Seit mehr als zwei Jahrzehnten fragen sich Kryptografen, woher einige der meistgenutzten Zahlen der Sicherheitstechnik stammen. Die NIST-Kurven P-192, P-224, P-256, P-384 und P-521, im Jahr 2000 standardisiert und im ganzen Web für digitale Signaturen genutzt, wurden jeweils aus einem veröffentlichten Seed abgeleitet, dessen Herkunft nie erklärt wurde. Weil die Seeds ohne Rezept von der NSA kamen, vermuteten manche eine versteckte Schwäche. Anthropics Frontier Red Team sagt, ein internes Claude-Modell habe nun herausgefunden, wie sie entstanden, und die Antwort ist banal.
Die Seeds waren keine Hashes einer Phrase, wie es Gerüchte behaupteten. Sie waren die rohe Ausgabe von lrand48, dem Zufallszahlengenerator der C-Bibliotheken der 1990er-Jahre, gestartet mit einem Unix-Zeitstempel. Ein Anthropic-Mitarbeiter bat das Modell, die Herkunft zu finden, ohne den früheren Hinweis zu nennen, und es schaffte das in weniger als 30 Minuten. Es schrieb einen Scanner, der prüfte, ob Abschnitte jedes Seeds wie aufeinanderfolgende Ausgaben alter Generatoren aussehen, bemerkte, dass bei manchen Seeds die obersten Bits weit häufiger null waren, als der Zufall erlaubt, und stellte dann mit einem gängigen Gitterverfahren den verborgenen Zustand des Generators für die Seeds der Primkurven wieder her. Rückwärts gerechnet war jeder Startpunkt ein Zeitstempel zwischen Mai 1997 und April 1998. Der Seed von P-256 war Kandidat 1.842 seines Laufs, und jeder rekonstruierte Zustand erzeugt alle 160 Bit seines Seeds neu, was Zufall ausschließt.
Der Befund stärkt das Vertrauen, statt es zu untergraben. Anthropic betont, dies sei kein Bruch und kein neuer Angriff: Ein Seed aus einem mit Zeitstempel gestarteten Lauf eines schwachen Generators lässt wenig Spielraum dafür, dass jemand gezielt nach einer fehlerhaften Kurve gesucht hat. Nebenbei erklärte das Modell auch die Basispunkte von P-192 und fünf verwandten ANSI-Beispielkurven, die aus dem Zufallsgenerator von Arjen Lenstras Bibliothek FreeLIP stammen; nach Anthropics Kenntnis war zuvor kein NIST-Basispunkt erklärt worden.
Für Leser gibt es nichts zu tun. P-256 und ihre Geschwister galten bereits als vertrauenswürdig, und Anthropic sagt ausdrücklich, dass keine Maßnahmen nötig sind. Interessant ist die Methode: Ein Modell, das darüber nachdachte, wie Software der 1990er wahrscheinlich funktionierte, statt Vermutungen per Rechengewalt durchzuprobieren, löste ein Rätsel, an dem Menschen gescheitert waren, auch frühere Versuche von Anthropic-Beschäftigten.
Einige Fragen bleiben. Ein paar brauchbare Kandidaten wurden übersprungen; für P-256 hätte auch Kandidat 876 desselben Laufs eine geeignete Kurve ergeben, und die Auswahlregel ist unbekannt, wobei Anthropic argumentiert, die Zahl der übersprungenen sei zu klein, um eine absichtliche Schwächung nahezulegen. Ein Seed einer Binärkurve, B-163, passt zu nichts Erprobtem, und die Basispunkte von P-224, P-256, P-384 und P-521 bleiben unerklärt. Der Code zur Reproduktion ist öffentlich, sodass andere ihn prüfen können.