Anthropic称，研究版Claude帮助其密码学团队重建了若干已公布椭圆曲线种子的来源。其10月16日的报告将5个NIST素域曲线种子和4个NIST二元域曲线种子与 lrand48 的输出联系起来。这是一个较早的C伪随机数生成器，用源自时钟的数值初始化。报告还提供了代码，可打印所报告的种子，并重现部分基点坐标。

这一结果回应的是标准化参数的历史问题。Anthropic没有报告新的攻击或密码学破解。其重建仍未解释一些选择，包括为何跳过某些可行的候选曲线。

重大变化

  • 变化是什么：Anthropic公布了具体的生成方法和代码，涉及NIST P-192、P-224、P-256、P-384、P-521、4条NIST二元域曲线以及5条ANSI X9.62示例曲线的种子。其另行给出的基点生成方法与P-192和5个ANSI示例吻合。
  • 如何做到：团队报告称，Claude识别出已公布种子比特中的模式，恢复生成器状态，并将状态回溯至类似时钟值的初始值。对于6个基点，它找到了一个用于旧长整数软件的生成器。
  • 局限：代码让人们能够检查所提出的吻合关系，但一种能得到相同数值的方法并不能记录每一个历史选择决定，也不能证明曲线安全。BIG CHANGE审阅了公开文章和历史标准，未独立运行代码以复现结果。

曲线种子能解释什么

NIST存档的FIPS 186-2，日期为2000年1月27日，为其5条素域曲线各列出了一个160比特种子。指定的SHA-1流程将种子转换为曲线系数。标准也分别列出域、曲线的阶和基点坐标。标准表示，所提供的种子可让读者验证系数是否遵循指定流程，但并未说明种子本身如何选定。种子也不决定基点，即用于生成公钥的那个固定点。

这一区分界定了Anthropic发现的范围。追溯种子可以解释标准化曲线的一项输入。要解释基点，还需要另一套说明；输出吻合无法揭示参数选择者作出的每一个决定。

Anthropic如何追溯种子

据Anthropic介绍，Claude首先在已公布的数值中寻找旧C伪随机数生成器的特征。在部分二元域曲线种子中，每个32比特字的最高位都为零。Anthropic称，这一模式指向 lrand48，它从48比特内部状态返回31比特。随后，模型恢复可能的状态，检查连续输出是否与种子匹配。对于素域曲线，每次输出保留的比特更少，因此Anthropic称Claude使用了格方法来恢复隐藏状态。

Anthropic文章中的代码从 srand48 风格的状态出发，推进 lrand48 的递推，并打印20字节的候选种子。表格列明了P-192、P-224、P-256、P-384、P-521，以及ANSI示例prime192v2、prime192v3、prime239v1至prime239v3的时间戳和候选编号。对于P-256，指定运行在第1,842个候选值处得到已公布的种子。Anthropic示例打印的P-256数值与FIPS 186-2中的种子吻合。

Anthropic还报告了B-233、B-283、B-409、B-571的相关吻合结果。其代码在初始化生成器前使用除以二的时钟值。Anthropic将这种时钟减半的解释描述为一种可能性：回溯恢复出的状态得到1984年2月的日期，而将数值加倍则对应1998年4月17日。已公布的吻合结果支持生成器方法，但不能证明原作者采用了哪种时钟处理方式。

Anthropic将这项工作描述为员工提出的问题、内部研究模型的搜索和代码，以及团队核查之间的协作。报告提供了可供他人检查的代码和示例输出。我们没有找到可在本文中引用的独立复现，BIG CHANGE也未执行代码。因此，该来源支持将结果描述为Anthropic所报告的重建，而历史NIST数值则作为目标参数的外部记录。

六个基点与仍存的缺口

Anthropic称，另一个旧生成器来自Arjen Lenstra的FreeLIP长整数软件包和Victor Shoup的早期NTL版本，与P-192和5个ANSI示例的基点x坐标吻合。其第二段代码以小整数为该生成器设置种子，丢弃7次输出，再抽取候选x坐标，直到某个候选点位于曲线上。这6个示例是P-192、prime192v2、prime192v3以及prime239v1至prime239v3。Anthropic为每个已公布的x坐标都打印出吻合结果。NIST历史P-192列表提供了这次比较所使用的数值。

Anthropic自己的说明仍存在多项局限。它未能恢复B-163种子；也未解释P-224、P-256、P-384、P-521或NIST二元域曲线的基点。运行还跳过了Anthropic称本可满足所述大小和素数阶条件的候选值。P-256的第876个候选值就是一例，位于已公布的第1,842个候选值之前。Anthropic报告称，P-224运行中跳过了3个可行候选值，另有两次ANSI示例运行合计跳过7个。团队不知道选择标准，也不知道这些跳过是否属于某种技术性假象。

对安全工程师来说，有用的新成果是一套可核查的说明，展示许多参数值看起来是如何生成的。它缩小了围绕不透明种子的一个长期问题的范围，却未回答曲线选择的所有问题。Anthropic自己也表示，这一发现并不是用户改变密码学实践的理由。

来源与延伸阅读