Anthropic מסרה שמודל מחקר פנימי שלה פתר חידה שהטרידה את קהילת ההצפנה כ-25 שנה: מאיפה הגיעו "הזרעים" של עקומות ההצפנה הסטנדרטיות של NIST, המכון האמריקאי לתקנים. לפי פוסט של החברה, Claude הצליח בפחות מחצי שעה. הפרטים כאן מבוססים על הפוסט של Anthropic, ועל סיקור שלו באתר The Decoder. פענוח עצמאי של קריפטוגרפים מחוץ לחברה עדיין לא פורסם.
החידה
ב-2000 אימץ NIST את תקן החתימה הדיגיטלית ECDSA, שנשען על עקומות אליפטיות, והוא הנפוץ ביותר מסוגו. לכל עקומה צורף "זרע": ערך התחלתי שממנו נגזר אחד מפרמטרי העקומה. את הזרעים סיפקה ה-NSA, בלי שום הסבר. משום כך חשדו חלק מהאנשים שאולי נבחרו כדי ליצור עקומות חלשות במכוון, כלומר דלת אחורית.
הסיפור המקובל היה שג'רי סולינס, עובד NSA ותיק, יצר אותם מגיבוב (פונקציה שהופכת טקסט לרצף ערכים) של משפט הומוריסטי, בנוסח "תנו לבוב ולג'רי העלאה". סולינס אמר ב-2015 שהוא לא זוכר את הפרטים ושארכיונים כאלה, אם קיימים, "נמצאים בוודאי על כונן קשיח ליד ארון הברית". הוא מת ב-2023. באותה שנה הכריז המצפין פיליפו ולסורדה על פרס של 12,288 דולר לכל מי שימצא את המשפטים, והפרס שולש ל-36,864 דולר אם הזוכה מעביר אותו לצדקה.
איך Claude עשה את זה
לפי Anthropic, כמה מעובדיה כבר ניסו ללא הצלחה לחפש את המשפט. באוקטובר 2026 עובד סקרן ביקש ממודל מחקר פנימי להבין איך נוצרו הזרעים, בלי לרמוז על הסיפור על המשפט. המודל לא חיפש משפטים. הוא ניחש איך עבדה התוכנה שיצרה את העקומות: מחולל מספרים אקראיים פשוט מספריות C משנות ה-90.
Claude כתב סורק שבדק אם קטעים סמוכים בכל זרע נראים כפלטים עוקבים של מחוללים מהתקופה. הוא שם לב שבחלק מהזרעים הביט העליון בכל המילים הוא אפס. הסיכוי לכך במקרה הוא 1 ל-5,810, וזו חתימה של המחולל lrand48, שמחזיר רק 31 ביטים. אחר כך שחזר את המצב הפנימי של המחולל בשיטת רשתות (LLL), בעיה שלפי Anthropic היא "בעיית ספר לימוד". כשהריץ את המחולל אחורה הגיע לערכי התחלה שהם חותמות זמן יוניקס, כלומר השעה במחשב, בין מאי 1997 לאפריל 1998.
הזרעים של P-192, P-224, P-256, P-384 ו-P-521 לא היו תוצאה של גיבוב בכלל. הם יצאו מ-lrand48 שאותחל בשעון. עבור P-256, למשל, מדובר בהרצה מ-16 באוגוסט 1997, והזרע הוא המועמד ה-1,842 בהרצה. הפוסט כולל קוד שכל אחד יכול להריץ כדי לשחזר את הזרעים.
מה זה אומר על דלתות אחוריות
Anthropic מדגישה שזו לא פריצה, לא התקפה חדשה ולא חולשה בעקומות. להפך: לדבריה הממצא מגדיל את הביטחון שהעקומות נבחרו בלי כוונה לפגוע. זרע שנוצר ממחולל פשוט שאותחל מהשעון משאיר מעט מקום להתעסקות. החברה כותבת שאין מה לעשות בעקבות הממצא, ושרוב החוקרים כבר סמכו על העקומות.
הפוסט מזכיר גם נקודות לא סגורות. בהרצות נמצאו כמה עקומות תקינות שדולגו, למשל מועמד 876 ב-P-256, ו-Anthropic לא יודעת לפי איזה קריטריון. היא מעריכה שהמספר הקטן של דילוגים לא מתיישב עם בחירה של עקומות חלשות. לא נשללת לגמרי האפשרות שמישהו חיפש חותמות זמן עד שמצא ערך מתאים, אבל לדבריה אין בנתונים כדי להראות כמה הרצות היו.
בנוסף, Claude מצא מאין הגיעו נקודות הבסיס של שש עקומות מ-1997, ובהן P-192: מחולל המספרים בחבילה FreeLIP של ארייֶן לנסטרה. נקודות הבסיס של P-224, P-256, P-384 ו-P-521 עדיין לא הוסברו.
מה עדיין לא ידוע
- הזרע של העקומה הבינארית B-163 לא הוסבר, והוא לא מתאים לשום דבר ש-Claude ניסה. בזרעים של ארבע העקומות הבינאריות האחרות החותמות מתפרשות כפברואר 1984, ואם מכפילים אותן, כאפריל 1998. Anthropic מציינת שייתכן שהתוכנה חילקה את השעון בשניים.
- Anthropic אומרת רק שהעבודה נעשתה בידי "מודל מחקר פנימי", בלי לפרט איזה.
- הממצאים לא אומתו עד כה באופן עצמאי, והסיקור מסתמך על הפוסט של החברה.
את פרס 36,864 הדולר תתרום Anthropic ל-Internet Security Research Group, הארגון שמאחורי Let's Encrypt. בפוסט מצוינים עשרה כותבים מהחברה, ובהם ניקולס קרליני, והוא מכבד את זכרו של סולינס.
תגובות