کلود ریشه بذر منحنی P-256 استاندارد NIST را به یک مُهر زمانی در سال ۱۹۹۷ رساند

خاستگاه بذرهای منحنی‌های NIST

ساعت ۰۱:۵۲:۳۴ به وقت هماهنگ جهانی (UTC) در ۱۶ اوت ۱۹۹۷، ساعت یک رایانه آغاز به کار یک مولد اعداد شبه‌تصادفی را ثبت کرد. هزار و هشتصد و چهل‌ودومین خروجی ۲۰‌بایتی این مولد، به بذری تبدیل شد که برای منحنی بیضوی P-256 مؤسسه ملی استانداردها و فناوری آمریکا (NIST) به کار رفت؛ منحنی‌ای که یکی از اجزای پرکاربرد زیرساخت امنیت اینترنت است. این نتیجه در گزارش پژوهشی تیم قرمز مرزی آنتروپیک منتشر شده است. به گفته این شرکت، مدل کلود در کمتر از نیم ساعت توانست به پرسشی دیرینه درباره منشأ بذرهای منحنی‌های NIST پاسخ دهد.

نکات کلیدی

• آنتروپیک می‌گوید کلود منشأ بذرهای منحنی‌های NIST شامل P-192، P-224، P-256، P-384 و P-521 را به مولد lrand48 در کتابخانه C رسانده است؛ مولدی که با مُهرهای زمانی یونیکس مربوط به سال‌های ۱۹۹۷ و ۱۹۹۸ مقداردهی اولیه شده بود.
• این شرکت تأکید می‌کند که یافته مذکور به معنای شکسته‌شدن رمزنگاری نیست و احتمال اینکه منحنی‌ها عمداً تضعیف شده باشند، بسیار کمتر از قبل به نظر می‌رسد.
• منشأ بذر منحنی دودویی B-163 و نقاط پایه منحنی‌های P-224، P-256، P-384 و P-521 همچنان نامشخص است. جایزه ۳۶٬۸۶۴ دلاری این پژوهش نیز به گروه پژوهشی امنیت اینترنت اهدا خواهد شد.

معمایی که آژانس امنیت ملی آمریکا بر جای گذاشت

مؤسسه NIST در سال ۲۰۰۰، الگوریتم امضای دیجیتال مبتنی بر منحنی بیضوی (ECDSA) را در قالب استاندارد امضای دیجیتال FIPS 186-2 پذیرفت. هر یک از منحنی‌های استاندارد دارای یک «بذر» بود؛ مقداری که با محاسبه هش آن، یکی از ضرایب منحنی تعیین می‌شود. آژانس امنیت ملی آمریکا (NSA) این بذرها را ارائه کرد، اما توضیحی درباره نحوه تولید آن‌ها نداد.

نبود چنین توضیحی به سال‌ها بدگمانی دامن زد و این احتمال را مطرح کرد که منحنی‌ها حاوی درِ پشتی باشند. بر اساس یکی از مشهورترین فرضیه‌ها، جری سولیناس، کارمند باسابقه NSA، عبارت طنزآمیزی مانند «به باب و جری افزایش حقوق بدهید» را هش کرده بود. سولیناس در سال ۲۰۱۵ گفت اسناد مربوط به این موضوع از بین رفته‌اند. او در آن زمان اظهار کرد: «اگر چنین اسنادی وجود داشته باشند، بی‌تردید روی یک هارددیسک در نزدیکی تابوت عهد نگهداری می‌شوند.» سولیناس در سال ۲۰۲۳ درگذشت.

کلود چگونه الگو را پیدا کرد؟

چند نفر از کارکنان آنتروپیک پیش‌تر تلاش کرده بودند فرضیه عبارت طنزآمیز را بررسی کنند، اما موفق نشدند. در اکتبر ۲۰۲۶، یکی از آن‌ها از یک مدل پژوهشی داخلی خواست بدون اشاره به آن سرنخ، روش تولید بذرها را مشخص کند.

کلود این فرضیه را مطرح کرد که نرم‌افزار از یک مولد اعداد تصادفی ضعیف در کتابخانه C متعلق به دهه ۱۹۹۰ استفاده کرده است. سپس برنامه‌ای برای جست‌وجو نوشت تا بررسی کند آیا بخش‌هایی از هر بذر با خروجی‌های متوالی چنین مولدهایی مطابقت دارند یا نه. این برنامه ۳۴ ترکیب مختلف از مولدها و بخش‌های خروجی را آزمایش کرد.

یک الگو سرنخ تعیین‌کننده را آشکار کرد. در چهار مورد از ده بذری که بررسی می‌شدند، نخستین بیت تمام واژه‌های ۳۲‌بیتی صفر بود؛ رخدادی که احتمال آن حدود یک در ۵٬۸۱۰ است. این ویژگی، مشخصه مولد lrand48 است که فقط ۳۱ بیت بالایی از حالت داخلی ۴۸‌بیتی خود را برمی‌گرداند. کلود با آزمودن تمام مقادیر ممکن، بیت‌های پنهان این بذرها را بازیابی کرد. برای بذرهای منحنی‌های مبتنی بر اعداد اول که از هر خروجی تعداد بیت‌های کمتری را حفظ کرده بودند، مسئله بازیابی حالت مولد را به یک مسئله شبکه‌ای تبدیل کرد و آن را با الگوریتم لنسترا–لنسترا–لوواس (LLL) حل کرد.

پنج بذر مربوط به منحنی‌های اول‌پایه NIST و پنج بذر دیگر از استاندارد مرتبط ANSI X9.62، همگی از یک روش پیروی می‌کردند. اجرای معکوس هر مولد به مقادیر اولیه‌ای رسید که با مُهرهای زمانی یونیکس بین مه ۱۹۹۷ و آوریل ۱۹۹۸ مطابقت داشتند.

نقاط پایه و پرسش‌های بی‌پاسخ

کلود منشأ شش نقطه پایه را نیز توضیح داد؛ نقاط ثابتی روی منحنی که تمام کلیدهای عمومی ECDSA بر اساس آن‌ها ساخته می‌شوند. نقاط پایه منحنی P-192 و پنج منحنی نمونه در استاندارد ANSI X9.62 با استفاده از مولد اعداد تصادفی در FreeLIP، بسته‌ای برای محاسبات اعداد صحیح بزرگ که آرین لنسترا نوشته بود، تولید شده بودند. به گفته آنتروپیک، تا آن زمان منشأ هیچ‌یک از نقاط پایه NIST توضیح داده نشده بود.

با این حال، برخی پرسش‌ها همچنان بی‌پاسخ مانده‌اند. بذر منحنی دودویی B-163 با هیچ‌یک از روش‌هایی که کلود آزمایش کرد، مطابقت ندارد. همچنین هنوز مشخص نیست نقاط پایه منحنی‌های P-224، P-256، P-384 و P-521 و منحنی‌های دودویی چگونه انتخاب شده‌اند. در جریان بررسی، چند گزینه معتبر نیز کنار گذاشته شدند. برای نمونه، در مورد P-256، گزینه شماره ۸۷۶ نیز می‌توانست منحنی مناسبی تولید کند، اما در استاندارد، گزینه شماره ۱٬۸۴۲ به کار رفته است.

آنتروپیک استدلال می‌کند که احتمال وقوع چنین مواردی آن‌قدر کم نیست که بتوان از آن‌ها نتیجه گرفت منحنی‌ها عمداً تضعیف شده‌اند. در گزارش این شرکت آمده است: «نیازی به انجام اقدامی نیست و لازم نیست کاری را به شیوه‌ای متفاوت انجام دهید.» آنتروپیک کدی منتشر کرده است که امکان بازتولید بذرها را فراهم می‌کند. جایزه ۳۶٬۸۶۴ دلاری تعیین‌شده برای یافتن منشأ آن‌ها نیز به گروه پژوهشی امنیت اینترنت اهدا خواهد شد.

این نتیجه به دوره‌ای طولانی از بی‌اعتمادی پایان می‌دهد. نیل کوبلتز و آلفرد منزز، دو رمزنگار، در مقاله‌ای در سال ۲۰۱۵ با عنوان «معمایی پیچیده در پوششی از راز»، این مناقشه را بررسی کرده بودند؛ مقاله‌ای که در بحبوحه تردیدهای گسترده‌تر درباره نفوذ NSA بر استانداردهای رمزنگاری نوشته شد. اکنون که منشأ بذرها به یک مولد مشترک و ساعت رایانه‌ای نسبت داده شده است، هر کسی می‌تواند این نتایج را بررسی کند. این رویداد همچنین نشان می‌دهد سامانه‌های هوش مصنوعی با چه سرعتی در حال کسب مهارت‌های واقعی تحلیل رمز هستند؛ روندی که دانشمندان را به درخواست تشکیل نهادی بین‌المللی برای مهار هوش مصنوعی دارای قابلیت‌های سایبری سوق داده است.

با این حال، این منحنی‌ها با تهدید دیگری نیز روبه‌رو هستند. رایانه‌های کوانتومی بزرگ ممکن است روزی بتوانند مسائل ریاضی زیربنای ECDSA را حل کنند. به همین دلیل، NIST در سال ۲۰۲۴ نخستین استانداردهای نهایی رمزنگاری پساکوانتومی خود را منتشر کرد. پژوهش همراه آنتروپیک درباره طراحی مدارهای کوانتومی نیز نشان می‌دهد برآوردهای نظری از منابع موردنیاز برای اجرای چنین حملاتی پیوسته کاهش می‌یابند. اکنون می‌توان به منشأ P-256 اطمینان بیشتری داشت، اما فناوری جایگزین آن از پیش در دسترس قرار گرفته است.

نوشته آلیوس نوریکا؛ صفحه نویسنده