Claude noskaidro, kā 1997. gadā radītas NIST eliptisko līkņu sēklas

Uzņēmums Anthropic 16. oktobrī publiskoja pētījumu, kurā tā MI modelis Claude mazāk nekā pusstundas laikā noskaidroja, kā iegūtas sēklas piecām plaši lietotām NIST eliptiskajām līknēm: P-192, P-224, P-256, P-384 un P-521. Izrādījās, ka tās nav nekādas jaukšanas funkcijas rezultāts, bet gan C bibliotēkas pseidonejaušo skaitļu ģeneratora lrand48/drand48 izvade, kas palaista ar tā brīža Unix laikspiedolu.

Šīs līknes NIST standartizēja 2000. gadā Digitālā paraksta standartā FIPS 186-2, un uz tām balstās liela daļa mūsdienu interneta kriptogrāfijas. Līkņu parametri tika iegūti, jaucot ar SHA-1 noteiktu sēklu, taču pašas sēklas komitejai 1997. gadā iedeva NSA matemātiķis Džerijs Solinass, nepaskaidrojot to izcelsmi. Tas gadu desmitiem raisīja aizdomas, ka līknes varētu būt apzināti izvēlētas ar slēptu vājumu.

Pats Solinass vēlāk atcerējās, ka sēklas esot iegūtas, jaucot kādu jokainu angļu frāzi, taču šādi meklējumi neko nedeva. Pēc viņa nāves 2023. gadā kriptogrāfs Filipo Valsorda izsludināja 12 288 dolāru atlīdzību par sēklu atminēšanu, kas trīskāršotos, ja uzvarētājs to ziedotu labdarībai.

Claude izvēlējās citu pieeju un pieņēma, ka sēklas radījusi 90. gadu programmatūra ar vāju ģeneratoru, kura izvadi var atpazīt. Modelis pamanīja, ka četrām no desmit sēklām, sadalot tās 32 bitu vārdos, visu 20 vārdu augšējais bits ir nulle. Pēc Anthropic datiem, nejauši tā notiktu ar varbūtību 1 pret 5810, un tas norādīja uz lrand48, kas atgriež tikai 31 bitu no 48 bitu iekšējā stāvokļa. Pēc tam ar režģu metodi tika atjaunots ģeneratora stāvoklis un tā sākuma vērtība.

Visu pirmskaitļu līkņu sēklas atbilst laikspiedoliem no 1997. gada maija līdz 1998. gada aprīlim. P-256 sēkla esot 1842. kandidāts ģeneratora palaidienā, kas sākts 1997. gada 16. augustā plkst. 01.52.34 pēc UTC. Anthropic publicēja arī kodu, ar kuru visas sēklas var atkārtoti iegūt, un Valsorda ziņo, ka algoritmu neatkarīgi pārrakstījis Go valodā un apstiprinājis rezultātu.

Anthropic uzsver, ka tas nav ECDSA uzlaušana un neatklāj līkņu vājumu. Gluži pretēji, uzņēmums raksta, ka atklājums vairo pārliecību par to, ka līknēs nav slēptu lūku. Valsorda novērtējis, ka pat tad, ja NSA būtu brīvi izvēlējusies laikspiedolu un kandidātu, tai būtu bijuši tikai aptuveni 30 biti izvēles brīvības, kas nav pietiekami, lai mērķtiecīgi iestrādātu lūku.

Atlīdzību, kas pēc ziedošanas pieauga līdz 36 864 dolāriem, Anthropic komanda pieteica 15. oktobrī un ziedoja bezpeļņas organizācijai ISRG, kas uztur bezmaksas sertifikātu dienestu Let's Encrypt. Daži jautājumi paliek atklāti: nav izdevies atjaunot binārās līknes B-163 sēklu, kā arī nav skaidrs, kā izvēlēti līkņu P-224, P-256, P-384 un P-521 bāzes punkti.