Die unerklärlichen Zahlen hinter HTTPS
Elliptic-curve cryptography (ECC) bildet die Grundlage für die sicheren Verbindungen, die Browser mit Websites aufbauen, und ermöglicht den entscheidenden Austausch eines gemeinsamen geheimen Schlüssels vor aller Augen. Diese mathematische Meisterleistung beruht auf elliptic curves, bei denen bestimmte Operationen rechnerisch trivial durchzuführen, aber praktisch unmöglich umzukehren sind. Die P-256-Kurve, ein 2000 vom NIST veröffentlichter Standard, wurde zum Eckpfeiler von TLS 1.3 und HTTPS und ist für nahezu jede Anwendung vorgeschrieben.
Über zwei Jahrzehnte lang hegten Kryptographen ein tiefes Unbehagen gegenüber diesen NIST-Kurven. Die Parameter, die ihre Form definierten, enthielten willkürliche „Seeds“, die von der NSA bereitgestellt wurden, ohne dass es eine öffentliche Erklärung für deren Entstehung gab. Dieser Mangel an Transparenz befeuerte Spekulationen: Könnte die NSA diese Seeds absichtlich gewählt haben, um eine geheime Hintertür einzubauen, die ihr einen einzigartigen Zugang zu verschlüsselter Kommunikation ermöglichte?
Die berüchtigten Snowden-Enthüllungen über den Zufallszahlengenerator Dual_EC_DRBG verstärkten diese Verdachtsmomente und zeigten, dass ein anderer von der NSA beeinflusster Standard tatsächlich kompromittiert war. Es ist jedoch entscheidend, Dual_EC_DRBG von den NIST-Elliptic-Curves zu unterscheiden. Während der frühere Vorfall eine Verschwörungstheorie über P-256 verständlich machte, stellte er niemals einen Beweis für eine Hintertür in den Elliptic-Curves selbst dar.
Claude ignorierte den berühmten Hinweis – und fand einen Zeitstempel
Jahrzehntelang deutete ein verlockendes Gerücht, das dem NSA-Mathematiker Jerry Solinas zugeschrieben wurde, darauf hin, dass der P-256-Seed aus dem Hashing einer einprägsamen Phrase stammte. Diese Erklärung, obwohl nie vollständig bestätigt, lenkte Forscher auf fruchtlose Suchen nach der „Scherzphrase“, die Solinas erwähnte, wie etwa „give Bob Reiter and Jerry Solinas a raise“, an die er sich vor seinem Tod im Jahr 2023 nicht mehr erinnern konnte. Dies führte zu einem langjährigen Kopfgeld für die Lösung und befeuerte die Spekulationen.
Claude ignorierte jedoch diesen berühmten Hinweis. Anstatt einer vergessenen Phrase nachzujagen, untersuchte das Anthropic-Modell gängige Muster von Pseudozufallszahlengeneratoren (PRNG). Es identifizierte statistische Artefakte, wie etwa ein konsistent auf Null gesetztes oberstes Bit, die charakteristisch für bestimmte Legacy-Generatoren sind. Unter Verwendung von Gitterreduktionsalgorithmen arbeitete sich Claude von diesen „Fingerabdrücken“ rückwärts vor, um den internen Zustand des Generators zu rekonstruieren.
Das Hauptergebnis: Die Seeds für mehrere NIST-Primkurven, einschließlich P-256, stimmten mit den Ausgaben von lrand48 überein. Dieser bekannte C-Bibliotheks-Generator aus der Unix-Ära, der in den 1990er Jahren weit verbreitet war, wurde mit einfachen Unix-Zeitstempeln initialisiert. Speziell für P-256 deutet die Rekonstruktion darauf hin, dass lrand48 am 16. August 1997 um 01:52:34 UTC mit einem Seed versehen wurde, wobei der offizielle P-256-Seed seiner 1.842. generierten Zahl entspricht. Andere NIST-Kurven, wie P-192, stimmten ebenfalls mit lrand48-Ausgaben von Zeitstempeln zwischen Mai 1997 und April 1998 überein.
Die Mathematik hinter dem schnellen forensischen Durchbruch
Claudes Durchbruch beruhte darauf, subtile statistische „Fingerabdrücke“ innerhalb der Seed-Werte zu erkennen. Es stellte fest, dass die vom NIST bereitgestellten Seeds Merkmale aufwiesen, die mit lrand48 übereinstimmten, einem gängigen Pseudozufallszahlengenerator (PRNG) aus C-Bibliotheken der 1990er Jahre. Insbesondere bemerkte Claude ein eingeschränktes Verhalten des obersten Bits in den generierten Ausgaben.
Aus diesen verkürzten Ausgaben rekonstruierte Claude auf geniale Weise den internen Zustand des PRNG. Es setzte lattice-reduction methods ein – eine hochentwickelte Technik zum Finden kurzer Vektoren in hochdimensionalen Gittern –, um den Zustand des Generators selbst bei unvollständigen Informationen zurückzuentwickeln. Dies ermöglichte es, die Zufallszahlen bis zu ihren Anfangsbedingungen zurückzuverfolgen.
Die Geschwindigkeit dieser Rekonstruktion war bemerkenswert: unter einer halben Stunde für fünf NIST-Kurven. Claudes interner Notizblock zeigte sogar, wie es Überraschung ausdrückte und sich fragte, ob es sich angesichts des schnellen Erfolgs in einer simulierten Testumgebung befinde. Für P-256 startete der Generator am 16. August 1997 um 01:52:34 UTC, und der offizielle Seed war die 1.842. Zahl, die er produzierte.
Anthropic überprüfte diese Ergebnisse rigoros und veröffentlichte reproduzierbaren Code, der es unabhängigen Forschern ermöglichte, die gemeldeten Seeds innerhalb von Sekunden Zeichen für Zeichen neu zu generieren. Dieser Prozess klärte auch die Ursprünge mehrerer ANSI X9.62- und NIST-Basispunkte und verknüpfte sie mit Arjen Lenstras FreeLIP-Bibliothek. Anthropic beanspruchte ein langjähriges Kopfgeld in Höhe von 36.864 $ für diese Entdeckung und spendete es an die Internet Security Research Group (ISRG). Weitere Details, einschließlich des Forschungspapiers, sind unter Anthropic Research: ECDSA Curve Origins verfügbar.
Gefällt Ihnen der Artikel? Erhalten Sie jeden Morgen einen wie diesen per E-Mail.
eine E-Mail pro Tag · Abmeldung mit zwei Klicks · kein Tracking durch Dritte
Eine beruhigende Antwort mit offenen Fragen
Die Enthüllung der Zeitstempel-Ursprünge bietet erhebliche Beruhigung, keine kryptografische Krise. Ein Unix-Zeitstempel, der etwa 30 Bit an Auswahl bietet, stellt einen drastisch kleineren Suchraum dar, als eine absichtlich konstruierte Hintertür erfordern würde. Diese begrenzte Freiheit bedeutet, dass eine verborgene Schwachstelle höchst unwahrscheinlich ist.
Entscheidend ist, dass diese Entdeckung weder TLS bricht, noch private Schlüssel enthüllt oder Signaturen fälscht. P-256 bleibt sicher und erfordert weder einen dringenden Patch noch eine Protokollüberarbeitung. Die Analyse von Anthropic und die anschließende unabhängige Überprüfung bestätigten, dass die Kurven sauberer, nicht schwächer sind.
Es bleiben jedoch offene Fragen. Der Seed der binären B-163-Kurve beispielsweise entbehrt noch einer vollständigen Erklärung. Auch die genauen Ursprünge bestimmter base points – der Anfangskoordinaten auf der elliptischen Kurve – harren noch der vollständigen Aufklärung, obwohl einige mit Arjen Lenstras FreeLIP-Bibliothek in Verbindung gebracht wurden.
Darüber hinaus rätseln Kryptografen immer noch, warum ein qualifizierender P-256-Kandidat gegenüber anderen ausgewählt wurde, die ebenfalls die Kriterien erfüllten. Während Claudes Arbeit den Verdacht rund um die NIST-Kurven drastisch reduzierte, liefert sie ein entscheidendes Kapitel in ihrer Geschichte, nicht jedoch eine endgültige Darstellung jeder Designentscheidung.
Häufig gestellte Fragen
Was hat Claude über die NIST-Kurven-Seeds herausgefunden?
Anthropic's Claude hat mehrere NIST-Kurven-Seeds auf Ausgaben des lrand48-Pseudozufallszahlengenerators zurückgeführt, der mit Unix-Zeitstempeln initialisiert wurde.
Bedeutet die Entdeckung, dass P-256 eine Hintertür hatte?
Nein. Der auf Zeitstempeln basierende Prozess lässt zu wenig Freiheit, um eine absichtliche Hintertür plausibel zu machen, und die Erkenntnis ermöglicht keine Angriffe auf P-256.
Wie hat Claude die Seeds rekonstruiert?
Es erkannte statistische Muster in den lrand48-Ausgaben und verwendete mathematische Techniken, einschließlich Gitterreduktion, um wahrscheinliche Generatorzustände wiederherzustellen.
Sind nun alle Kurvenursprünge erklärt?
Nein. Einige Seed-Ursprünge und die Wahl der Basispunkte bleiben ungeklärt, einschließlich des Seeds der binären B-163-Kurve und der Auswahl eines P-256-Kandidaten.