Claude가 추적한 ECDSA 시드, 시작은 컴퓨터 시계였다

앤트로픽은 10월 17일(한국시간) 공개한 연구에서 Claude 내부 연구용 모델로 일부 NIST 타원곡선의 공개 시드가 어떻게 만들어졌는지 찾아냈다고 밝혔습니다. 오래된 C 라이브러리의 난수 생성기를 컴퓨터 시계의 시각 정보로 초기화하자 표준에 실린 값이 재현됐다는 설명입니다.

새로운 공격이나 개인키 유출을 알리는 발표는 아닙니다. 이번 연구 때문에 이용자가 비밀번호·키를 바꾸거나 보안 패치를 적용할 필요는 없습니다.

공개된 시드의 출처가 궁금했던 이유

ECDSA는 타원곡선을 이용하는 전자서명 표준입니다. 서명은 데이터가 서명한 당사자에게서 왔고 변조되지 않았는지 확인하는 데 쓰입니다. NIST는 2000년 FIPS 186-2에 해당 곡선들을 채택했습니다.

NSA가 제공한 시드는 곡선의 공통 수학 규칙을 정하는 데 쓰이는 공개 값이지만, 당시에는 그 출처가 설명되지 않았습니다. 이 때문에 의도적으로 약점이 있는 곡선을 고른 것은 아닌지 의문이 이어졌습니다. 여기서 말하는 시드는 이용자의 비밀 서명키나 서명할 때 쓰는 비밀 난수와는 다릅니다.

1990년대 난수 생성기의 흔적을 따라

앤트로픽에 따르면 내부 연구용 모델은 직원의 질문을 받은 뒤 30분이 채 지나기 전에 P-192·P-224·P-256·P-384·P-521 시드의 생성 방식을 찾아냈습니다. 모델은 1990년대 C 소프트웨어에서 쓰던 난수 생성기의 출력 패턴을 찾고, 그 내부 상태를 복원하는 방향으로 접근했습니다.

찾아낸 생성기는 C 라이브러리의 lrand48였습니다. 시간을 숫자로 나타낸 값인 유닉스 타임스탬프로 초기화하면, 같은 순서의 출력을 따라가며 공개된 시드를 재현할 수 있다는 것입니다.

회사 측은 이 다섯 NIST 곡선과 ANSI 표준의 예제 곡선 다섯 개에서 같은 생성 패턴을 찾았으며, 재현 코드와 출력값도 공개했습니다. 다만 공개된 설계값의 이력을 알아낸 결과가 이 오래된 생성기를 개인키나 서명용 비밀 난수에 써도 된다는 뜻은 아닙니다.

건너뛴 후보와 아직 풀리지 않은 기준점

곡선에는 공개키 계산의 기준이 되는 점인 ‘기준점’도 정해져 있으며, 앞서 찾은 시드만으로 이 점까지 결정되지는 않습니다. 앤트로픽은 P-192와 ANSI 예제 곡선 다섯 개의 기준점도 옛 정수 연산 패키지 FreeLIP의 난수 생성기로 설명했습니다.

하지만 B-163의 시드는 찾지 못했고, P-224·P-256·P-384·P-521과 NIST 이진체 곡선들의 기준점 생성 방식도 미해결입니다. 생성 과정에서 쓸 수 있어 보이는 곡선 후보 일부를 건너뛴 이유와 선정 기준 역시 알려지지 않았습니다.

앤트로픽은 단순하고 재현 가능한 생성 경로가 드러나면서 의도적으로 약점을 심었을 가능성이 낮아졌다고 평가했습니다. 이는 곡선에 대한 신뢰를 높인다는 회사 측의 해석이며, 모든 곡선과 파라미터의 안전성을 수학적으로 증명했다는 결론은 아닙니다.