ИИ «Клод» раскрыл тайну семеневого криптоключа АНБ спустя 25 лет

На протяжении десятилетий некоторые из самых блестящих криптографов мира гонялись за призраком. Пять математических кривых, используемых для защиты интернет-связи, содержали загадочные числа, предоставленные Агентством национальной безопасности (АНБ), и никто не мог удовлетворительно объяснить, откуда эти числа взялись. Теории варьировались от забытых шуток до намеренно заложенных уязвимостей. Затем ИИ Claude от компании Anthropic взялся за разгадку этой головоломки и проследил эти числа до старой компьютерной программы и временных меток, датируемых почти тремя десятилетиями назад.

25-летняя загадка с АНБ в центре

История начинается в конце 1990-х годов, когда математики разрабатывали стандарты для криптографии на основе эллиптических кривых — метода защиты цифровой информации с использованием сложных математических методов. Пять кривых, известные как P-192, P-224, P-256, P-384 и P-521, в конечном итоге стали частью стандартов, опубликованных Национальным институтом стандартов и технологий (NIST). Их математические свойства помогали обеспечивать безопасность веб-сайтов, финансовых транзакций и правительственной связи.

Но вот в чём загвоздка. Каждая кривая была построена с использованием загадочного 160-битного начального числа, называемого «семенем». Любой мог проверить математическую процедуру, использованную для построения кривых, но никто не знал, как АНБ выбрало эти исходные числа. Этот оставшийся без ответа вопрос подпитывал спекуляции о том, что агентство, возможно, намеренно выбрало такие начальные числа, чтобы скрыть уязвимость, которой могли воспользоваться только его собственные специалисты.

Криптографы Нил Коблиц и Альфред Менезес рассмотрели эту полемику в своей статье 2015 года «Загадка, обернутая в тайну». Никакого практического «бэкдора» так и не было обнаружено, но тайна не хотела угасать.

Секретная фраза, которой, по-видимому, никогда не существовало

На протяжении многих лет преобладающим объяснением была версия, связанная с математиком АНБ Джерри Солинасом, который, как сообщалось, предоставил исходные начальные значения. Солинас и другие вспоминали, что числа были сгенерированы путем хеширования юмористических английских фраз, возможно, чего-то вроде «Джерри заслуживает повышения». Хеширование преобразует информацию в математический отпечаток фиксированной длины. К сожалению, никто не помнил точных фраз, а исходный компьютер, как сообщалось, был заменен.

Сам Солинас пытался воссоздать этот процесс, но безуспешно. В конце концов за разгадку этой тайны была назначена награда. В октябре 2023 года криптограф Филиппо Вальсорда объявил награду в размере 12 288 долларов любому, кто сможет объяснить происхождение начальных значений. Благотворительная программа удвоения суммы увеличила потенциальную выплату до 36 864 долларов. В течение трёх лет никто не претендовал на эти деньги. Затем на сцену вышел Клод.

Клод находит ответ, скрытый на виду

Согласно исследованию Anthropic, опубликованному 16 октября, один из сотрудников попросил внутреннюю исследовательскую модель Claude изучить начальные значения, не упоминая о давно существующей теории секретной фразы. Модель начала анализировать закономерности, связанные со старыми компьютерными программами. Одна зацепка сразу же бросилась в глаза. Несколько начальных значений содержали группы чисел, старшие биты которых неизменно равнялись нулю — паттерн, вероятность случайного появления которого составляет примерно 1 к 5 810.

Это указывало на lrand48 — генератор псевдослучайных чисел, широко распространенный в программных средах эпохи Unix. В отличие от подлинно случайных процессов, псевдослучайные генераторы производят предсказуемые последовательности, как только становятся известны их начальные значения. «Клод» проанализировал математику в обратном порядке, восстановил внутренние состояния генератора и точно воспроизвёл опубликованные начальные значения. А затем произошло самое удивительное.

Начальные значения соответствовали временным меткам Unix — обычным числовым представлениям дат и времени — из 1997 и 1998 годов. Записанные рассуждения модели отражали её собственное явное недоверие: «Это поразительно: это решает 25-летнюю загадку». Всё это заняло менее 30 минут.

Пять кривых, пять временных меток и одно поразительное совпадение

Восстановленные начальные значения позволили отследить пять кривых NIST с простыми полями до конкретных дат в период с мая 1997 года по апрель 1998 года. Кривая P-192 происходила из временной метки, соответствующей 18 мая 1997 года, а кривая P-521 — от 8 августа того же года. P-256 последовала 16 августа, P-384 — 30 августа, а P-224 — 3 апреля 1998 года. Очевидный алгоритм был почти до смешного прост. Инициализировать обычный генератор случайных чисел с помощью временной метки, генерировать возможные начальные значения, проверять их на соответствие математическим требованиям и продолжать поиск до тех пор, пока не появится приемлемая кривая.

Для P-256 приемлемое начальное число появилось на 1 842-м кандидате. Для P-224 потребовалось 7 026 кандидатов. Совпадения были точными: воспроизводились все 160 битов опубликованных начальных чисел, а не просто генерировались похожие на них числа. Вальсорда независимо воспроизвел эти результаты с помощью языка программирования Go, подтвердив полученные выводы. Компания Anthropic также опубликовала исходный код, позволяющий другим специалистам проверить эту работу. Полученные результаты служат весомым математическим доказательством эффективности метода генерации, хотя они не позволяют точно установить, кто именно управлял исходным программным обеспечением и почему некоторые кандидаты были отклонены.

Что это открытие означает для безопасности в Интернете

Эти выводы вселяют уверенность, хотя и не являются универсальной гарантией безопасности. Одно из давних опасений касалось возможности того, что АНБ обладало достаточной свободой при выборе начальных значений, чтобы намеренно выбирать математически уязвимые кривые. Восстановленный процесс, по-видимому, предлагал гораздо меньше вариантов, чем потребовалось бы для некоторых гипотетических атак. Исследователи из Anthropic оценили свободу выбора примерно в 30 бит при оптимистичных допущениях, что значительно меньше примерно 70 бит, предусмотренных в одном из предложенных сценариев выбора уязвимостей.

Это делает данную теорию о «бэкдоре» гораздо менее правдоподобной. Важно отметить, что это открытие не подрывает криптографию на основе эллиптических кривых и не доказывает, что все возможные уязвимости были исключены. Оно также не затрагивает напрямую Bitcoin или Ethereum, которые используют другую эллиптическую кривую под названием secp256k1.

Грегори Максвелл остудил энтузиазм по поводу «великого момента» Клода

Интересно, что разработчик Биткойна Грегори Максвелл выразил менее восторженное мнение, заявив на Hackernews, что 20 сентября он предложил исследовать ту же криптографическую загадку своему другу, у которого истекали кредиты Anthropic AI. ИИ-агент этого друга часами работал над проблемой безрезультатно, в результате чего Максвелл остался не впечатлен его способностями к логическому мышлению.

Максвелл, явный критик подхода Anthropic к ИИ, выразил сомнение в том, не ограничила ли компания возможности модели его друга, и подшутил над ажиотажем вокруг открытия Клода. Он не стал приписывать себе заслуги или оспаривать выводы, предположив, что разница в результатах может просто отражать то, как был настроен ИИ.

«Я говорю это не для того, чтобы намекнуть, что Misanthropic в очередной раз присвоил чужую работу — это очевидный вопрос, который, несомненно, задавали многие, и успех, по-видимому, зависел от грамотного использования (которого в примере моего друга явно не было)», — написал Максвелл. «Но это заставляет меня задуматься, не ухудшила ли компания незаметно производительность модели».

Награда выплачена, но вопросы остаются

Это открытие наконец-то разрешило стоявший перед Валсордой три года назад вызов. Команда Anthropic направила вознаграждение в размере 36 864 долларов в адрес Internet Security Research Group, которая управляет проектом Let's Encrypt. Валсорда охарактеризовал это открытие как нечто, что «помогает заполнить страницу истории криптографии и укрепляет нашу уверенность в этих критически важных криптографических примитивах». Осталось несколько нерешенных вопросов. Исследователи до конца не объяснили, почему некоторые математически приемлемые варианты были отброшены, а происхождение начального значения другой кривой, B-163, по-прежнему остается невыясненным.

Тем не менее, главная загадка, похоже, разгадана. После десятилетий подозрений, спекуляций и неудачных попыток восстановить якобы забытую секретную фразу, ответ оказался в обычной компьютерной программе 1990-х годов. Загадочные числа АНБ не обязательно скрывали какой-то сложный секрет. Возможно, они просто отсчитывали время.