Claude klärt Herkunft der ECDSA-Kurven

Anthropic-Forschende haben die Herkunft der Seed-Werte für die NIST-ECDSA-Kurven P-192, P-224, P-256, P-384 und P-521 sowie weitere Parameter aufgeklärt. Im Oktober 2026 überprüfte ein Mitarbeiter mit einem internen Claude-Modell die jahrzehntelang spekulative Annahme, die vom NSA gelieferten Seed-Werte für FIPS 186-2 stammten aus Hashes geheimer Passphrasen. Das Modell stellte nach knapp einer halben Stunde fest, dass die Seeds aus dem lrand48-Generator der C-Bibliothek erzeugt wurden, der mit einem Unix-Zeitstempel initialisiert wurde. Die Identifikation gelang über typische Eigenschaften alter Pseudozufallszahlengeneratoren. Claude scannte die publizierten Seeds auf Folgen von Bitausgaben und erkannte an den führenden Bits das Muster von lrand48. Für Primzahl-Kurven rekonstruierten die Forschenden den verborgenen Zustand mit Gitterreduktion, insbesondere dem LLL-Algorithmus. Anschließend wurde der Generator rückwärts iteriert, bis die srand48-Initialisierung erreicht war. Die zugehörigen Zeitstempel liegen zwischen Mai 1997 und April 1998. Für die binären Kurven ergibt sich bei verdoppeltem Zeitstempel eine Initialisierung um den 17. April 1998. Damit ist etwa der P-256-Seed als Kandidat 1842 eines definierten Generatorlaufs reproduzierbar. Anthropic betonte, dass es keinen neuen Angriff, keine kryptografische Schwäche und keine Notwendigkeit zur Änderung gibt. Die einfache, nachvollziehbare Erzeugung senkt nach Einschätzung der Autoren die Wahrscheinlichkeit absichtlicher Hintertüren erheblich. Die ursprüngliche Skepsis war durch die fehlende Dokumentation der NSA begründet; die nun publizierte Reproduktion liefert eine plausible Alternative zu langjährigen Mutmaßungen. Zusätzlich bestimmte Claude die Erzeugung mehrerer Basispunkte. Für P-192 und fünf ANSI-X9.62-Beispielkurven stammten sie aus einem Zufallsgenerator aus Arjen Lenstras FreeLIP-Paket, dessen Code auch in frühen NTL-Versionen vorkam. Die kleinen Generatorseeds liegen zwischen 20000 und 20517. Für P-224, P-256, P-384 und P-521 sowie mehrere binäre Kurven blieb die Wahl der Basispunkte offen; auch der Seed von B-163 konnte nicht erklärt werden. Offene Fragen betreffen zudem übersprungene Kandidaten während der Generierung, die Anthropic nicht auf eine selektive Schwächung zurückführt. Die Lösung beendet eine langjährige Kontroverse und schließt eine Preisgeldaktion ab. Die 36.864 Dollar Preisgeld gehen an die Internet Security Research Group. Anthropic würdigte posthum Jerry Solinas, den 2023 verstorbenen NSA-Kryptoexperten, dessen humorvolle Hinweise die Legende um eine geheime Phrase genährt hatten. An der Arbeit waren neben weiteren Anthropic-Forschenden auch Nicholas Carlini beteiligt.