Claude 化身“数字考古学家”：不到 30 分钟解开困扰密码学界 26 年的 NSA 参数来源悬案

Claude 当起“数字考古学家”：不到 30 分钟揭开困扰密码学界 26 年的 NSA 参数来源之谜 — ithome.com · 11 分钟前 · 🤖 AI / ML

美国国家标准与技术研究院在 2000 年纳入数字签名标准的五条椭圆曲线，其生成种子由美国国家安全局提供，但始终没有公开推导过程，二十六年来一直被怀疑可能暗藏后门。Anthropic 在 10 月 16 日发布的博文中宣布，其内部研究团队借助 Claude 模型，用时不到 30 分钟就追溯出 P-192、P-224、P-256、P-384 和 P-521 五条标准曲线种子的来源，为这桩密码学界长期悬案提供了可复现的答案。所谓种子，是指生成椭圆曲线参数时输入的起始数据：同样的种子经由固定程序处理，必然得到同样的参数，因此公开种子就能让外界复算验证。Claude 的思路是转向排查上世纪 90 年代流行的软件工具，最终锁定 C 语言标准库中的伪随机数生成器 lrand48，并确认初始化输入是 Unix 时间戳。模型通过识别输出中的位模式、恢复生成器内部状态再反向推算，把生成时间定位在 1997 年至 1998 年之间。具体到最常用的 P-256 曲线，其标准种子对应 1997 年 8 月 16 日一次运行中产生的第 1,842 个候选值。团队已公开复现代码供独立验证。Anthropic 强调，这一发现既不构成对椭圆曲线数字签名算法的破解，也没有提出新的攻击手段；由于种子来源可以解释为常规的伪随机数生成流程，参数被刻意植入后门的疑虑大幅降低，用户无需采取任何补救措施。不过谜题尚未完全终结：B-163 曲线种子的来源、部分曲线基点的生成方式，以及当年为何跳过某些可用候选曲线，仍然没有答案。

核心信息

这桩悬案的核心在于 2000 年纳入美国数字签名标准的一组椭圆曲线：其种子由 NSA 提供却从不说明生成方法，而椭圆曲线数字签名算法依赖这些曲线验证数字信息的真实性，因此密码学界长期担心参数在构造时被暗藏了只有知情者才能利用的后门。
Claude 的破题路径是「考古式」排查：它没有攻击算法本身，而是假设参数出自上世纪 90 年代的常见软件工具，最终确认种子来自 C 语言库的伪随机数生成器 lrand48，初始化输入则是 Unix 时间戳，并已把复现代码公开供任何人验证。
五条曲线 P-192、P-224、P-256、P-384 与 P-521 的种子全部可由 1997 至 1998 年的 Unix 时间戳初始化生成；其中最广泛使用的 P-256 对应 1997 年 8 月 16 日的一次运行，标准种子是该次运行产出的第 1,842 个候选值。
Anthropic 明确界定了结论的边界：这次研究不是破解 ECDSA，也没有发现新的攻击方式，用户无需因此采取行动；但 B-163 种子的来源、部分曲线基点的生成方式以及某些候选曲线被跳过的原因仍未得到解释。

💡 为什么值得读: 一段尘封 26 年、被怀疑暗藏后门的国家标准参数，被新工具用半小时挖出了来历——它既是一段精彩的密码学史解密，也预示了技术考古方式的深刻变化。

✍️ 小编看法: 这件事最值得玩味的地方，不在结果本身，而在它揭示的方法论。二十六年来，无数密码学家和独立研究者都尝试过逆向这些种子的来源，为什么一直没人做成？因为答案藏在一个没人愿意认真做的苦活里：把九十年代成百上千个常见库函数、随机数实现挨个翻出来比对位模式。这恰恰是那种「技术上不难、但人力上极不划算」的穷举型工作，而现在这类工作有了新的完成方式。三十分钟抵掉一代人的悬案，这个对比本身就是行业转折的注脚。另一个被低估的意义是透明性验证的范式转变。过去密码学界要求「nothing up my sleeve」，即参数构造过程无隐藏机关，靠的是约定俗成的流程规范；今后，任何历史遗留的可疑参数都可能被「考古式复核」，黑箱时代的产物将逐一被照亮。这对安全审计行业是个信号：审计的对象不再只是代码，还可以是参数、数据乃至历史决策过程。当然也要泼点冷水。五条曲线里仍有 B-163 等未解之谜，基点生成方式也没说清，而且「种子来自常规随机源」并不等于当年不存在其他层面的问题，证据只能排除一种假设，不能证明清白。对普通开发者而言，ECDSA 不需要迁移，这一点可以放心；但值得观察的后续是：这种反向推算方法会不会被用于检验其他历史标准（比如 DES 的 S 盒或某些 DRBG 参数），以及各大标准组织会不会主动公开全部生成细节，避免下一代悬案再次出现。

🏷️ Claude, cryptography, NIST, LLM