Claude ricostruisce l’origine dei seed NSA delle curve NIST in meno di 30 minuti

• Un modello interno di Claude ha ricostruito l'origine di cinque seed NSA delle curve NIST in meno di 30 minuti
• I seed derivano da lrand48 inizializzato con timestamp Unix tra maggio 1997 e aprile 1998
• Non è una falla: i seed sono pubblici e non consentono di falsificare firme
• Il rapporto non chiede modifiche ai sistemi in uso; restano punti irrisolti, come il seed di B-163

Anthropic afferma che un modello di ricerca interno di Claude ha ricostruito in meno di 30 minuti l’origine di cinque seed di curve ellittiche forniti dalla NSA. Era una domanda rimasta senza risposta per circa 25 anni. Il rapporto è stato pubblicato il 16 ottobre 2026.

Il risultato spiega come furono scelti alcuni parametri pubblici. Non espone chiavi segrete e non rompe la crittografia.

Il problema dei seed senza storia

Il NIST adottò ECDSA (Elliptic Curve Digital Signature Algorithm) nello standard FIPS 186-2 nel 2000. Lo standard pubblicava i seed usati da un processo basato su SHA-1 per derivare i parametri delle curve. Non spiegava però da dove venissero.

Quel vuoto alimentava il sospetto che la NSA avesse scelto curve con debolezze nascoste. Non è mai stato dimostrato alcun attacco contro queste curve, ma mancava una ricostruzione chiara della selezione. Una teoria diffusa, legata ai ricordi dell’ex matematico NSA Jerry Solinas, vedeva nei seed gli hash di frasi scherzose come «Give Bob and Jerry a raise».

La questione conta perché le stesse curve sono usate in servizi molto diffusi. La fonte ricorda, ad esempio, il protocollo PQ3 di iMessage di Apple, che impiega ECDSA con P-256.

Come Claude ha rifatto il percorso

Claude ha scartato la teoria delle frasi. Ha esaminato i generatori comuni nel software degli anni Novanta e ha costruito uno scanner che copre 34 combinazioni di generatori e porzioni di output.

Alcuni seed di curve binarie davano un indizio netto: le parole a 32 bit avevano sempre il bit più alto a zero. Ciò corrisponde a lrand48, generatore della libreria C che restituisce 31 bit da uno stato interno di 48. Claude ha recuperato gli stati candidati provando i 17 bit nascosti.

Per i seed delle curve prime serviva un passo in più, perché si conservavano solo otto bit per ogni output. Claude ha usato l’algoritmo di riduzione di reticoli Lenstra–Lenstra–Lovász (LLL) per risalire agli stati interni. Cinque seed NIST e cinque seed di esempio ANSI X9.62 hanno corrisposto alla stessa costruzione.

Facendo girare il generatore a ritroso, i valori di inizializzazione risultano corrispondere a timestamp Unix tra maggio 1997 e aprile 1998. Il seed di P-256 è il 1.842° candidato di una sequenza avviata il 16 agosto 1997 alle 01:52:34 UTC. Ogni candidato è di 20 byte. Anche quattro seed di curve binarie corrispondono al generatore. Suggeriscono un valore di orologio diviso per due, ma i ricercatori lo presentano come ipotesi.

Claude ha inoltre fatto risalire la generazione dei punti base di P-192 e di cinque curve di esempio ANSI a FreeLIP, un pacchetto di aritmetica su interi lunghi. I punti base sono i punti di partenza fissi usati per calcolare le chiavi pubbliche.

Cosa non dimostra

Anthropic precisa che non si tratta di una violazione crittografica, di un nuovo attacco o di una nuova debolezza di ECDSA. I seed sono parametri pubblici di generazione, non chiavi private di firma. Ricostruirli non consente di falsificare firme. Secondo i ricercatori, un processo così semplice e ripetibile rende meno plausibile una manipolazione deliberata.

Il quadro resta incompleto:

• il seed di B-163 non è spiegato;
• restano senza spiegazione diversi punti base;
• alcuni candidati apparentemente idonei, come il numero 876 per P-256, furono saltati senza un motivo noto.

I risultati aumentano quindi la fiducia, ma non provano che ogni scelta fosse innocua.

Cosa c’è da sapere

Anthropic ha pubblicato il codice di riproduzione, così che altri possano verificare le corrispondenze. L’Internet Security Research Group riceverà la ricompensa di 36.864 dollari. Il rapporto non chiede modifiche ai sistemi in produzione sulla base di questa sola scoperta.

Fonte: Cyber Security News · Foto: Cyber Security News