米アンソロピックのClaude、NIST楕円曲線の25年来の謎を解明　シードは乱数と時刻

　米アンソロピックは10月16日、NIST（米国立標準技術研究所）が標準化した楕円曲線暗号のパラメータについて、長年不明だった「シード」の出自をAIが突き止めたと、同社が発表した。

　対象は、デジタル署名の標準ECDSAで使われる曲線のうち、P-192、P-224、P-256、P-384、P-521の5つ。これらのシードは、2000年にNISTが採択した標準FIPS 186-2で公表されたが、NSA（米国家安全保障局）から提供されたもので、由来の説明はなかった。

　同社によると、Claudeは、社内の研究者から、ヒントなしにシードの生成方法を問われ、30分足らずで由来にたどり着いた。シードはハッシュ関数の出力ではなく、C言語の標準ライブラリにある乱数生成器「lrand48」を、Unixタイムスタンプ（時刻）で初期化して得た出力だったという。

　Claudeは、1990年代のC言語環境で使われた弱い乱数生成器が使われたと推定し、シードの並びからその癖を探した。その結果、乱数生成器の内部状態を復元し、各シードを再現できたとしている。

　同社は、今回の成果が暗号の破れや新たな攻撃、曲線の弱点の発見ではないと強調している。シードが時計から作る単純な方法で生成されていたことで、意図的な弱点や裏口が仕込まれたとする見方は、より考えにくくなったとし、利用者に必要な対応や運用の変更はないとしている。

　一方、すべてが明らかになったわけではない。P-224、P-256、P-384、P-521の基準点（ベースポイント）が選ばれた経緯は説明できておらず、二元体曲線のB-163のシードも未解明のまま残る。P-192の基準点などは、乱数ライブラリFreeLIPの出力で再現できたという。

　同社は、シードを再現するPythonコードをCC0（パブリックドメイン）で公開している。