A Anthropic diz que uma versão de investigação do Claude ajudou a sua equipa de criptografia a reconstruir a origem de várias sementes publicadas de curvas elípticas. O relatório de 16 de outubro liga cinco sementes de curvas NIST sobre corpos primos e quatro sementes de curvas binárias NIST a saídas do lrand48, um antigo gerador pseudoaleatório em C inicializado com valores derivados do relógio. Também fornece código que apresenta as sementes indicadas e reproduz algumas coordenadas de pontos base.

O resultado aborda uma questão sobre a história dos parâmetros normalizados. A Anthropic não relata um novo ataque nem uma quebra criptográfica. A reconstrução deixa ainda algumas escolhas por explicar, incluindo a razão pela qual foram ignoradas certas curvas candidatas viáveis.

A grande mudança

  • O que mudou: A Anthropic publicou um procedimento específico de geração e código para as sementes de NIST P-192, P-224, P-256, P-384 e P-521, quatro curvas binárias NIST e cinco curvas de exemplo ANSI X9.62. O procedimento separado para os pontos base coincide com P-192 e cinco exemplos ANSI.
  • Como: A equipa relata que o Claude reconheceu padrões nos bits das sementes publicadas, recuperou o estado do gerador e recuou esse estado até valores iniciais com características de valores de relógio. Para seis pontos base, identificou um gerador usado em antigo software de inteiros longos.
  • Limite: O código permite inspecionar as correspondências propostas, mas um procedimento que produz os mesmos valores não documenta todas as decisões históricas de seleção nem demonstra a segurança das curvas. O BIG CHANGE analisou o texto público e a norma histórica; não realizou uma reprodução independente.

O que uma semente de curva explica

A versão arquivada da FIPS 186-2 do NIST, datada de 27 de janeiro de 2000, lista uma semente de 160 bits para cada uma das suas cinco curvas sobre corpos primos. Um processo especificado, baseado em SHA-1, transforma a semente num coeficiente da curva. A norma também lista separadamente o corpo, a ordem da curva e as coordenadas do ponto base. Indica que a semente fornecida permite ao leitor verificar se o coeficiente segue o processo especificado; não descreve como a própria semente foi escolhida. A semente também não determina o ponto base, o ponto fixo usado para formar chaves públicas.

Esta distinção define o alcance da descoberta da Anthropic. Rastrear uma semente pode explicar uma entrada da curva normalizada. Explicar o ponto base exige outra descrição, e uma saída coincidente não revela todas as decisões das pessoas que escolheram os parâmetros.

Como a Anthropic rastreou as sementes

Segundo a Anthropic, o Claude começou por procurar indícios de antigos geradores pseudoaleatórios em C nos valores publicados. Em algumas sementes de curvas binárias, o bit mais significativo de cada palavra de 32 bits era zero. A Anthropic diz que o padrão apontou para o lrand48, que devolve 31 bits a partir de um estado interno de 48 bits. O modelo recuperou depois possíveis estados e verificou se as saídas sucessivas coincidiam com as sementes. Nas curvas sobre corpos primos, eram conservados menos bits de cada saída, pelo que, segundo a Anthropic, o Claude usou um método de reticulados para recuperar o estado oculto.

O código na publicação da Anthropic parte de um estado ao estilo de srand48, avança a recorrência do lrand48 e apresenta sementes candidatas de 20 bytes. A tabela especifica marcas temporais e números de candidatos para P-192, P-224, P-256, P-384 e P-521, além dos exemplos ANSI prime192v2, prime192v3 e prime239v1 a prime239v3. No caso de P-256, a execução especificada chega à semente publicada no candidato 1.842. O valor P-256 apresentado no exemplo da Anthropic coincide com a semente na FIPS 186-2.

A Anthropic relata uma correspondência relacionada para B-233, B-283, B-409 e B-571. O código usa um valor de relógio dividido por dois antes de inicializar o gerador. A Anthropic apresenta esta interpretação do relógio reduzido a metade como uma possibilidade: recuar o estado recuperado produziu datas em fevereiro de 1984, ao passo que duplicar os valores corresponde a 17 de abril de 1998. A correspondência publicada apoia o procedimento do gerador; não estabelece qual a opção de tratamento do relógio adotada pelos autores originais.

A Anthropic descreve o trabalho como uma colaboração entre a pergunta de um funcionário, a pesquisa e o código do modelo de investigação interno e as verificações da equipa. O relatório fornece código e exemplos de saída que outros podem inspecionar. Não encontrámos uma reprodução independente para citar neste artigo, e o BIG CHANGE não executou o código. A fonte sustenta, por isso, a descrição como uma reconstrução relatada pela Anthropic, com os valores históricos do NIST a servirem de registo externo dos parâmetros-alvo.

Seis pontos base e as lacunas que ficam

A Anthropic diz que outro gerador antigo, do pacote de inteiros longos FreeLIP de Arjen Lenstra e de versões iniciais do NTL de Victor Shoup, coincide com as coordenadas x dos pontos base de P-192 e de cinco exemplos ANSI. A sua segunda listagem de código inicializa esse gerador com pequenos inteiros, descarta sete saídas e depois extrai coordenadas x candidatas até uma pertencer à curva. Os seis exemplos são P-192, prime192v2, prime192v3 e prime239v1 a prime239v3. A Anthropic apresenta uma correspondência para cada coordenada x publicada. A listagem histórica de P-192 do NIST fornece o valor utilizado nessa comparação.

Continuam a existir vários limites no próprio relato da Anthropic. Não conseguiu recuperar a semente B-163. Não explicou os pontos base de P-224, P-256, P-384 ou P-521, nem os das curvas binárias NIST. As execuções também passaram por cima de candidatos que, segundo a Anthropic, teriam satisfeito as condições indicadas de dimensão e ordem prima. Um exemplo é o candidato 876 de P-256, anterior ao candidato publicado 1.842; a Anthropic relata três candidatos viáveis ignorados na execução de P-224 e sete no total de duas execuções de exemplos ANSI. A equipa não conhece o critério de seleção nem sabe se essas omissões eram um artefacto.

Para os engenheiros de segurança, o novo resultado útil é uma descrição verificável da aparente via de geração de muitos valores dos parâmetros. Reduz o âmbito de uma questão antiga sobre sementes opacas sem responder a todas as questões sobre a seleção de curvas. A própria Anthropic diz que a descoberta não é motivo para os utilizadores alterarem as suas práticas criptográficas.

Fontes e leituras adicionais