Claude 重建 NSA 神秘的 NIST 曲線種子，解開 25 年謎團

目錄

• 你可能想知道
• 主要內容
• 重點摘要表
• 後續……

你可能想知道

• AI 模型如何追查未經解釋的美國國家標準與技術研究院（NIST）橢圓曲線種子，並發現它們源自一般的亂數產生器？
• 這項發現是否代表 NIST 曲線或 Bitcoin 錢包不安全？

主要內容

關於密碼學設計的長期疑問

橢圓曲線密碼學是一種數學方法，用來保護數位通訊與系統，包括許多網際網路服務和加密貨幣錢包。它讓一個人能證明自己持有私密金鑰，卻不必揭露金鑰本身。這種方法的安全性不只取決於數學，也取決於系統所選用的特定曲線與參數。

可以把它想像成一種人人都能檢視的鎖具設計。使用者各自持有不同的鑰匙，但都仰賴共同的設計難以破解。若某些設計參數的來源不明，研究人員可能會追問這些數值是否經過透明選擇，或是否有人刻意在其中埋下弱點。

2000 年，美國國家標準與技術研究院採納了由美國國家安全局（NSA）提供的一組橢圓曲線。NSA 並未說明如何產生這些曲線使用的部分數值。這些稱為種子的數值雖已公開，但背後的產生過程仍不清楚。多年來，這個缺口讓人得以猜測，該機構是否測試了許多候選數值，並挑出一個能帶來未公開優勢的數值。

愛德華·史諾登（Edward Snowden）揭露的消息將 NSA 與削弱密碼學標準的企圖聯繫起來，讓疑慮更加升高。NIST 後來將 Dual EC 亂數產生器從其建議中移除。這段歷史使人們很難輕易排除對 NSA 所提供曲線參數的疑問，儘管光有懷疑並不能證明曲線含有後門。

密碼學家 Neal Koblitz 和 Alfred Menezes 在 2015 年的論文《A Riddle Wrapped in an Enigma》中討論了這個問題。Menezes 曾協助撰寫原始標準，並記得自己於 1997 年從 NSA 數學家 Jerry Solinas 手中收到這些種子。安全研究員 Steve Weis 多年來持續尋找解釋，包括在 2018 年提出公開紀錄申請。NIST 表示沒有相關文件，而 NSA 最終也不再回覆。

有一條線索認為，這些種子可能源自 Solinas 已經忘記的一句幽默短語。研究人員曾探索各種可能的詞語組合，但未找到令人信服的答案。2023 年，密碼學工程師 Filippo Valsorda 和其他貢獻者宣布提供 $12,288 獎金徵求解答；若得獎者將獎金捐給慈善機構，金額則提高至 over $36,000。Solinas 在同年稍早去世，調查人員只能依靠紀錄、回憶和已公開的數值繼續追查。

Claude 將數值追溯至一款舊程式

突破出現在一名 Anthropic 員工請內部 Claude 研究模型調查這些種子之後。該員工沒有提供「數值可能源自某句被遺忘的短語」這項舊理論。不到 30 分鐘，模型便將五個 NIST 曲線種子連結到 lrand48；這是舊版 C 軟體函式庫中的亂數產生器。

Claude 重現了廣泛使用的 P-256 曲線的序列，並在第 1,842 個候選值中找到與其已公布種子完全相符的數值。只要輸入和流程已知，這個產生器的輸出便可以預測。在此案例中，1997 年和 1998 年的時間戳記提供了相關的起始資訊，讓模型得以回溯這些數值可能是如何產生的。

模型記錄下來的推理顯示，它一開始曾懷疑自己是否正在模擬測試中運作，因為這個謎題已經懸而未決多年。接著，它考量這項吻合看似有多麼不可能，並得出結論，認為結果符合真實發現的情況。它在回應中寫道：「哇，這是真正的發現。」

關鍵意義在於，這些種子可以透過一般且公開可用的方法重現，因此刻意隱藏後門的可能性大幅降低。現在任何人都能執行這個程式，並循著路徑取得已公布的數值。這種可重現性與僅僅提出一個看似合理的說法，大不相同。

然而，這項發現並未解答曲線的所有疑問。研究人員仍無法完全說明為何程式略過某些可用的候選值，也不清楚曲線設計中的其他部分是如何選定的。重建種子能為其來源提供證據，但無法揭示制定標準時涉及的每項決策。

為何可預測的亂數可能造成危險

產生 NIST 種子所用的方法，不應與安全產生私密金鑰的方法混為一談。如果有人使用 lrand48 產生錢包的私密金鑰，能推測金鑰產生時間的攻擊者就可能重現相同輸出，進而取得該金鑰。可預測的金鑰可能使其控制的資金暴露於風險之中。

這項風險與 NIST 種子的故事是兩回事。這些種子從一開始就是公開的，並不是錢包私密金鑰。當時的問題是，曲線參數是否以引入未公開弱點的方式選定。找到可重現的產生流程，讓這種可能性降低，但這並不代表使用弱亂數產生器來產生機密資訊是安全的。

Anthropic 表示，NIST 曲線的使用者不需要採取任何行動。這項發現代表應更新標準的歷史紀錄，而不是警告使用這些曲線的人必須更換系統。與任何密碼學標準一樣，實作仍應遵循現行安全指引，並使用適當的方法產生私密金鑰。

Bitcoin 與量子風險這項獨立議題

這起謎團並未影響 Bitcoin，因為其錢包使用的是 secp256k1，一種構造不同的曲線。它的定義方程式使用兩個小型固定數值，因此幾乎沒有空間讓人以未公開的方式調整參數。相比之下，P-256 包含一個 77 位數的數值，該數值源自 NSA 未加解釋的種子。密碼學家曾指出，secp256k1 的規格較簡單，是較不容易透過隱藏參數操弄埋入弱點的原因之一。

中本聰（Satoshi Nakamoto）從未公開解釋為何選擇 secp256k1；在 Bitcoin 讓它廣為人知之前，這條曲線也很少被使用。Ethereum 後來也採用了它。Bitcoin 在 2021 年的 Taproot 升級引入較新的簽章形式時，仍繼續使用這條曲線。

NSA 種子的發現並未觸及另一種截然不同的可能性：足夠強大的量子電腦可能威脅公鑰密碼學。具備能力的量子電腦或許能從 Bitcoin 區塊鏈上可見的公鑰反向推算出相關私密金鑰。這種風險源於量子運算的進展，而不是曲線參數的選擇方式。

硬體研究正在進步，但實際攻擊仍超出目前的能力範圍。Google 表示，其 Willow 晶片在這類機器所需的其中一個成本最高的步驟中，將錯誤率降低了 about 40-fold。這項成果與長期量子運算研究有關，但不代表已經有能破解 Bitcoin 金鑰的機器。目前沒有任何量子電腦的規模或可靠性足以做到這點，也沒有明確時間表能指出何時可能造出這種電腦。

這項發現對密碼學信任的意義

這起事件說明，透明度會影響人們對技術標準的信心。若關鍵參數的來源沒有文件記錄，即使系統在數學上可靠，也可能長期受到質疑。可驗證的解釋有助於區分可重現的設計流程與不透明的流程，但仍無法回答所有關於機構選擇或技術決策的問題。

AI 的貢獻在於搜尋並測試一條研究人員數十年來都無法突破的途徑。這項成果並不表示 AI 能獨立解決所有密碼學爭議，也不代表可以省略專家驗證。相反地，它展現了研究模型如何協助探索可能的解釋、重現計算，並將歷史資料與已知軟體行為連結起來。這項發現的價值在於，其他人可以獨立重新執行程式並檢視結果。

據報導，這項搜尋的獎金為 $36,864，將捐給 Internet Security Research Group；這個非營利組織是 Let’s Encrypt 背後的團體，為網站提供免費安全憑證。這筆獎金肯定了一項長期合作成果，許多研究人員在最終解釋出現前就已投入追查。

重點摘要表

後續……

下一步是讓密碼學標準從最初階段起就更容易接受稽核。未來的標準制定工作可受益於有文件記錄的參數產生程序、獨立審查，以及能說明特定數值為何獲選的可重現紀錄。這些做法無法消除所有安全風險，但可以降低不確定性，讓研究人員更容易區分刻意的設計決策與未經解釋的結果。

研究人員也應繼續檢視舊式亂數產生器，以及它們在軟體中的使用方式。lrand48 這條線索提醒我們，可預測性在某種情境下可能無害，在另一種情境下卻可能危險：公開重建標準參數，與使用可預測的產生器建立私密金鑰，兩者並不相同。清楚的指引，以及設計適當的現代亂數來源，對安全的實作仍至關重要。

AI 工具或許能透過搜尋歷史紀錄、測試假設和重現計算，協助調查其他技術問題。在安全關鍵領域，AI 的結論仍應接受獨立檢視。最有用的模式不是由 AI 取代密碼學家，而是讓新工具協助專家更快速、更廣泛且更容易重現地進行研究。

最後，應持續為量子運算做好長期準備，但不要誇大現今的能力。了解公鑰系統可能受到哪些影響、開發抗量子替代方案，以及審慎規劃轉換，都是值得進一步投入的重要工作。更廣泛的教訓是，對密碼學的信任同時仰賴強健的數學，以及透明、可測試的流程。