The Pulse
Claude riconduce i seed delle curve su campi primi del NIST ai timestamp Unix
Anthropic afferma che Claude ha ricostruito l’origine dei seed delle cinque curve ECDSA del NIST definite su campi primi: provengono da un generatore di numeri casuali degli anni 1990 inizializzato con timestamp Unix. La scoperta chiarisce
AI.info Team · Scritto con l’IA ·
«Credo che ci fosse un contatore anziché più operazioni di hashing, ma non conosco i dettagli.»
Jerry Solinas, 2015
Quel ricordo aveva indirizzato i crittografi verso una passphrase. Anthropic afferma che Claude ha invece ricostruito l’origine dei seed delle cinque curve ECDSA del NIST definite su campi primi, risalendo a una fonte molto meno elaborata: il generatore di numeri pseudocasuali lrand48, inizializzato con timestamp Unix. La scoperta, pubblicata il 16 ottobre 2026, affronta una questione rimasta aperta da quando i parametri delle curve comparvero nel Digital Signature Standard del NIST del 2000.
Il risultato spiega come furono generati quei seed; non dimostra che ECDSA sia stato compromesso. Secondo Anthropic, gli utenti non devono intraprendere alcuna azione e le prove rendono meno plausibile la presenza di backdoor intenzionali nelle curve. Il lavoro, però, non spiega tutti i seed e i parametri correlati.
La teoria della passphrase non portò a nulla
Il NIST pubblicò nel suo standard i valori dei seed delle curve ellittiche senza spiegare come fossero stati scelti. I valori contribuiscono a definire i parametri delle curve e la mancanza di documentazione sulla loro origine alimentò le ipotesi secondo cui la NSA avrebbe potuto selezionarli per creare una vulnerabilità nascosta. Jerry Solinas, che aveva lavorato alle curve ed è morto nel 2023, ricordava una possibile frase scherzosa che comprendeva «Bob e Jerry», ma né lui né i colleghi riuscirono a ricostruirne la formulazione esatta.
La questione irrisolta divenne una sfida pubblica. Nel 2023 il crittografo Filippo Valsorda annunciò una ricompensa in denaro di 12.288 dollari per chi avesse trovato gli input da cui derivavano i seed di cinque curve su campi primi; il premio poteva salire a 36.864 dollari se il beneficiario lo avesse donato in beneficenza. Anthropic afferma che l’intera somma di 36.864 dollari andrà all’Internet Security Research Group.
Claude ha riconosciuto un generatore degli anni 1990
Invece di continuare a indovinare frasi, Claude ha considerato quali software dell’epoca avrebbero potuto produrre quei valori. Secondo Anthropic, ha scritto un programma per confrontare porzioni adiacenti dei seed pubblicati con gli output di 34 combinazioni di vecchi generatori di numeri casuali e porzioni dei loro output. Uno schema nei bit più significativi di alcuni valori ha indicato lrand48, un generatore congruenziale lineare il cui output rivela solo 31 bit del suo stato interno a 48 bit.
Claude ha ricostruito quello stato e verificato se generasse i valori pubblicati. Per i seed delle curve su campi primi, l’output corrispondente seguiva lo stesso schema — lrand48() >> 23 — per cinque curve del NIST e altre cinque curve dello standard ANSI X9.62. Secondo Anthropic, ciascuno stato a 48 bit ricostruito riproduceva tutti i 160 bit del rispettivo seed.
Ripercorrendo a ritroso il funzionamento del generatore, Claude ha ricondotto gli stati a inizializzazioni nella forma prodotta da srand48. I timestamp delle dieci curve su campi primi sono compresi tra maggio 1997 e aprile 1998. Per quattro seed delle curve su campi binari, i valori ricostruiti indicano il 17 aprile 1998, se si dimezzano le letture dell’orologio; secondo Anthropic, il quinto seed, B-163, resta senza spiegazione.
Il risultato non rivela una falla crittografica
Lo standard del NIST del 2000 includeva ECDSA tra gli algoritmi approvati per la firma digitale ed elencava le curve ellittiche raccomandate. La questione della provenienza era importante perché i parametri pubblicati delle curve erano stati presentati senza un processo di generazione documentato, non perché i valori dei seed offrissero di per sé un modo per falsificare le firme. Anthropic descrive il risultato come una spiegazione storica, non come un nuovo attacco o una nuova vulnerabilità.
La scoperta riguarda anche elementi diversi dai seed. Anthropic afferma che Claude ha ricondotto i punti base di sei curve — tra cui P-192 e cinque curve esemplificative dello standard ANSI — a un altro generatore di numeri casuali contenuto in FreeLIP, un pacchetto per il calcolo aritmetico. Il procedimento usa piccoli interi come seed, scarta sette output e prova coordinate candidate finché non ne trova una sulla curva.
Alcune scelte restano senza spiegazione
I ricercatori non sono riusciti a riprodurre i punti base di P-224, P-256, P-384 o P-521 con il metodo FreeLIP e affermano che anche i punti base delle curve del NIST su campi binari restano senza spiegazione. Hanno inoltre scoperto che alcuni seed candidati che avrebbero potuto produrre curve valide furono saltati, tra cui un candidato precedente nella sequenza relativa a P-256. Anthropic afferma di non sapere perché quei candidati siano stati scartati né se lo schema fosse involontario.
Secondo l’azienda, il numero ridotto di candidati scartati non rende plausibile una selezione intenzionale di curve indebolite. I suoi risultati restringono invece l’incertezza: i timestamp e un generatore comune delle librerie C spiegano i seed delle curve su campi primi, mentre B-163 e la scelta di diversi punti base restano questioni aperte. La donazione della ricompensa è la conclusione concreta della ricerca sull’origine dei seed delle cinque curve su campi primi.