هوش مصنوعی Claude معمای ۳۰ ساله بذرهای منحنی‌های بیضوی NIST را حل کرد

ماجرا از کجا شروع شد

NIST در سال ۲۰۰۰ استاندارد FIPS 186-2 را منتشر کرد و برای هر منحنی یک «بذر» ۱۶۰ بیتی هم آورد. ضریب b هر منحنی از هش SHA-1 همین بذر به دست می‌آید. هدف این بود که نشان دهند منحنی‌ها دلخواه انتخاب نشده‌اند. این بذرها را آژانس امنیت ملی آمریکا (NSA) فراهم کرده بود، ولی هیچ‌وقت نگفت از کجا آمده‌اند. همین ابهام سال‌ها به گمانه‌زنی درباره درِ پشتی در منحنی‌هایی مثل P-256 دامن زد. P-256 امروز در TLS، امضای دیجیتال و بسیاری از کتابخانه‌های رمزنگاری کاربرد گسترده دارد.

روایت رایج این بود که بذرها از هش یک جمله شوخی‌آمیز ساخته شده‌اند. چند پژوهشگر هم این سرنخ را دنبال کرده بودند و به نتیجه نرسیده بودند. یک رمزنگار مستقل حدود سه سال پیش برای پیدا کردن منشأ این بذرها جایزه گذاشته بود.

Claude چطور به جواب رسید

به گفته Anthropic، یکی از کارکنان این شرکت در اکتبر ۲۰۲۶ از مدل پرسید که بذرها چطور ساخته شده‌اند. سرنخ «جمله شوخی» به مدل داده نشد. مدل در کمتر از نیم ساعت منشأ بذرهای P-192، P-224، P-256، P-384 و P-521 را پیدا کرد.

فرض اولیه مدل این بود که نرم‌افزار سازنده بذرها از یک مولد تصادفی ضعیف دهه ۱۹۹۰ استفاده کرده است. در چند بذر، بیت بالای همه کلمه‌های ۳۲ بیتی صفر بود. این الگو ردپای تابع lrand48 است که از وضعیت داخلی ۴۸ بیتی فقط ۳۱ بیت بالایی را برمی‌گرداند. مدل وضعیت داخلی را برای بعضی بذرها با جست‌وجوی کامل و برای بعضی دیگر با روش کاهش شبکه (LLL) بازیابی کرد. سپس مولد را به عقب برگرداند تا به نقطه مقداردهی اولیه با srand48 برسد. در هر ده بذر منحنی‌های اول (prime) از استانداردهای NIST و ANSI X9.62، آن نقطه یک برچسب زمانی یونیکس بین مه ۱۹۹۷ تا آوریل ۱۹۹۸ بود. مثلاً بذر P-256 هزار و هشتصد و چهل و دومین نامزد اجرایی بود که در اوت ۱۹۹۷ آغاز شده است.

صاحب جایزه این نتیجه را در وبلاگش تأیید کرد و الگوریتم را جداگانه با زبان Go بازسازی کرد. در توصیف او نام تابع drand48 آمده است. هر دو تابع عضو یک خانواده‌اند و در هر دو توصیف، بذرها از همان برچسب‌های زمانی بازتولید می‌شوند. جایزه‌ای به ارزش ۳۶٬۸۶۴ دلار هم به ISRG، سازمان غیرانتفاعی گرداننده Let's Encrypt، اهدا می‌شود.

// منطق کلی تولید بذر (ساده‌شده و فقط برای توضیح)
srand48(unix_timestamp);          // مقداردهی با زمان سیستم
for (;;) {
    uint8_t seed[20];
    for (int i = 0; i < 20; i++)
        seed[i] = lrand48() >> 23; // یک بایت از هر خروجی
    if (curve_is_valid(sha1_derive(seed)))
        break;                     // نامزد معتبر
}

چرا مهم است

Anthropic تأکید می‌کند که این کشف ضعف یا شکستی در منحنی‌ها نیست و برنامه‌نویس‌ها لازم نیست کاری انجام دهند. برعکس، این یافته اطمینان را بیشتر می‌کند که منحنی‌ها بدون در پشتی انتخاب شده‌اند. به گفته صاحب جایزه، وقتی منشأ بذر یک برچسب زمانی محدود و شماره نامزد است، فقط حدود ۳۰ بیت آزادی در انتخاب باقی می‌ماند. این مقدار برای هدف گرفتن عمدی منحنی‌های ضعیف کافی نیست. حمله‌ای که پیش‌تر به‌صورت نظری مطرح شده بود حدود ۷۰ بیت آزادی لازم داشت.

برای برنامه‌نویس‌ها این ماجرا دو پیام دارد. اول اینکه P-256 و ECDSA، که در گواهی‌های TLS، کلیدهای سخت‌افزاری و امضای کد همه‌جا حضور دارند، از یک شبهه قدیمی رها می‌شوند. دوم اینکه مدل‌های زبانی بزرگ حالا در تحلیل رمزنگاری و مهندسی معکوس به ابزاری جدی تبدیل شده‌اند.