juist meer vertrouwen geeft dat de curven zijn gekozen zonder achterdeurtjes of opzettelijke zwakheden.

Claude verklaarde ook dat de basispunten van zes curven uit mei 1997 afkomstig waren van de randomgenerator in FreeLIP, het rekenpakket voor grote gehele getallen van Arjen Lenstra. Voor zover de auteurs weten, was nog nooit eerder een NIST-basispunt verklaard.

Er blijven open vragen: hoe de basispunten van P-224, P-256, P-384 en P-521 zijn geselecteerd, en welke criteria er eventueel schuilgingen achter de overgeslagen kandidaatcurven.

Een coëfficiënt die afgeleid leek en een seed die niemand kon verklaren #

ECDSA werd in 2000 door NIST aangenomen als onderdeel van de FIPS 186-2 Digital Signature Standard. De specificaties voor de bijbehorende curven bevatten een "seed"-parameter waarvan de hashwaarde wordt gebruikt om de coëfficiënt b van de curve te definiëren. Op papier is dat een geruststellend ontwerp. Als de coëfficiënt uit de hash van een gepubliceerde seed rolt, zo luidt de redenering, kan niemand de curve met de hand hebben bijgesteld.

Die redenering is echter slechts zo sterk als de seed zelf. De seeds werden door de NSA aangeleverd zonder uitleg of verantwoording, en precies dat gat vormt het hele probleem. Een hashfunctie is een eenrichtingsdeur: ze bewijst dat de coëfficiënt uit de seed volgt, maar zegt niets over waar de seed vandaan kwam. Jarenlang stonden de seeds in de standaard als onverklaarde constanten.

Er deed wel een verhaal de ronde om die leemte te vullen. Volgens de bekendste versie had Jerry Solinas, een ervaren NSA-medewerker, de seeds gegenereerd uit de hash van een humoristische wachtwoordzin. De bron vermeldt verderop dat dit onjuist bleek te zijn. Zulke verhalen worden makkelijk geloofd omdat ze specifiek en een tikje charmant zijn, en omdat niemand ze kan weerleggen. Als bewijs schieten ze tekort. Het praktische gevolg was dat niemand de bewering kon controleren, en zoektochten naar de wachtwoordzin op basis van de geruchten hadden niets opgeleverd.

De aangewezen persoon om het aan te vragen was Solinas. Jerry overleed in 2023 en andere collega's uit die tijd reageerden niet. Daarmee bleef de vraag open hoe deze seeds oorspronkelijk tot stand waren gekomen.

Ik zou zeggen dat dit de juiste manier is om naar de situatie te kijken: een herkomstvraag die afhangt van het geheugen van een paar mensen is een kwetsbare constructie voor een standaard waarop digitale handtekeningen rusten. Het interessante aan wat er daarna gebeurde, is dat die herinneringen helemaal niet nodig waren. Het antwoord zat al die tijd in de gepubliceerde seeds zelf, wachtend op iemand die de juiste hypothese zou testen.

Dertig minuten, geen enkele hint, en een resultaat dat geen hash was #

In oktober 2026 vroeg een nieuwsgierige medewerker van Anthropic aan een intern onderzoeksmodel of het kon achterhalen hoe die seeds waren gegenereerd, zonder op het spoor te wijzen. Die formulering doet ertoe. Het model kreeg niet te horen waar het naar moest zoeken en kreeg het antwoord niet aangereikt om slechts te bevestigen.

In minder dan een half uur ontdekte Claude de herkomst van de seeds van NIST P-192, P-224, P-256, P-384 en P-521. Het resultaat is onomwonden: geen enkele van de seeds was het resultaat van een hashalgoritme. Ze vormden de uitvoer van de randomgenerator lrand48 uit de C-bibliotheek.

De wachtwoordzin uit het verhaal kon dus nooit worden gevonden, omdat er simpelweg geen wachtwoordzin te vinden was. De seeds zijn gegenereerd door een alledaagse pseudotoevalsgenerator die werd geïnitialiseerd vanaf de klok. Het is een weinig spectaculair antwoord, en precies daarin schuilt de aantrekkingskracht: het vereist geen geheim, geen voorkennis en geen onverklaarde constante.

Het mechanisme laat zich eenvoudig beschrijven. Elke iteratie van het algoritme trekt 20 bytes uit de generator als kandidaat-seed. Het aantal iteraties is het interessante detail, want het laat zien dat het proces een zoektocht was en geen eenmalige trekking. P-256 had bijvoorbeeld 1842 iteraties nodig om de gestandaardiseerde seed uit te spugen. Degene die dit programma uitvoerde, liet het net zo lang kandidaten doorrekenen tot er een curve uitkwam die aan de gestelde eisen voldeed.

De auteurs zijn zorgvuldig over wat dit wel en niet betekent, en hun inkadering verdient het om herhaald te worden. Dit is geen cryptografische breuk, geen nieuwe aanval en geen zwakte in de ECDSA-curven. Er hoeft geen enkele actie te worden ondernomen. Ze gaan nog een stap verder en stellen dat het hen meer vertrouwen geeft dat de curven zijn gekozen zonder achterdeurtjes of opzettelijke zwakheden. Dat is een voorzichtige conclusie, en dat moet het ook blijven. De bron presenteert het als het vertrouwen van de auteurs, wat iets anders is dan een wiskundig bewijs van de onschuld van de curven. Wat de vondst oplevert, is een nuchtere, controleerbare verklaring in plaats van een onverifieerbaar verhaal.

Hoe een scanner de vingerafdruk van een generator uit de jaren negentig vond #

De gebruikte methode verdient aandacht, omdat anderen dit onderdeel opnieuw kunnen gebruiken.

Claude gokte dat de software waarmee de curven waren gegenereerd een PRNG gebruikte die werd meegeleverd met C-bibliotheken uit de jaren negentig. De bron behandelt dit als een gok, en het bleek een goede gok. Het bracht een onbegrensde zoekruimte terug tot een korte lijst van kandidaten uit één specifiek tijdperk.

Vervolgens schreef Claude een scanner. Die schoof bit voor bit langs elke gepubliceerde seed en testte of aangrenzende blokken opeenvolgende uitvoeren waren van een generator uit de jaren negentig. De scan bestreek 34 combinaties van generatoren en uitvoersegmenten. De treffer diende zich aan als een patroon in de bovenste bits, een patroon dat bij toeval zou optreden met een kans van 1 op 5810.

Dat patroon was een kenmerk van de lineaire congruentiële generator lrand48, die alleen de bovenste 31 bits van een 48-bits toestand teruggeeft. Hier lekt het ontwerp van de generator informatie. Omdat lrand48 bij elke aanroep 17 bits van zijn 48-bits toestand verbergt, vertoont de uitvoer een regelmaat die een echt willekeurige reeks niet zou laten zien, en een scanner die is gebouwd om naar die regelmaat te zoeken kan haar vinden.

Om de toestand te herstellen nam Claude het eerste woord en probeerde alle 2^17 waarden van de 17 verborgen bits uit. Dat is een kleine zoekopdracht, en ze kost weinig rekenkracht omdat de generator zo eenvoudig is. Elke kandidaattoestand kon worden getoetst aan het volgende stuk van de seed, en bij de juiste vielen alle puzzelstukjes van de reeks op hun plaats.

De seeds van de priemcurven waren lastiger, al scheelde het weinig. Ze kwamen uit dezelfde lrand48-generator, maar behielden per uitvoer minder bits. Minder zichtbare bits betekent minder houvast voor een gok, waardoor de brute-force-truc niet langer zo netjes werkt. Het antwoord van de bron is dat het herstellen van de toestand van een afgeknotte lineaire congruentiële generator een schoolvoorbeeld is van een roosterprobleem, dat wordt opgelost met het Lenstra-Lenstra-Lovasz-algoritme (LLL) voor basisreductie. Een model kon dat herkennen en er een standaardgereedschap op loslaten, zonder iets exotisch.

De vijf seeds van de NIST-priemcurven, plus nog vijf uit de ANSI X9.62-standaard, vertoonden allemaal hetzelfde patroon: lrand48() >> 23. Tien seeds die één extractieregel delen, vormen sterk bewijs voor één achterliggend proces.

Daarna volgt de controle die een toevalstreffer onderscheidt van een echte vondst. Elke herstelde 48-bits toestand regenereert alle 160 bits van zijn seed, en dat gebeurt niet per ongeluk. Een gedeeltelijke overeenkomst zou toeval kunnen zijn. Een volledige regeneratie van elke afzonderlijke bit valt veel moeilijker weg te redeneren, en precies daarom kan het resultaat zo stellig worden gepresenteerd.

De generator achteruit laten lopen om de klok af te lezen #

Het herstellen van een toestand vertelt je hoe de seed is geproduceerd, maar nog niet wanneer. Daarvoor maakte Claude gebruik van een eigenschap van de generator: hij loopt net zo makkelijk achteruit als vooruit. Voor elke seed zette Claude de toestand stap voor stap terug totdat hij de vorm bereikte die een initialisatie via srand48 zou opleveren, waarbij de onderste 16 bits gelijk zijn aan 0x330E.

Die vorm is op zichzelf een vingerafdruk. Als een herstelde toestand kan worden teruggedraaid naar een punt waarop de onderste 16 bits op 0x330E staan, is de generator op de standaardmanier gestart, vanuit een seedwaarde die aan srand48 is doorgegeven. En die seedwaarde was in dit geval een tijdstip. De seeds zijn gegenereerd met de zwakke PRNG, geïnitialiseerd met een Unix-tijdstempel.

Het interne denkproces van Claude legde op dat moment de herkenning vast: alle bovenste bits waren nul, 20 bits lang, met een toevalskans van 1e-6. Het is een klein detail, maar het laat zien dat de redenering rechtstreeks werkte op de getallen zoals ze verschenen, en niet op een achteraf geconstrueerd verhaal.

De datums waren niet allemaal direct logisch. De vier initialisaties voor de binaire curven lazen als februari 1984, bepaald geen datum die iemand zou verwachten bij een generator die eind jaren negentig werd gebruikt. Wanneer de tijdstempels echter worden verdubbeld, vallen de initialisaties van de binaire curven op 17 april 1998, twee weken na de run voor P-224. De bron concludeert dat het programma de klokwaarde mogelijk heeft gehalveerd. Dat is met een slag om de arm geformuleerd, en terecht: het is een voorgestelde verklaring voor waarom de ruwe waarden als 1984 lezen, en een verdubbeling die precies twee weken na een andere run uitkomt is veelzeggend, zonder dat het een harde bevestiging vormt van de interne code van het programma.

Persoonlijk vind ik dit het overtuigendste deel van het hele verslag, om een reden die losstaat van de cryptografie. Een verzonnen verhaal zou keurige datums hebben opgeleverd. Dit onderzoek leverde eerst een vreemde datum op, en daarna een correctie die de binaire curven in een logische tijdreeks plaatste ten opzichte van de P-224-run. Rommelige gegevens die onder een eenvoudige hypothese op hun plek vallen: zo ziet echte herkomstbepaling eruit.

Ook de basispunten hebben een recept #

Seeds definiëren de curven. De basispunten vormen een apart vraagstuk, en de bron behandelt ze dan ook afzonderlijk.

De basispunten van zes curven die in mei 1997 zijn gegenereerd (P-192 en de vijf ANSI X9.62-voorbeeldcurven prime192v2, prime192v3 en prime239v1 tot en met v3) zijn afkomstig uit de randomgenerator in FreeLIP, het rekenpakket voor grote gehele getallen van Arjen Lenstra. Vroege versies van de NTL-bibliotheek van Victor Shoup bevatten dezelfde code. Dat tweede feit is belangrijk voor de controleerbaarheid: de generator bestaat als gepubliceerde broncode die iedereen kan nalezen, niet als een afgeschermd intern hulpmiddel.

Het recept is kort. Initialiseer de generator met een klein geheel getal. Gooi zeven uitvoeren weg. Genereer kandidaat-x-coördinaten uit 26-bits uitvoeren gereduceerd modulo p. Herhaal het genereren van die kandidaten totdat x op de curve ligt.

Claude vond de gebruikte generator-seeds: 20000 voor P-192, 20420, 20507 en 20509 voor prime239v1 tot en met v3, en 20512 en 20517 voor prime192v2 en v3. Dit zijn kleine gehele getallen van het soort dat een mens met de hand in een programma intikt, wat precies overeenkomt met de eerste stap van het recept.

De auteurs doen hier een bescheiden claim die het waard is om naar de geest te citeren: voor zover zij weten, is er nog nooit eerder een NIST-basispunt verklaard. De voorzichtige formulering komt van henzelf en is gepast. Ze beweren niet dat ze elk document dat ooit is geschreven hebben doorgespit, maar geven enkel de grens van hun eigen kennis aan.

Daarna houdt het recept op te werken. De basispunten van P-224, P-256, P-384 en P-521 passen niet in dit recept, en de auteurs zijn er niet in geslaagd te verklaren hoe deze zijn geselecteerd. Een verslag dat dit detail zou wegpoetsen zou er strakker uitzien, maar de auteurs hebben het laten staan. De verklaring dekt zes curven uit mei 1997 en laat de basispunten van vier van de NIST-priemcurven onverklaard.

Kandidaten die werden overgeslagen #

De laatste bevinding zal waarschijnlijk de meeste discussie oproepen, dus het loont om die nauwkeurig te lezen.

Voor P-256 is de gepubliceerde seed kandidaat 1842. Maar kandidaat 876 uit dezelfde run levert eveneens een curve van priemorde op van de juiste grootte, met parameters die op dezelfde manier zijn gekozen als bij de gepubliceerde curve. Met andere woorden: het proces is voorbijgegaan aan een curve die op het eerste gezicht acceptabel zou zijn geweest.

Het gaat niet om een eenmalige uitzondering. De run voor P-224 sloeg drie van zulke curven over, en de twee runs achter de ANSI X9.62-voorbeeldcurven sloegen er nog eens zeven over.

De auteurs zijn openhartig over wat ze niet weten. Ze weten niet welke criteria mogelijk zijn gehanteerd voor het overslaan van curven, of dat het ging om een onbedoeld neveneffect (artifact). Dat is een beperking die ook als zodanig wordt benoemd, en de slag om de arm bij "onbedoeld neveneffect" is de eerlijke positie: de gegevens laten zien dat er kandidaten zijn overgeslagen, maar niet waarom.

Vervolgens geven ze hun inschatting. Omdat het aantal overgeslagen kandidaten klein is, achten ze het niet aannemelijk dat er bewust verzwakte curven zijn geselecteerd. Dat is een voorzichtige afweging over plausibiliteit, en ze berust op simpel tellen. Als een proces in totaal slechts een handvol kandidaten overslaat, is er nauwelijks speelruimte om gericht naar een zwakke plek te zoeken.

Er blijft één kanttekening over, die door de bron wordt gepresenteerd als een theoretische mogelijkheid en niet als een bevinding. Het is in principe nog steeds denkbaar dat deze curven zijn geselecteerd op een specifieke eigenschap door te zoeken over verschillende tijdstempels voor de randomgenerator. Dit is speculatie, en wordt ook expliciet zo gelabeld. Het moet niet worden gelezen als bewijs voor wat dan ook, maar het moet evenmin stilzwijgend onder het tapijt worden geveegd. Een eerlijk verslag houdt deze mogelijkheid op tafel als een niet-uitgesloten route, met de aantekening dat de auteurs verzwakte curven onwaarschijnlijk achten.

Wat het resultaat verandert, en wat het openlaat #

Laten we beginnen met wat er niet verandert. De curven zijn niet gekraakt. De bron zegt dat twee keer, in verschillende bewoordingen, en er hoeft geen enkele actie te worden ondernomen. Wie dit leest als een reden om P-256 direct uit systemen te slopen, heeft de tekst verkeerd begrepen.

Wat wel verandert, is de status van een oude twijfel. Zolang de seeds onverklaard waren, hing "aangeleverd door de NSA zonder uitleg" als een permanent vraagteken boven de standaard. Dat vraagteken heeft nu een concreet antwoord. De seeds waren geen ondoorgrondelijke hashes van een geheime wachtwoordzin. Het was lrand48-uitvoer van een door de klok geïnitialiseerd programma, waarmee elke bit van elke seed vanuit een herstelde toestand opnieuw kan worden gegenereerd. Een verklaring die iedereen met de gepubliceerde seeds zelf kan natrekken, wint het altijd van een gerucht dat niemand kan controleren.

Er zit hier een les in voor oprichters en engineers die voortbouwen op cryptografische standaarden. Beweringen over herkomst zijn goedkoop om te doen en duur om te controleren, maar de hier beschreven controle kostte minder dan een half uur zodra de juiste vraag werd gesteld. De scanner, de zoekopdracht van 2^17 en de roosterreductie zijn stuk voor stuk standaardtechnieken. Wat jarenlang ontbrak, was iemand die het weinig glamoureuze werk deed om ze daadwerkelijk op de gepubliceerde getallen los te laten.

Ik zou ook de verleiding weerstaan om de methode groter te maken dan ze is. De bron doet verslag van het resultaat van één team op een specifieke reeks seeds. Er wordt niet beweerd dat dezelfde aanpak elke onverklaarde constante in elke standaard zal kraken, en ik ga die claim ook niet voor hen maken. Wat het aantoont is beperkter en, naar mijn idee, nuttiger: wanneer de herkomst van een parameter een mysterie is, kan een zorgvuldig model met een plausibele gok over het gereedschap uit die tijd die gok snel testen en zijn tussenstappen laten zien.

Het onafgemaakte werk is helder genoeg om als onderzoeksagenda te dienen. Vier basispunten - die van P-224, P-256, P-384 en P-521 - missen nog altijd een verklaring. De overgeslagen kandidaten, zoals 876 tegenover de gepubliceerde 1842 bij P-256, missen een bekend selectiecriterium, en niemand weet nog of dat overslaan opzettelijk gebeurde of een bijverschijnsel was. Of die antwoorden bewaard zijn gebleven in oude broncode, in het geheugen van nog levende oud-collega's, of in hetzelfde soort patroonherkenning waarmee de seeds zijn gekraakt, is de open vraag. De seeds kostten een half uur; de basispunten hebben deze aanpak inmiddels al één keer weerstaan.

Veelgestelde vragen #

Breekt deze ontdekking NIST ECDSA-curven zoals P-256 of P-384?

Nee. De ontdekking dat de curveseeds zijn gegenereerd met lrand48 in plaats van een gehashte wachtwoordzin introduceert geen enkele cryptografische breuk, nieuwe aanval of wiskundige zwakte in de ECDSA-curven. Er is op basis van deze bevinding dan ook geen enkele herstel- of migratieactie nodig.

Hoe zijn de seeds van de NIST-priemcurven daadwerkelijk gegenereerd?

Elke 160-bits seed werd geproduceerd door het aanroepen van de lineaire congruentiële generator lrand48 uit de C-standaardbibliotheek (specifiek lrand48() >> 23 voor de vijf NIST-priemcurven en vijf ANSI X9.62-curven), geïnitialiseerd via srand48 met een Unix-tijdstempel. Het herstellen van de interne 48-bits toestand via Lenstra-Lenstra-Lovasz-roosterreductie (LLL) regenereert alle 160 bits van elke gepubliceerde seed.

Wat blijft er nog onverklaard rond de elliptische-curveparameters van NIST?

Terwijl de basispunten van P-192 en vijf ANSI X9.62-curven konden worden herleid tot de randomgenerator in het FreeLIP-pakket van Arjen Lenstra (geïnitialiseerd met kleine gehele getallen), passen de basispunten van P-224, P-256, P-384 en P-521 niet in dat recept. Ook zijn de criteria voor het overslaan van eerdere kandidaatcurven van priemorde (zoals kandidaat 876 vóór kandidaat 1842 bij P-256) nog altijd onbekend.

Referenties #

Anthropic Frontier Red Team, (2026). Claude reveals ECDSA curve origins ⧉. Anthropic.
National Institute of Standards and Technology, (2000). FIPS PUB 186-2: Digital Signature Standard (DSS) ⧉. NIST.
Victor Shoup, (2024). NTL: A Library for doing Number Theory ⧉. libntl.org.

Laatst herzien 2026-11-01.

Dit artikel herpubliceren

De mysterieuze seeds achter de NIST-curven waren nooit hashes, en Claude ontdekte dat in minder dan een half uur — Sebastien Rousseau

De seeds die zijn gepubliceerd bij de NIST-curven P-192, P-224, P-256, P-384 en P-521 waren nooit hash-uitvoer. Ze kwamen uit de lrand48-generator van de C-bibliotheek, geïnitialiseerd met een Unix-tijdstempel...

Dit artikel valt onder de licentie Creative Commons Attribution 4.0 International. Herpublicatie vereist attributie aan de canonieke URL.

De mysterieuze seeds achter de NIST-curven waren nooit hashes, en Claude ontdekte dat in minder dan een half uur — Sebastien Rousseau

De seeds die zijn gepubliceerd bij de NIST-curven P-192, P-224, P-256, P-384 en P-521 waren nooit hash-uitvoer. Ze kwamen uit de lrand48-generator van de C-bibliotheek, geïnitialiseerd met een Unix-tijdstempel...

Originally published at https://sebastienrousseau.com/nl/2026-10-26-mysterieuze-seeds-achter-nist-curven-waren/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER