" Модели потребовалось всего около получаса, чтобы найти решение, на которое криптографы пытались найти ответ в течение 25 лет.
Замок с необъяснимой конструкцией
Большая часть Интернета опирается на криптографию на основе эллиптических кривых - семейство математических вычислений, которое также используется для защиты биткоин-кошельков. Это позволяет кому-то доказать, что у него есть секретный ключ, не раскрывая деталей самого ключа.
Думайте о кривой как о конструкции замка, которую может проверить любой пользователь. У каждого человека, использующего его, есть свой секретный ключ, но каждый полагает, что конструкцию трудно взломать.
Но кто выбрал математику, которой все будут доверять?
В 2000 году Национальный институт стандартов и технологий США (NIST) принял набор кривых, предоставленный Агентством национальной безопасности (NSA). NSA предоставило эти проекты, не объяснив, откуда взялись некоторые цифры, использованные для их расчета.
Эту секретность стало еще труднее игнорировать после того, как разоблачения Сноудена связали NSA с усилиями по ослаблению криптографических стандартов. Позже NIST удалил этот инструмент - генератор случайных чисел Dual EC - из своих рекомендаций.
Эти стартовые номера, называемые семенами, были общедоступными. Но NSA так и не объяснило, как оно их выбрало, что породило многолетние подозрения, что оно протестировало множество альтернатив, пока не обнаружило кривую со слабостью, которую только оно знало, как использовать. Теория заключалась в том, что у NSA был бэкдор для каждой системы, которая его использовала.
Криптографы Нил Коблиц и Альфред Менезес рассмотрели это противоречие в своей статье 2015 года «Загадка, завернутая в загадку». Менезес помог написать первоначальный стандарт и вспомнил, как получил исходные данные от математика NSA Джерри Солинаса в 1997 году.
Исследователь безопасности Стив Вейс потратил годы на поиски объяснений, в том числе подал запросы на публичные записи в 2018 году. NIST заявил, что у него нет документации, а NSA перестало отвечать. Одна многообещающая версия предположила, что эти цифры взяты из юмористической фразы, которую забыл Солинас, что заставило следователей искать возможные комбинации слов.
В 2023 году инженер-криптограф Филиппо Вальсорда и другие участники предложили за ответ награду в размере $12 288, которая увеличится до более чем $36 000, если победитель пожертвует ее на благотворительность. Солинас умер ранее в том же году, оставив исследователей безрезультатно работать со старыми воспоминаниями и самими числами.
Claude идет копать
И вот на сцене появился Claude. В этом месяце сотрудник Anthropic попросил внутреннюю исследовательскую модель провести расследование, не поделившись старой теорией о том, что семена произошли от забытой фразы.
Модели потребовалось менее получаса, чтобы отследить пять начальных кривых NIST до генератора случайных чисел lrand48, который можно найти в старых библиотеках программного обеспечения на языке C.
Claude воспроизвел последовательность P-256, широко используемую кривую, и нашел точное совпадение с ее опубликованным начальным значением у 1842-го кандидата.
Теперь любой желающий может повторно запустить программу и получить цифры, предоставленные NSA. Anthropic утверждает, что это делает скрытую слабость гораздо менее вероятной, хотя команда до сих пор не может объяснить, почему программа пропустила некоторых пригодных для использования кандидатов или как были выбраны другие части кривых.
Именно эта предсказуемость позволила Claude восстановить цифры, и это было бы катастрофой для кошелька. Секретный ключ, сгенерированный с помощью lrand48, мог быть воссоздан любым, кто примерно разобрался в момент его создания, предоставив ему все необходимое для утечки средств.
С первого дня семена NSA были общедоступными, поэтому никогда не было секрета, который можно было бы украсть.
Как это связано с биткоином
Биткоин никогда не был частью этой игры в угадайку. Его кошельки работают на кривой secp256k1, построенной на основе более простого уравнения.
Версия биткоина определяется двумя небольшими фиксированными числами, которые практически не требуют корректировки, в то время как версия P-256 содержит 77-значное число, полученное из необъяснимого начального числа NSA.
С таким количеством циферблатов, которые можно повернуть, у любого пользователя мало возможностей тихонько встроить слабость в кривую биткоина, и криптографы уже давно указывают на это как на аргумент в его пользу.
Сатоши Накамото никогда публично не объяснял, почему он выбрал именно эту кривую, и кривая использовалась очень редко до того, как биткоин сделал ее знаменитой. Позже Ethereum тоже принял ее, и биткоин сохранил ее, когда появился новый стиль подписи в обновлении Taproot в 2021 году.
Мощный квантовый компьютер может принести иную опасность. Он может работать в обратном направлении - от открытого ключа, видимого в блокчейне биткоина, до секретного ключа, стоящего за ним, независимо от того, как была выбрана кривая.
Развитие аппаратного обеспечения продолжает сокращать разрыв между этой теорией и работающей атакой. На этой неделе Google заявила, что ее чип Willow примерно в 40 раз сократил количество ошибок, что является одним из самых дорогостоящих этапов, которые потребуются такой машине.
Тем не менее, никто еще не создал, достаточно большой или надежный квантовый компьютер, чтобы взломать биткоин-ключ, и нет четких сроков, когда он может появиться.
Между тем, Anthropic заявила в своем блоге, что людям, использующим кривые NIST, не нужно ничего менять. После десятилетий вопросов о том, откуда взялись семена, теперь любой может запустить программу и проследить ее путь к опубликованным цифрам.
Награда в размере $36 864 будет передана Исследовательской группе по интернет-безопасности, некоммерческой организации Let’s Encrypt, которая предоставляет веб-сайтам бесплатные сертификаты безопасности.
