Các giá trị mầm bí ẩn đằng sau đường cong NIST chưa bao giờ là hàm băm, và Claude đã tìm ra điều đó trong chưa đầy nửa giờ

TL;DR. Các giá trị mầm được công bố cùng các đường cong NIST P-192, P-224, P-256, P-384 và P-521 chưa bao giờ là đầu ra hàm băm. Chúng xuất phát từ bộ sinh lrand48 của thư viện C, được khởi tạo bằng dấu thời gian Unix. Claude đã giải ra...

Điểm chính

Một hệ số trông như được dẫn xuất và một giá trị mầm không ai lý giải nổi. ECDSA được NIST phê chuẩn vào năm 2000 như một phần của Tiêu chuẩn Chữ ký Số FIPS 186-2.
Ba mươi phút, không gợi ý, và một kết quả không phải hàm băm. Vào tháng 10 năm 2026, một nhân viên tò mò của Anthropic đã hỏi một mô hình nghiên cứu nội bộ xem liệu nó có thể tìm ra cách các giá trị mầm đó được tạo ra hay không, mà không chỉ vào manh mối nào.
Cách một bộ quét tìm thấy dấu vân tay của bộ sinh từ thập niên 1990. Phương pháp thực hiện rất đáng chú ý, bởi vì đó là phần mà những người khác có thể tái sử dụng.
Chạy ngược bộ sinh để đọc đồng hồ hệ thống. Việc khôi phục một trạng thái cho bạn biết giá trị mầm đã được tạo ra như thế nào.

Một câu hỏi bị bỏ ngỏ sau khi người duy nhất có thể trả lời nó qua đời vào năm 2023 hóa ra lại có một lời giải vô cùng bình thường: một bộ sinh số ngẫu nhiên từ thập niên 1990 được khởi tạo từ đồng hồ hệ thống. Các tác giả cho biết câu trả lời đó khiến họ tin tưởng hơn rằng các đường cong đã được chọn một cách trung thực, chứ không phải ít đi.

Tóm tắt Điều hành

ECDSA được NIST phê chuẩn vào năm 2000 như một phần của Tiêu chuẩn Chữ ký Số FIPS 186-2. Các đặc tả kỹ thuật đã công bố các tham số "mầm" (seed) mà giá trị băm của chúng được dùng để xác định hệ số b của đường cong. NSA đã cung cấp các giá trị mầm này mà không kèm theo bất kỳ lời giải thích hay biện minh nào.

Vào tháng 10 năm 2026, một nhân viên của Anthropic đã yêu cầu một mô hình nghiên cứu nội bộ tìm hiểu xem các giá trị mầm đó được tạo ra như thế nào mà không hề chỉ điểm gợi ý. Trong chưa đầy nửa giờ, Claude phát hiện ra rằng không có giá trị mầm nào là đầu ra hàm băm. Chúng là đầu ra của lrand48, một bộ sinh số giả ngẫu nhiên phổ biến được khởi tạo từ đồng hồ hệ thống.

Phát hiện này không phải là một sự phá vỡ mật mã, cuộc tấn công mới hay điểm yếu nào trong các đường cong ECDSA. Các tác giả cho biết điều này khiến họ tin tưởng hơn rằng các đường cong đã được chọn mà không có cửa hậu (backdoor) hay điểm yếu cố ý nào.

Claude cũng giải thích được các điểm cơ sở của sáu đường cong từ tháng 5 năm 1997 là xuất phát từ bộ sinh số ngẫu nhiên trong FreeLIP, gói số học số nguyên lớn của Arjen Lenstra. Theo hiểu biết của các tác giả, chưa từng có điểm cơ sở NIST nào được giải thích trước đây.

Những câu hỏi mở vẫn còn đó: làm thế nào các điểm cơ sở của P-224, P-256, P-384 và P-521 được chọn, và tiêu chí nào, nếu có, đứng đằng sau các đường cong ứng viên bị bỏ qua.

Một hệ số trông như được dẫn xuất và một giá trị mầm không ai lý giải nổi #

ECDSA được NIST phê chuẩn vào năm 2000 như một phần của Tiêu chuẩn Chữ ký Số FIPS 186-2. Các đặc tả cho những đường cong của nó mang một tham số "mầm" (seed) mà giá trị băm của nó được dùng để xác định hệ số b của đường cong. Trên giấy tờ, đó là một thiết kế mang lại sự yên tâm. Theo lập luận đó, nếu hệ số xuất phát từ hàm băm của một giá trị mầm được công bố rộng rãi, thì không ai có thể tinh chỉnh đường cong bằng tay được.

Lập luận đó chỉ tốt tương đương với độ minh bạch của chính giá trị mầm. Các giá trị mầm do NSA cung cấp không hề có lời giải thích hay căn cứ nào, và khoảng trống đó chính là toàn bộ vấn đề. Hàm băm là một cánh cửa một chiều: nó chứng minh hệ số được suy ra từ giá trị mầm, nhưng không nói lên điều gì về việc giá trị mầm đó từ đâu mà có. Suốt nhiều năm, các giá trị mầm nằm trong tiêu chuẩn như những hằng số không lời giải đáp.

Đã có một câu chuyện được lưu truyền để lấp vào khoảng trống đó. Phiên bản nổi tiếng nhất kể rằng Jerry Solinas, một nhân viên lâu năm của NSA, đã tạo ra các giá trị mầm từ hàm băm của một cụm mật khẩu hài hước. Tài liệu gốc sau đó cho biết câu chuyện này hóa ra là sai. Những câu chuyện kiểu đó thường dễ được tin vì chúng cụ thể và có chút thú vị, cũng như vì chẳng ai có thể bác bỏ chúng. Nhưng chúng không đủ tư cách làm bằng chứng. Hệ quả thực tế là không ai có thể kiểm tra tuyên bố đó, và các cuộc tìm kiếm cụm từ kia dựa trên những lời đồn đại đều trở về tay trắng.

Người hiển nhiên cần hỏi nhất là Solinas. Nhưng Jerry đã qua đời vào năm 2023, và các đồng nghiệp khác vào thời điểm đó đều không phản hồi. Điều đó để ngỏ câu hỏi làm thế nào các giá trị mầm này được tạo ra ban đầu.

Tôi cho rằng đây là góc nhìn đúng đắn về tình huống này: một câu hỏi về nguồn gốc xuất xứ (provenance) phụ thuộc vào trí nhớ của một vài cá nhân là một sự sắp đặt mong manh đối với một tiêu chuẩn làm nền tảng cho chữ ký số. Điều thú vị về những gì xảy ra tiếp theo là nó chẳng cần đến những ký ức đó. Câu trả lời vẫn nằm sẵn trong các giá trị mầm đã công bố, chờ đợi một ai đó kiểm tra đúng giả thuyết.

Ba mươi phút, không gợi ý, và một kết quả không phải hàm băm #

Vào tháng 10 năm 2026, một nhân viên tò mò của Anthropic đã hỏi một mô hình nghiên cứu nội bộ xem liệu nó có thể tìm ra cách các giá trị mầm đó được tạo ra hay không, mà không chỉ vào manh mối nào. Cách đặt câu hỏi rất quan trọng. Mô hình không được bảo phải tìm kiếm cái gì, và cũng không được trao sẵn câu trả lời để xác nhận.

Trong chưa đầy nửa giờ, Claude đã khám phá ra nguồn gốc của các giá trị mầm NIST P-192, P-224, P-256, P-384 và P-521. Kết quả hết sức thẳng thừng: không có giá trị mầm nào là kết quả của bất kỳ thuật toán băm nào. Chúng là đầu ra của bộ sinh số ngẫu nhiên lrand48 trong thư viện C.

Vì vậy, câu chuyện về cụm mật khẩu sẽ không bao giờ có thể tìm thấy, bởi vì làm gì có cụm mật khẩu nào để mà tìm. Các giá trị mầm được tạo ra bởi một bộ sinh số giả ngẫu nhiên phổ biến được khởi tạo từ đồng hồ hệ thống. Đó là một lời giải thích chẳng mấy hào nhoáng, và đó chính xác là sức hấp dẫn của nó: không cần bí mật, không cần kiến thức đặc biệt, và không có hằng số bí ẩn nào.

Cơ chế này rất dễ mô tả. Mỗi vòng lặp của thuật toán rút ra 20 byte từ bộ sinh để làm một giá trị mầm ứng viên. Số vòng lặp là chi tiết thú vị, vì nó cho thấy quá trình này là một cuộc tìm kiếm chứ không phải một lần rút duy nhất. Chẳng hạn, P-256 cần tới 1842 vòng lặp để xuất ra giá trị mầm được chuẩn hóa. Bất kỳ ai chạy chương trình này đã để nó xay qua hàng loạt ứng viên cho đến khi có một ứng viên tạo ra được đường cong đáp ứng yêu cầu của họ.

Các tác giả rất thận trọng về ý nghĩa của phát hiện này, và cách đóng khung vấn đề của họ đáng được nhắc lại. Đây không phải là một sự phá vỡ mật mã, một cuộc tấn công mới hay điểm yếu trong các đường cong ECDSA. Không có hành động khắc phục nào cần phải thực hiện. Họ còn tiến thêm một bước và nói rằng điều này khiến họ tin tưởng hơn rằng các đường cong đã được chọn mà không có bất kỳ cửa hậu hay điểm yếu cố ý nào. Đó là một kết luận có tính dè dặt, và nên giữ nguyên như vậy. Tài liệu gốc đặt nó dưới góc độ sự tin tưởng của các tác giả, vốn khác với một chứng minh toán học về sự trong sạch của các đường cong. Thứ mà phát hiện này mang lại là một lời giải thích bình thường, có thể kiểm tra được để thay thế cho một câu chuyện không thể kiểm chứng.

Cách một bộ quét tìm thấy dấu vân tay của bộ sinh từ thập niên 1990 #

Phương pháp thực hiện rất đáng chú ý, bởi vì đó là phần mà những người khác có thể tái sử dụng.

Claude đã đoán rằng phần mềm tạo ra các đường cong sử dụng một bộ PRNG đi kèm với các thư viện C thập niên 1990. Tài liệu gốc coi đây là một phỏng đoán, và đó là một phỏng đoán giỏi. Nó thu hẹp một cuộc tìm kiếm vô định xuống còn một danh sách ngắn các ứng viên từ một thời kỳ nhất định.

Sau đó Claude viết một bộ quét (scanner). Nó trượt dọc theo từng giá trị mầm đã công bố từng bit một và kiểm tra xem các đoạn liền kề có phải là đầu ra liên tiếp của một bộ sinh thời thập niên 1990 hay không. Quá trình quét bao phủ 34 tổ hợp bộ sinh và lát cắt đầu ra. Điểm trúng đích xuất hiện dưới dạng một quy luật ở các bit bậc cao, một quy luật mà nếu xảy ra ngẫu nhiên thì xác suất chỉ là 1/5810.

Quy luật đó là chữ ký đặc trưng của bộ sinh đồng dư tuyến tính lrand48, vốn chỉ trả về 31 bit cao nhất của một trạng thái 48 bit. Chính tại đây thiết kế của bộ sinh đã để lộ dấu vết. Bởi vì lrand48 giấu đi 17 bit trong trạng thái 48 bit của nó ở mỗi lần gọi, đầu ra mang một tính quy luật mà một chuỗi ngẫu nhiên thực sự sẽ không có, và một bộ quét được chế tạo để tìm kiếm tính quy luật đó có thể phát hiện ra nó.

Để khôi phục trạng thái, Claude lấy từ (word) đầu tiên và thử tất cả 2^17 giá trị của 17 bit bị ẩn. Đó là một phép tìm kiếm nhỏ, và rất rẻ vì bộ sinh quá đơn giản. Mỗi trạng thái ứng viên có thể được đối chiếu với đoạn tiếp theo của giá trị mầm, và trạng thái đúng đã làm cho toàn bộ chuỗi khớp nối với nhau.

Các giá trị mầm của đường cong trường nguyên tố (prime-curve) khó hơn, nhưng chỉ một chút. Chúng xuất phát từ cùng bộ sinh lrand48 nhưng giữ lại ít bit hơn ở mỗi lần xuất. Ít bit hiển thị hơn đồng nghĩa với việc có ít điểm tựa hơn cho phỏng đoán, vì vậy mẹo vét cạn không còn áp dụng gọn gàng như trước. Câu trả lời của tài liệu gốc là việc khôi phục trạng thái của một bộ sinh đồng dư tuyến tính bị cắt cụt là một bài toán dàn (lattice problem) chuẩn sách giáo khoa, được giải bằng thuật toán rút gọn cơ sở Lenstra-Lenstra-Lovasz (LLL). Một mô hình có thể nhận diện điều đó và áp dụng một công cụ tiêu chuẩn vào bài toán mà không cần bất kỳ kỹ thuật kỳ lạ nào.

Năm giá trị mầm đường cong nguyên tố của NIST, cộng thêm năm giá trị nữa từ tiêu chuẩn ANSI X9.62, tất cả đều có cùng một công thức: lrand48() >> 23. Mười giá trị mầm chia sẻ chung một quy tắc trích xuất là bằng chứng mạnh mẽ cho thấy có cùng một quy trình đứng đằng sau chúng.

Tiếp theo là bước kiểm tra giúp phân biệt một sự trùng hợp may mắn với kết quả thực sự. Mỗi trạng thái 48 bit được khôi phục đều tái tạo lại toàn bộ 160 bit của giá trị mầm tương ứng, điều không thể xảy ra một cách tình cờ. Một sự khớp nối một phần có thể là ngẫu nhiên. Nhưng việc tái tạo đầy đủ từng bit một là điều khó lòng phủ nhận, và đó là lý do kết quả này có thể được khẳng định một cách dứt khoát.

Chạy ngược bộ sinh để đọc đồng hồ hệ thống #

Việc khôi phục một trạng thái cho bạn biết giá trị mầm đã được tạo ra như thế nào. Nhưng nó chưa cho bạn biết là khi nào. Để làm điều đó, Claude đã sử dụng một tính chất của bộ sinh: nó chạy lùi cũng dễ dàng như chạy tiến. Đối với mỗi giá trị mầm, Claude lùi trạng thái về từng bước cho đến khi chạm tới dạng thức mà lệnh khởi tạo srand48 tạo ra, với 16 bit thấp bằng 0x330E.

Dạng thức đó tự thân nó đã là một dấu vân tay. Nếu một trạng thái được khôi phục có thể tua ngược về một giá trị có 16 bit thấp ở mức 0x330E, thì bộ sinh đã được khởi động theo cách tiêu chuẩn, từ một giá trị mầm truyền vào srand48. Và giá trị mầm, trong trường hợp này, chính là thời gian. Các giá trị mầm đã được tạo ra bằng bộ PRNG yếu được khởi tạo mầm theo dấu thời gian Unix (Unix timestamp).

Quá trình suy nghĩ nội bộ của Claude vào thời điểm đó đã ghi lại khoảnh khắc nhận diện: tất cả các bit cao đều bằng 0, 20 bit, với xác suất ngẫu nhiên là 1e-6. Đó là một chi tiết nhỏ, nhưng nó cho thấy lập luận hoạt động dựa trên các con số ngay khi chúng xuất hiện, chứ không phải dựa trên một câu chuyện được lắp ghép sau đó.

Không phải tất cả các mốc ngày tháng đều tròn trịa ngay lập tức. Bốn lần khởi tạo đường cong nhị phân hiển thị là tháng 2 năm 1984, một thời điểm chẳng ai nghĩ tới đối với một bộ sinh được sử dụng vào cuối thập niên 1990. Khi nhân đôi các dấu thời gian này lên, các lần khởi tạo đường cong nhị phân ánh xạ tới ngày 17 tháng 4 năm 1998, tức hai tuần sau lần chạy P-224. Tài liệu gốc kết luận rằng chương trình có thể đã chia đôi giá trị đồng hồ. Nhận định đó được viết dè dặt, và đúng là nên như vậy: đó là lời giải thích được đề xuất cho việc tại sao các giá trị thô lại đọc thành năm 1984, và phép nhân đôi rơi vào đúng hai tuần sau một lần chạy khác là điều rất đáng suy ngẫm dù chưa phải là sự xác nhận tuyệt đối về cấu trúc bên trong của chương trình.

Tôi thấy đây là phần thuyết phục nhất trong toàn bộ tường thuật, vì một lý do độc lập với mật mã học. Một câu chuyện bịa đặt hẳn sẽ tạo ra những mốc ngày tháng gọn gàng sạch sẽ. Còn thực tế ở đây lại tạo ra một mốc thời gian kỳ quặc, rồi sau đó là một phép hiệu chỉnh đưa các đường cong nhị phân vào một trình tự mạch lạc với lần chạy P-224. Dữ liệu lộn xộn nhưng được giải quyết êm đẹp dưới một giả thuyết đơn giản chính là diện mạo của nguồn gốc thực tế.

Các điểm cơ sở cũng có công thức riêng #

Các giá trị mầm định nghĩa nên đường cong. Còn các điểm cơ sở (base points) là một vấn đề riêng biệt, và tài liệu gốc xử lý chúng một cách tách biệt.

Các điểm cơ sở của sáu đường cong được tạo vào tháng 5 năm 1997 (P-192 và năm đường cong ví dụ của ANSI X9.62 gồm prime192v2, prime192v3 và prime239v1 đến v3) xuất phát từ bộ sinh số ngẫu nhiên trong FreeLIP, gói số học số nguyên lớn của Arjen Lenstra. Các phiên bản đầu của thư viện NTL do Victor Shoup viết cũng đóng gói kèm đoạn mã tương tự. Sự kiện thứ hai đó rất quan trọng cho việc kiểm chứng: bộ sinh tồn tại dưới dạng mã nguồn đã công bố mà người khác có thể đọc được, chứ không phải một công cụ đóng kín.

Công thức rất ngắn gọn. Khởi tạo mầm cho bộ sinh bằng một số nguyên nhỏ. Bỏ qua bảy đầu ra đầu tiên. Tạo các hoành độ x ứng viên từ các đầu ra 26 bit được lấy mô-đun p. Lặp lại quá trình tạo ứng viên đó cho đến khi x nằm trên đường cong.

Claude đã tìm ra các giá trị mầm của bộ sinh: 20000 cho P-192, 20420, 20507 và 20509 cho prime239v1 đến v3, và 20512 cùng 20517 cho prime192v2 và v3. Đây là những số nguyên nhỏ thuộc kiểu mà một người gõ bằng tay vào chương trình, khớp chính xác với những gì bước đầu tiên của công thức yêu cầu.

Các tác giả đưa ra một tuyên bố khá khiêm tốn và đáng được trích dẫn lại tinh thần: theo hiểu biết của họ, chưa từng có điểm cơ sở NIST nào được giải thích trước đây. Sự dè dặt đó là của họ, và hoàn toàn xác đáng. Họ không khẳng định đã khảo sát mọi tài liệu từng được viết ra, mà chỉ nêu giới hạn hiểu biết của mình.

Rồi công thức này ngừng hoạt động. Các điểm cơ sở của P-224, P-256, P-384 và P-521 không khớp với công thức này, và các tác giả đã không thể giải thích chúng được chọn như thế nào. Một bài viết nếu lờ đi chi tiết này trông sẽ gọn gàng hơn, nhưng các tác giả đã giữ nó lại. Lời giải thích bao quát được sáu đường cong từ tháng 5 năm 1997 và để lại bốn điểm cơ sở của các đường cong nguyên tố NIST chưa có lời giải.

Những ứng viên đã bị bỏ qua #

Phát hiện cuối cùng là chi tiết dễ châm ngòi tranh cãi nhất, vì vậy cần được đọc thật chính xác.

Đối với P-256, giá trị mầm được công bố là ứng viên thứ 1842. Nhưng ứng viên thứ 876 trong cùng lần chạy đó cũng tạo ra một đường cong bậc nguyên tố có kích thước phù hợp, với các tham số được chọn theo cùng một cách như trên đường cong đã công bố. Nói cách khác, quy trình đã bỏ qua một đường cong mà xét bề ngoài là hoàn toàn chấp nhận được.

Đây không phải là trường hợp cá biệt. Lần chạy của P-224 đã bỏ qua ba đường cong như vậy, và hai lần chạy đằng sau các đường cong ví dụ ANSI X9.62 đã bỏ qua thêm bảy đường cong nữa.

Các tác giả nói thẳng về những gì họ không biết. Họ không biết tiêu chí nào có thể đã được sử dụng để bỏ qua các đường cong đó, hay liệu đó có phải là một hệ quả vô tình (unintentional artifact) hay không. Đó là một giới hạn, được nêu rõ như một giới hạn, và sự thận trọng ở cụm từ "hệ quả vô tình" là lập trường trung thực: dữ liệu cho thấy các ứng viên đã bị bỏ qua nhưng không cho thấy tại sao.

Sau đó họ đưa ra một nhận định đánh giá. Bởi vì số lượng ứng viên bị bỏ qua là nhỏ, họ không tin rằng có khả năng các đường cong bị làm yếu đã được chọn. Đó là một lập luận thận trọng về tính hợp lý, và nó dựa trên phép đếm. Nếu một quy trình chỉ bỏ qua vỏn vẹn vài ứng viên trong tổng thể, thì có rất ít không gian để tìm kiếm một điểm yếu.

Một lưu ý vẫn còn đó, và tài liệu gốc nêu nó như một khả năng về mặt nguyên lý chứ không phải một phát hiện. Về nguyên tắc, vẫn có thể hình dung rằng các đường cong này đã được chọn để mang một tính chất cụ thể bằng cách tìm kiếm trên các dấu thời gian đưa vào bộ sinh số ngẫu nhiên. Đây là sự suy đoán, và được gắn nhãn rõ ràng như vậy. Nó không nên được đọc như bằng chứng của bất cứ điều gì, nhưng cũng không nên bị lặng lẽ gạt bỏ. Một bản tường thuật công bằng sẽ giữ nó trên bàn như một hướng chưa bị loại trừ hoàn toàn, đồng thời ghi nhận rằng các tác giả coi giả thuyết về các đường cong bị làm yếu là khó có khả năng xảy ra.

Kết quả này làm thay đổi điều gì, và để ngỏ điều gì #

Hãy bắt đầu với những gì nó không làm thay đổi. Các đường cong không hề bị phá vỡ. Tài liệu gốc khẳng định điều đó hai lần, bằng những từ ngữ khác nhau, và không có hành động khắc phục nào cần thực hiện. Bất kỳ ai đọc kết quả này như một lý do để gỡ bỏ P-256 đều đã đọc sai.

Điều nó làm thay đổi là trạng thái của một mối nghi ngờ cũ. Chừng nào các giá trị mầm còn chưa được giải thích, cụm từ "do NSA cung cấp mà không có lời giải thích" vẫn là một dấu hỏi treo lơ lửng trên một tiêu chuẩn quốc tế. Dấu hỏi đó giờ đây đã có câu trả lời cụ thể. Các giá trị mầm không phải là những hàm băm bí hiểm của một cụm từ mật. Chúng là đầu ra lrand48 từ một chương trình lấy mầm theo đồng hồ hệ thống, tái tạo lại từng bit một của mỗi giá trị mầm từ trạng thái được khôi phục. Một lời giải thích mà bất kỳ ai cầm trong tay các giá trị mầm đã công bố đều có thể tự kiểm tra chắc chắn đánh bại một lời đồn đại mà chẳng ai kiểm chứng nổi.

Có một bài học ở đây dành cho các nhà sáng lập và kỹ sư xây dựng hệ thống dựa trên các tiêu chuẩn mật mã. Các tuyên bố về nguồn gốc xuất xứ rất dễ đưa ra nhưng lại đắt đỏ để kiểm tra, và bước kiểm tra được mô tả ở đây chỉ mất chưa đầy nửa giờ một khi đặt đúng câu hỏi. Bộ quét, phép tìm kiếm 2^17 và thuật toán rút gọn dàn đều là những thao tác tiêu chuẩn. Thứ bị thiếu suốt nhiều năm qua chỉ là một ai đó chịu làm công việc kém hào nhoáng là thử áp dụng chúng lên các con số đã công bố.

Tôi cũng sẽ cưỡng lại sự cám dỗ thổi phồng phương pháp này. Tài liệu gốc báo cáo kết quả của một nhóm nghiên cứu trên một tập hợp giá trị mầm cụ thể. Nó không tuyên bố cách tiếp cận tương tự sẽ giải mã được mọi hằng số chưa rõ nguồn gốc trong mọi tiêu chuẩn, và tôi cũng sẽ không tuyên bố thay họ. Điều nó chứng minh hẹp hơn và, theo suy nghĩ của tôi, hữu ích hơn: khi nguồn gốc của một tham số là một bí ẩn, một mô hình cẩn trọng cùng một phỏng đoán hợp lý về công cụ của thời kỳ đó có thể kiểm tra phỏng đoán một cách nhanh chóng và trưng ra toàn bộ lời giải của mình.

Phần việc còn dang dở đủ rõ ràng để trở thành một chương trình nghiên cứu tiếp theo. Bốn điểm cơ sở, thuộc về P-224, P-256, P-384 và P-521, vẫn thiếu lời giải thích. Các ứng viên bị bỏ qua, chẳng hạn như ứng viên 876 so với ứng viên 1842 được công bố của P-256, vẫn thiếu một tiêu chí rõ ràng, và chưa ai biết việc bỏ qua đó là chủ ý hay chỉ là hệ quả kỹ thuật. Liệu những câu trả lời đó còn lưu lại trong mã nguồn cũ, trong ký ức của những đồng nghiệp còn sống, hay trong chính kiểu săn tìm quy luật đã giải mã các giá trị mầm vẫn là một câu hỏi mở. Các giá trị mầm chỉ mất nửa giờ; còn các điểm cơ sở đã kháng cự lại cách tiếp cận này một lần rồi.

Câu hỏi Thường gặp #

Phát hiện này có phá vỡ các đường cong NIST ECDSA như P-256 hay P-384 không?

Không. Việc phát hiện ra các giá trị mầm của đường cong được tạo bởi lrand48 thay vì hàm băm của một cụm mật khẩu không tạo ra bất kỳ sự phá vỡ mật mã, cuộc tấn công mới hay điểm yếu toán học nào trong các đường cong ECDSA, và không cần thực hiện bất kỳ hành động vá lỗi hay chuyển đổi hệ thống nào từ phát hiện này.

Các giá trị mầm đường cong nguyên tố của NIST thực sự đã được tạo ra như thế nào?

Mỗi giá trị mầm 160 bit được tạo ra bằng cách gọi bộ sinh đồng dư tuyến tính lrand48 của thư viện chuẩn C (cụ thể là lrand48() >> 23 cho năm đường cong nguyên tố NIST và năm đường cong ANSI X9.62), được khởi tạo qua srand48 bằng dấu thời gian Unix. Việc khôi phục trạng thái nội bộ 48 bit thông qua thuật toán rút gọn dàn Lenstra-Lenstra-Lovasz (LLL) tái tạo lại toàn bộ 160 bit của từng giá trị mầm đã công bố.

Điều gì vẫn chưa được giải thích về các tham số đường cong elliptic của NIST?

Mặc dù các điểm cơ sở của P-192 và năm đường cong ANSI X9.62 đã được truy nguyên về bộ sinh số ngẫu nhiên trong gói FreeLIP của Arjen Lenstra được khởi tạo bằng các số nguyên nhỏ, các điểm cơ sở của P-224, P-256, P-384 và P-521 lại không khớp với công thức đó, đồng thời tiêu chí để bỏ qua các đường cong ứng viên bậc nguyên tố xuất hiện sớm hơn (như ứng viên 876 trước ứng viên 1842 trong P-256) vẫn chưa được biết.

Tài liệu Tham khảo #

Anthropic Frontier Red Team, (2026). Claude reveals ECDSA curve origins ⧉. Anthropic.
National Institute of Standards and Technology, (2000). FIPS PUB 186-2: Digital Signature Standard (DSS) ⧉. NIST.
Victor Shoup, (2024). NTL: A Library for doing Number Theory ⧉. libntl.org.

Cập nhật lần cuối 2026-11-01.

Đăng lại bài này

Các giá trị mầm bí ẩn đằng sau đường cong NIST chưa bao giờ là hàm băm, và Claude đã tìm ra điều đó trong chưa đầy nửa giờ — Sebastien Rousseau

Các giá trị mầm được công bố cùng các đường cong NIST P-192, P-224, P-256, P-384 và P-521 chưa bao giờ là đầu ra hàm băm. Chúng xuất phát từ bộ sinh lrand48 của thư viện C, được khởi tạo bằng dấu thời gian Unix. Claude đã giải ra...

Bài viết này được cấp phép theo Creative Commons Attribution 4.0 International. Đăng lại yêu cầu ghi nguồn đến URL chính tắc.

Các giá trị mầm bí ẩn đằng sau đường cong NIST chưa bao giờ là hàm băm, và Claude đã tìm ra điều đó trong chưa đầy nửa giờ — Sebastien Rousseau

Các giá trị mầm được công bố cùng các đường cong NIST P-192, P-224, P-256, P-384 và P-521 chưa bao giờ là đầu ra hàm băm. Chúng xuất phát từ bộ sinh lrand48 của thư viện C, được khởi tạo bằng dấu thời gian Unix. Claude đã giải ra...

Originally published at https://sebastienrousseau.com/vi/2026-10-26-gia-tri-mam-bi-an-dang/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER