ClaudeがECDSA曲線の公開シードを再現、起点は時刻

Anthropicは10月16日、Claudeの社内研究モデルが、電子署名規格ECDSAで使われる複数の公開シードを、時刻と古いCライブラリの擬似乱数生成器から再現したと発表しました。暗号を破る新たな攻撃や秘密鍵の流出を示す発見ではなく、利用者が設定を変えたり鍵を交換したりする必要はありません。

なぜ公開シードの由来が問われていたのか

ECDSAは、データの署名者や改ざんの有無を確かめるための電子署名規格です。米国立標準技術研究所（NIST）が2000年に採用した曲線には、NSAが提供したシード値が公開されていましたが、その値をどう選んだかは説明されていませんでした。意図的な弱点を持つ曲線が選ばれた可能性はないのか、という疑問が長く残っていたのです。

ここでいうシードは、皆が使う曲線の形を定めるための公開値で、利用者の秘密鍵や署名時に使う秘密の乱数とは別物です。その来歴に古い生成器が使われていても、秘密鍵の生成に弱い乱数を使ってよいわけではありません。

1990年代のソフトウェアに残った手がかり

同社によると、社員の問いかけを受けたモデルは、30分足らずでNISTのP-192、P-224、P-256、P-384、P-521のシードの生成方法を見つけました。これは、この5曲線についての発見までの時間であり、調査全体を終えるまでの所要時間ではありません。

Claudeは1990年代のCソフトウェアを想定し、公開値に残る出力パターンから、擬似乱数生成器lrand48の内部状態を復元しました。その初期化に使われたのは、時刻を数値で表すUnixタイムスタンプでした。

復元した時刻と生成手順を使うと、NISTの5曲線に加え、ANSI X9.62の5つの例示曲線でも公開シードを再現できたと報告されています。秘密の鍵を推測したのではなく、公開済みの値を生んだ過去の計算をたどった研究です。

由来は見えても、選定理由には空白が残る

Anthropicは、単純で再現可能な生成方法が分かったことで、意図的な弱点を仕込んだ曲線が選ばれた可能性は低くなったと評価しています。ただし、すべての曲線の安全性を数学的に証明したという結論ではありません。

B-163のシードは未解明です。また、公開鍵の計算に共通して使う曲線上の点である「基点」についても、P-224、P-256、P-384、P-521とNISTの二進体上の曲線では生成方法が分かっていません。条件を満たすように見える候補の曲線を、一部見送った理由も不明です。

研究ページには、再現できた公開シードに加え、P-192と5つのANSI例示曲線の基点を再現するコードと出力結果も掲載されています。詳しい生成手順を追いたい人は、実際の計算内容まで参照できます。