کلود منشأ مقادیر بذر منحنی‌های ECDSA در استاندارد NIST را شناسایی کرد
نویسنده: پیتر ژانگ | ۱۶ اکتبر ۲۰۲۶، ساعت ۱۹:۰۷ به وقت هماهنگ جهانی
آنتروپیک اعلام کرد مدل پژوهشی داخلی این شرکت، کلود، منشأ مقادیر بذری را که مدت‌ها درباره نحوه تولید آن‌ها بحث وجود داشت و در چند منحنی ECDSA متعلق به مؤسسه ملی استانداردها و فناوری آمریکا (NIST) به کار رفته‌اند، شناسایی کرده است. بر اساس یافته‌های این مدل، این مقادیر با استفاده از یک مولد شبه‌تصادفی ضعیف در کتابخانه C و با مقداردهی اولیه بر اساس مهرهای زمانی یونیکس تولید شده‌اند. به گفته شرکت، این کشف به معمایی چندساله درباره یک استاندارد رمزنگاری پرکاربرد پایان می‌دهد، اما به معنای شکسته‌شدن رمزنگاری یا کشف ضعف امنیتی جدیدی در ECDSA نیست.
شواهد و زمینه پژوهش
آنتروپیک در مطلبی که روز جمعه، ۱۶ اکتبر ۲۰۲۶، منتشر کرد، توضیح داد که مقادیر بذر منحنی‌های NIST P-192، P-224، P-256، P-384 و P-521، برخلاف فرضیه برخی پژوهشگران، حاصل هش‌کردن عبارت‌های مخفی نبوده‌اند؛ بلکه خروجی مولد lrand48 در کتابخانه C بوده‌اند. طبق این توضیحات، مولد با یک مهر زمانی یونیکس مقداردهی اولیه می‌شده و سپس از خروجی‌های آن نمونه‌برداری می‌کرده‌اند تا مقادیر نامزد ۲۰بایتی به دست آید. بذر منتشرشده نیز با یکی از این مقادیر نامزد در توالی خروجی‌ها مطابقت داشته است. آنتروپیک گفت کلود پس از آنکه یکی از کارکنان شرکت از این مدل خواست نحوه تولید بذرها را توضیح دهد، در کمتر از نیم ساعت آن‌ها را بازیابی کرد.
به گفته شرکت، بذر منحنی P-256 با نامزد شماره ۱۸۴۲ در اجرای مولد از زمان ۱۶ اوت ۱۹۹۷، ساعت ۰۱:۵۲:۳۴ به وقت هماهنگ جهانی، مطابقت داشت. بذرهای سایر منحنی‌های اول نیز با مهرهای زمانی بین مه ۱۹۹۷ و آوریل ۱۹۹۸ تطبیق داشتند. آنتروپیک همچنین اعلام کرد که مقادیر مربوط به مقداردهی اولیه چهار منحنی دودویی، هنگام بازیابی مستقیم به فوریه ۱۹۸۴ اشاره می‌کردند؛ اما با دو برابر کردن مهر زمانی، تاریخ ۱۷ آوریل ۱۹۹۸ به دست می‌آمد. این موضوع احتمال می‌دهد که نرم‌افزار ساعت را نصف کرده بوده باشد. به گفته شرکت، برای هر ۱۰ بذر مربوط به منحنی‌های اول، مقداردهی اولیه بازیابی‌شده تابع srand48 با یک مهر زمانی یونیکس در بازه سال‌های ۱۹۹۷ تا ۱۹۹۸ مطابقت داشت.
آنتروپیک روش به‌کاررفته را جست‌وجو برای یافتن الگوهای مشخصه یک مولد شبه‌تصادفی متعلق به دهه ۱۹۹۰ توصیف کرد. بر اساس توضیحات شرکت، کلود ترکیب‌های مختلفی از مولدها و بخش‌های خروجی آن‌ها را بررسی کرد، متوجه شد که در برخی بذرها تمام بیت‌های بالایی صفر هستند و در نهایت مولد lrand48 را شناسایی کرد. این مولد ۳۱ بیت بالایی از یک حالت داخلی ۴۸بیتی را برمی‌گرداند. آنتروپیک گفت کلود برای منحنی‌های اول، حالت داخلی ۴۸بیتی را بازیابی کرد و سپس فرایند را به عقب پیش برد تا شکل مربوط به تابع srand48 به دست آید. به گفته شرکت، این یافته‌ها نه‌تنها ادعای وجود درِ پشتی عمدی را تأیید نمی‌کنند، بلکه احتمال چنین فرضیه‌ای را کمتر می‌کنند.
نقاط پایه و پرسش‌های بی‌پاسخ
آنتروپیک اعلام کرد کلود علاوه بر بذرها، منشأ نقاط پایه شش منحنی تولیدشده در مه ۱۹۹۷ را نیز بررسی کرده است. این منحنی‌ها شامل P-192 و پنج منحنی نمونه استاندارد ANSI X9.62، یعنی prime192v2، prime192v3 و prime239v1 تا prime239v3، بودند. طبق مطلب منتشرشده، نقاط پایه این منحنی‌ها با استفاده از مولد اعداد تصادفی نرم‌افزار FreeLIP و بذرهای صحیح کوچک، از جمله ۲۰۰۰۰، ۲۰۴۲۰، ۲۰۵۰۷، ۲۰۵۰۹، ۲۰۵۱۲ و ۲۰۵۱۷، تولید شده بودند. روش کار به این صورت بود که ابتدا مولد با یکی از این بذرها مقداردهی اولیه می‌شد، سپس هفت خروجی نخست کنار گذاشته می‌شدند و از خروجی‌های ۲۶بیتی برای ساخت مختصات نامزد x استفاده می‌کردند. این مقادیر پیمانه p کاهش می‌یافتند و فرایند تا زمانی تکرار می‌شد که مقدار x روی منحنی قرار بگیرد.
آنتروپیک تأکید کرد که چند پرسش همچنان بی‌پاسخ مانده است. برای منحنی P-256، نامزد معتبر دیگری نیز در تکرار شماره ۸۷۶ وجود داشت؛ در اجرای مربوط به P-224 و منحنی‌های نمونه ANSI نیز برخی منحنی‌های معتبر دیگر کنار گذاشته شده بودند. شرکت اعلام کرد مشخص نیست چه معیارهایی، در صورت وجود، برای انتخاب میان نامزدها به کار رفته‌اند. همچنین کلود نتوانست منشأ نقاط پایه منحنی‌های P-224، P-256، P-384 و P-521 یا منحنی‌های دودویی NIST را توضیح دهد. پنجمین بذر دودویی، یعنی B-163، نیز همچنان بدون توضیح باقی مانده است.
در این مطلب آمده است که جایزه کشف بذرها، به ارزش ۳۶٬۸۶۴ دلار، به گروه پژوهشی امنیت اینترنت (Internet Security Research Group) اهدا خواهد شد. آنتروپیک از چند نفر از کارکنان خود به دلیل مشارکت در این پژوهش قدردانی کرد و همچنین یاد جری سولیناس، پژوهشگر فقید، را گرامی داشت؛ اظهارنظرهای پیشین او در شکل‌گیری گمانه‌زنی‌ها درباره این بذرها نقش داشت.