Ein KI-Modell von Anthropic brauchte weniger als 30 Minuten, um eines der am längsten ungelösten Rätsel der Kryptografie zu lösen: die Rückverfolgung von fünf unerklärten Seed-Werten hinter elliptischen Kurven der US-Regierung auf einen gewöhnlichen Zufallszahlengenerator, der mit Zeitstempeln aus den Jahren 1997 und 1998 gespeist wurde.

Die Zahlen waren Ende der 1990er Jahre von der National Security Agency (NSA) an die US-Regierung übergeben worden und wurden lange verdächtigt, eine Backdoor zu verbergen. Der Fund macht eine versteckte NSA-Backdoor deutlich unwahrscheinlicher und erfordert keine Maßnahmen von Nutzern der NIST-Kurven, wobei Fragen bleiben, wie einige Elemente ausgewählt wurden.

Bitcoin war nie exponiert. Das Netzwerk basiert auf secp256k1, einer einfacheren Kurve mit wenig Raum, um eine Schwäche zu verbergen, obwohl ausreichend leistungsstarke Quantencomputer langfristig eine separate Bedrohung darstellen könnten.

Das Modell brauchte etwa eine halbe Stunde, um die Antwort zu liefern, die Kryptografen 25 Jahre lang gesucht hatten.

Ein Schloss mit unerklärtem Design

Ein Großteil des Internets beruht auf Elliptic-Curve-Kryptografie, der Mathematikfamilie, die auch Bitcoin-Wallets schützt. Sie ermöglicht es, den Besitz eines geheimen Schlüssels nachzuweisen, ohne die Details des Schlüssels selbst preiszugeben. Dieselbe Mathematik sichert die verschlüsselten Verbindungen ab, die Browser beim Laden einer Website aushandeln.

Man stelle sich die Kurve als ein Schlossdesign vor, das jeder inspizieren kann. Jeder Nutzer besitzt seinen eigenen geheimen Schlüssel, doch alle verlassen sich darauf, dass das Design schwer zu knacken ist.

Die offene Frage war, wer die Mathematik ausgewählt hatte, der die Welt vertrauen sollte.

Im Jahr 2000 übernahm das US-amerikanische National Institute of Standards and Technology (NIST) eine Reihe von Kurven, die von der NSA geliefert wurden, wie im NIST-Kryptografie-Geschichtsarchiv dokumentiert. Die Behörde lieferte die Designs, ohne zu erklären, woher einige der zur Erzeugung verwendeten Zahlen stammten. Diese Geheimhaltung wurde schwerer zu ignorieren, nachdem die Snowden-Enthüllungen die NSA mit Bemühungen verbanden, kryptografische Standards zu schwächen, und NIST entfernte später das zugehörige Werkzeug, den Dual-EC-Zufallszahlengenerator, aus seinen Empfehlungen.

Die Startzahlen, sogenannte Seeds, waren öffentlich. Doch die NSA erklärte nie, wie sie sie wählte, was jahrelange Verdächtigungen befeuerte, sie habe viele Alternativen getestet, bis sie eine Kurve mit einer Schwäche fand, die nur sie zu nutzen wusste. Die paranoideste Version der Theorie besagte, die NSA habe eine Backdoor in jedes System gehabt, das die Standards verwendete.

Die Kryptografen Neal Koblitz und Alfred Menezes untersuchten die Kontroverse in ihrer Arbeit von 2015, „A Riddle Wrapped in an Enigma.“ Menezes hatte bei der ursprünglichen Norm mitgeholfen und erinnerte sich daran, die Seeds 1997 vom NSA-Mathematiker Jerry Solinas erhalten zu haben.

Der Sicherheitsforscher Steve Weis verbrachte Jahre mit der Suche nach einer Erklärung, dokumentierte seine Bemühungen und stellte 2018 Anfragen nach öffentlichen Unterlagen. NIST erklärte, es habe keine Dokumentation, und die NSA antwortete nicht mehr. Eine vielversprechende Spur deutete darauf hin, dass die Zahlen von einem humorvollen Ausdruck stammten, den Solinas vergessen hatte, woraufhin Ermittler mögliche Wortkombinationen durchsuchten.

Im Jahr 2023 bot der Kryptografie-Ingenieur Filippo Valsorda zusammen mit anderen Beiträgern eine Prämie von 12.288 $ für eine Antwort, die auf über 36.000 $ stieg, wenn der Gewinner sie an eine Wohltätigkeitsorganisation spendete. Solinas war früher in diesem Jahr gestorben, und Forscher arbeiteten ohne Ergebnis alte Erinnerungen und die Zahlen selbst durch.

Claude beginnt zu graben

Dann kam Claude ins Spiel. In diesem Monat bat ein Anthropic-Mitarbeiter ein internes Forschungsmodell zu untersuchen, ohne die alte Theorie zu teilen, die Seeds stammten von einem vergessenen Ausdruck.

In weniger als einer halben Stunde führte das Modell die fünf NIST-Kurven-Seeds auf lrand48 zurück, einen Zufallszahlengenerator aus älteren C-Softwarebibliotheken, der nie für kryptografische Zwecke entwickelt wurde. Claude reproduzierte die Sequenz hinter P-256, einer weit verbreiteten Kurve, und fand eine exakte Übereinstimmung mit ihrem veröffentlichten Seed beim 1.842. Kandidaten.

„This is astonishing: it solves the 25-year-old mystery“, schrieb das Modell in seinem aufgezeichneten Gedankengang, nachdem es kurz in Frage gestellt hatte, ob es sich in einem simulierten Test befand. „Hmm, is it plausible in reality? As of my knowledge … the bounty was unsolved. … All top bits clear—20 bits, chance 1e-6. So indeed real-world.“

Wow, it's a real discovery.“

Jeder kann nun das Programm erneut ausführen und die von der NSA gelieferten Zahlen neu erzeugen. Anthropic sagt, das mache eine versteckte Schwäche deutlich unwahrscheinlicher, wobei das Team immer noch nicht erklären kann, warum das Programm einige brauchbare Kandidaten übersprang oder wie andere Teile der Kurven gewählt wurden.

Diese Vorhersehbarkeit ermöglichte es Claude, die Zahlen nachzubauen, und innerhalb einer Wallet wäre das eine Katastrophe. Ein mit lrand48 erzeugter geheimer Schlüssel könnte von jedem rekonstruiert werden, der ungefähr den Erstellungszeitpunkt ermittelte, was alles nötige verschafft, um die Gelder abzuziehen. Die NSA-Seeds waren jedoch von Anfang an öffentlich, sodass es nie ein Geheimnis zum Stehlen gab.

Wo Bitcoin im Spiel steht

Bitcoin war nie Teil dieses Ratespiels. Seine Wallets laufen auf secp256k1, einer Kurve aus einer einfacheren Gleichung. Bitcoin-Version ist durch zwei kleine, feste Zahlen definiert, die fast nichts zu verstellen lassen, während P-256 eine 77-stellige Zahl trägt, die aus dem unerklärten Seed der NSA hervorging. Mit so wenigen Stellschrauben gibt es kaum Raum, heimlich eine Schwäche in Bitcoin-Kurve einzubauen – eine Eigenschaft, die Kryptografen lange zu ihren Gunsten anführten. Dieser Instinkt – Parameter, deren Ursprung jeder überprüfen kann, was Kryptografen „nothing-up-my-sleeve numbers“ nennen – hat seither geprägt, wie neuere kryptografische Standards verfasst werden.

Schöpfer Satoshi Nakamoto erklärte nie öffentlich, warum er die Kurve wählte, die vor ihrer Berühmtheit durch Bitcoin selten verwendet wurde. Ethereum übernahm sie später ebenfalls, und Bitcoin behielt sie, als sein Taproot-Upgrade 2021 eine neuere Signaturart einführte.

Ein leistungsfähiger Quantencomputer würde eine andere Gefahr bringen, wie CoinDesk früher in diesem Jahr untersuchte: Eine solche Maschine könnte von einem auf der Bitcoin-Blockchain sichtbaren öffentlichen Schlüssel rückwärts auf den geheimen Schlüssel dahinter schließen, unabhängig davon, wie die Kurve gewählt wurde. Hardware-Fortschritte verkleinern die Lücke zwischen dieser Theorie und einem funktionierenden Angriff. Google sagte diese Woche, sein Willow-Chip habe Fehler in einem der teuersten Schritte einer solchen Maschine um etwa das 40-Fache reduziert – eine Entwicklung, durch die laut einem CoinDesk-Bericht Bitcoin aus der Satoshi-Ära einer größeren Quantenbedrohung ausgesetzt ist.

Dennoch hat noch niemand einen Quantencomputer gebaut, der auch nur annähernd groß oder zuverlässig genug ist, um einen Bitcoin-Schlüssel zu knacken, und es gibt keinen klaren Zeitplan, wann eine solche Maschine eintreffen könnte. Die Migrationsfrage bewegt sich bereits ohne sie: NIST veröffentlichte 2024 seine ersten post-quanten-sicheren Verschlüsselungs- und Signaturstandards als ersten Schritt zum eventuellen Ersatz der heutigen Kurven.

Anthropic sagte in seinem Blog, Nutzer der NIST-Kurven müssten nichts ändern. Nach Jahrzehnten der Fragen, woher die Seeds stammten, kann nun jeder das Programm ausführen und seinen Weg zu den veröffentlichten Zahlen nachverfolgen.

Die Suche hatte auch einen Preis. Die Prämie von 36.864 $ geht an die Internet Security Research Group, die Non-Profit-Organisation hinter Let's Encrypt, die Websites kostenlose Sicherheitszertifikate bereitstellt.