Claude 揭示 ECDSA 曲线起源

原文 ↗ Hacker News 讨论 ↗

Anthropic 报告称，其 Claude 模型追溯出广泛使用的 NIST 椭圆曲线密码参数背后的神秘种子，发现它们是由以 20 世纪 90 年代末 Unix 时间戳为种子的 `lrand48` 输出生成的，从而削弱了长期以来关于 NSA 后门的怀疑。评论者指出，这并不能在数学上排除所有隐藏弱点，但认为它大幅减少了种子生成器拥有的可行“自由选择”范围，使得刻意设置陷阱极不可能。随后，讨论扩展到对 AI 实验室使用强大但受访问门控的模型来探查敏感密码学与科学问题的担忧，许多人呼吁更强的开放模型替代方案，以及更少会妨碍正当研究的安全护栏。

NIST ECDSA 种子的起源

  • 讨论焦点在于发现 P-192、P-224、P-256、P-384、P-521 的“种子”与使用 1997–1998 年 Unix 时间戳作为种子的 lrand48 输出相匹配，而不是短语的哈希值。
  • 一些参与者认为这既有趣又令人沮丧：一个据称“神秘”的密码学选择，竟然可追溯到一个用时钟种子的基础 C 库随机数生成器。
  • 一个二进制曲线种子（B‑163）以及某些基点选择仍然无法解释；有人推测可能是誊写错误或使用了不同方法，但都未被证实。

后门、信任与 NSA/NIST

  • 许多人认为，这大大削弱了长期以来关于这些种子隐藏 NSA 后门的理论，因为现在该方法简单且可复现。
  • 也有人反驳说，这只是约束了可能后门的 类型：NSA 仍可能围绕时间戳/迭代进行搜索，并悄悄选出具有未知弱点的曲线。
  • 讨论集中在选择过程拥有多少“自由度”，以及如果存在一个足够密集、可通过约 2³⁰–2³⁵ 次试验找到的弱点，是否意味着 ECC 本身从根本上就是脆弱的。
  • 历史背景（出口管制、Clipper、DES 密钥长度、Dual_EC_DRBG）既被用来支持怀疑态度，也被用来论证这些特定曲线大概本来就没问题。

密码学实践与影响

  • 一些人表示，这一结果主要只是证实了专家们原本的看法：NIST 曲线大概率是安全的，尽管非刚性的参数选择在审美和流程上仍令人不满意。
  • 也有人认为，这移除了在 Bitcoin/Ethereum 等系统中使用 P‑256 的一个反对理由，不过另一些人指出，生态惯性、性能优势以及现代替代方案（例如 EdDSA 曲线）仍然更重要。
  • 还有人建议系统性分析相邻时间戳的曲线以及被舍弃候选项，以寻找隐藏的选择偏差。

AI、护栏与研究文化

  • 关于 Anthropic 模型的分支讨论很强烈：有人称赞其“锲而不舍”的搜索行为，但也严厉批评能力门控、网络安全安全计划以及阻止密码学/生物学工作的模型降级。
  • 安全/责任论点与另一种担忧形成张力：实验室和政府拥有强大的内部模型，而公众只能使用受限制版本，导致护城河不断扩大；有人提出开放权重模型可作为制衡。
  • 也有人不安地表示，LLM 现在正在解决“有趣”的开放问题，这可能取代人类发现，并且让训练这些模型的先前研究者的贡献变得模糊。

怀疑与证据

  • 少数人怀疑这是巧合或隐藏选择，质疑为何会选用较弱的 RNG、稀疏的日期以及迭代次数。
  • 其他人回应说，借助 lrand48+时间戳匹配完整 20 字节种子，证据强度极高，使得其他解释极不可能，即便从绝对意义上无法排除任何后门。