Claude knackt ein Krypto-Rätsel: Die NIST-Kurven-Seeds sind simple Zeitstempel

Ein 25 Jahre altes Rätsel

Die 2000 von NIST übernommenen ECDSA-Kurven (P-192 bis P-521) werden über einen „Seed“ definiert, dessen Hash den Koeffizienten b liefert. Die Seeds kamen von der NSA ohne Erklärung, was jahrelang Hintertür-Spekulationen nährte. Es gab sogar ein Kopfgeld (36.864 Dollar) für den Ursprung. Die gängige Legende, ein NSA-Mitarbeiter habe einen scherzhaften Satz gehasht, erwies sich als falsch.

Was Claude fand

Ein Anthropic-Mitarbeiter fragte ein internes Modell im Oktober 2026 nach dem Ursprung, ohne den Hinweis auf den Satz. Nach unter einer halben Stunde war klar:

• Die Seeds sind keine Hashes, sondern Ausgaben des C-Zufallsgenerators lrand48, initialisiert mit einem Unix-Zeitstempel.
• Claude schrieb einen Scanner, der die Seeds bitweise nach Ausgaben alter Generatoren absuchte. Auffällig: In vier der zehn Seeds war das oberste Bit aller 20 Wörter null (Zufallswahrscheinlichkeit 1/5810) – typisch für lrand48, das nur 31 von 48 Bit zurückgibt.
• Bei den Primkurven rekonstruierte es den Generatorzustand per LLL-Gitterreduktion. Die Zeitstempel liegen zwischen Mai 1997 und April 1998.
• Zusätzlich erklärte es die Basispunkte von P-192 und fünf ANSI-X9.62-Beispielkurven (Generator aus FreeLIP, Seeds wie 20000 für P-192).

Bedeutung

Das ist kein Angriff und keine Schwäche der Kurven. Im Gegenteil: Ein simpler, reproduzierbarer Generator mit Uhrzeit lässt wenig Raum für Manipulation. Offen bleiben die Basispunkte von P-224/256/384/521, der Seed von B-163 und die Frage, warum einige gültige Kandidaten übersprungen wurden. Das Preisgeld geht an die ISRG (Let’s Encrypt).

Quelle: Anthropic Research