Anthropics AI-model Claude heeft de oorsprong achterhaald van de zogeheten seeds voor de NIST-curves in de cryptografische standaard ECDSA. De waarden zijn gemaakt met de pseudotoevalsgenerator lrand48 uit de C-bibliotheek, die werd geïnitialiseerd met een Unix-tijdstempel.
ECDSA wordt veel gebruikt voor digitale handtekeningen. NIST nam de standaard in 2000 op in zijn Digital Signature Standard. Voor de elliptische curves werden seed-waarden gepubliceerd, maar niet uitgelegd waar die vandaan kwamen. Dat leidde jarenlang tot de vraag of de parameters mogelijk bewust waren gekozen met een verborgen verzwakking.
Claude vond in minder dan een half uur de herkomst van de seeds voor de curves P-192, P-224, P-256, P-384 en P-521. De generator leverde reeksen bytes op, waaruit kandidaten voor de seed werden samengesteld. Voor P-256 waren bijvoorbeeld 1842 iteraties nodig voordat de gestandaardiseerde waarde werd bereikt.
Herkomst van de tijdstempels
Het model onderzocht patronen in de gepubliceerde waarden en vergeleek die met uitvoer van oude pseudotoevalsgeneratoren. Daarbij bleek dat delen van de seeds overeenkwamen met opeenvolgende waarden van lrand48. Door de interne toestand van de generator terug te rekenen, konden de onderzoekers de oorspronkelijke instellingen reconstrueren.
De tien onderzochte seeds voor prime-field-curves leidden naar Unix-tijdstempels tussen mei 1997 en april 1998. De vier seeds voor binary-field-curves verwezen naar februari 1984. Wanneer die tijdstempels werden verdubbeld, kwamen ze uit op 17 april 1998. Dat kan erop wijzen dat het oorspronkelijke programma de klokwaarde halveerde.
De ontdekking is geen aanval op ECDSA en maakt de curves niet cryptografisch onveilig. Integendeel, de eenvoudige en reproduceerbare methode maakt het volgens Anthropic minder aannemelijk dat de parameters met een achterdeur of opzettelijke zwakte zijn ontworpen. Gebruikers hoeven hun systemen daarom niet aan te passen.
De herkomst van de seeds was lange tijd onderwerp van discussie. Een eerdere verklaring stelde dat medewerkers van de Amerikaanse inlichtingendienst NSA een grappige wachtzin hadden gehasht, maar die theorie bleek niet te kloppen. De reconstructie laat zien dat een generator uit de jaren 90, gestart met een klokwaarde, de gebruikte waarden heeft voortgebracht.
