25 שנה של חשד ב-NSA, ותשובה משעממת בעזרת קלוד: זרעי NIST נולדו משעון מחשב

תעלומה קריפטוגרפית בת 25 שנה, האם ה-NSA בחר בכוונה את המספרים שמאחורי עקומות NIST (ובהן P-256), קיבלה תשובה משעממת: מחולל מספרים אקראיים פשוט ושעון מחשב. לפי Anthropic, מודל מחקר פנימי של קלוד מצא אותה בפחות מחצי שעה, והבדיקה באה ממי שהציע את הפרס על הפתרון.

העקומות האליפטיות שבתקן החתימה הדיגיטלית ECDSA, שאומץ בשנת 2000 (FIPS 186-2), נבנו על זרעים שה-NSA סיפק בלי להסביר איך נבחרו. מאז התפשטה שמועה שג'רי סולינאס עשה האש למשפט הומוריסטי, וזה כל ההסבר. החשד היה רציונלי: ב-2013 דיווחה רויטרס, על סמך שני מקורות המכירים את החוזה, שה-NSA שילם 10 מיליון דולר ל-RSA כדי שתטמיע במוצריה את Dual_EC_DRBG, מחולל אקראי עם דלת אחורית. RSA הכחישה בתוקף שהיה חוזה סודי. NIST הסירה את האלגוריתם מהטיוטה של ההמלצות באפריל 2014. ב-2023 הכריז פיליפו ולסורדה על באונטי: 12,288 דולר למי שיחשוף את מקור הזרעים, והסכום משתלש ל-36,864 אם הזוכה תורם אותו.

לפי Anthropic, עובד ביקש מהמודל לברר איך נוצרו הזרעים, בלי לתת לו את רמז המשפט, אחרי שעובדי החברה כבר ניסו ונכשלו ברדיפה אחרי שמועת המשפט. המודל ניחש שמדובר במחולל חלש מספריות C של שנות ה-90 וכתב סורק שחיפש את חתימתו בתוך הזרעים. הוא מצא שהסיביות העליונות מתאפסות בארבעה מתוך עשרה זרעים, דבר שבמקרה קורה בסיכוי של 1 ל-5,810 (נתון של Anthropic), שחזר את המצב הפנימי של המחולל והלך אחורה עד חותמת זמן יוניקס. התברר שהזרעים הם פלט של מחולל מסוג rand48 שהוזן בשעון המחשב בין מאי 1997 לאפריל 1998. המקורות נבדלים בפרט אחד: Anthropic כותבת lrand48 וולסורדה כותב drand48, ולכן נשארים כאן בשם המשפחה. זרע P-256 הוא המועמד ה-1,842 בהרצה שהחלה ב-16 באוגוסט 1997.

מי עשה את זה: לא "קלוד לבדו". לפי ולסורדה, צוות של עשרה אנשים ב-Anthropic, בהם Nicholas Carlini ו-Steve Weis (הרשימה המלאה אצלו), תבע את הפרס ב-15 באוקטובר 2026, והסכום, 36,864 דולר, נתרם ל-ISRG, הארגון שמפעיל את Let's Encrypt. עוד מציין ולסורדה שאחד מחברי הצוות, Amir Omidi, מופיע גם ברשימת תורמי הבאונטי.

האימות: ולסורדה מאשר בפוסט שלו את הפתרון, ולדבריו מימש את האלגוריתם מחדש ב-Go ואימת את הטענה. הוא אינו עובד Anthropic, אבל אינו צד ניטרלי לגמרי: הוא יזם ומימן את הבאונטי, ורואה בו חלק ממאבק על אמון בקריפטוגרפיה. את החלק של המודל ואת מדידת הזמן, "פחות מחצי שעה", מספרת Anthropic בלבד, והיא יוצרת קלוד וגם צד מעוניין. לא מצאנו אישור עצמאי למדידת הזמן. Ynet באנגלית כותב שההישג הוא לפי Anthropic, ואילו The Decoder מציג אותו בגוף הכתבה כעובדה ומפנה ל-Anthropic כמקור.

מה זה אומר ומה לא: לפי Anthropic אין כאן פריצה קריפטוגרפית, מתקפה חדשה או חולשה בעקומות, ואין פעולה שצריך לעשות אחרת. לפי ולסורדה, הממצא שולל את הטכניקה שתיארו ברנשטיין ולנג' ב-2017, שנשענה על 70 ביט של חופש בבחירת הזרע: נשארו "בקושי 30 ביט", לא מספיק לדלת אחורית ממוקדת. לכן דלת אחורית נעשתה הרבה פחות סבירה, אבל לא הופרכה. פרטים נשארו בלי הסבר: לפי ולסורדה, בתהליך יש שני תנאי דחייה לא מתועדים מעבר לאלה של ANSI X9.62. אחד מהם ברור (אורך הסדר n גדול מאורך השדה p) והשני עדיין לא מוסבר. גם העודף של בערך פי שניים בזרעים תקפים ממה שפורסם נשאר בלי הסבר. לפי Anthropic, נקודות הבסיס של P-224, P-256, P-384, P-521 ושל עקומות ה-binary של NIST לא מוסברות, ואילו נקודות הבסיס של P-192 ושל עקומות ANSI הוסברו. ולסורדה מוסיף שהיום הוא היה ממליץ באופן אישי על עקומות NIST, דווקא כשהן בדרך לפנסיה לטובת חתימות פוסט-קוונטיות. זו דעתו שלו.

הקשר

הסיפור נוגע בתזת מדינת המעקב והשליטה: אמון בתקנים שממשלות מנסחות, ומה שקרה כשהאמון הזה נשבר ב-Dual_EC. הוא גם שייך לשרשור "מודלים חדשים" (פרק 4): מודל שמוצא בפרויקט מחקר מה שאנשים חיפשו שנים. באותו שבוע פרסמה Anthropic נתונים על עצמה, ולפיהם שעות העבודה של סוכני AI אצלה עברו את שעות העובדים בשישה לאחד (מחקר התעסוקה של Anthropic). זה נתון עצמי של צד מעוניין. גילוי נאות: גם כתבות דיגיטוקס נכתבות בסיוע מודלים של Anthropic, בהם קלוד.

הניתוח שלנו

החשד בזרעים של NIST לא היה תיאוריית קונספירציה. אחרי Dual_EC, כשלפי רויטרס, על סמך שני מקורות המכירים את החוזה, ה-NSA שילם ל-RSA 10 מיליון דולר כדי שתטמיע מחולל פריץ (RSA הכחישה), היה מוצדק לשאול איך נבחרו המספרים שמאחורי העקומות. התשובה שהגיעה השבוע משעממת, במובן הטוב: שעון מחשב ומחולל אקראי פשוט. לדעתנו החשוב בסיפור הוא הדרך שבה הגענו לתשובה. את החלק של קלוד ואת "פחות מחצי שעה" מספרת Anthropic, חברה שמוכרת את המודל. התוצאה אמינה לא בזכות המילה שלה, אלא כי מי שהציע את הפרס בדק בעצמו ואישר, וכי עשרה אנשים בשמותיהם עומדים מאחוריה. זה הרף שכדאי לדרוש מכל כותרת של "ה-AI פתר": תוצאה שאפשר לבדוק, ובודק עצמאי שאינו עובד החברה, גם אם אינו נטול עניין. ודרוש גם ניסוח זהיר: דלת אחורית נעשתה הרבה פחות סבירה, אבל לא הופרכה, ועדיין יש פרטים שאיש לא הסביר.

מקורות

• The NIST Elliptic Curves Seeds Bounty Has Been Claimed | Filippo Valsorda
• Claude reveals ECDSA curve origins | Anthropic
• Announcing the $12k NIST Elliptic Curves Seeds Bounty | Filippo Valsorda
• Exclusive: Secret contract tied NSA and security industry pioneer | Reuters
• Claude cracks 25-year NSA cryptography mystery in under 30 minutes | Ynet
• Anthropics' Claude cracks a 25-year-old NSA cryptography mystery in under 30 minutes | The Decoder
• How employment is changing at Anthropic | Anthropic