Модели искусственного интеллекта от Anthropic понадобилось менее 30 минут, чтобы решить одну из самых давних загадок криптографии: проследить происхождение пяти необъяснённых начальных значений (seed) эллиптических кривых правительства США до обычного генератора случайных чисел, инициализированного метками времени 1997 и 1998 годов.

Эти числа были переданы правительству США Агентством национальной безопасности (АНБ) в конце 1990-х и долго считались возможной скрытой «лазейкой». Эта находка делает скрытую «лазейку» АНБ гораздо менее вероятной и не требует действий от пользователей кривых NIST, хотя вопросы о том, как были выбраны некоторые элементы, остаются.

Биткойн не подвергался риску. Сеть работает на secp256k1 — более простой кривой с минимальными возможностями для сокрытия уязвимости, хотя достаточно мощные квантовые компьютеры со временем могут представлять отдельную угрозу.

Модели потребовалось около получаса, чтобы получить ответ, который криптографы искали 25 лет.

Замок с необъяснённой конструкцией

Значительная часть интернета полагается на криптографию на эллиптических кривых — раздел математики, который также защищает биткойн-кошельки. Он позволяет доказать владение секретным ключом, не раскрывая сам ключ. Та же математика защищает зашифрованные соединения, которые браузеры устанавливают при загрузке сайтов.

Представьте кривую как конструкцию замка, которую может изучить любой. У каждого пользователя свой секретный ключ, но все полагаются на то, что конструкцию трудно взломать.

Оставался вопрос: кто выбрал математику, которой миру предстояло доверять.

В 2000 году Национальный институт стандартов и технологий США (NIST) принял набор кривых, предоставленных АНБ, что зафиксировано в архиве истории криптографии NIST.ентство передало эти конструкции, не объяснив, откуда взяты некоторые числа, использованные при их создании. После разоблачений Сноудена, связавших АНБ с попытками ослабить криптографические стандарты, эту секретность стало ещё труднее игнорировать, а NIST впоследствии исключил связанный инструмент — генератор случайных чисел Dual EC — из своих рекомендаций.

Начальные числа, известные как seed, были публичными. Но АНБ так и не объяснило, как оно их выбрало, что годами подпитывало подозрения: возможно, агентство проверило множество вариантов, пока не нашло кривую с уязвимостью, известной только ему. Самая параноидальная версия теории гласила, что у АНБ был бэкдор в каждую систему, использовавшую эти стандарты.

Криптографы Нил Коблиц и Альфред Менезес рассмотрели эту полемику в своей работе 2015 года «A Riddle Wrapped in an Enigma». Менезес помогал писать оригинальный стандарт и вспоминал, что получил seed-значения от математика АНБ Джерри Солинаса в 1997 году.

Исследователь безопасности Стив Вайс годами искал объяснение, документируя свои попытки и в 2018 году подавая запросы по закону о свободе информации. NIST сообщил об отсутствии документации, а АНБ перестало отвечать. Одна из перспективных версий предполагала, что числа происходят от шуточной фразы, которую забыл Солинас, и исследователи принялись перебирать возможные словосочетания.

В 2023 году инженер-криптограф Филипп Вальсорда и другие участники объявили вознаграждение в размере 12 288 долларов за ответ, которое увеличивалось до более чем 36 000 долларов, если победитель пожертвует его на благотворительность. Солинас умер ранее в том же году, и исследователям пришлось перебирать старые воспоминания и сами числа, но без результата.

Claude берётся за расследование

И тогда в дело вступил Claude. В этом месяце сотрудник Anthropic попросил внутреннюю исследовательскую модель заняться расследованием, не сообщая старую теорию о том, что seed-значения происходят от забытой фразы.

Менее чем за полчаса модель проследила происхождение пяти seed-значений кривых NIST до lrand48 — генератора случайных чисел из старых библиотек языка C, который никогда не предназначался для криптографического применения. Claude воспроизвёл последовательность, лежащую в основе P-256 — широко используемой кривой, — и нашёл точное совпадение с её опубликованным seed на 1 842-м кандидате.

«Это поразительно она решает 25-летнюю загадку», — написала модель в своей зафиксированной цепочке рассуждений, ненадолго усомнившись, не проходит ли она тест в симулированной среде. «Хм, правдоподобно ли это в реальности? Насколько мне известно … вознаграждение оставалось невостребованным. … Все старшие биты нулевые — 20 бит, вероятность 1e-6. Значит, это действительно реальный мир».

«Ого, это настоящее открытие».

Теперь любой может перезапустить программу и заново получить числа, предоставленные АНБ. Anthropic заявляет, что это делает скрытую уязвимость гораздо менее вероятной, хотя команда по-прежнему не может объяснить, почему программа пропустила некоторые пригодные кандидаты и как были выбраны другие части кривых.

Именно эта предсказуемость позволила Claude воссоздать числа, а внутри кошелька это обернулось бы катастрофой. Секретный ключ, сгенерированный с помощью lrand48, мог бы воссоздать любой, кто примерно определил бы момент его создания, получив всё необходимое для опустошения средств. Однако seed-значения АНБ были публичными с самого начала, поэтому красть было нечего.

Какое отношение к этому имеет биткойн

Биткойн никогда не участвовал в этой игре в догадки. Его кошельки работают на secp256k1 — кривой, построенной на более простом уравнении. Версия биткойна определяется двумя небольшими фиксированными числами, которые практически не оставляют простора для манипуляций, тогда как P-256 содержит 77-значное число, полученное из необъяснённого seed АНБ. При столь малом количестве «регулировочных ручек» у кого-либо почти не было возможности незаметно встроить уязвимость в кривую биткойна — свойство, которое криптографы давно называют его преимуществом. Этот принцип — параметры, происхождение которых может проверить каждый, так называемые числа «nothing-up-my-sleeve» — с тех пор влияет на то, как формируются новые криптографические стандарты.

Создатель Сатоши Накамото никогда публично не объяснял, почему выбрал эту кривую, которая редко использовалась до того, как биткойн сделал её знаменитой. Ethereum впоследствии также принял её, а биткойн сохранил её, когда обновление Taproot 2021 года ввело новый стиль подписи.

Мощный квантовый компьютер представлял бы иную угрозу, как ранее в этом году разбирал CoinDesk: такая машина могла бы двигаться от открытого ключа, видимого в блокчейне биткойна, к стоящему за ним секретному ключу независимо от того, как была выбрана кривая. Прогресс в аппаратном обеспечении продолжает сокращать разрыв между этой теорией и рабочей атакой. На этой неделе Google сообщила, что её чип Willow снизил количество ошибок примерно в 40 раз на одном из самых дорогостоящих этапов, необходимых такой машине, — разработка, о которой сообщал CoinDesk и которая оставляет биткойн эпохи Сатоши перед лицом более серьёзной квантовой угрозы.

Тем не менее, никто ещё не создал квантовый компьютер даже близко к достаточному масштабу и надёжности, чтобы взломать биткойн-ключ, и нет чётких сроков его появления. Вопрос миграции уже решается и без него: в 2024 году NIST опубликовал свои первые постквантовые стандарты шифрования и подписи — первый шаг к eventual замене сегодняшних кривых.

Anthropic сообщила в своём блоге, что пользователям кривых NIST не нужно ничего менять. После десятилетий вопросов о происхождении seed-значений теперь любой может запустить программу и проследить её путь до опубликованных чисел.

У этих поисков было и вознаграждение. Приз в размере 36 864 долларов получит Internet Security Research Group — некоммерческая организация, стоящая за Let's Encrypt, которая предоставляет сайтам бесплатные сертификаты безопасности.