Claude 半小時解開 26 年密碼學謎題　揭 NIST 曲線種子來自系統時間

的安全漏洞。

NSA 26 年前留下謎題　一直無人知道數字來源

事情要追溯至 2000 年，NIST 在 FIPS 186-2 數碼簽署標準中，公布多條用於橢圓曲線數碼簽署演算法（ECDSA）的標準曲線，包括 P-192、P-224、P-256、P-384 和 P-521。

ECDSA 是廣泛應用的數碼簽署技術，可用來驗證電子資料的簽署者，以及檢查資料有否遭到修改。

制定這些曲線時，設計者需要選擇一組起始數字，稱為「種子」，經雜湊運算後用來推導部分曲線參數。這些數字當年由美國國家安全局（NSA）提供，但沒有解釋最初如何選出。

密碼學界一直擔心，假如設計者曾經測試大量候選數字，刻意選出具有特殊數學弱點的曲線，便有可能留下外界不知道的安全風險。

2015 年，曾參與有關工作的 NSA 密碼學家 Jerry Solinas 回憶，這些種子可能來自一段幽默口令，例如「Give Bob and Jerry a raise」（給 Bob 和 Jerry 加薪）。然而他無法記起準確內容，相關歷史檔案亦未能尋回。Solinas 在 2023 年去世，謎題一直沒有答案。

Claude 找到舊式亂數產生器　追溯至 1997 年時間戳

Anthropic 列出五條標準橢圓曲線的生成時間、候選次數及種子數值。P-256 的種子對應 1997 年 8 月 16 日的時間戳，為第 1,842 組候選數字。

研究顯示，這些種子並非來自任何口令，而是由 1990 年代的舊式亂數產生器生成。該產生器以電腦系統時間作為輸入，再經雜湊運算推導出曲線參數。換言之，當年 NSA 提供的一組組起始數字，背後是特定日期和時間的系統時間戳。

Claude 內部研究模型在不足半小時內，將五條標準曲線的種子數值與亂數產生器的輸出模式配對，追溯出各自的生成時間和候選次數。密碼學研究員其後獨立重現結果，確認有關發現。

謎底揭開　但加密演算法未被破解

這次發現解答了密碼學界逾 25 年的疑問：NIST 標準橢圓曲線的種子並非刻意揀選的特殊數字，而是舊式亂數產生器配合系統時間的產物。研究沒有破解任何加密演算法，亦未發現新的安全漏洞。

對密碼學界而言，種子來源的透明度一直影響公眾對標準曲線的信任。假如種子被證明是刻意設計，外界便會質疑曲線是否藏有數學弱點。如今種子來源得以追溯，至少排除了「設計者測試大量候選數字後刻意選出弱曲線」的其中一項憂慮。

不過，ECDSA 的實際安全性仍取決於多項因素，包括實作方式、亂數產生器的質素，以及密鑰管理。這次研究只釐清了標準曲線種子的歷史來源，並不代表任何系統因此變得更安全或更不安全。