Claudeが NIST ECDSA曲線の種値の起源を解明、Anthropicが報告

Anthropicの研究によると、社内の研究用AIモデルClaudeが、NIST P-192からP-521までの楕円曲線の種値の起源を短時間で特定した。種値はハッシュ値ではなく、Unixタイムスタンプを種とするlrand48乱数生成器の出力だったという。

Anthropicは、ECDSAで使われるNIST楕円曲線の種値について、Claudeがその生成方法を突き止めたと報告している。発端は、同社の従業員が、手がかりを示さずに種値の生成方法を推測できるかどうかを社内の研究モデルに尋ねたことだった。

発見の経緯

Claudeは、NIST P-192、P-224、P-256、P-384、P-521の種値の起源を特定した。これらはいずれもハッシュアルゴリズムの結果ではなく、Unixタイムスタンプを種として与えられたCライブラリのlrand48乱数生成器の出力だったとされる。

NISTは2000年にFIPS 186-2の一部としてECDSAを採用した。P-256の標準種値はSEED = C49D3608 86E70493 6A6678E1 139D26B7 819F7E90であるが、その由来を示す情報はなかった。

解析の詳細

Anthropicが報告した解析の主な数値は次のとおりである。

• P-256は、標準化された種値を出力するまでに1842回の反復を要した。
• Claudeのスキャナは、生成器と出力スライスの組み合わせ34通りを対象とした。
• 4つの種値について、20ワードすべてで最上位ビットが0となるのが偶然である確率は1/5810である。
• 隠れた17ビットの状態を復元する際に試された値は2¹⁷通りだった。
• srand48形式の内部PRNG状態は、下位16ビットが0x330Eに等しく、65,536ステップごとに現れる。

1997年5月に生成された曲線の基点は、FreeLIPの乱数生成器によって生成されたとされる。Claudeは、その生成器の種値としてP-192に20000、prime239v1からv3に20420、20507、20509、prime192v2とv3に20512、20517を見つけた。

一方、P-224、P-256、P-384、P-521の基点はFreeLIPの手法に当てはまらず、選ばれた方法は説明できなかったとされる。5番目のバイナリ種値であるB-163は、依然として未解明のままである。

過去の推測と賞金

Claudeは、使われたソフトウェアが1990年代のCライブラリに同梱されていた擬似乱数生成器だったと推測した。プログラムがクロックを半分にしていた可能性もあるとされる。

最も有力とされていた説は、Jerry Solinasが冗談めいたパスフレーズのハッシュで種値を生成したというものだったが、誤りだったとされる。Solinasは2015年に次のように述べていた。

「複数回のハッシュではなく、カウンターのようなものがあったと思う。メッセージは『Give Bob and Jerry a raise』や『Bob and Jerry rule』のような内容だった気がするが、詳細は分からない。実際にコードを書いたのはBob Reiterだが、彼も詳細は覚えていない。そもそも古すぎて、アーカイブも見つけられなかった。もし存在するなら、Ark of the Covenantの近くのハードドライブに眠っているだろう。」

— Jerry Solinas（2015年）

Solinasは2023年に死去している。種値の発見に対する賞金36,864米ドルは、Internet Security Research Groupに寄付される。

筆者の見立て

• 読者はこれを楽しい締めくくりであり、長年続いた憶測の終わりとして受け止めるべきだと論じている。
• 「これは暗号の破壊、新たな攻撃、ECDSA曲線の弱点ではない」と解釈している。
• この発見により、曲線がバックドアや意図的な弱点なしに選ばれたという確信が強まったと示唆している。
• これらの発見により、意図的なバックドアという疑念はずっと説得力を失うと解釈している。
• 種値の生成は、改ざんの余地をはるかに小さくすると示唆している。
• 飛ばされた候補の数が少ないことから、弱体化された曲線が選ばれたとは考えにくいと予想している。
• タイムスタンプを探索する必要があるのは、そのタイムスタンプを無害な生成の証拠として開示する場合に限られると解釈している。

この記事は元記事の事実のみに基づいて自動生成されました。

出典

• 媒体: Anthropic
• タイトル: Claude reveals ECDSA curve origins
• URL: https://www.anthropic.com/research/ecdsa-curve-origins
• Internet Security Research Group の報道による