Claude ontrafelt oud NSA-raadsel achter vijf cryptografische NIST-curves
Een intern Claude-model heeft in minder dan een halfuur een cryptografisch raadsel opgelost dat al ruim 25 jaar meeging. De mysterieuze startgetallen achter vijf bekende NIST-curves blijken terug te voeren op een oude randomgenerator die met de computerklok werd gestart.
Dat is geen kraak van ECDSA en levert geen toegang tot privésleutels op.
De vondst doet juist het tegenovergestelde: zij maakt een doelbewust verborgen zwakke plek in de onderzochte curves volgens de onderzoekers veel minder aannemelijk.
Anthropic maakte de ontdekking op 16 oktober bekend. Cryptografie-expert Filippo Valsorda bouwde de methode daarna zelf opnieuw en reproduceerde de resultaten.
NSA leverde getallen zonder hun herkomst uit te leggen
De kwestie draait om elliptische curves die NIST in 2000 opnam in zijn Digital Signature Standard.
Daaronder vallen P-192, P-224, P-256, P-384 en P-521.
Voor deze curves werden zogenoemde seeds gepubliceerd. Zo'n seed is een openbaar startgetal dat wordt gebruikt bij het afleiden van een deel van de curveparameters.
Het probleem zat niet in het feit dat die seeds geheim waren.
Ze waren openbaar.
Niemand wist alleen waarom juist deze waarden waren gekozen.
Omdat de getallen oorspronkelijk van de Amerikaanse NSA kwamen, bleef een ongemakkelijke mogelijkheid jarenlang boven de markt hangen: had iemand bewust gezocht naar parameters met een verborgen wiskundige eigenschap?
Claude zocht niet naar de oude grap
Over de herkomst bestond jarenlang een ander verhaal.
NSA-cryptograaf Jerry Solinas had ooit herinnerd dat mogelijk een grappige Engelse zin was gehasht om de seeds te maken.
Eerdere onderzoekers zochten daarom naar zulke teksten.
Dat spoor liep dood.
Anthropic zegt dat een medewerker in oktober een intern onderzoeksmodel van Claude simpelweg vroeg de oorsprong te achterhalen, zonder het model richting die oude aanwijzing te sturen.
Claude koos een andere route.
Het keek naar software die eind jaren negentig waarschijnlijk beschikbaar was.
Oude randomgenerator liet een herkenbaar spoor achter
Claude ontdekte patronen die pasten bij de rand48-familie uit toenmalige C-bibliotheken.
Anthropic beschrijft specifiek hoe de lrand48-generator werd gebruikt. Die generator werkte met een interne toestand van 48 bits.
De volgende stap was opvallend simpel.
De generator bleek te zijn gestart met Unix-tijdstempels uit 1997 en 1998.
Met andere woorden: de computerklok leverde het startpunt.
Vanaf zo'n tijdstip werden achtereenvolgens kandidaat-seeds gegenereerd totdat een bruikbare curve ontstond.
P-256 verscheen als kandidaat 1.842
Voor P-256 kon de procedure zeer precies worden gereconstrueerd.
De gebruikte tijdstempel komt volgens Anthropic overeen met 16 augustus 1997 om 01:52:34 UTC.
Vanaf dat startpunt genereerde de oude software kandidaat na kandidaat.
De seed die uiteindelijk bij P-256 werd gepubliceerd, verschijnt als nummer 1.842 in die reeks.
Dezelfde aanpak reproduceerde ook de officiële seeds voor P-192, P-224, P-384 en P-521.
Dat maakt toeval extreem onwaarschijnlijk.
Valsorda bouwde de methode zelf opnieuw
De vondst bleef niet alleen een bewering van Anthropic.
Filippo Valsorda, die drie jaar eerder een bounty voor het oplossen van het raadsel had georganiseerd, ontving de oplossing op 15 oktober.
Hij implementeerde de generatieprocedure vervolgens zelf opnieuw in Go.
Daarmee kon hij de gepubliceerde seeds reproduceren.
Valsorda concludeert dat de ontdekking een belangrijk stuk cryptografische geschiedenis invult en het vertrouwen in deze curves verder versterkt.
Voorspelbare willekeur is hier niet hetzelfde als een zwakke sleutel
Het gebruik van een oude, voorspelbare randomgenerator klinkt op het eerste gezicht rampzalig.
Bij het genereren van een privésleutel zou dat ook een groot probleem zijn.
Een geheime sleutel moet voor een aanvaller praktisch onmogelijk te voorspellen zijn.
Deze seeds hebben echter een andere functie.
Ze zijn openbare invoer voor het ontwerpen van de curve zelf. Iedereen mocht ze uiteindelijk kennen.
De vraag was daarom niet of een aanvaller de seed kon voorspellen.
De vraag was of de ontwerper zoveel vrijheid had dat hij heimelijk naar een speciaal verzwakte curve kon zoeken.
De gevonden procedure beperkt die vrijheid sterk
Precies daar krijgt de reconstructie veiligheidswaarde.
Door te weten welke generator werd gebruikt, welke tijdstippen erbij horen en waar in de gegenereerde reeks de gepubliceerde seeds staan, wordt de zoekruimte achteraf veel kleiner.
Valsorda verwijst daarbij naar een eerder theoretisch scenario van Daniel Bernstein en Tanja Lange.
Hun gedachte-experiment liet zien dat een ontwerper met ongeveer 70 bits keuzevrijheid mogelijk gericht naar een zeldzame klasse hypothetisch zwakke curves had kunnen zoeken.
Volgens Valsorda laat de gereconstrueerde methode hooguit rond 30 bits speelruimte over, zelfs bij ruime aannames.
Voor dat specifieke scenario is dat volgens hem te weinig.
Niet iedere historische keuze is nu verklaard
Daar stopt de zekerheid.
Claude zag dat sommige kandidaten die volgens de bekende eisen bruikbaar lijken toch werden overgeslagen.
Bij P-256 was kandidaat 876 bijvoorbeeld eveneens een geldige prime-ordercurve, terwijl uiteindelijk kandidaat 1.842 werd gekozen.
Waarom?
Dat weten de onderzoekers nog niet.
Er kunnen aanvullende selectiecriteria zijn geweest. Er kan oude software zich anders hebben gedragen. Een programmeerfout is eveneens denkbaar.
Anthropic zegt dat het kleine aantal overgeslagen kandidaten een gerichte zoektocht naar zwakke curves niet aannemelijk maakt.
Maar de precieze selectieprocedure is nog niet volledig gereconstrueerd.
Ook enkele basispunten blijven een raadsel
Een elliptische curve heeft naast zijn parameters ook een vast basispunt, aangeduid als G.
Daarmee worden publieke sleutels opgebouwd.
Claude vond ook de oorsprong van enkele van die basispunten, waaronder dat van P-192 en verschillende ANSI-curves.
Voor P-224, P-256, P-384 en P-521 lukte dat niet.
Anthropic weet dus nu veel beter waar de seeds vandaan kwamen, maar niet hoe ieder onderdeel van deze cryptografische standaarden oorspronkelijk is gekozen.
Ook één van de onderzochte binaire NIST-seeds, B-163, bleef onverklaard.
De oplossing levert $36.864 op voor Let's Encrypt
Voor de oplossing stond een bounty open.
De onderzoekers van Anthropic besloten de beloning niet zelf te houden.
Het bedrag gaat naar Internet Security Research Group, de non-profitorganisatie achter Let's Encrypt.
Door de voorwaarden rond donatie komt de uiteindelijke waarde uit op $36.864.
Valsorda bevestigt dat de volledige bounty daarmee is geclaimd.
Bitcoin gebruikt een andere curve
Voor Bitcoin-houders verandert door deze ontdekking niets.
Bitcoin gebruikt niet P-256 voor zijn transactiehandtekeningen.
BIP-340 specificeert Schnorr-handtekeningen over secp256k1.
Dat is een andere elliptische curve met een andere ontwerpgeschiedenis.
De gevonden seeds zijn bovendien geen herstelwoorden, walletseeds of geheime sleutels.
Niemand kan hiermee een Bitcoin-wallet openen.
Ook ontstaat geen nieuwe methode om uit een publieke sleutel een privésleutel terug te rekenen.
Claude lost vooral een vertrouwensvraag op
De technische vondst is daardoor minder spectaculair dan een cryptografische kraak, maar historisch misschien interessanter.
Jarenlang waren de NIST-seeds verdacht omdat niemand kon uitleggen waar ze vandaan kwamen.
Nu kan een korte procedure met oude software en tijdstempels die getallen opnieuw produceren.
Dat bewijst niet ieder detail van het oorspronkelijke ontwerpproces.
Het sluit ook niet wiskundig iedere denkbare verborgen eigenschap uit.
Maar één belangrijke bron van argwaan is veel kleiner geworden.
Claude brak de curves niet.
Het vond het spoor terug naar de computerklok waarmee ze bijna dertig jaar geleden begonnen.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
