کلود منشأ بذرهای منحنی‌های رمزنگاری NIST را به یک مولد اعداد تصادفی ردیابی کرد
شرکت آنتروپیک اعلام کرد مدل پژوهشی کلود این شرکت به پرسشی چند دهه‌ای درباره منشأ پارامترهای رمزنگاری مورد استفاده در استانداردهای پرکاربرد امضای دیجیتال پاسخ داده است. این مدل در اکتبر ۲۰۲۶ توانست بذرهای پنج منحنی بیضوی NIST را به یک مولد متعارف اعداد تصادفی ردیابی کند که با استفاده از زمان‌مهر یونیکس مقداردهی اولیه شده بود. این یافته شواهد تازه‌ای در رد این نگرانی فراهم می‌کند که پارامترهای مذکور عمداً به‌گونه‌ای طراحی شده باشند که ضعف‌های پنهانی داشته باشند.
به گفته آنتروپیک، این کشف منحنی‌های NIST P-192، P-224، P-256، P-384 و P-521 را دربر می‌گیرد. این بررسی همچنین همان الگوی تولید را در پنج بذر دیگر از استاندارد ANSI X9.62 شناسایی کرد. این شرکت تأکید کرد که یافته‌ها به معنای شکستن یک سامانه رمزنگاری، کشف حمله‌ای جدید یا شناسایی آسیب‌پذیری در این منحنی‌ها نیست.
الگوریتم امضای دیجیتال مبتنی بر منحنی بیضوی (ECDSA) به‌طور گسترده برای ایجاد امضاهای دیجیتال استفاده می‌شود. مؤسسه ملی استانداردها و فناوری آمریکا (NIST) در سال ۲۰۰۰ مشخصات مربوط به این منحنی‌های بیضوی را در قالب استاندارد امضای دیجیتال FIPS 186-2 پذیرفت. این استاندارد منحنی‌هایی با اندازه‌ها و سطوح امنیتی متفاوت را شامل می‌شد.
در مشخصات این استاندارد، مقادیر بذر ارائه‌شده از سوی آژانس امنیت ملی آمریکا (NSA) درج شده بود، اما توضیحی درباره چگونگی تولید آن‌ها ارائه نشده بود. همین خلأ اطلاعاتی سال‌ها گمانه‌زنی‌هایی را برانگیخت؛ از جمله این احتمال که پارامترها دست‌کاری شده باشند تا ضعف‌هایی پنهان در آن‌ها ایجاد شود.
آنتروپیک اعلام کرد یافته‌های جدید در عوض به مولد اعداد شبه‌تصادفی lrand48 اشاره دارند؛ مولدی که در کتابخانه‌های زبان C وجود دارد و با استفاده از زمان‌مهر یونیکس مقداردهی اولیه می‌شود. در این روش، دنباله‌های بایتی نامزد به‌طور مکرر تولید می‌شدند تا سرانجام بذر مورد نیاز برای استاندارد به دست آید.
به گفته آنتروپیک، برای یافتن بذر منتشرشده منحنی P-256، این فرایند باید ۱٬۸۴۲ بار تکرار می‌شد.
آنتروپیک گفت این نتایج اطمینان این شرکت را افزایش داده است که منحنی‌ها هنگام ایجاد، عمداً تضعیف نشده‌اند. این شرکت همچنین اعلام کرد که یافته‌ها نیازی به تغییر رویه‌های فعلی کاربران ندارند.
این بررسی پس از آن آغاز شد که تلاش‌های پیشین برای شناسایی منشأ بذرها به نتیجه نرسیده بود. یکی از فرضیه‌های قدیمی این بود که جری سولیناس، کارمند باسابقه آژانس امنیت ملی آمریکا، این مقادیر را با هش‌کردن عبارتی طنزآمیز به دست آورده است. این توضیح هرگز تأیید نشد و سولیناس در سال ۲۰۲۳ درگذشت.
آنتروپیک گفت یکی از کارکنان این شرکت در اکتبر ۲۰۲۶ بار دیگر مسئله را بررسی کرد و از کلود خواست فرایند تولید بذرها را بررسی کند، بی‌آنکه مدل را به سمت فرضیه پیشین هدایت کند.
کلود به‌جای جست‌وجو برای یافتن یک عبارت خاص، بررسی کرد که نرم‌افزارهای آن دوره چگونه ممکن بود چنین مقادیری را تولید کرده باشند. این مدل ابزاری برای اسکن و مقایسه بخش‌هایی از بذرهای منتشرشده با خروجی‌های متوالی مولدهای اعداد شبه‌تصادفی ساخت؛ مولدهایی که با کتابخانه‌های زبان C در دهه ۱۹۹۰ ارتباط داشتند.
در این تحلیل، ۳۴ ترکیب مختلف از مولدها و بخش‌های خروجی بررسی شد. کلود سپس الگویی از بیت‌ها را شناسایی کرد که با عملکرد lrand48 سازگار بود. این مولد تنها ۳۱ بیت بالایی از حالت داخلی ۴۸ بیتی خود را برمی‌گرداند.
آنتروپیک گزارش داد که در چهار بذر، الگویی متمایز در بیت‌های بالایی مشاهده شد. کلود با آزمایش حالت‌های ممکن برای بیت‌های پنهان و بررسی تطابق خروجی‌های بعدی با مقادیر منتشرشده، حالت داخلی مولد را بازیابی کرد.
برای بذرهای باقی‌مانده مربوط به منحنی‌های اول، این مدل از یک روش ریاضی مبتنی بر الگوریتم کاهش پایه شبکه لنسترا–لنسترا–لوواس (LLL) استفاده کرد تا حالت داخلی مولد را از خروجی‌های ناقص بازیابی کند.
به گفته آنتروپیک، حالت‌های بازیابی‌شده توانستند هر ۱۶۰ بیت بذرهای مربوط را بازتولید کنند. الگوی خروجی یکسانی در پنج بذر منحنی‌های اول NIST و پنج بذر دیگر استاندارد ANSI X9.62 مشاهده شد؛ موضوعی که شناسایی این مولد را تقویت می‌کند.
این شرکت اعلام کرد که کشف یادشده توضیحی قابل بازتولید درباره چگونگی تولید مقادیر بذر ارائه می‌دهد و به ابهامی دیرینه درباره منشأ این پارامترهای رمزنگاری پاسخ می‌دهد.