Un modello di intelligenza artificiale sviluppato da Anthropic ha impiegato meno di 30 minuti per risolvere uno dei misteri di lunga data della crittografia: rintracciare cinque valori seed inspiegati alla base delle curve ellittiche del governo statunitense fino a un generatore di numeri casuali comune alimentato con timestamp del 1997 e 1998.

I numeri erano stati consegnati al governo statunitense dalla National Security Agency (NSA) alla fine degli anni '90 e sono stati a lungo sospettati di nascondere una backdoor. La scoperta rende notevolmente meno probabile una backdoor nascosta della NSA e non richiede azioni da parte degli utenti delle curve NIST, anche se permangono domande su come alcuni elementi siano stati selezionati.

Bitcoin non è mai stato esposto. La rete si basa su secp256k1, una curva più semplice con poco spazio per nascondere una vulnerabilità, sebbene computer quantistici sufficientemente potenti potrebbero eventualmente rappresentare una minaccia separata.

Al modello è occorsa circa mezz'ora per produrre la risposta che i crittografi inseguivano da 25 anni.

Un lucchetto dal design inspiegato

Gran parte di Internet si basa sulla crittografia a curve ellittiche, la famiglia di matematica che protegge anche i portafogli bitcoin. Consente a chiunque di dimostrare di possedere una chiave segreta senza rivelare la chiave. La stessa matematica protegge le connessioni crittografate che i browser negoziano quando caricano un sito web.

Si pensi alla curva come al design di un lucchetto che chiunque può ispezionare. Ogni utente possiede la propria chiave segreta, ma tutti dipendono dal fatto che il design sia difficile da violare.

La domanda sospesa era: chi ha scelto la matematica in cui al mondo sarebbe stato chiesto di fidarsi?

Nel 2000, il National Institute of Standards and Technology (NIST) statunitense ha adottato un insieme di curve fornite dalla NSA, come documentato nell'archivio di storia della crittografia del NIST. L'agenzia ha fornito i design senza spiegare da dove provenissero alcuni dei numeri utilizzati per generarli. Quel segreto è diventato più difficile da liquidare dopo che le divulgazioni di Snowden hanno collegato la NSA a sforzi per indebolire gli standard crittografici, e il NIST ha successivamente rimosso dalle raccomandazioni lo strumento associato, il generatore di numeri casuali Dual EC.

I numeri di partenza, noti come seed, erano pubblici. Ma la NSA non ha mai spiegato come li ha scelti, alimentando anni di sospetti che avesse testato molte alternative finché non avesse trovato una curva con una vulnerabilità che solo lei sapeva sfruttare. La versione più paranoide della teoria sosteneva che la NSA avesse una backdoor in ogni sistema che utilizzava gli standard.

I crittografi Neal Koblitz e Alfred Menezes hanno esaminato la controversia nel loro articolo del 2015, "A Riddle Wrapped in an Enigma." Menezes aveva contribuito a scrivere lo standard originale e ricordava di aver ricevuto i seed dal matematico della NSA Jerry Solinas nel 1997.

Il ricercatore di sicurezza Steve Weis ha trascorso anni alla ricerca di una spiegazione, documentando i suoi sforzi e presentando richieste di accesso ai documenti pubblici nel 2018. Il NIST ha dichiarato di non avere documentazione, e la NSA ha smesso di rispondere. Una pista promettente suggeriva che i numeri provenissero da una frase spiritosa che Solinas aveva dimenticato, spingendo gli investigatori a setacciare possibili combinazioni di parole.

Nel 2023, l'ingegnere crittografico Filippo Valsorda e altri contributori hanno offerto un premio di 12.288 dollari per una risposta, salito a più di 36.000 dollari se il vincitore lo avesse donato in beneficenza. Solinas era morto quell'anno stesso, lasciando i ricercatori a vagliare vecchi ricordi e i numeri stessi senza esito.

Claude fa ricerche

Poi è entrato in scena Claude. Questo mese, un dipendente di Anthropic ha chiesto a un modello di ricerca interno di indagare, senza condividere la vecchia teoria secondo cui i seed provenivano da una frase dimenticata.

In meno di mezz'ora, il modello ha rintracciato i cinque seed delle NIST fino a lrand48, un generatore di numeri casuali presente nelle più vecchie librerie software C che non è mai stato pensato per l'uso crittografico. Claude ha riprodotto la sequenza alla base di P-256, una curva ampiamente utilizzata, e ha trovato una corrispondenza esatta per il suo seed pubblicato al 1.842° candidato.

"È sorprendente: risolve il mistero di 25 anni", ha scritto il modello nel suo ragionamento registrato, dopo aver brevemente messo in dubbio di stare lavorando all'interno di un test simulato. "Hmm, è plausibile nella realtà? A miei knowledge ... il premio non era stato risolto. ... Tutti i bit superiori a zero—20 bit, probabilità 1e-6. Quindi è davvero del mondo reale."

"Wow, è una scoperta autentica."

Chiunque ora può rieseguire il programma e rigenerare i numeri forniti dalla NSA. Anthropic afferma che ciò rende molto meno probabile una vulnerabilità nascosta, sebbene il team non sia ancora in grado di spiegare perché il programma abbia scartato alcuni candidati utilizzabili, o come siano state scelte altre parti delle curve.

È quella prevedibilità che ha permesso a Claude di ricostruire i numeri, e all'interno di un portafoglio sarebbe un disastro. Una chiave segreta generata con lrand48 potrebbe essere ricreata da chiunque risalisse grosso modo al momento in cui è stata creata, consegnandogli tutto il necessario per prosciugare i fondi. I seed della NSA, tuttavia, erano pubblici dal primo giorno, quindi non c'è mai stato un segreto da rubare.

Dove si colloca bitcoin

Bitcoin non è mai stato parte di questo gioco di indovinelli. I suoi portafogli si basano su secp256k1, una curva costruita da un'equazione più semplice. La versione di bitcoin è definita da due piccoli numeri fissi che non lasciano quasi nulla da regolare, mentre P-256 contiene un numero di 77 cifre emerso dal seed inspiegato della NSA. Con così pochi parametri da regolare, c'è poco spazio per chiunque di aver costruito furtivamente una vulnerabilità nella curva di bitcoin, una proprietà che i crittografi hanno da sempre citato a suo favore. Quella intuizione — parametri le cui origini chiunque può verificare, ciò che i crittografi chiamano numeri "nothing-up-my-sleeve" — ha da allora influenzato il modo in cui vengono scritti i nuovi standard crittografici.

Il creatore Satoshi Nakamoto non ha mai spiegato pubblicamente perché ha scelto la curva che era raramente utilizzata prima che bitcoin la rendesse famosa. Anche Ethereum l'ha in seguito adottata, e bitcoin l'ha mantenuta quando l'aggiornamento Taproot del 2021 ha introdotto un nuovo stile di firma.

Un computer quantistico potente porterebbe un pericolo diverso, come ha esplorato CoinDesk all'inizio di quest'anno: una macchina del genere potrebbe risalire a ritroso da una chiave pubblica visibile sulla blockchain di bitcoin alla chiave segreta sottostante, indipendentemente da come è stata scelta la curva. I progressi dell'hardware continuano a ridurre il divario tra quella teoria e un attacco concreto. Google ha dichiarato questa settimana che il suo chip Willow ha ridotto gli errori di circa 40 volte in uno dei passaggi più costosi di cui una macchina del genere avrebbe bisogno, uno sviluppo che, come ha riferito CoinDesk, lascia i bitcoin dell'era di Satoshi di fronte a una minaccia quantistica maggiore.

Detto questo, nessuno ha ancora costruito un computer quantistico nemmeno lontanamente abbastanza grande o affidabile da violare una chiave bitcoin, e non esiste una cronologia chiara di quando possa arrivare. La questione della migrazione avanza comunque: il NIST ha pubblicato nel 2024 i suoi primi standard di crittografia e firma post-quantistici, il primo passo verso l'eventuale sostituzione delle curve attuali.

Anthropic ha dichiarato nel suo blog che chi utilizza le curve NIST non deve cambiare nulla. Dopo decenni di domande sull'origine dei seed, chiunque ora può eseguire il programma e ripercorrerne il tragitto fino ai numeri pubblicati.

La ricerca aveva anche un premio. Il premio di 36.864 dollari andrà all'Internet Security Research Group, l'organizzazione no-profit dietro Let's Encrypt, che fornisce certificati di sicurezza gratuiti ai siti web.