Claude 揭示 ECDSA 曲线起源

“这只是时间戳”：最流行的加密标准之一的起源之谜已经解释了数十年。我们对加密社区这一长期悬而未决的问题进行了调查，以解决对 ECDSA 的担忧，ECDSA 是我们使用最广泛的加密标准之一。读者应该将此视为有趣的结束章和多年猜测的结束。没有需要采取的行动或做不同的事情。大多数研究人员已经信任这些曲线。享受。 ECDSA 是使用最广泛的椭圆曲线密码学标准。它于 2000 年被 NIST 采用，作为 FIPS 186-2 数字签名标准的一部分，该标准列出了一组不同大小和安全级别的标准椭圆曲线。对于素数域和二元域上的曲线，规范发布了一个“种子”参数，其哈希值用于定义曲线的系数 b。这些种子的来源一直是一个长期存在的问题，因为它们是由美国国家安全局提供的，没有任何解释或理由。例如，NIST P-256 曲线种子为 SEED = C49D3608 86E70493 6A6678E1 139D26B7 819F7E90，但没有任何信息来自何处。尼尔·科布利茨（Neal Koblitz）和阿尔弗雷德·梅内塞斯（Alfred Menezes）对这场争议写了一篇精彩的总结，《谜中的谜语》，其中讨论了围绕种子价值的历史和担忧。这个谜团引发了对种子来源的业余调查，并悬赏任何能找到它们的人。最好的故事是，国家安全局的长期雇员杰里·索利纳斯（Jerry Solinas）使用幽默的密码短语的哈希值生成了种子：“我相信有一个计数器而不是多重哈希值，但我不知道细节。该消息的内容是‘给鲍勃和杰瑞加薪’或‘鲍勃和杰瑞规则’或类似的东西。实际上是鲍勃·赖特编写了代码，他也不记得细节了。我们也无法找到这么久以来的档案。如果它们存在的话，它们无疑就位于约柜附近的硬盘上。” Jerry Solinas，2015 不幸的是，Jerry 于 2023 年去世，当时的其他同事没有做出回应，留下了这些种子最初是如何衍生的问题。克劳德发现了这些种子 几名 Anthropic 员工根据提示寻找这些种子，但没有成功。结果证明这是错误的。 2026 年 10 月，一位好奇的 Anthropic 员工询问内部研究模型是否可以在不指出线索的情况下弄清楚这些种子是如何生成的。不到半小时，克劳德就发现了 NIST P-192、P-224、P-256、P-384 和 P-521 种子的起源。它们根本不是任何哈希算法的结果，而是 C 库的 lrand48 随机数生成器的输出，以 Unix 时间戳为种子！使用的算法将从由 Unix 时间戳 ( t ) 初始化的随机数生成器 (RNG) 中采样字节，并进行一定次数的迭代 ( n )。每次迭代都会抽取 20 个字节作为候选种子。因此，前 20 个字节是候选 1，接下来的 20 个字节是候选 2，依此类推。例如，P-256 需要 1842 次迭代才能输出标准化种子。这意味着什么 这不是密码破解、新攻击或 ECDSA 曲线中的弱点。事实上，这让我们更加确信所选择的曲线没有任何后门或故意的弱点。多年来，人们一直对 NIST 曲线参数的起源持怀疑态度。它们被提交给 NIST 时没有提及它们是如何被选中的，这让人们怀疑它们是否被故意留有后门。这些发现让这一说法变得不太可信。种子的生成方式非常简单：从时钟初始化的通用伪随机数生成器，现在任何人都可以复制。这使得颠覆的空间大大减少，并且我们可以确信参数是安全的。它是如何被发现的 对这个根据谣言建立的短语的搜索却一无所获。克劳德尝试了不同的角度：预测生成曲线的软件必须如何工作。 Claude 猜测该软件使用了 20 世纪 90 年代 C 库附带的伪随机数生成器 (PRNG)。这些旧的 PRNG 足够弱，以至于它们的输出可以被识别。识别该输出将揭示使用了哪个 PRNG，并可能允许恢复其初始化状态。 Claude 编写了一个扫描仪，可以一次一点地沿着每个发布的种子滑动，并测试相邻的块是否是 20 世纪 90 年代老式生成器的连续输出。扫描涵盖了生成器和输出切片的 34 种组合。那时，克劳德注意到一些种子的顶部位有一个模式：它们全部为零。写成 5 个 32 位字，十个种子中有四个在所有 20 个字的最高位中都是 0。这种情况是偶然发生的，概率为 1/5810。这是线性同余生成器 lrand48 的签名，它只返回 48 位的前 31 位