Semințele misterioase din spatele curbelor NIST nu au fost niciodată hash-uri, iar Claude a descoperit asta în mai puțin de jumătate de oră

TL;DR. Semințele publicate împreună cu curbele NIST P-192, P-224, P-256, P-384 și P-521 nu au fost niciodată rezultate ale unor funcții hash. Ele proveneau de la generatorul lrand48 din biblioteca C...

Concluzii cheie

Un coeficient care părea derivat și o sămânță pe care nimeni nu o putea explica. ECDSA a fost adoptat de NIST în anul 2000 ca parte a Standardului de Semnătură Digitală FIPS 186-2.
Treizeci de minute, niciun indiciu și un rezultat care nu era un hash. În octombrie 2026, un angajat curios de la Anthropic a întrebat un model intern de cercetare dacă își poate da seama cum au fost generate acele semințe, fără a-i indica pista.
Cum a găsit un scaner amprenta unui generator din anii 1990. Metoda merită atenție, deoarece este partea pe care alți oameni o pot refolosi.
Rularea generatorului înapoi pentru a citi ceasul. Recuperarea unei stări îți spune cum a fost produsă sămânța.

O întrebare rămasă deschisă după ce singura persoană care ar fi putut răspunde a murit în 2023 avea un răspuns banal: un generator de numere aleatoare din anii 1990 inițializat după ceasul sistemului. Autorii spun că acest răspuns îi face mai încrezători că alegerile curbelor au fost oneste, nu mai puțin încrezători.

Rezumat executiv

Standardul ECDSA a fost adoptat de NIST în anul 2000 ca parte a Standardului de Semnătură Digitală FIPS 186-2. Specificațiile au publicat parametri „seed” (sămânță) a căror valoare hash avea rolul de a defini coeficientul b al curbei. NSA a furnizat semințele fără nicio explicație sau justificare.

În octombrie 2026, un angajat Anthropic a rugat un model intern de cercetare să descopere cum au fost generate semințele, fără a-i indica vreun indiciu. În mai puțin de jumătate de oră, Claude a constatat că niciuna dintre semințe nu era rezultatul unui hash. Erau ieșirile lui lrand48, un generator comun de numere pseudoaleatoare inițializat după ceasul sistemului.

Descoperirea nu este o spargere criptografică, un nou atac sau o vulnerabilitate în curbele ECDSA. Autorii spun că aceasta îi face mai încrezători că respectivele curbe au fost alese fără uși secrete (backdoors) sau slăbiciuni intenționate.

Claude a explicat, de asemenea, că punctele de bază a șase curbe din mai 1997 provin de la generatorul de numere aleatoare din FreeLIP, pachetul de aritmetică pentru întregi mari al lui Arjen Lenstra. Din câte știu autorii, niciun punct de bază NIST nu mai fusese explicat până acum.

Rămân întrebări deschise: cum au fost selectate punctele de bază pentru P-224, P-256, P-384 și P-521 și ce criterii, dacă au existat, au stat în spatele curbelor candidate omise.

Un coeficient care părea derivat și o sămânță pe care nimeni nu o putea explica #

ECDSA a fost adoptat de NIST în anul 2000 ca parte a Standardului de Semnătură Digitală FIPS 186-2. Specificațiile pentru curbele sale conțineau un parametru „seed” a cărui valoare hash este utilizată pentru a defini coeficientul b al curbei. Pe hârtie, acesta este un design liniștitor. Dacă coeficientul iese din hash-ul unei semințe publicate, susține argumentul, nimeni nu ar fi putut regla curba manual.

Acest argument este însă doar la fel de bun ca sămânța însăși. Semințele au fost furnizate de NSA fără explicații sau justificări, iar această lacună reprezintă întreaga problemă. Un hash este o ușă cu sens unic: demonstrează că acel coeficient a decurs din sămânță, dar nu spune nimic despre originea seminței. Timp de ani de zile, semințele au stat în standard ca niște constante neexplicate.

Exista o poveste menită să umple acest gol. Cea mai cunoscută versiune îl prezenta pe Jerry Solinas, un angajat cu state vechi în cadrul NSA, generând semințele din hash-ul unei fraze de acces (passphrase) umoristice. Sursa precizează mai târziu că acest lucru s-a dovedit a fi fals. Poveștile de acest fel tind să fie crezute pentru că sunt specifice și au un anumit farmec, și pentru că nimeni nu le poate contrazice. Ca dovezi însă, sunt insuficiente. Consecința practică a fost că nimeni nu a putut verifica afirmația, iar căutările frazei, construite pe baza zvonurilor, nu au dus nicăieri.

Persoana evidentă pe care trebuia să o întrebi era Solinas. Jerry a murit în 2023, iar alți colegi din acea perioadă nu au răspuns. Acest lucru a lăsat deschisă întrebarea privind modul în care au fost derivate inițial aceste semințe.

Aș susține că acesta este modul corect de a privi situația: o chestiune de proveniență care depinde de amintirile câtorva oameni este un aranjament fragil pentru un standard care susține semnăturile digitale. Lucrul interesant legat de ceea ce s-a întâmplat mai departe este că nu a fost nevoie de acele amintiri. Răspunsul se afla chiar în semințele publicate, așteptând ca cineva să testeze ipoteza potrivită.

Treizeci de minute, niciun indiciu și un rezultat care nu era un hash #

În octombrie 2026, un angajat curios de la Anthropic a întrebat un model intern de cercetare dacă își poate da seama cum au fost generate acele semințe, fără a-i indica pista. Formularea contează. Modelului nu i s-a spus ce să caute și nici nu i s-a oferit răspunsul pentru a-l confirma.

În mai puțin de jumătate de oră, Claude a descoperit originile semințelor NIST P-192, P-224, P-256, P-384 și P-521. Rezultatul este tranșant: niciuna dintre semințe nu era rezultatul vreunui algoritm de hash. Ele reprezentau ieșirea generatorului de numere aleatoare lrand48 din biblioteca limbajului C.

Așadar, povestea cu fraza de acces nu avea cum să fie confirmată vreodată, deoarece nu exista nicio frază de acces de găsit. Semințele au fost generate de un generator comun de numere pseudoaleatoare inițializat după ceas. Este o explicație lipsită de spectaculozitate, iar acesta este tocmai farmecul ei: nu are nevoie de niciun secret, de nicio cunoaștere specială și de nicio constantă neexplicată.

Mecanismul este simplu de descris. Fiecare iterație a algoritmului extrage 20 de octeți din generator ca sămânță candidată. Numărul de iterații este detaliul interesant, deoarece arată că procesul a fost o căutare, și nu o singură extragere. P-256, de exemplu, a necesitat 1842 de iterații pentru a produce sămânța standardizată. Oricine a rulat acest program l-a lăsat să macine candidați până când unul a produs o curbă care îndeplinea cerințele.

Autorii sunt atenți la ceea ce înseamnă și ce nu înseamnă acest lucru, iar încadrarea lor merită repetată. Aceasta nu este o spargere criptografică, un nou atac sau o vulnerabilitate în curbele ECDSA. Nu există nicio măsură care să trebuiască luată. Ei merg un pas mai departe și spun că acest rezultat îi face mai încrezători că respectivele curbe au fost alese fără uși secrete sau slăbiciuni intenționate. Aceasta este o concluzie formulată cu prudență și așa trebuie să rămână. Sursa o prezintă drept încrederea autorilor, ceea ce este diferit de o demonstrație matematică a inocenței curbelor. Ceea ce oferă descoperirea este o explicație banală și verificabilă în locul unei povești neverificabile.

Cum a găsit un scaner amprenta unui generator din anii 1990 #

Metoda merită atenție, deoarece este partea pe care alți oameni o pot refolosi.

Claude a presupus că software-ul care a generat curbele a folosit un PRNG livrat împreună cu bibliotecile C din anii 1990. Sursa tratează acest lucru ca pe o presupunere, și a fost una bună. A restrâns o căutare nemărginită la o listă scurtă de candidați dintr-o singură epocă.

Claude a scris apoi un scaner. Acesta a glisat de-a lungul fiecărei semințe publicate câte un bit pe rând și a testat dacă fragmentele adiacente erau ieșiri consecutive ale unui generator din generația anilor 1990. Scanarea a acoperit 34 de combinații de generatoare și secțiuni de ieșire. Potrivirea a apărut ca un tipar în biții superiori, unul care s-ar produce din întâmplare cu o probabilitate de 1/5810.

Acel tipar era semnătura generatorului congruențial liniar lrand48, care returnează doar primii 31 de biți dintr-o stare de 48 de biți. Aici designul generatorului lasă să se scurgă informații. Deoarece lrand48 ascunde 17 biți din starea sa de 48 de biți la fiecare apel, ieșirea are o regularitate pe care un șir aleatoriu nu ar afișa-o, iar un scaner construit să caute acea regularitate o poate găsi.

Pentru a recupera starea, Claude a luat primul cuvânt și a încercat toate cele 2^17 valori ale celor 17 biți ascunși. Aceasta este o căutare mică și este ieftină deoarece generatorul este foarte simplu. Fiecare stare candidată putea fi verificată în raport cu următorul fragment al seminței, iar cea corectă a făcut ca întreaga secvență să se alinieze.

Semințele curbelor peste corpuri prime au fost mai dificile, deși doar puțin. Proveneau de la același generator lrand48, dar păstrau mai puțini biți din fiecare ieșire. Mai puțini biți vizibili înseamnă mai puține repere pentru a ancora o presupunere, astfel încât trucul forței brute nu se mai aplică la fel de curat. Răspunsul sursei este că recuperarea stării unui generator congruențial liniar trunchiat este o problemă clasică de rețele (lattices), rezolvată cu algoritmul de reducere a bazelor Lenstra-Lenstra-Lovasz (LLL). Un model putea recunoaște acest lucru și îi putea aplica un instrument standard, fără nimic exotic.

Cele cinci semințe ale curbelor prime NIST, plus încă cinci din standardul ANSI X9.62, aveau toate același tipar: lrand48() >> 23. Zece semințe care împărtășesc o singură regulă de extracție reprezintă o dovadă puternică a unui proces unic aflat în spatele lor.

Urmează apoi verificarea care separă o potrivire norocoasă de una reală. Fiecare stare recuperată de 48 de biți regenerează toți cei 160 de biți ai seminței sale, ceea ce nu se întâmplă din întâmplare. O potrivire parțială ar putea fi o coincidență. O regenerare completă a fiecărui bit este mult mai greu de ignorat și reprezintă motivul pentru care rezultatul poate fi enunțat fără rezerve.

Rularea generatorului înapoi pentru a citi ceasul #

Recuperarea unei stări îți spune cum a fost produsă sămânța. Nu îți spune încă și când. Pentru aceasta, Claude a folosit o proprietate a generatorului: acesta rulează înapoi la fel de ușor ca înainte. Pentru fiecare sămânță, Claude a derulat starea înapoi pas cu pas până când a atins forma pe care ar produce-o inițializarea prin srand48, cu cei 16 biți inferiori egali cu 0x330E.

Această formă este o amprentă în sine. Dacă o stare recuperată poate fi derulată înapoi până la o valoare care are cei 16 biți inferiori la 0x330E, generatorul a fost pornit în mod standard, de la o valoare de sămânță transmisă către srand48. Iar valoarea seminței, în acest caz, a fost un moment de timp. Semințele au fost generate folosind acest PRNG slab inițializat prin marcaj temporal Unix.

Gândirea internă a lui Claude din acel moment a înregistrat clipa recunoașterii: toți biții superiori erau zero, 20 de biți, cu o probabilitate de 1e-6. Este un detaliu mărunt, dar arată raționamentul lucrând direct pe numere așa cum apăreau ele, nu pe o poveste asamblată ulterior.

Datele calendaristice nu au fost toate curate. Cele patru inițializări ale curbelor binare apăreau ca februarie 1984, ceea ce nu este o dată pe care s-ar aștepta cineva să o vadă pentru un generator folosit la sfârșitul anilor 1990. Odată cu dublarea marcajelor temporale, inițializările curbelor binare corespund datei de 17 aprilie 1998, la două săptămâni după rularea pentru P-224. Sursa concluzionează că programul ar fi putut înjumătăți valoarea ceasului. Aceasta este o afirmație prudentă și așa trebuie să fie: este o explicație propusă pentru motivul pentru care valorile brute indică anul 1984, iar o dublare care cade la două săptămâni după o altă rulare este sugestivă, fără a fi însă o confirmare a funcționării interne a programului.

Consider că aceasta este partea cea mai convingătoare a întregii relatări, dintr-un motiv independent de criptografie. O poveste fabricată ar fi produs date ordonate. Aceasta a produs una ciudată, urmată de o corecție care a așezat curbele binare într-o secvență coerentă cu rularea P-224. Datele dezordonate care se rezolvă sub o ipoteză simplă arată exact ca proveniența reală.

Și punctele de bază au o rețetă #

Semințele definesc curbele. Punctele de bază sunt o chestiune separată, iar sursa le tratează separat.

Punctele de bază a șase curbe generate în mai 1997 (P-192 și cele cinci curbe de exemplu ANSI X9.62: prime192v2, prime192v3 și prime239v1 până la v3) provin de la generatorul de numere aleatoare din FreeLIP, pachetul de aritmetică pentru întregi mari al lui Arjen Lenstra. Primele versiuni ale bibliotecii NTL a lui Victor Shoup includeau același cod. Acest al doilea fapt contează pentru verificare: generatorul există ca un cod publicat pe care alții îl pot citi, nu ca un instrument privat.

Rețeta este scurtă. Se inițializează generatorul cu un întreg mic. Se aruncă șapte ieșiri. Se generează coordonate x candidate din ieșiri de 26 de biți reduse modulo p. Se repetă această generare de candidați până când x se află pe curbă.

Claude a găsit semințele generatorului: 20000 pentru P-192, 20420, 20507 și 20509 pentru prime239v1 până la v3, și 20512 și 20517 pentru prime192v2 și v3. Acestea sunt numere întregi mici, de tipul celor pe care o persoană le tastează într-un program, ceea ce corespunde exact primului pas al rețetei.

Autorii fac aici o afirmație modestă, care merită citată în spiritul ei: din câte știu ei, niciun punct de bază NIST nu a mai fost explicat până acum. Rezerva le aparține și este adecvată. Ei nu pretind că au trecut în revistă fiecare document scris vreodată, ci doar limita propriilor cunoștințe.

Apoi rețeta încetează să mai funcționeze. Punctele de bază pentru P-224, P-256, P-384 și P-521 nu se potrivesc cu această rețetă, iar autorii nu au putut explica modul în care au fost selectate. Un raport care ar fi trecut sub tăcere acest aspect ar fi arătat mai îngrijit, însă autorii l-au păstrat. Explicația acoperă șase curbe din mai 1997 și lasă neexplicate punctele de bază pentru patru dintre curbele prime ale NIST.

Candidate care au fost sărite #

Ultima descoperire este cea mai susceptibilă să stârnească controverse, așa că merită citită cu precizie.

Pentru P-256, sămânța publicată este candidatul 1842. Dar și candidatul 876 din aceeași rulare oferă o curbă de ordin prim de dimensiunea potrivită, cu parametri aleși în același mod ca pe curba publicată. Cu alte cuvinte, procesul a trecut peste o curbă care, la prima vedere, ar fi fost acceptabilă.

Nu este un caz singular. Rularea pentru P-224 a trecut peste trei astfel de curbe, iar cele două rulări din spatele curbelor de exemplu ANSI X9.62 au trecut peste încă șapte.

Autorii sunt direcți în privința a ceea ce nu știu. Ei nu știu ce criterii ar fi putut fi folosite pentru omiterea curbelor sau dacă a fost vorba de un artefact neintenționat. Aceasta este o limitare, declarată ca atare, iar prudența privind „artefactul neintenționat” este poziția onestă: datele arată că unele candidate au fost sărite, dar nu arată de ce.

Ei oferă apoi o apreciere. Deoarece numărul de candidate sărite este mic, ei nu cred că este plauzibil să fi fost selectate curbe slăbite. Acesta este un raționament prudent despre plauzibilitate și se bazează pe numărare. Dacă un proces sare doar o mână de candidate în total, există foarte puțin spațiu în care să cauți o vulnerabilitate.

Rămâne o rezervă, iar sursa o enunță ca pe o posibilitate, nu ca pe o constatare. Este încă de conceput ca aceste curbe să fi fost selectate în principiu pentru a avea o proprietate specifică prin căutarea peste marcaje temporale furnizate generatorului de numere aleatoare. Aceasta este o speculație, marcată ca atare. Nu trebuie citită ca o dovadă a ceva anume, dar nici nu trebuie abandonată în tăcere. O relatare corectă o păstrează pe masă ca pe o rută neexclusă, notând în același timp că autorii consideră implauzibile curbele slăbite.

Ce schimbă rezultatul și ce lasă deschis #

Să începem cu ceea ce nu schimbă. Curbele nu sunt compromise. Sursa spune acest lucru de două ori, în cuvinte diferite, și nu există nicio acțiune care să trebuiască întreprinsă. Oricine citește aceasta ca pe un motiv pentru a elimina P-256 a înțeles greșit.

Ceea ce schimbă este statutul unei vechi îndoieli. Atâta timp cât semințele au rămas neexplicate, expresia „furnizate de NSA fără explicații” a reprezentat un semn de întrebare permanent deasupra unui standard. Acel semn de întrebare are acum un răspuns concret. Semințele nu erau hash-uri impenetrabile ale unei fraze secrete. Erau ieșiri lrand48 dintr-un program inițializat după ceas, regenerând fiecare bit al fiecărei semințe dintr-o stare recuperată. O explicație pe care o poate testa oricine are semințele publicate bate un zvon pe care nu îl poate verifica nimeni.

Există aici o lecție pentru fondatorii și inginerii care construiesc pe baza standardelor criptografice. Afirmațiile privind proveniența sunt ieftin de făcut și scump de verificat, iar verificarea descrisă aici a durat mai puțin de jumătate de oră odată ce a fost pusă întrebarea potrivită. Scanerul, căutarea de dimensiune 2^17 și reducerea rețelelor sunt toate mișcări standard. Ceea ce a lipsit timp de ani de zile a fost cineva care să facă munca lipsită de strălucire de a le încerca pe numerele publicate.

De asemenea, aș rezista tentației de a exagera metoda. Sursa raportează rezultatul unei echipe pe un set specific de semințe. Nu pretinde că aceeași abordare va sparge fiecare constantă neexplicată din fiecare standard, și nici eu nu voi pretinde asta în numele lor. Ceea ce demonstrează este mai restrâns și, după părerea mea, mai util: atunci când originea unui parametru este un mister, un model atent, înarmat cu o presupunere plauzibilă despre instrumentele epocii, poate testa rapid presupunerea și își poate arăta munca.

Chestiunile neterminate sunt suficient de clare încât să constituie o agendă de cercetare. Patru puncte de bază, cele ale curbelor P-224, P-256, P-384 și P-521, sunt încă lipsite de explicație. Candidatele sărite, precum 876 față de 1842 publicat pentru P-256, nu au un criteriu declarat și nimeni nu știe încă dacă omiterea a fost deliberată sau un artefact. Dacă aceste răspunsuri supraviețuiesc în coduri sursă vechi, în amintirile colegilor rămași în viață sau în același tip de vânătoare de tipare care a elucidat semințele rămâne o întrebare deschisă. Semințele au luat jumătate de oră; punctele de bază au rezistat deja o dată acestei abordări.

Întrebări frecvente #

Compromite această descoperire curbele NIST ECDSA precum P-256 sau P-384?

Nu. Descoperirea faptului că semințele curbelor au fost generate de lrand48 și nu de hash-ul unei fraze de acces nu introduce nicio spargere criptografică, niciun atac nou și nicio vulnerabilitate matematică în curbele ECDSA, nefiind necesară nicio acțiune de remediere sau migrare în urma acestei constatări.

Cum au fost generate în realitate semințele curbelor prime ale NIST?

Fiecare sămânță de 160 de biți a fost produsă prin apelarea generatorului congruențial liniar lrand48 din biblioteca standard C (mai exact lrand48() >> 23 pentru cele cinci curbe prime NIST și cinci curbe ANSI X9.62), inițializat prin srand48 cu un marcaj temporal Unix. Recuperarea stării interne de 48 de biți prin reducerea rețelelor Lenstra-Lenstra-Lovasz (LLL) regenerează toți cei 160 de biți ai fiecărei semințe publicate.

Ce rămâne neexplicat în legătură cu parametrii curbelor eliptice NIST?

În timp ce punctele de bază pentru P-192 și cinci curbe ANSI X9.62 au fost urmărite până la generatorul de numere aleatoare din pachetul FreeLIP al lui Arjen Lenstra inițializat cu întregi mici, punctele de bază pentru P-224, P-256, P-384 și P-521 nu se potrivesc acestei rețete, iar criteriile pentru omiterea curbelor candidate anterioare de ordin prim (cum ar fi candidatul 876 înaintea candidatului 1842 la P-256) rămân necunoscute.

References #

Anthropic Frontier Red Team, (2026). Claude reveals ECDSA curve origins ⧉. Anthropic.
National Institute of Standards and Technology, (2000). FIPS PUB 186-2: Digital Signature Standard (DSS) ⧉. NIST.
Victor Shoup, (2024). NTL: A Library for doing Number Theory ⧉. libntl.org.

Ultima revizuire 2026-11-01.

Republică acest articol

Semințele misterioase din spatele curbelor NIST nu au fost niciodată hash-uri, iar Claude a descoperit asta în mai puțin de jumătate de oră — Sebastien Rousseau

Semințele publicate împreună cu curbele NIST P-192, P-224, P-256, P-384 și P-521 nu au fost niciodată rezultate ale unor funcții hash. Ele proveneau de la generatorul lrand48 din biblioteca C...

Acest articol este licențiat sub Creative Commons Attribution 4.0 International. Republicarea necesită atribuirea la URL-ul canonic.

Semințele misterioase din spatele curbelor NIST nu au fost niciodată hash-uri, iar Claude a descoperit asta în mai puțin de jumătate de oră — Sebastien Rousseau

Semințele publicate împreună cu curbele NIST P-192, P-224, P-256, P-384 și P-521 nu au fost niciodată rezultate ale unor funcții hash. Ele proveneau de la generatorul lrand48 din biblioteca C...

Originally published at https://sebastienrousseau.com/ro/2026-10-26-semintele-misterioase-spatele-curbelor-nist/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER