Segundo a Anthropic, um modelo interno de pesquisa do Claude reconstruiu, em menos de 30 minutos, como a NSA (Agência de Segurança Nacional dos EUA) gerou as sementes de cinco curvas elípticas do NIST (Instituto Nacional de Padrões e Tecnologia dos EUA), em um mistério criptográfico que durou cerca de 25 anos.
Em relatório publicado em 16 de outubro, a empresa atribui as sementes a um gerador de números pseudoaleatórios padrão da linguagem C, inicializado com timestamps Unix, e não a frases secretas.
Apesar das referências a chaves criptográficas, a descoberta diz respeito a parâmetros públicos de curvas, e não a chaves privadas ou segredos de assinatura. A Anthropic descreve o trabalho como uma reconstrução histórica e não relata nenhuma quebra criptográfica, novo ataque ou motivo para alterar implantações.
Claude resolve mistério de 25 anos sobre a criptografia da NSA
O NIST adotou o ECDSA (Algoritmo de Assinatura Digital de Curva Elíptica) e recomendou curvas elípticas em seu Padrão de Assinatura Digital, o FIPS 186-2 (Padrão Federal de Processamento de Informação 186-2), em 2000. As sementes publicadas permitiam verificar a derivação dos parâmetros das curvas, mas suas origens não explicadas levaram pesquisadores a questionar se a NSA teria influenciado deliberadamente a seleção das curvas.
Uma recompensa organizada pelo criptógrafo Filippo Valsorda incentivou esforços para explicar essas sementes. Relatos anteriores sugeriam que elas teriam origem em frases humorísticas associadas ao matemático da NSA Jerry Solinas.
O Claude, por sua vez, examinou padrões de programação típicos de bibliotecas C dos anos 1990 e identificou o lrand48, um gerador congruencial linear com estado interno de 48 bits.
O modelo analisou as sementes publicadas em 34 combinações de gerador e fatia de saída. Quatro sementes de curvas binárias continham cinco palavras de 32 bits cujos bits mais altos eram consistentemente zero, o que coincide com a saída de 31 bits do lrand48.
Ao enumerar os 17 bits ocultos de estado e verificar as saídas seguintes, o modelo recuperou candidatos a estados do gerador. As sementes das curvas primas expunham menos bits em cada chamada do gerador.
Para reconstruir os estados internos a partir dessas saídas truncadas, o Claude aplicou o algoritmo de redução de base de reticulados de Lenstra-Lenstra-Lovász (LLL, sigla que reúne as iniciais dos autores). Cinco sementes do NIST e cinco sementes de exemplo da ANSI (Instituto Nacional Americano de Padronização) X9.62 correspondiam a uma construção que coletava bytes de lrand48() >> 23.
Ao reverter o gerador, o modelo revelou valores de inicialização correspondentes a timestamps Unix entre maio de 1997 e abril de 1998. A construção recuperada reproduziu as curvas P-192, P-224, P-256, P-384 e P-521. No caso da P-256, a semente padronizada apareceu como o candidato 1.842 em uma sequência inicializada em 16 de agosto de 1997.
O Claude também reconstruiu a geração de pontos-base para a P-192 e para cinco curvas de exemplo da ANSI, usando o gerador do FreeLIP, pacote aritmético de Arjen Lenstra. Esses pontos-base são diferentes das sementes das curvas e funcionam como pontos fixos para operações criptográficas.
A reconstrução ainda está incompleta. A Anthropic não conseguiu explicar a semente da B-163 nem vários pontos-base. Os pesquisadores também encontraram candidatos ignorados que aparentemente produziriam curvas adequadas, o que deixa sem solução os critérios originais de seleção.
A Anthropic argumenta que a construção reproduzível baseada em timestamps reduz as preocupações com manipulação intencional, embora não estabeleça todas as decisões históricas nem comprove que não houve outras execuções de geração alternativas.
A recompensa de US$ 36.864 será doada ao Internet Security Research Group. Para os defensores, o resultado é maior transparência sobre os parâmetros criptográficos públicos, e não a recuperação de segredos ou uma fraqueza demonstrada do ECDSA.
