KI SpotlightNewsNIST-Kurven: Seeds stammen aus lrand48 und Zeitstempeln, nicht aus einer Passphrase
Anthropic zufolge hat ein internes Forschungsmodell die Herkunft der Seeds geklärt. Kein Bruch von ECDSA, aber Solinas' Passphrase-Version bleibt offen.
Mit KI erstelltInhalt
◆ Fakten auf einen Blick
- Die Seeds der NIST-Kurven P-192, P-224, P-256, P-384 und P-521 stammen laut Anthropic aus lrand48.
- lrand48 wurde mit Unix-Zeitstempeln zwischen Mai 1997 und April 1998 initialisiert.
- cellcog.ai hat Anthropics Code ausgeführt und alle neun NIST-Seeds zeichengenau gegenüber FIPS 186-2 reproduziert.
- Filippo Valsorda erklärte den drei Jahre alten Bounty am selben Tag für eingelöst.
- Der P-256-Seed ist Kandidat 1842 eines am 16.08.1997 um 01:52:34 UTC gestarteten Laufs.
NIST-Seeds stammen aus lrand48, nicht aus einer Passphrase
Die Seeds der NIST-Kurven P-192, P-224, P-256, P-384 und P-521 gehen auf den C-Bibliotheksgenerator lrand48 zurück. Initialisiert wurde er mit Unix-Zeitstempeln zwischen Mai 1997 und April 1998. So steht es in einem Post des Anthropic Frontier Red Team vom 16. Oktober 2026. Ein Hash einer geheimen Passphrase, wie lange vermutet, gab es laut Anthropic nicht.
Nach Angaben des Unternehmens fand ein internes Forschungsmodell den Zusammenhang in unter 30 Minuten. Auslöser war die Frage eines Mitarbeiters, wie die Seeds entstanden sind. Die Primärquelle nennt das Modell „internal research model“. Die Bezeichnung „Claude“ stammt aus Sekundärquellen.
Die Seeds legen per Hash den Koeffizienten b der Kurven fest. Die NSA lieferte sie bei der Aufnahme von ECDSA in FIPS 186-2, ohne Erklärung oder Begründung.
Unabhängiger Lauf und Valsordas Bounty stützen die Reproduktion
Cellcog.ai führte den von Anthropic veröffentlichten Code selbst aus. Er erzeugt alle neun abgedeckten NIST-Seeds, fünf Primkurven und vier Binärkurven, zeichengenau wie in FIPS 186-2. Die Laufzeit lag unter einer Sekunde. Ein Kontrolllauf mit einem Kandidaten weniger ergab keine Übereinstimmung.
Filippo Valsorda hatte vor drei Jahren einen Bounty auf die Frage ausgesetzt. Am selben Tag erklärte er ihn für eingelöst und setzte den Algorithmus zur Prüfung in Go neu um.
Der P-256-Seed ist demnach Kandidat 1842 eines Laufs, der am 16. August 1997 um 01:52:34 UTC startete. Methodisch wurden die Seeds auf Muster typischer Zufallsgeneratoren der 1990er durchsucht. Per Gitterreduktion rekonstruierte das Modell den Generatorzustand.
Bei den Binärkurven ergeben die Initialwerte, direkt gelesen, Februar 1984. Verdoppelt man den Zeitstempel, landet man im April 1998 (17. April 1998). Das könnte darauf hindeuten, dass die damalige Software die Uhrzeit halbierte. Das ist eine mögliche Deutung, keine gesicherte.
Kein Bruch von ECDSA, Solinas' Passphrase bleibt ungeklärt
Anthropic betont, der Befund sei weder ein Bruch von ECDSA noch eine neue Schwachstelle. Wer NIST-Kurven nutzt, etwa in TLS, JWT/ES256 oder Zertifikaten, muss nach Angaben des Unternehmens nichts ändern. Bitcoins Kurve secp256k1 ist nicht Gegenstand des Befunds.
Offen bleibt der Widerspruch zu Jerry Solinas, der 2023 starb. Der langjährige NSA-Mitarbeiter hatte später erklärt, er habe eine Scherzphrase gehasht. Diese Aussage ließ sich nie verifizieren. Das vorliegende Material klärt nicht, wie beide Darstellungen zusammenpassen. Nachfragen ist nicht mehr möglich.
Anthropic hält eine absichtliche Hintertür für deutlich weniger plausibel. Das ist eine Einschätzung des Herstellers. Die Herkunft der Seeds beweist allein nicht, dass die Kurven harmlos sind. Stellungnahmen von NIST, NSA oder BSI sowie eine unabhängige kryptographische Einordnung liegen bislang nicht vor.
