Anthropic mengatakan versi riset Claude membantu tim kriptografinya merekonstruksi asal beberapa seed kurva eliptik yang telah dipublikasikan. Laporan 16 Oktober menghubungkan lima seed kurva NIST pada medan prima dan empat seed kurva biner NIST dengan keluaran lrand48, generator pseudorandom C lama yang diinisialisasi dari nilai turunan jam. Laporan itu juga menyediakan kode yang mencetak seed yang dilaporkan dan mereproduksi koordinat titik dasar tertentu.

Hasil ini membahas pertanyaan tentang sejarah parameter yang distandardisasi. Anthropic tidak melaporkan serangan baru atau keberhasilan membobol kriptografi. Rekonstruksinya juga belum menjelaskan sejumlah pilihan, termasuk mengapa beberapa kandidat kurva yang layak dilewati.

Perubahan besar

  • Apa yang berubah: Anthropic memublikasikan resep pembuatan yang spesifik dan kode untuk seed NIST P-192, P-224, P-256, P-384 dan P-521, empat kurva biner NIST, serta lima kurva contoh ANSI X9.62. Resep titik dasarnya yang terpisah cocok dengan P-192 dan lima contoh ANSI.
  • Caranya: Tim tersebut melaporkan bahwa Claude mengenali pola pada bit seed yang dipublikasikan, memulihkan keadaan generator, lalu menelusurinya mundur hingga nilai awal yang menyerupai nilai jam. Untuk enam titik dasar, model itu mengidentifikasi generator yang digunakan dalam perangkat lunak bilangan bulat panjang lama.
  • Batasan: Kode membuat kecocokan yang diusulkan dapat diperiksa, tetapi resep yang cocok tidak mendokumentasikan setiap keputusan seleksi historis atau membuktikan keamanan kurva. BIG CHANGE menelaah tulisan publik dan standar historis; kami belum menjalankan reproduksi independen.

Apa yang dijelaskan oleh seed kurva

FIPS 186-2 dalam arsip NIST, bertanggal 27 Januari 2000, mencantumkan seed 160 bit untuk masing-masing dari lima kurvanya pada medan prima. Proses berbasis SHA-1 yang ditentukan mengubah seed menjadi koefisien kurva. Standar itu juga mencantumkan medan, orde kurva, dan koordinat titik dasar secara terpisah. Dokumen tersebut menyatakan bahwa seed yang disertakan memungkinkan pembaca memeriksa apakah koefisien mengikuti proses yang ditentukan; tidak dijelaskan bagaimana seed itu sendiri dipilih. Seed juga tidak menentukan titik dasar, yakni titik tetap yang digunakan untuk membentuk kunci publik.

Perbedaan itu menentukan cakupan temuan Anthropic. Menelusuri seed dapat menjelaskan satu masukan pada kurva yang distandardisasi. Titik dasar membutuhkan penjelasan lain, dan keluaran yang cocok tidak dapat mengungkap setiap keputusan orang yang memilih parameter.

Bagaimana Anthropic menelusuri seed

Menurut Anthropic, Claude pertama-tama mencari ciri generator pseudorandom C lama dalam nilai yang dipublikasikan. Dalam beberapa seed kurva biner, bit teratas setiap word 32 bit bernilai nol. Anthropic mengatakan pola itu mengarah ke lrand48, yang mengembalikan 31 bit dari keadaan internal 48 bit. Model kemudian memulihkan kemungkinan keadaan dan memeriksa apakah keluaran berurutan cocok dengan seed. Untuk kurva pada medan prima, lebih sedikit bit dari setiap keluaran yang dipertahankan, sehingga Anthropic mengatakan Claude menggunakan metode kisi untuk memulihkan keadaan tersembunyi.

Kode dalam tulisan Anthropic dimulai dari keadaan bergaya srand48, menjalankan relasi rekurensi lrand48 dan mencetak seed kandidat berukuran 20 byte. Tabelnya menetapkan stempel waktu dan nomor kandidat untuk P-192, P-224, P-256, P-384 dan P-521, serta contoh ANSI prime192v2, prime192v3 dan prime239v1 hingga prime239v3. Untuk P-256, eksekusi yang ditentukan mencapai seed yang dipublikasikan pada kandidat 1.842. Nilai P-256 yang dicetak dalam contoh Anthropic cocok dengan seed di FIPS 186-2.

Anthropic melaporkan kecocokan terkait untuk B-233, B-283, B-409 dan B-571. Kodenya menggunakan nilai jam yang dibagi dua sebelum menginisialisasi generator. Anthropic menggambarkan penafsiran jam yang dibagi dua ini sebagai suatu kemungkinan: menelusuri keadaan yang dipulihkan ke belakang menghasilkan tanggal pada Februari 1984, sedangkan menggandakan nilainya sesuai dengan 17 April 1998. Kecocokan yang dipublikasikan mendukung resep generator; hal itu tidak membuktikan pilihan penanganan jam yang dibuat penulis aslinya.

Anthropic menggambarkan pekerjaan ini sebagai kolaborasi antara pertanyaan seorang karyawan, pencarian dan kode model riset internal, serta pemeriksaan oleh timnya. Laporan menyediakan kode dan contoh keluaran yang dapat diperiksa orang lain. Kami tidak menemukan reproduksi independen untuk dirujuk dalam artikel ini, dan BIG CHANGE tidak menjalankan kodenya. Karena itu, sumber tersebut mendukung penyebutannya sebagai rekonstruksi yang dilaporkan Anthropic, dengan nilai NIST historis sebagai catatan eksternal atas parameter sasaran.

Enam titik dasar dan celah yang tersisa

Anthropic mengatakan generator lama yang berbeda, dari paket bilangan bulat panjang FreeLIP milik Arjen Lenstra dan versi awal NTL milik Victor Shoup, cocok dengan koordinat x titik dasar untuk P-192 dan lima contoh ANSI. Daftar kode keduanya memberi seed bilangan bulat kecil pada generator itu, membuang tujuh keluaran, lalu mengambil kandidat koordinat x hingga satu berada pada kurva. Keenam contohnya ialah P-192, prime192v2, prime192v3 dan prime239v1 hingga prime239v3. Anthropic mencetak kecocokan untuk setiap koordinat x yang dipublikasikan. Daftar historis P-192 dari NIST menyediakan nilai yang digunakan dalam perbandingan itu.

Sejumlah batasan masih ada dalam penjelasan Anthropic sendiri. Tim itu tidak dapat memulihkan seed B-163. Titik dasar P-224, P-256, P-384 atau P-521, maupun titik dasar kurva biner NIST, belum dijelaskan. Eksekusinya juga melewati kandidat yang menurut Anthropic akan memenuhi syarat ukuran dan orde prima yang dinyatakan. Kandidat 876 pada P-256 adalah salah satu contohnya, sebelum kandidat 1.842 yang dipublikasikan. Anthropic melaporkan tiga kandidat layak yang dilewati pada eksekusi P-224 dan tujuh secara keseluruhan pada dua eksekusi contoh ANSI. Tim itu tidak mengetahui kriteria seleksi atau apakah pelewatan tersebut merupakan artefak.

Bagi insinyur keamanan, hasil baru yang berguna adalah penjelasan yang dapat diperiksa tentang dugaan jalur pembuatan banyak nilai parameter. Ini mempersempit satu pertanyaan lama tentang seed yang tidak transparan tanpa menjawab semua pertanyaan mengenai pemilihan kurva. Anthropic sendiri mengatakan temuan ini bukan alasan bagi pengguna untuk mengubah praktik kriptografi.

Sumber dan bacaan lebih lanjut