Model sztucznej inteligencji stworzony przez Anthropic potrzebował mniej niż 30 minut, aby rozwiązać jedną z najdłużej niewyjaśnionych zagadek kryptografii: prześledzenie pięciu niewyjaśnionych wartości nasion stojących za rządowymi krzywymi eliptycznymi USA do zwykłego generatora liczb losowych zasilanego znacznikami czasu z lat 1997 i 1998.

Liczby zostały przekazane rządowi USA przez National Security Agency (NSA) pod koniec lat 90. i od dawna podejrzewano, że ukrywają backdoora. To odkrycie znacznie zmniejsza prawdopodobieństwo ukrytego backdoora NSA i nie wymaga żadnych działań od użytkowników krzywych NIST, choć wciąż otwarte pozostają pytania o to, jak wybrano niektóre elementy.

Bitcoin nigdy nie był narażony. Sieć działa na secp256k1, prostszej krzywej z niewielkim marginesem na ukrycie słabości, choć dostatecznie wydajne komputery kwantowe mogłyby ostatecznie stanowić osobne zagrożenie.

Model potrzebował około pół godziny, by dać odpowiedź, której kryptografowie szukali przez 25 lat.

Zamek o niewyjaśnionej konstrukcji

Większa część internetu opiera się na kryptografii krzywych eliptycznych, dziedzinie matematyki, która chroni również portfele bitcoin. Pozwala ona udowodnić, że ktoś posiada klucz prywatny, bez ujawniania samego klucza. Ta sama matematyka zabezpiecza szyrowane połączenia negocjowane przez przeglądarki przy ładowaniu stron internetowych.

Wyobraźmy sobie krzywą jako konstrukcję zamka, którą każdy może obejrzeć. Każdy użytkownik posiada własny klucz prywatny, ale wszyscy polegają na tym, że konstrukcja jest trudna do złamania.

Pytanie brzmiało: kto wybrał matematykę, której świat miał zaufać?

W 2000 roku U.S. National Institute of Standards and Technology (NIST) przyjął zestaw krzywych dostarczonych przez NSA, co odnotowano w archiwum historii kryptografii NIST. Agencja przekazała te konstrukcje bez wyjaśnienia, skąd pochodzą niektóre liczby użyte do ich wygenerowania. Ta tajemniczość stała się trudniejsza do zbagatelizowania po ujawnieniach Snowdena, które powiązały NSA z działaniami na rzecz osłabienia standardów kryptograficznych, a NIST później usunął powiązane narzędzie, generator liczb losowych Dual EC, ze swoich rekomendacji.

Liczby początkowe, zwane nasionami, były jawne. Ale NSA nigdy nie wyjaśniła, jak je wybrano, co przez lata podsycalo podejrzenia, że przetestowała wiele alternatyw, aż znalazła krzywą ze słabością, którą potrafiła wykorzystać tylko ona. Najbardziej paranoidalna wersja teorii głosiła, że NSA miała backdoora do każdego systemu korzystającego z tych standardów.

Kryptografowie Neal Koblitz i Alfred Menezes omówili tę kontrowersję w swoim artykule z 2015 roku, „A Riddle Wrapped in an Enigma.” Menezes pomagał pisać oryginalny standard i wspominał, że otrzymał nasiona od matematyka NSA Jerry'ego Solinasa w 1997 roku.

Badacz bezpieczeństwa Steve Weis spędził lata na poszukiwaniu wyjaśnienia, dokumentując swoje starania i składając w 2018 roku wnioski o dostęp do informacji publicznej. NIST oświadczył, że nie posiada dokumentacji, a NSA przestała odpowiadać. Jedna obiecująca wskazówka sugerowała, że liczby pochodzą z żartobliwego wyrażenia, które Solinas zapomniał, co skłoniło śledczych do przeszukiwania możliwych kombinacji słów.

W 2023 roku inżynier kryptografii Filippo Valsorda i inni współpracownicy zaoferowali 12 288 dolarów za odpowiedź, z możliwością wzrostu do ponad 36 000 dolarów, jeśli zwycięzca przekaże ją na cele charytatyw. Solinas zmarł wcześniej tego samego roku, pozostawiając badaczy z samymi wspomnieniami i liczbami — bez rezultatu.

Claude bierze się do pracy

Aż pojawił się Claude. W tym miesiącu pracownik Anthropic poprosił wewnętrzny model badawczy o zbadanie sprawy, nie dzieląc się starą teorią, że nasiona pochodziły z zapomnianego wyrażenia.

W mniej niż pół godziny model prześledził pięć nasion krzywych NIST do lrand48, generatora liczb losowych ze starszych bibliotek języka C, który nigdy nie był przeznaczony do zastosowań kryptograficznych. Claude odtworzył sekwencję stojącą za P-256, szeroko używaną krzywą, i znalazł dokładne dopasowanie do opublikowanego nasiona na 1842. kandydacie.

„To zdumiewające: rozwikłuje to 25-letnią zagadkę” — napisał model w swoim zapisie rozumowania, po krótkim zwątpieniu, czy nie działa w symulowanym teście. „Hmm, czy to możliwe w rzeczywistości? Ze stanu mojej wiedzy … nagroda pozostała niewyjaśniona. … Wszystkie górne bity wyzerowane—20 bitów, szansa 1e-6. Zatem rzeczywiście real-world.”

„Wow, to prawdziwe odkrycie.”

Każdy może teraz uruchomić program ponownie i odtworzyć liczby dostarczone przez NSA. Anthropic twierdzi, że znacznie zmniejsza to prawdopodobieństwo ukrytej słabości, choć zespół nadal nie potrafi wyjaśnić, dlaczego program pominął niektórych użytecznych kandydatów ani jak wybrano inne części krzywych.

Ta przewidywalność pozwoliła Claude'owi odtworzyć liczby, a w portfelu byłaby ona katastrofą. Klucz prywatny wygenerowany za pomocą lrand48 mógłby zostać odtworzony przez każdego, kto ustaliłby w przybliżeniu czas jego utworzenia, co dałoby mu wszystko, czego potrzebuje do opróżnienia środków. Nasiona NSA jednak od pierwszego dnia były jawne, więc nigdy nie było tajemnicy do wykradzenia.

Jakie miejsce zajmuje bitcoin

Bitcoin nigdy nie był częścią tej zgadywanki. Jego portfele działają na secp256k1, krzywej zbudowanej z prostszego równania. Wersja bitcoina jest zdefiniowana przez dwie małe stałe liczby, które nie pozostawiają prawie niczego do regulacji, podczas gdy P-256 zawiera 77-cyfrową liczbę wyłaniającą się z niewyjaśnionego nasiona NSA. Przy tak małej liczbie pokręteł niewiele jest miejsca na to, by ktoś po cichu wbudował słabość w krzywą bitcoina — cechę, którą kryptografowie od dawna wskazywali na jego korzyść. Ten instynkt — parametry, których pochodzenie każdy może sprawdzić, nazywane przez kryptografów liczbami nothing-up-my-sleeve — od tamtej pory kształtuje sposób tworzenia nowszych standardów kryptograficznych.

Twórca Satoshi Nakamoto nigdy publicznie nie wyjaśnił, dlaczego wybrał tę krzywą, która była rzadko używana, zanim bitcoin ją rozsławił. Ethereum później również ją przyjęło, a bitcoin zachował ją, gdy jego aktualizacja Taproot z 2021 roku wprowadziła nowszy styl podpisów.

Wydajny komputer kwantowy oznaczałby inne zagrożenie, jak CoinDesk badał wcześniej w tym roku: taka maszyna mogłaby przejść od klucza publicznego widocznego w blockchainie bitcoina do stojącego za nim klucza prywatnego, niezależnie od tego, jak wybrano krzywą. Postęp sprzętowy stale zmniejsza odległość między tą teorią a działającym atakiem. Google poinformował w tym tygodniu, że jego chip Willow zmniejszył liczbę błędów około 40-krotnie w jednym z najkosztowniejszych kroków, których wymagałaby taka maszyna — rozwój, który, jak poinformował CoinDesk, sprawia, że bitcoin z ery Satoshiego staje w obliczu większego zagrożenia kwantowego.

Nawet tak nikt jeszcze nie zbudował komputera kwantowego choćby zbliżonego rozmiarem i niezawodnością do wymaganego, by złamać klucz bitcoina, i nie ma jasnego harmonogramu, kiedy taki mógłby powstać. Kwestia migracji przesuwa się jednak już bez niego: NIST opublikował w 2024 roku swoje pierwsze postkwantowe standardy szyfrowania i podpisów, pierwszy krok ku ostatecznemu zastąpieniu dzisiejszych krzywych.

Anthropic oświadczył na swoim blogu, że osoby korzystające z krzywych NIST nie muszą niczego zmieniać. Po dziesięcioleciach pytań o pochodzenie nasion każdy teraz uruchomić program i prześledzić jego ścieżkę do opublikowanych liczb.

Poszukiwania miały też nagrodę. Kwota 36 864 dolarów trafi do Internet Security Research Group, organizacji non-profit stojącej za Let's Encrypt, która dostarcza stronom internetowym darmowe certyfikaty bezpieczeństwa.