De mystiska frövärdena bakom NIST:s kurvor var aldrig hashar, och Claude listade ut det på under en halvtimme

TL;DR. De frövärden som publicerades med kurvorna NIST P-192, P-224, P-256, P-384 och P-521 var aldrig hashvärden. De kom från C-bibliotekets lrand48-generator, initierad med en Unix-tidsstämpel. Claude listade ut...

Viktiga slutsatser

En koefficient som såg härledd ut och ett frövärde ingen kunde redogöra för. ECDSA antogs av NIST år 2000 som en del av standarden FIPS 186-2 Digital Signature Standard.
Trettio minuter, ingen ledtråd och ett resultat som inte var en hash. I oktober 2026 frågade en nyfiken anställd på Anthropic en intern forskningsmodell om den kunde lista ut hur dessa frövärden hade genererats, utan att peka på ledtråden.
Hur en skanner hittade fingeravtrycket från en 1990-talsgenerator. Metoden förtjänar uppmärksamhet, eftersom det är den del som andra kan återanvända.
Att köra generatorn baklänges för att avläsa klockan. Att återskapa ett tillstånd berättar hur frövärdet producerades.

En fråga som förblev öppen efter att den enda personen som kunde ha besvarat den avled 2023 hade ett vardagligt svar: en slumptalsgenerator från 1990-talet initierad från systemklockan. Författarna säger att det svaret gör dem mer övertygade om att kurvorna valdes ärligt, inte mindre.

Sammanfattning för beslutsfattare

ECDSA antogs av NIST år 2000 som en del av standarden FIPS 186-2 Digital Signature Standard. Specifikationerna publicerade "seed"-parametrar vars hashvärde var avsett att definiera kurvkoefficienten b. NSA levererade frövärdena utan förklaring eller motivering.

I oktober 2026 bad en anställd på Anthropic en intern forskningsmodell att ta reda på hur frövärdena hade genererats, utan att peka på ledtråden. På under en halvtimme fann Claude att inget av frövärdena var hashutdata. De var utdata från lrand48, en vanlig pseudoslumptalsgenerator initierad från klockan.

Fyndet är inte en kryptografisk knäckning, en ny attack eller en svaghet i ECDSA-kurvorna. Författarna säger att det gör dem mer övertygade om att kurvorna valdes utan bakdörrar eller avsiktliga svagheter.

Claude förklarade också baspunkterna för sex kurvor från maj 1997 som kommande från slumptalsgeneratorn i FreeLIP, Arjen Lenstras aritmetikpaket för stora heltal. Såvitt författarna vet hade ingen NIST-baspunkt fått en förklaring tidigare.

Öppna frågor kvarstår: hur baspunkterna för P-224, P-256, P-384 och P-521 valdes ut, och vilka kriterier, om några, som låg bakom de överhoppade kandidatkurvorna.

En koefficient som såg härledd ut och ett frövärde ingen kunde redogöra för #

ECDSA antogs av NIST år 2000 som en del av standarden FIPS 186-2 Digital Signature Standard. Specifikationerna för dess kurvor innehöll en "seed"-parameter vars hashvärde används för att definiera kurvans koefficient b. På papperet är det en betryggande konstruktion. Om koefficienten kommer ur en hash av ett publicerat frövärde, lyder argumentet, kan ingen ha finjusterat kurvan för hand.

Det argumentet är bara så bra som själva frövärdet. Frövärdena tillhandahölls av NSA utan förklaring eller motivering, och den luckan är hela problemet. En hash är en enkelriktad dörr: den bevisar att koefficienten följde av frövärdet, men säger ingenting om varifrån frövärdet kom. I åratal låg frövärdena i standarden som oförklarade konstanter.

Det fanns en historia för att fylla luckan. Den mest kända versionen gjorde gällande att Jerry Solinas, en mångårig anställd vid NSA, hade genererat frövärdena från en hash av en skämtsam lösenfras. Källan konstaterar senare att detta visade sig vara fel. Historier av det slaget tenderar att bli trodda eftersom de är specifika och lite charmiga, och för att ingen kan motbevisa dem. Som bevis räcker de inte till. Den praktiska konsekvensen var att ingen kunde kontrollera påståendet, och sökningar efter frasen, byggda på ryktena, hade kammat noll.

Den självklara personen att fråga var Solinas. Jerry avled 2023, och andra kollegor från den tiden svarade inte. Det lämnade frågan öppen om hur dessa frövärden ursprungligen hade tagits fram.

Jag vill hävda att detta är rätt sätt att se på situationen: en proveniensfråga som hänger på några få människors minne är ett bräckligt arrangemang för en standard som bär upp digitala signaturer. Det intressanta med vad som hände härnäst är att de minnena inte behövdes. Svaret låg öppet i de publicerade frövärdena och väntade på att någon skulle pröva rätt hypotes.

Trettio minuter, ingen ledtråd och ett resultat som inte var en hash #

I oktober 2026 frågade en nyfiken anställd på Anthropic en intern forskningsmodell om den kunde lista ut hur dessa frövärden hade genererats, utan att peka på ledtråden. Formuleringen spelar roll. Modellen fick inte veta vad den skulle leta efter, och den fick inte svaret i handen för att bekräfta det.

På under en halvtimme upptäckte Claude ursprunget till frövärdena för NIST P-192, P-224, P-256, P-384 och P-521. Resultatet är rakt på sak: inget av frövärdena var resultatet av någon hashalgoritm. De var utdata från C-bibliotekets slumptalsgenerator lrand48.

Så historien om lösenfrasen skulle aldrig kunna verifieras, eftersom det inte fanns någon lösenfras att hitta. Frövärdena genererades av en vanlig pseudoslumptalsgenerator initierad från systemklockan. Det är en oglamorös förklaring, och det är precis det som är dess styrka: den kräver ingen hemlighet, ingen specialkunskap och ingen oförklarad konstant.

Mekanismen är enkel att beskriva. Varje iteration av algoritmen drar 20 byte från generatorn som ett kandidatfrövärde. Antalet iterationer är den intressanta detaljen, eftersom det visar att processen var en sökning och inte en enstaka dragning. P-256 krävde till exempel 1842 iterationer för att mata ut det standardiserade frövärdet. Den som körde programmet lät det tugga sig igenom kandidater tills en av dem gav en kurva som uppfyllde kraven.

Författarna är noga med vad detta betyder och inte betyder, och deras inramning är värd att upprepa. Detta är inte en kryptografisk knäckning, ny attack eller svaghet i ECDSA-kurvorna. Det finns ingen åtgärd som behöver vidtas. De går ett steg längre och säger att det gör dem mer övertygade om att kurvorna valdes utan några bakdörrar eller avsiktliga svagheter. Det är en garderad slutsats, och det bör den förbli. Källan ramar in det som författarnas förtroende, vilket är något annat än ett matematiskt bevis för kurvornas oskuld. Vad fyndet ger är en vardaglig, kontrollerbar redogörelse i stället för en overifierbar berättelse.

Hur en skanner hittade fingeravtrycket från en 1990-talsgenerator #

Metoden förtjänar uppmärksamhet, eftersom det är den del som andra kan återanvända.

Claude gissade att programvaran som genererade kurvorna använde en PRNG som levererades med C-bibliotek på 1990-talet. Källan behandlar detta som en gissning, och det var en bra sådan. Den krympte en obegränsad sökning till en kort lista av kandidater från en specifik epok.

Claude skrev sedan en skanner. Den gled längs varje publicerat frövärde en bit i taget och testade om intilliggande block var på varandra följande utdata från en generator av 1990-talssnitt. Skanningen täckte 34 kombinationer av generatorer och utsnitt av utdata. Träffen kom som ett mönster i de högsta bitarna, ett mönster som skulle uppstå av en slump med sannolikheten 1/5810.

Det mönstret var en signatur för den linjära kongruensgeneratorn lrand48, som endast returnerar de översta 31 bitarna av ett 48-bitars tillstånd. Här läcker generatorns konstruktion. Eftersom lrand48 döljer 17 bitar av sitt 48-bitars tillstånd vid varje anrop får utdata en regelbundenhet som en sant slumpmässig sträng inte skulle uppvisa, och en skanner byggd för att leta efter den regelbundenheten kan hitta den.

För att återskapa tillståndet tog Claude det första ordet och provade alla 2^17 värden på de 17 dolda bitarna. Det är en liten sökning, och den är billig eftersom generatorn är så enkel. Varje kandidattillstånd kunde kontrolleras mot nästa block i frövärdet, och det rätta tillståndet fick hela sekvensen att stämma.

Frövärdena för primtalskurvorna var svårare, om än bara lite. De kom från samma lrand48-generator men behöll färre bitar av varje utdata. Färre synliga bitar betyder mindre att förankra en gissning i, så brute-force-tricket fungerar inte längre lika smidigt. Källans svar är att återskapandet av tillståndet hos en trunkerad linjär kongruensgenerator är ett gitterproblem (lattice problem) direkt ur skolboken, som löses med algoritmen Lenstra-Lenstra-Lovasz (LLL) för basreduktion. En modell kunde känna igen det och tillämpa ett standardverktyg på det, utan något exotiskt.

De fem frövärdena för NIST:s primtalskurvor, plus ytterligare fem från standarden ANSI X9.62, hade alla samma mönster: lrand48() >> 23. Tio frövärden som delar en och samma extraktionsregel är starka belägg för en gemensam process bakom dem.

Sedan kommer kontrollen som skiljer en lyckträff från en äkta träff. Varje återskapat 48-bitars tillstånd genererar på nytt samtliga 160 bitar i sitt frövärde, vilket inte sker av en slump. En partiell matchning skulle kunna vara ett sammanträffande. En fullständig återskapning av varje enskild bit är betydligt svårare att vifta bort, och det är anledningen till att resultatet kan slås fast så rakt.

Att köra generatorn baklänges för att avläsa klockan #

Att återskapa ett tillstånd berättar hur frövärdet producerades. Det berättar ännu inte när. För det utnyttjade Claude en egenskap hos generatorn: den går lika lätt att köra baklänges som framlänges. För varje frövärde stegade Claude tillståndet bakåt tills det nådde den form som en srand48-initiering skulle ge, där de lägsta 16 bitarna är lika med 0x330E.

Den formen är ett eget fingeravtryck. Om ett återskapat tillstånd kan spolas tillbaka till något med de lägsta 16 bitarna satta till 0x330E, startades generatorn på standardsättet, från ett frövärde som skickats till srand48. Och frövärdet var i det här fallet en tidpunkt. Frövärdena genererades med hjälp av den svaga PRNG:n initierad med en Unix-tidsstämpel.

Claudes interna tankegång vid tillfället registrerade ögonblicket av igenkänning: alla de översta bitarna var nollställda, 20 bitar, med en slumpchans på 1e-6. Det är en liten detalj, men den visar hur resonemanget arbetar med siffrorna i samma stund som de dyker upp, inte utifrån en berättelse som pusslats ihop i efterhand.

Alla datum var inte rena från början. De fyra initieringarna för de binära kurvorna utlästes som februari 1984, vilket inte är ett datum någon skulle vänta sig för en generator som användes under sent 1990-tal. När tidsstämplarna fördubblas mappas initieringarna för de binära kurvorna till den 17 april 1998, två veckor efter körningen av P-224. Källan drar slutsatsen att programmet kan ha halverat klockvärdet. Det är formulerat med förbehåll, och bör så vara: det är en föreslagen förklaring till varför råvärdena utläses som 1984, och en fördubbling som landar två veckor efter en annan körning är talande utan att vara en definitiv bekräftelse på programmets inre logik.

Jag finner detta vara den mest övertygande delen av hela redogörelsen, av ett skäl som är oberoende av kryptografin. En fabricerad historia skulle ha gett prydliga datum. Den här gav ett avvikande datum, och därefter en korrigering som placerade de binära kurvorna i en sammanhängande sekvens med P-224-körningen. Stökiga data som faller på plats under en enkel hypotes är precis så som verklig proveniens ser ut.

Baspunkterna har också ett recept #

Frövärden definierar kurvorna. Baspunkterna (base points) är en separat fråga, och källan behandlar dem separat.

Baspunkterna för sex kurvor som genererades i maj 1997 (P-192 och de fem exempelkurvorna i ANSI X9.62: prime192v2, prime192v3 samt prime239v1 till v3) kommer från slumptalsgeneratorn i FreeLIP, Arjen Lenstras aritmetikpaket för stora heltal. Tidiga versioner av Victor Shoups NTL-bibliotek levererades med samma kod. Det andra faktumet är viktigt för verifiering: generatorn existerar som publicerad kod som andra kan läsa, inte som ett privat verktyg.

Receptet är kort. Initiera generatorn med ett litet heltal. Kasta de första sju utdatavärdena. Generera kandidat-x-koordinater från 26-bitars utdata reducerade mod p. Upprepa den kandidatgenereringen tills x ligger på kurvan.

Claude hittade generatorns frövärden: 20000 för P-192, 20420, 20507 och 20509 för prime239v1 till v3, samt 20512 och 20517 för prime192v2 och v3. Detta är små heltal av det slag en människa skriver in för hand i ett program, vilket är exakt vad receptets första steg kräver.

Författarna gör här ett anspråk som är blygsamt och värt att återge till sin innebörd: såvitt de vet har ingen NIST-baspunkt förklarats tidigare. Förbehållet är deras eget, och det är väl avvägt. De hävdar inte att de har gått igenom varje dokument som någonsin skrivits, bara gränsen för sin egen vetskap.

Sedan slutar receptet att fungera. Baspunkterna för P-224, P-256, P-384 och P-521 passar inte in i detta recept, och författarna kunde inte förklara hur de valdes. En rapport som slätade över detta skulle se prydligare ut, men författarna lät det stå kvar. Förklaringen täcker sex kurvor från maj 1997 och lämnar fyra av baspunkterna för NIST:s primtalskurvor oförklarade.

Kandidater som hoppades över #

Det sista fyndet är det som mest sannolikt kommer att starta diskussioner, så det är värt att läsa med precision.

För P-256 är det publicerade frövärdet kandidat 1842. Men kandidat 876 i samma körning ger också en kurva av primtalsordning med rätt storlek, med parametrar valda på samma sätt som på den publicerade kurvan. Med andra ord hoppade processen över en kurva som vid första anblicken skulle ha varit godtagbar.

Det är ingen engångsföreteelse. Körningen för P-224 hoppade över tre sådana kurvor, och de två körningarna bakom exempelkurvorna i ANSI X9.62 hoppade över ytterligare sju.

Författarna är raka med vad de inte vet. De vet inte vilka kriterier som kan ha använts för att hoppa över kurvor, eller om det rörde sig om en oavsiktlig artefakt. Det är en begränsning, uttryckt som en sådan, och förbehållet kring "oavsiktlig artefakt" är den ärliga hållningen: data visar att kandidater hoppades över men visar inte varför.

De ger därefter en bedömning. Eftersom antalet överhoppade kandidater är litet tror de inte att det är rimligt att försvagade kurvor valdes ut. Det är ett garderat resonemang om rimlighet, och det vilar på räkningen. Om en process bara hoppar över en handfull kandidater totalt, finns det väldigt lite utrymme att leta efter en svaghet på.

Ett förbehåll kvarstår, och källan anger det som en möjlighet och inte ett fynd. Det är i princip fortfarande tänkbart att dessa kurvor valdes för att ha en specifik egenskap genom att man sökte över tidsstämplar till slumptalsgeneratorn. Detta är spekulation, och flaggas som sådan. Det bör inte läsas som belägg för någonting, men det bör inte heller tystas ner. En rättvis redogörelse håller det kvar på bordet som en icke utesluten väg, samtidigt som den noterar att författarna bedömer försvagade kurvor som osannolika.

Vad resultatet förändrar, och vad det lämnar öppet #

Börja med vad det inte förändrar. Kurvorna är inte knäckta. Källan säger det två gånger, med olika ord, och det finns inga åtgärder som behöver vidtas. Den som läser detta som ett skäl att riva ut P-256 har läst fel.

Vad det förändrar är statusen hos ett gammalt tvivel. Så länge frövärdena var oförklarade utgjorde "tillhandahållna av NSA utan förklaring" ett stående frågetecken över en standard. Det frågetecknet har nu fått ett konkret svar. Frövärdena var inte ogenomträngliga hashar av en hemlig fras. De var lrand48-utdata från ett klockinitierat program, som återskapar varje bit i varje frövärde från ett återskapat tillstånd. En förklaring som vem som helst med de publicerade frövärdena kan testa slår ett rykte som ingen kan kontrollera.

Det finns en poäng här för grundare och ingenjörer som bygger på kryptografiska standarder. Provenienspåståenden är billiga att göra och dyra att kontrollera, och den kontroll som beskrivs här tog under en halvtimme så snart rätt fråga ställdes. Skannern, 2^17-sökningen och gitterreduktionen är alla standardgrepp. Vad som saknades i åratal var någon som gjorde det oglamorösa arbetet med att pröva dem mot de publicerade siffrorna.

Jag vill också motstå frestelsen att översälja metoden. Källan rapporterar ett teams resultat på en specifik uppsättning frövärden. Den hävdar inte att samma angreppssätt kommer att knäcka varje oförklarad konstant i varje standard, och jag tänker inte hävda det åt dem. Vad det visar är smalare och, enligt min mening, mer användbart: när en parameters ursprung är ett mysterium kan en noggrann modell med en rimlig gissning om epokens verktyg testa gissningen snabbt och redovisa sitt arbete.

Det oavslutade arbetet är tydligt nog för att utgöra en forskningsagenda. Fyra baspunkter, de för P-224, P-256, P-384 och P-521, saknar fortfarande en förklaring. De överhoppade kandidaterna, såsom 876 jämfört med publicerade 1842 för P-256, saknar ett angivet kriterium, och ingen vet ännu om överhoppandet var avsiktligt eller en artefakt. Huruvida de svaren finns kvar i gammal källkod, i nu levande kollegors minnen eller i samma sorts mönsterjakt som knäckte frövärdena är den öppna frågan. Frövärdena tog en halvtimme; baspunkterna har redan stått emot det här angreppssättet en gång.

Vanliga frågor #

Knäcker denna upptäckt NIST:s ECDSA-kurvor såsom P-256 eller P-384?

Nej. Upptäckten att kurvornas frövärden genererades av lrand48 snarare än av en lösenfras-hash innebär ingen kryptografisk knäckning, ny attack eller matematisk svaghet i ECDSA-kurvorna, och inga åtgärder eller migreringar krävs till följd av detta fynd.

Hur genererades egentligen frövärdena för NIST:s primtalskurvor?

Varje 160-bitars frövärde skapades genom att anropa C-standardbibliotekets linjära kongruensgenerator lrand48 (mer specifikt lrand48() >> 23 för de fem NIST-primtalskurvorna och fem ANSI X9.62-kurvor), initierad via srand48 med en Unix-tidsstämpel. Att återskapa det 48-bitars interna tillståndet med hjälp av Lenstra-Lenstra-Lovasz (LLL) gitterreduktion genererar på nytt samtliga 160 bitar i varje publicerat frövärde.

Vad förblir oförklarat kring parametrarna för NIST:s elliptiska kurvor?

Medan baspunkterna för P-192 och fem ANSI X9.62-kurvor kunde spåras till slumptalsgeneratorn i Arjen Lenstras FreeLIP-paket initierad med små heltal, stämmer baspunkterna för P-224, P-256, P-384 och P-521 inte överens med det receptet, och kriterierna för att hoppa över tidigare kandidatkurvor av primtalsordning (såsom kandidat 876 före kandidat 1842 i P-256) är fortfarande okända.

Referenser #

Anthropic Frontier Red Team, (2026). Claude reveals ECDSA curve origins ⧉. Anthropic.
National Institute of Standards and Technology, (2000). FIPS PUB 186-2: Digital Signature Standard (DSS) ⧉. NIST.
Victor Shoup, (2024). NTL: A Library for doing Number Theory ⧉. libntl.org.

Senast granskad 2026-11-01.

Återpublicera den här artikeln

De mystiska frövärdena bakom NIST:s kurvor var aldrig hashar, och Claude listade ut det på under en halvtimme — Sebastien Rousseau

De frövärden som publicerades med kurvorna NIST P-192, P-224, P-256, P-384 och P-521 var aldrig hashvärden. De kom från C-bibliotekets lrand48-generator, initierad med en Unix-tidsstämpel. Claude listade ut...

Den här artikeln är licensierad under Creative Commons Attribution 4.0 International. Återpublicering kräver attribution till den kanoniska URL:en.

De mystiska frövärdena bakom NIST:s kurvor var aldrig hashar, och Claude listade ut det på under en halvtimme — Sebastien Rousseau

De frövärden som publicerades med kurvorna NIST P-192, P-224, P-256, P-384 och P-521 var aldrig hashvärden. De kom från C-bibliotekets lrand48-generator, initierad med en Unix-tidsstämpel. Claude listade ut...

Originally published at https://sebastienrousseau.com/sv/2026-10-26-mystiska-frovardena-bakom-nist-kurvor-var/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER