साल 2000 से खुला पड़ा सवाल
एंथ्रोपिक ने 16 अक्टूबर को बताया कि क्लॉड के एक आंतरिक शोध मॉडल ने आधे घंटे से कम समय में NIST की पाँच इलिप्टिक कर्व — P-192, P-224, P-256, P-384 और P-521 — की सीड बनाने की विधि दोबारा खोज ली। सीड हैश का आउटपुट नहीं हैं, जैसा सबसे प्रचलित व्याख्या मानती थी। एंथ्रोपिक के लेख के अनुसार वे lrand48 का आउटपुट हैं, यानी सी की मानक लाइब्रेरी का यादृच्छिक संख्या जनरेटर, जिसे एक यूनिक्स टाइमस्टैम्प से शुरू किया गया था।
सीड इसलिए मायने रखती हैं क्योंकि उनसे बनी कर्व ECDSA को संभालती हैं, वही हस्ताक्षर योजना जो TLS, कोड साइनिंग और क्रिप्टो वॉलेट में इस्तेमाल होती है। NIST ने 2000 में FIPS 186-2 के तहत ECDSA अपनाया और हर कर्व के लिए एक सीड प्रकाशित की, जिसका हैश कर्व का एक गुणांक तय करता है। NSA ने ये सीड बिना यह बताए दीं कि वे कहाँ से आईं, जिससे यह संदेह बना रहा कि किसी ने तब तक खोज की जब तक ऐसी कर्व न मिल जाए जिसकी कमज़ोरी सिर्फ़ उसे पता हो।
मॉडल ने क्या किया
एंथ्रोपिक के मुताबिक मॉडल ने पहले यह परखा कि सीड 1990 के दशक में उपलब्ध जनरेटरों के आउटपुट जैसी लगती हैं या नहीं। कुछ सीड के ऊपरी सभी बिट शून्य थे, जो lrand48 की पहचान है। इसके बाद उसने प्राइम कर्व की सीड के लिए जनरेटर की आंतरिक स्थिति लैटिस रिडक्शन से निकाली।
जो शुरुआती स्थितियाँ निकलीं, वे घड़ी की रीडिंग हैं। P-192 और दो जुड़ी कर्व 18-05-1997 की 14:45:34 पर जाती हैं; P-521 08-08-1997 की 01:12:04 पर; P-256 16-08-1997 की 01:52:34 पर, उस रन का 1,842वाँ उम्मीदवार; P-384 30-08-1997 की 14:50:08 पर; और P-224 03-04-1998 की 12:52:07 पर। NIST की चार बाइनरी कर्व 17 अप्रैल 1998 पर आती हैं, लेकिन तभी जब टाइमस्टैम्प को आधा कर दिया जाए, जिससे लगता है कि उन्हें बनाने वाले प्रोग्राम ने घड़ी का मान आधा किया था।
मॉडल ने छह बेस पॉइंट का स्रोत भी खोजा — P-192 और पाँच जुड़ी कर्व के — जो FreeLIP के जनरेटर में है, आर्येन लेनस्ट्रा का लंबे पूर्णांकों का अंकगणित पैकेज, सीड 20000, 20420, 20507, 20509, 20512 और 20517 के साथ।
पुरानी व्याख्या क्या कहती थी
प्रमुख सिद्धांत NSA के गणितज्ञ जेरी सोलिनास से आया था, जिन्होंने इन कर्व पर काम किया। 2015 में उन्होंने कहा था कि सीड एक मज़ाकिया वाक्य के हैश हैं, कुछ ऐसा कि “बॉब और जेरी की तनख़्वाह बढ़ाओ”, और कोड एक सहकर्मी ने लिखा था। उस दौर का कोई अभिलेख नहीं मिला और सोलिनास का 2023 में निधन हो गया। एंथ्रोपिक कहती है कि उसके कर्मचारियों ने इस सुराग का पीछा किया, सफलता नहीं मिली, और तब समस्या एक मॉडल के सामने रखी गई।
अब भी क्या खुला है
एंथ्रोपिक के लेख में गिनाया गया है कि मॉडल ने क्या हल नहीं किया: P-224, P-256, P-384, P-521 और NIST की बाइनरी कर्व के बेस पॉइंट; पाँचवीं बाइनरी सीड B-163; और यह कि कुछ वैध उम्मीदवार क्यों छोड़ दिए गए, जिनमें P-256 का उम्मीदवार 876 है।
कंपनी साफ़ कहती है कि यह “कोई क्रिप्टोग्राफ़िक सेंध, नया हमला या ECDSA कर्व की कमज़ोरी नहीं है”, और पाठकों को कुछ करने की ज़रूरत नहीं है। उसका तर्क है कि इस नतीजे से जानबूझकर रखे पिछले दरवाज़े की संभावना बहुत घट जाती है, क्योंकि सीड बहुत सरल तरीके से बनीं और कम उम्मीदवार छोड़े गए — साथ ही वह जोड़ती है कि यह नहीं नकारा जा सकता कि कुछ टाइमस्टैम्प परिणामी कर्व की किसी विशेषता के लिए चुने गए हों।
आगे क्या देखना है
एंथ्रोपिक ने पायथन कोड प्रकाशित किया है जो सीड और छह बेस पॉइंट दोबारा बनाता है, CC0 लाइसेंस के तहत, इसलिए जो चाहे इसे चलाकर जाँच सकता है। उसके लेख में अपनी कोई स्वतंत्र पुष्टि दर्ज नहीं है। जवाब के लिए रखा 36,864 डॉलर का इनाम, जिसे फ़िलिप्पो वालसोर्डा ने जुटाया, इंटरनेट सिक्योरिटी रिसर्च ग्रुप को जाएगा। बाक़ी बेस पॉइंट और B-163 सीड अगली चीज़ें हैं जो गिरेंगी, या नहीं गिरेंगी।
