Claude раскрыл 25-летнюю тайну АНБ по криптографии за 30 минут

Есть задачи, которые годами висят в воздухе - не потому что они принципиально неразрешимы, а потому что никто не смотрел на них под нужным углом. История с начальными значениями кривых NIST для стандарта ECDSA - ровно такой случай. Двадцать пять лет специалисты по криптографии гадали, откуда взялись эти числа. Claude разобрался за двадцать восемь минут.

Что за тайна и почему она вообще возникла

В 2000 году NIST принял стандарт FIPS 186-2, который закрепил набор эллиптических кривых для цифровых подписей - это и есть ECDSA, сегодня один из наиболее широко используемых криптографических стандартов в мире. Кривые определяются через так называемый параметр seed: хеш от него задает коэффициент кривой. АНБ передало эти начальные значения в NIST без каких-либо пояснений - ни методологии, ни обоснования, просто числа.

Для примера: seed кривой P-256 выглядит как C49D360886E704936A6678E1139D26B7819F7E90. Откуда он взялся - неизвестно. Именно эта непрозрачность и породила многолетние подозрения: раз АНБ выбрало параметры втайне, значит, могло заложить туда бэкдор. После разоблачений Сноудена в 2013 году, когда выяснилось, что АНБ действительно ослабляло другие криптографические стандарты, эти подозрения только усилились.

Вокруг загадки сложилось небольшое любительское расследовательское сообщество, появился денежный приз за решение. Наиболее правдоподобной версией долгое время считалась история от Джерри Солинаса - многолетнего сотрудника АНБ, который предположил, что seeds получены хешированием какой-то шуточной фразы вроде "Give Bob and Jerry a raise". Солинас умер в 2023 году, не оставив точных деталей, а его коллеги по тому периоду тоже ничего не помнили.

Как Claude нашел ответ

В октябре 2026-го один из сотрудников Anthropic из любопытства задал внутренней исследовательской версии Claude вопрос о происхождении seeds - без подсказок и без указания на версию с шуточной фразой. Модель самостоятельно заметила паттерн: в верхних битах некоторых seeds систематически стоят нули. Это характерная черта генератора lrand48 - стандартной функции из библиотеки языка C, которая выдает только 31-битные значения.

Дальше Claude восстановил полную механику: генератор инициализировался Unix-временной меткой где-то между маем 1997 и апрелем 1998 года, затем из него последовательно извлекались блоки по 20 байт - каждый блок кандидат на роль seed. Для кривой P-256, например, потребовалось 1842 итерации, прежде чем генератор выдал то самое значение, которое попало в стандарт. Та же логика воспроизводит seeds для кривых P-192, P-224, P-384 и P-521.

Никакого хеширования. Просто таймер и стандартная функция из учебника по C.

Что это означает для безопасности

Anthropic подчеркивает: это не криптографическая атака и не уязвимость. Кривые по-прежнему безопасны. Но находка важна по другой причине - она снимает главный вопрос о намеренных бэкдорах.

Если бы АНБ хотело заложить слабость, оно подбирало бы параметры математически: искало кривые с особыми свойствами, удобными для взлома. Здесь же параметры получены тривиальным способом - взял системные часы, запустил lrand48, взял то, что вышло. Воспроизвести это может любой желающий, зная временной диапазон. По оценке Anthropic, это делает намеренный бэкдор значительно менее вероятным и оставляет меньше возможностей для скрытого подбора параметров.

Криптограф Нил Коблиц и Альфред Менезес в свое время написали целую статью об этой загадке под названием "A Riddle Wrapped in an Enigma" - теперь этот ридл закрыт.

Почему это важно за пределами одной загадки

Здесь есть два отдельных сюжета, которые легко смешать.

Первый - сугубо криптографический. ECDSA - один из наиболее широко используемых стандартов: TLS-сертификаты, SSH, подписи в блокчейнах, защита кода. Двадцать пять лет он работал под тенью подозрений. Теперь эта тень убрана - не полностью, но настолько, насколько возможно без машины времени и доступа к архивам АНБ 1997 года.

Второй сюжет - про то, что умеет делать Claude. Модель не просто перебирала варианты: она заметила статистический паттерн в данных, выдвинула гипотезу об источнике и верифицировала ее на всех пяти кривых. Это именно то, что называют reasoning - способность строить цепочки умозаключений по косвенным признакам. Человеческие исследователи, которые занимались этой задачей годами, имели больше контекста и мотивации. Claude не имел ни того ни другого - и справился быстрее.

Это не значит, что ИИ заменит криптографов. Но это хорошая иллюстрация того, где у него реальное преимущество: он не устает, не зацикливается на красивых версиях вроде "шуточной фразы", и замечает скучные технические паттерны там, где человек ищет что-то более изощренное.

Информация о находке подтверждена несколькими независимыми публикациями, включая официальный материал Anthropic с техническими деталями.