[技术] Claude 半小时破解 26 年悬案：NIST 椭圆曲线「种子」来源被追溯

Anthropic 昨日（10 月 16 日）发布博文：其内部研究用的 Claude 模型用了不到 30 分钟，追溯出五条美国国家标准与技术研究院（NIST）标准椭圆曲线的「种子」来源，为一桩延续约 26 年的密码学悬案提供了可复现的答案。

先说「种子」是什么。可以把它理解为「生成椭圆曲线参数时投入机器的一段起始数据」：规则像一台固定程序的机器，种子就是投进去的原料，同样的原料按同样的规则处理就能得到同样的结果。公开种子后，其他人可以复算，检查曲线参数是否确实按公布的步骤生成。

谜题的来头不小。这组椭圆曲线在 2000 年被纳入美国数字签名标准，种子由美国国家安全局（NSA）提供，却没有说明生成过程，长期引发「是否暗藏后门」的猜测。它们用于椭圆曲线数字签名算法（ECDSA），用来帮助验证数字信息的真实性。

Claude 的解法是绕道「数字考古」。它转而排查上世纪 90 年代常见的软件工具，发现这些种子实际来自 C 语言库中的伪随机数生成器 lrand48，初始化输入则是 Unix 时间戳。模型通过识别位模式、恢复生成器状态并反向推算，把相关生成时间定位到 1997 年至 1998 年。其中，P-256 的标准种子对应某次运行中的第 1,842 个候选值。

结果显示，P-192、P-224、P-256、P-384、P-521 的种子，均可由 1997 年至 1998 年的 Unix 时间戳初始化生成；P-256 对应 1997 年 8 月 16 日，经过 1,842 轮候选生成得到标准中的种子。团队已公开复现代码。

Anthropic 强调，这不是破解 ECDSA，也没有发现新的攻击方式，结论反而降低了「参数被刻意植入后门」的疑虑，用户无需因此采取任何措施。不过研究尚未解释全部细节，包括 B-163 种子的来源、部分曲线基点的生成方式，以及当初为何跳过某些可用候选曲线。

原文链接：https://www.ithome.com/1/014/191.htm
来源：IT之家