Claude löst Jahrzehnte altes NIST-ECDSA-Seed-Rätsel: Kurvenkonstanten kamen von lrand48, nicht von einer Passphrase

Anthropic berichtete am Freitag, dass eine interne Forschungsversion von Claude eine der am längsten offenen Fragen der Kryptographie in weniger als einer halben Stunde gelöst habe: den Ursprung der mysteriösen „Samen“ hinter den standardmäßigen elliptischen Kurven des NIST. Die im Forschungsblog des Unternehmens veröffentlichte Antwort ist kein Hash einer geheimen Passphrase, wie jahrzehntelange Spekulationen vermuten ließen, sondern die Ausgabe von „lrand48“ – dem Pseudozufallszahlengenerator der C-Standardbibliothek – versehen mit einem Unix-Zeitstempel.

Das Ergebnis schließt eine Frage ab, die ECDSA, den am weitesten verbreiteten Kryptographiestandard mit elliptischen Kurven, in den Schatten gestellt hat, seit NIST ihn im Jahr 2000 als Teil des FIPS 186-2 Digital Signature Standard übernommen hat. Und es ist ein weiterer Datenpunkt in der wachsenden Zahl von KI-Systemen, die zu echter Forschung beitragen: Für mehr Berichterstattung über diesen Trend und andere aktuelle KI-Nachrichten verfolgt AI Buzz Wire jede Entwicklung, während sie stattfindet.

Ein Geheimnis, das sich vor aller Augen verbirgt

ECDSA spezifiziert eine Reihe standardmäßiger elliptischer Kurven unterschiedlicher Größe und Sicherheitsstufen. Für Kurven über Primzahl- und Binärfeldern enthalten die Spezifikationen einen „Seed“-Parameter, dessen Hashwert zur Definition des Koeffizienten b der Kurve verwendet wird. Diese Samen wurden von der NSA ohne Erklärung oder Rechtfertigung zur Verfügung gestellt – eine Herkunftslücke, die Kryptographen über zwei Jahrzehnte lang beunruhigte.

Die NIST P-256-Kurve listet beispielsweise den Samen „C49D3608 86E70493 6A6678E1 139D26B7 819F7E90“ auf, ohne Informationen darüber, woher er stammt. Ungeklärte Konstanten in sicherheitskritischen Standards sind kein triviales Problem: Kryptographen hatten sich jahrelang gefragt, ob die Kurven mit absichtlichen Schwächen ausgewählt worden sein könnten, ein Verdacht, der durch die frühere Dual_EC_DRBG-Episode geprägt wurde. Die Kryptographen Neal Koblitz und Alfred Menezes widmeten der Geschichte und den Sorgen rund um die Samenwerte einen Aufsatz mit dem Titel „Ein in ein Rätsel gehülltes Rätsel“, und eine Amateuruntersuchung setzte später ein Kopfgeld für jeden aus, der ihren Ursprung bestimmen konnte.

Die Passphrase-Geschichte, die es nicht gab

Die bekannteste Erklärung kam von Jerry Solinas, dem langjährigen NSA-Mitarbeiter hinter den Samen. In einer Erinnerung aus dem Jahr 2015 sagte Solinas, dass die Samen durch Hashing einer humorvollen Passphrase erzeugt wurden – etwas in der Art von „Gib Bob und Jerry eine Gehaltserhöhung“ oder „Bob und Jerry regieren“. Er warnte davor, dass er sich nicht an die Details erinnere, dass Bob Reiter den Code geschrieben habe und dass keine Archive aus dieser Zeit erhalten geblieben seien. „Wenn sie existieren, liegen sie zweifellos auf einer Festplatte in der Nähe der Bundeslade“, schrieb Solinas.

Die Geschichte war bunt, aber nicht überprüfbar. Solinas starb im Jahr 2023 und ehemalige Kollegen reagierten nicht, sodass die Frage offen blieb – und die Suche nach Passphrasen mit leeren Händen blieb.

Tritt Claude ein

Im Oktober 2026 fragte ein neugieriger Anthropic-Mitarbeiter ein internes Forschungsmodell, ob es herausfinden könne, wie diese Samen erzeugt wurden – ohne auf den Passphrasen-Hinweis hinzuweisen. Laut Anthropic entdeckte Claude in weniger als einer halben Stunde die Herkunft der Samen für alle fünf Standardkurven: P-192, P-224, P-256, P-384 und P-521.

Keines davon war die Ausgabe eines Hash-Algorithmus. Sie waren die Ausgabe von „lrand48“, dem Pseudozufallszahlengenerator, der in den 1990er-Jahren mit C-Bibliotheken ausgeliefert wurde, initialisiert mit einem Unix-Zeitstempel. Der Generierungsalgorithmus hat für eine bestimmte Anzahl von Iterationen Bytes aus dem RNG abgetastet und dabei 20 Bytes pro Kandidaten-Seed gezogen. Die ersten 20 Bytes waren Kandidat eins, die nächsten 20 Kandidaten zwei und so weiter. Die Reproduktion des offiziellen P-256-Seeds erforderte 1.842 Iterationen.

Wie das Model dorthin kam

Frühere Suchvorgänge, die auf der angeblichen Passphrase basierten, waren ergebnislos geblieben, und Claude nahm einen anderen Standpunkt ein: Anstatt nach einer Phrase zu suchen, antizipierte er, wie die Software, die die Kurven generierte, funktioniert haben musste. Laut Anthropic ging das Modell davon aus, dass die Werkzeuge der 1990er-Jahre einen Pseudozufallszahlengenerator aus der C-Standardbibliothek verwendet hätten – Generatoren, die schwach genug waren, dass ihre Ausgabe erkannt werden konnte, wenn man wusste, wonach man suchen musste. Dieser Erkennungsschritt verwandelte eine schwierige Suche nach unbekannten Zeichenfolgen in eine nachvollziehbare Suche über einen kleinen Parameterraum aus Zeitstempeln und Iterationszahlen.

Was es bedeutet – und was nicht

Anthropic weist ausdrücklich auf die Grenzen hin: Dies ist kein kryptografischer Bruch, kein neuer Angriff oder eine Schwachstelle in den ECDSA-Kurven, und es gibt keine Maßnahmen, die irgendjemand ergreifen könnte. Wenn überhaupt, argumentiert das Unternehmen, erhöht die Feststellung das Vertrauen, dass die Kurven ohne Hintertüren oder absichtliche Schwächen ausgewählt wurden. Ein von einem gemeinsamen, reproduzierbaren Pseudozufallsgenerator erzeugter Startwert, der von der Uhr initialisiert wird, lässt weit weniger Raum für Subversion als eine ungeklärte Konstante.

Das Unternehmen bezeichnete das Ergebnis als „ein unterhaltsames Abschlusskapitel und das Ende jahrelanger Spekulationen“ und stellte fest, dass die meisten Forscher den Kurven bereits vertraut hatten. Dieses Vertrauen beruht nun auf etwas Besserem als Konventionen: Jeder kann die Seed-Generierung aus einem Unix-Zeitstempel reproduzieren und sie anhand der veröffentlichten Konstanten überprüfen.

Eine weitere Stufe für KI-gestützte Forschung

Was auch immer es sonst noch ist, die Episode ist eine eindrucksvolle Demonstration eines Forschungstools, das das tut, was menschliche Teams nicht konnten: eine Lösung zu finden, die auf der Rekonstruktion der Denkweise der Systemprogrammierung der 1990er Jahre beruhte, sie anhand harter kryptografischer Konstanten zu testen und eine Frage zu klären, die die Menschen überlebte, die sie aus dem Gedächtnis hätten beantworten können. Die Kopfgeldjäger, die jahrelang einer Passphrase nachjagten, waren auf der Suche nach Poesie. Die Antwort war, wie sich herausstellte, die Buchhaltung.

---

Der KI einen Schritt voraus sein

Erhalten Sie die neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.

Weitere KI-Neuigkeiten lesen →