Искусственный интеллект Claude от компании Anthropic сообщил о разгадке криптографической задачи, которая, как утверждают разработчики, волновала безопасность специалистов четверть века. По словам модели, происхождение пяти первых значений, используемых АНБ при формировании кривых, лежит в старом генераторе псевдослучайных чисел lrand48 из забытой библиотеки C. При этом для кривой P-256 удалось получить совпадение по одному из тестовых вариантов на 1842-м прохождении проверки.

Хронологический контекст дополняют ориентиры из истории криптографии: в 2000 году НIST утвердил набор эллиптических кривых по предложению АНБ, и эти кривые активно применяются в криптографии с открытым ключом, позволяя подтверждать владение секретным ключом без его раскрытия. Однако АНБ не пояснил происхождение некоторых входных чисел, участвовавших в конструировании кривых, что породило сомнения в возможности подбора вариантов для обхода защит. Эти опасения обострились после громких публикаций о прослушке и последующих разоблачений относительно ослабления криптографических стандартов.

В работу над загадкой привлекли криптографов Нила Коблица и Альфреда Менезеса, чьё исследование «A Riddle Wrapped in an Enigma» вышло в 2015 году. Менезес рассказывал, что получил исходные значения от математика АНБ Джерри Солинаса ещё в 1997 году. Дополнительно специалисты задавали вопросы о транспарентности источников и отправляли запросы государственным органам. В 2023 году инженер Филиппо Вальорда и другие участники сообщества предложили денежное вознаграждение за решение проблемы: базовая сумма заявлялась как 12 288 долларов, а при благотворительных переводах она могла возрасти до 36 864 долларов.

Сообщается, что сотрудник Anthropic попросил внутреннюю модель Claude исследовать источник чисел без явной подсказки — идея не предполагала, что выводы будут основываться на конкретной гипотезе. Модель воспроизвела последовательность генерации через lrand48, учитывая временные метки 1997 и 1998 годов как ключевые ориентиры. При этом остаётся неясным, почему некоторые подходящие варианты пропускались, а как именно подбирались другие параметры кривых.

Результаты исследования снижают вероятность того, что кривые NIST содержат скрытый механизм обхода защиты. Опубликованные начальные значения были доступны всегда, поэтому способ их получения не раскрывает секретный ключ АНБ и не говорит о взломе конкретных систем. Anthropic подчеркнула, что пользователям кривых не требуется менять настройки или переходить на другие алгоритмы. В рассказе не участвует кривая secp256k1, используемая в биткоине: её параметры в этой истории не применяются.

Награда за решение будет перечислена Internet Security Research Group — некоммерческой организации, которая поддерживает Let’s Encrypt и выдает бесплатные сертификаты безопасности для сайтов.