Anthropic Claude 破解了 25 年来 NIST ECDSA 曲线起源的谜团

围绕 NIST 椭圆曲线种子起源的数十年谜团终于被解开了。Anthropic 的研究人员确定，P-192、P-224、P-256、P-384 和 P-521 曲线的种子并非源自复杂的哈希值或恶意后门，而是使用 20 世纪 90 年代 C 语言库中常见的 lrand48 伪随机数生成器 (PRNG) 生成的，并以简单的 Unix 时间戳进行初始化。

通过人工智能驱动的分析发现

2026 年 10 月，Anthropic 的一个内部研究模型在不到 30 分钟的时间内成功识别出了生成方法。该模型没有去追寻关于种子是幽默短语哈希值的长期传言，而是假设该软件使用了 20 世纪 90 年代常见的 PRNG。通过扫描 lrand48 生成器的特征——特别是识别种子高位中的模式——该模型成功恢复了初始化状态。

这些状态直接映射到 1997 年和 1998 年的 Unix 时间戳。该模型通过使用恢复的时间戳和 lrand48 算法精确重现已发布的种子，进一步证实了其发现。这一发现为这些参数的来源提供了明确的、非恶意的解释，自这些参数在 FIPS 186-2 中被采用以来，它们一直受到严格审查和阴谋论的困扰。

对密码学安全的影响

这一发现证实了 NIST 曲线很可能是在没有故意设置后门的情况下选择的，从而增强了对其安全性的信心。多年来，由于这些种子选择方式缺乏透明度，导致人们猜测 NSA 可能在标准中嵌入了弱点。这一揭示表明该过程依赖于一种简单、可重现的 PRNG 方法，而不是隐藏的、复杂的选择过程，这使得这些理论在很大程度上变得过时了。

Anthropic 强调，这并非密码学破解或漏洞。用户应继续照常使用这些曲线，因为研究结果证实这些参数是安全的，并非颠覆的结果。

未解之谜

虽然主要种子已被识别，但 NIST 曲线生成的一些方面仍然无法解释：

• 跳过的候选者： 生成过程跳过了几个潜在可行的曲线。目前尚不清楚这是有意的选择过程，还是生成脚本的产物。
• B-163 种子： 第五个二进制曲线种子 B-163 与已识别的模式不匹配，仍然是一个悬而未决的问题。
• 基点起源： 虽然该模型成功识别了多条曲线的基点来源（使用 FreeLIP 库），但 P-224、P-256、P-384 和 P-521 的基点起源仍然未知。

社区和行业反应

密码学界在很大程度上认为这为一场旷日持久的争论画上了句号。Hacker News 上的评论者指出，这一发现有效地“摧毁”了一代关于 NIST 密码学的阴谋论。

“这对整整一代 NIST 密码学阴谋论来说……是一个毁灭性的消息。” — @tptacek

其他人则反思了“阴谋论者”的理论与实现中平庸现实之间的讽刺意味。

“13 年的阴谋论，结果只是 srand48(time(NULL))” — @sweis

Anthropic 已将最初由 Filippo Valsorda 等人设立的 36,864 美元悬赏金捐赠给了互联网安全研究小组 (ISRG)。用于重现种子和基点的代码已在 CC0 1.0 许可下发布到公共领域。