Anthropicは、研究版Claudeが同社の暗号研究チームを支援し、公表された複数の楕円曲線シードの由来を再構成したと述べている。10月16日の報告は、NISTの素体上の曲線5本のシードと、NISTの二進体曲線4本のシードを、lrand48の出力に結び付けている。これは時計由来の値で初期化された古いCの疑似乱数生成器だ。報告は、示したシードを出力し、一部の基点座標を再現するコードも提供している。

この結果が扱うのは、標準化されたパラメーターの歴史に関する問いだ。Anthropicは新たな攻撃や暗号の解読成功を報告していない。再構成でも説明されない選択が残っており、利用可能だった一部の曲線候補が見送られた理由もその一つだ。

大きな変化

  • 変わったこと：Anthropicは、NIST P-192、P-224、P-256、P-384、P-521、NISTの二進体曲線4本、ANSI X9.62の例示曲線5本のシードについて、具体的な生成手順とコードを公開した。別に示した基点の生成手順は、P-192とANSIの5例に一致する。
  • 方法：チームによると、Claudeは公表シードのビットのパターンを見つけ、生成器の状態を復元し、それを時計の値らしい初期値まで逆にたどった。6つの基点については、古い長整数ソフトウェアで使われていた生成器を特定した。
  • 限界：提案された一致をコードで検査できるが、値の一致する手順だけで、過去の選択判断がすべて記録されるわけでも、曲線の安全性が証明されるわけでもない。BIG CHANGEは公開記事と過去の標準を確認したが、独自に再現実行はしていない。

曲線のシードで説明できること

NISTが保存するFIPS 186-2は2000年1月27日付で、素体上の5本の曲線それぞれに160ビットのシードを記載している。指定されたSHA-1ベースの処理が、シードを曲線の係数に変換する。標準には体、曲線の位数、基点座標も別々に記載されている。与えられたシードにより、係数が指定の処理に従って得られるかを確認できるとする一方、シード自体の選び方は説明していない。また、シードは公開鍵の形成に使う固定点である基点を決定しない。

この違いがAnthropicの発見の範囲を定める。シードを追跡すれば、標準化された曲線への入力の一つを説明できる。基点には別の説明が必要であり、出力が一致しても、パラメーターを選んだ人々の判断をすべて明らかにはできない。

Anthropicによるシードの追跡方法

Anthropicによると、Claudeはまず公表値から、古いCの疑似乱数生成器の痕跡を探した。一部の二進体曲線のシードでは、32ビットの各ワードの最上位ビットが0だった。同社は、このパターンがlrand48を示したという。これは48ビットの内部状態から31ビットを返す。その後モデルは、可能な状態を復元し、連続する出力がシードに一致するか確認した。素体上の曲線では各出力から残されたビット数が少ないため、Claudeは隠れた状態の復元に格子手法を用いたとAnthropicは述べている。

Anthropicの記事内のコードはsrand48方式の状態から始め、lrand48の漸化式を進めて20バイトのシード候補を出力する。表はP-192、P-224、P-256、P-384、P-521と、ANSIの例prime192v2、prime192v3、prime239v1からprime239v3について、時刻と候補番号を指定している。P-256では、指定の実行は1,842番目の候補で公表シードに達する。Anthropicの例が出力するP-256の値は、FIPS 186-2のシードに一致する。

AnthropicはB-233、B-283、B-409、B-571でも関連する一致を報告している。そのコードは、生成器の初期化前に時計の値を2で割って使う。同社は時計を半分とする解釈を一つの可能性として示す。復元状態を逆にたどると1984年2月の日付になり、値を2倍にすると1998年4月17日に対応する。公表された一致は生成手順を裏付けるが、元の作成者がどのような時計処理を選んだかを確定するものではない。

Anthropicは、この作業を、社員の問い、社内研究モデルによる探索とコード、チームによる確認の協働と説明している。報告は、他者が検査できるコードと出力例を示す。この記事で引用できる独立した再現は見つからず、BIG CHANGEもコードを実行していない。従って資料が裏付けるのは、Anthropicが報告した再構成という記述であり、過去のNISTの値は対象パラメーターの外部記録となる。

6つの基点と残る空白

Anthropicによると、Arjen Lenstraの長整数パッケージFreeLIPとVictor Shoupの初期のNTLに由来する別の古い生成器が、P-192とANSIの5例の基点のx座標に一致する。同社の2つ目のコード例は、小さな整数をその生成器のシードとし、7回の出力を捨て、その後、曲線上にあるものが見つかるまでx座標の候補を取り出す。6例はP-192、prime192v2、prime192v3、prime239v1からprime239v3だ。Anthropicは各公表x座標と一致する値を出力している。NISTの過去のP-192の記載は、比較に使った値を提供する。

Anthropic自身の説明にも複数の限界が残る。B-163のシードは復元できなかった。P-224、P-256、P-384、P-521や、NISTの二進体曲線の基点も説明していない。また実行では、示されたサイズと素数位数の条件を満たしたはずだとAnthropicが述べる候補も飛ばされていた。P-256の876番目の候補は、公表された1,842番目の候補に先立つ一例だ。AnthropicはP-224の実行で有効な候補3つ、ANSIの2例の実行では合計7つが飛ばされたと報告する。チームは選択基準も、それらのスキップが何らかのアーティファクトだったかも分からないとしている。

セキュリティ技術者にとって有用な新しい成果物は、多くのパラメーター値がどのように生成されたらしいかを検査できる説明だ。不透明なシードをめぐる長年の問いを絞り込むが、曲線の選択に関するすべての問いには答えない。Anthropic自身、この発見を理由に利用者が暗号の運用を変更する必要はないと述べている。

出典と関連資料