Claude AI ontrafelt 25 jaar oud mysterie rond NSA-cryptoseed

Al decennia lang waren enkele van ’s werelds slimste cryptografen op jacht naar een spook. Vijf wiskundige krommen die worden gebruikt om internetcommunicatie te beveiligen, bevatten mysterieuze getallen die waren aangeleverd door de National Security Agency (NSA), en niemand kon op bevredigende wijze verklaren waar die getallen vandaan kwamen. De theorieën varieerden van vergeten grappen tot opzettelijk ingebouwde zwakke plekken. Toen waagde Claude AI van Anthropic zich aan de puzzel en traceerde de getallen naar een oud computerprogramma en tijdstempels die bijna drie decennia teruggaan.

Een 25 jaar oud mysterie met de NSA in het middelpunt

Het verhaal begint eind jaren negentig, toen wiskundigen standaarden ontwikkelden voor cryptografie met elliptische krommen, een methode om digitale informatie te beveiligen met behulp van geavanceerde wiskunde. Vijf krommen, bekend als P-192, P-224, P-256, P-384 en P-521, werden uiteindelijk onderdeel van standaarden die werden gepubliceerd door het National Institute of Standards and Technology (NIST). Hun wiskundige basis hielp bij het beveiligen van websites, financiële transacties en overheidscommunicatie.

Maar hier komt de clou. Elke kromme was geconstrueerd met behulp van een mysterieus 160-bits startgetal, een zogenaamd ‘seed’. Iedereen kon de wiskundige procedure verifiëren die was gebruikt om de krommen te genereren, maar niemand wist hoe de NSA die oorspronkelijke getallen had gekozen. Die onbeantwoorde vraag wakkerde speculaties aan dat het agentschap mogelijk opzettelijk seeds had geselecteerd om een zwakke plek te verbergen die alleen zijn eigen specialisten konden uitbuiten.

Cryptografen Neal Koblitz en Alfred Menezes onderzochten de controverse in hun artikel uit 2015, „A Riddle Wrapped in an Enigma“. Er is nooit een praktische achterdeur aangetoond, maar het mysterie bleef voortduren.

De geheime zin die blijkbaar nooit heeft bestaan

Jarenlang draaide de gangbare verklaring om NSA-wiskundige Jerry Solinas, die naar verluidt de oorspronkelijke startwaarden had aangeleverd. Solinas en anderen herinnerden zich dat de getallen waren gegenereerd door humoristische Engelse zinnen te hashen, mogelijk iets in de trant van „Jerry deserves a raise“. Hashen zet informatie om in een wiskundige vingerafdruk van vaste lengte. Helaas kon niemand zich de exacte zinnen herinneren, en de oorspronkelijke computer was naar verluidt vervangen.

Solinas probeerde zelf het proces te reconstrueren, maar zonder succes. Het mysterie kreeg uiteindelijk een prijskaartje. In oktober 2023 loofde cryptograaf Filippo Valsorda een beloning van 12.288 dollar uit voor iedereen die de oorsprong van de startwaarden kon verklaren. Dankzij een liefdadigheidsregeling waarbij het bedrag werd verdubbeld, liep de potentiële uitbetaling op tot 36.864 dollar. Drie jaar lang werd het geld niet opgeëist. Toen kwam Claude in beeld.

Claude vindt het antwoord dat voor het grijpen lag

Volgens onderzoek van Anthropic dat op 16 oktober werd gepubliceerd, vroeg een medewerker aan een intern Claude-onderzoeksmodel om de seeds te onderzoeken, zonder de al lang bestaande theorie over de geheime zin te noemen. Het model begon patronen te onderzoeken die verband hielden met oudere computerprogramma’s. Eén aanwijzing sprong er meteen uit. Verschillende startwaarden bevatten groepen getallen waarvan de hoogste bits consequent nul waren, een patroon dat met een kans van ongeveer 1 op 5.810 willekeurig zou kunnen voorkomen.

Dat wees in de richting van lrand48, een pseudowillekeurige getallengenerator die veel voorkomt in programmeeromgevingen uit het Unix-tijdperk. In tegenstelling tot echt willekeurige processen produceren pseudo-willekeurige generatoren voorspelbare reeksen zodra hun startwaarden bekend zijn. Claude werkte de wiskunde terug, reconstrueerde de interne toestanden van de generator en reproduceerde de gepubliceerde startwaarden exact. Toen kwam de echte knaller.

De startwaarden kwamen overeen met Unix-tijdstempels, gewone numerieke weergaven van datums en tijden, uit 1997 en 1998. De vastgelegde redenering van het model weerspiegelde zijn eigen schijnbare ongeloof. „Dit is verbazingwekkend: het lost het 25 jaar oude mysterie op.” De hele operatie nam minder dan 30 minuten in beslag.

Vijf krommen, vijf tijdstempels en één buitengewone overeenkomst

De teruggevonden startwaarden leidden de vijf NIST-primveldkrommen terug naar specifieke datums tussen mei 1997 en april 1998. P-192 was afkomstig van een tijdstempel dat overeenkwam met 18 mei 1997, terwijl P-521 terug te voeren was op 8 augustus van dat jaar. P-256 volgde op 16 augustus, P-384 op 30 augustus en P-224 op 3 april 1998. De werkwijze was bijna belachelijk eenvoudig. Initialiseer een gewone random-number generator met een tijdstempel, genereer kandidaat-seeds, toets deze aan wiskundige vereisten en blijf zoeken totdat er een acceptabele curve naar voren komt.

Voor P-256 verscheen het geaccepteerde startgetal bij kandidaat 1.842. Voor P-224 waren er 7.026 kandidaten nodig. De overeenkomsten waren exact: alle 160 bits van de gepubliceerde startgetallen werden gereproduceerd, in plaats van dat er alleen maar gelijkaardig ogende getallen werden gegenereerd. Valsorda heeft de resultaten onafhankelijk gereproduceerd met behulp van de programmeertaal Go, waarmee hij de bevindingen bevestigde. Anthropic heeft ook code vrijgegeven waarmee anderen het werk kunnen controleren. De resultaten leveren sterk wiskundig bewijs voor de generatiemethode, hoewel ze niet precies vaststellen wie de oorspronkelijke software heeft bediend of waarom bepaalde kandidaten werden afgewezen.

Wat deze ontdekking betekent voor de internetbeveiliging

De implicaties zijn geruststellend, hoewel ze geen universele veiligheidsgarantie vormen. Een al lang bestaande zorg betrof de mogelijkheid dat de NSA bij het selecteren van startwaarden voldoende vrijheid had om opzettelijk wiskundig kwetsbare krommen te kiezen. Het gereconstrueerde proces lijkt veel minder keuzemogelijkheden te hebben geboden dan sommige hypothetische aanvallen zouden vereisen. De onderzoekers van Anthropic schatten, uitgaande van ruime aannames, de selectievrijheid op ongeveer 30 bits, aanzienlijk minder dan de ongeveer 70 bits waarmee in één voorgesteld scenario voor het selecteren van zwakke punten werd gerekend.

Dat maakt deze specifieke achterdeurtheorie aanzienlijk minder aannemelijk. Belangrijk is dat de ontdekking de cryptografie met elliptische krommen niet ondermijnt, noch aantoont dat elke mogelijke zwakte is uitgesloten. Het heeft ook geen directe invloed op Bitcoin of Ethereum, die een andere elliptische kromme gebruiken, genaamd secp256k1.

Gregory Maxwell gooit koud water op het grote moment van Claude

Interessant genoeg reageerde Bitcoin-ontwikkelaar Gregory Maxwell minder enthousiast; hij beweerde op Hackernews dat hij op 20 september al had voorgesteld om hetzelfde cryptografische mysterie te onderzoeken aan een vriend met aflopende Anthropic AI-credits. De AI-agent van die vriend besteedde uren aan het probleem zonder succes, waardoor Maxwell niet onder de indruk was van de redeneervaardigheden ervan.

Maxwell, een uitgesproken criticus van de AI-aanpak van Anthropic, vroeg zich af of het bedrijf de modelcapaciteiten van zijn vriend had beperkt en stak de draak met de publiciteit rond de ontdekking van Claude. Hij ging niet zo ver om de eer op te eisen of de bevindingen te betwisten, maar suggereerde dat het verschil in resultaten wellicht simpelweg te maken had met de manier waarop de AI was aangestuurd.

„Ik zeg dit niet om te suggereren dat misanthropic weer eens andermans werk heeft gekaapt – dit is een voor de hand liggende vraag die veel mensen zich ongetwijfeld hebben gesteld en het succes hing vermoedelijk af van deskundig gebruik (wat in het voorbeeld van mijn vriend absoluut niet het geval was)”, schreef Maxwell. "Maar ik vraag me wel af of het bedrijf de prestaties van het model onopgemerkt heeft verslechterd."

De beloning wordt uitbetaald, maar er blijven vragen

De ontdekking maakte eindelijk een einde aan de drie jaar oude uitdaging van Valsorda. Het team van Anthropic heeft de beloning van 36.864 dollar toegekend aan de Internet Security Research Group, die Let’s Encrypt beheert. Valsorda beschreef de ontdekking als iets dat „helpt een bladzijde uit de cryptografische geschiedenis in te vullen, en ons vertrouwen in deze cruciale cryptografische primitieven versterkt.” Er blijven nog enkele losse eindjes over. Onderzoekers hebben nog niet volledig uitgelegd waarom sommige wiskundig aanvaardbare kandidaten werden afgewezen, en de oorsprong van de seed van een andere curve, B-163, blijft onopgelost.

Toch lijkt het centrale mysterie opgelost. Na decennia van verdenkingen, speculaties en mislukte pogingen om een zogenaamd vergeten geheime zin te reconstrueren, bleek het antwoord verborgen te zitten in een gewone computerroutine uit de jaren negentig. De mysterieuze getallen van de NSA verborgen niet per se een ingewikkeld geheim. Misschien hielden ze gewoon de tijd bij.