Claude за полчаса раскрыл происхождение seed-параметров кривых NIST ECDSA

16 октября 2026 года команда Frontier Red Team из Anthropic объявила, что закрыла один из самых давних вопросов прикладной криптографии. Внутренняя исследовательская модель Claude меньше чем за полчаса определила, как были получены 20-байтные seed-значения для стандартных кривых NIST P-192, P-224, P-256, P-384 и P-521. Хеша там не было. Seed выдал генератор псевдослучайных чисел lrand48 из C-библиотеки, инициализированный Unix-временем.

Двадцать лет без объяснений

ECDSA — самый распространённый стандарт криптографии на эллиптических кривых. NIST принял его в 2000 году в составе FIPS 186-2 вместе с набором стандартных кривых разной стойкости. Коэффициент b каждой кривой определяется хеш-значением опубликованного seed. Сами seed предоставило АНБ, ни слова не сказав о том, откуда они взялись. Для P-256 это C49D3608 86E70493 6A6678E1 139D26B7 819F7E90.

Отсутствие объяснений породило подозрения: а не подбирали ли параметры так, чтобы заложить слабое место. Нил Коблиц и Альфред Менезес разобрали эту историю в тексте «A Riddle Wrapped in an Enigma». Любители даже назначали награду тому, кто найдёт происхождение seed.

Самой популярной была версия про шутку. В 2015 году Джерри Солинас, давний сотрудник АНБ, писал, что seed, вероятно, получили хешированием фразы вроде «Give Bob and Jerry a raise», причём с каким-то счётчиком. Код писал Боб Райтер, но он деталей не помнил. Архивы не нашли, а сам Солинас умер в 2023 году.

Как Claude обошёл тупик

Несколько сотрудников Anthropic уже пытались искать хеш той самой фразы и ничего не нашли. Версия оказалась ложной. В октябре 2026 года один из них задал внутренней модели вопрос без всякой подсказки: можно ли понять, как порождены эти seed.

Claude пошёл от обратного и стал рассуждать, как должна была работать программа, создавшая кривые. Он предположил, что в ней использовался ГПСЧ из C-библиотек 1990-х. Такие генераторы слабы настолько, что их выход можно распознать, а распознав, восстановить и начальное состояние.

Модель написала сканер, который скользил по каждому seed побитово и проверял, не являются ли соседние фрагменты последовательными выходами генератора той эпохи. Всего проверили 34 сочетания генератора и срезов вывода. Затем Claude заметил закономерность: у части seed старшие биты оказались нулевыми. Если записать seed как пять 32-битных слов, то у четырёх из десяти старший бит равен нулю во всех 20 словах. Случайно такое происходит с вероятностью 1/5810. Так выглядит сигнатура линейного конгруэнтного генератора lrand48.

Что нашли

По описанию Anthropic, алгоритм выглядел так: ГПСЧ инициализировался Unix-временем t, затем делалось n итераций, и на каждой брались 20 байт как кандидат в seed. Первые 20 байт — кандидат 1, следующие — кандидат 2 и так далее.

• Затронутые кривые: NIST P-192, P-224, P-256, P-384, P-521.
• Источник: lrand48 с seed в виде Unix-времени.
• Размер кандидата: 20 байт на итерацию.
• P-256: 1842 итерации до стандартного seed.
• Время работы модели: меньше получаса.
• Версия про хеш шуточной фразы: не подтвердилась.

Практический вывод

Anthropic прямо пишет, что это не криптографический взлом, не новая атака и не слабость в кривых. Действий от разработчиков и администраторов не требуется: большинство исследователей и так доверяло этим кривым. Менять библиотеки, конфигурации TLS или схемы подписи из-за этой новости не нужно.

Для оценки доверия результат работает в плюс. Seed получены простым способом: распространённый ГПСЧ, заведённый от часов, и любой теперь может это воспроизвести. Для скрытой подгонки параметров остаётся гораздо меньше места, чем при версии с таинственным хешем.

Отдельно стоит запомнить сам метод. Модель не стала искать подтверждение известной легенде, а пересобрала картину из технических ограничений эпохи и нашла статистический отпечаток. Для аудита старых стандартов, где документация утеряна, это рабочий шаблон: сначала гипотеза о том, каким мог быть инструмент, затем проверка по следам в данных.