Claude 揭示 ECDSA 曲線起源之謎

Claude 解開 ECDSA 曲線種子的來歷

Anthropic 的前沿紅隊（Frontier Red Team）於 2026 年 10 月 16 日發表研究，宣布 Claude 找出 NIST 加密標準中 ECDSA 曲線種子（seed）的產生方式。來源文章的標題直接點出結論：這個困擾密碼學界數十年的謎題，原來「只是時間戳記」。

ECDSA 是使用最廣泛的橢圓曲線密碼標準之一。NIST 於 2000 年將其納入 FIPS 186-2 數位簽章標準，其中列出多組不同大小與安全等級的標準橢圓曲線。對於質數域與二進位域的曲線，規格書提供一個「種子」參數，其雜湊值用來定義曲線係數 b。這些種子由美國國家安全局（NSA）提供，但從未說明來源或理由，因此來歷長期受到質疑。以 NIST P-256 為例，其種子為 C49D3608 86E70493 6A6678E1 139D26B7 819F7E90，卻沒有任何來源資訊。

長達多年的傳聞與懸賞

Neal Koblitz 與 Alfred Menezes 曾撰文整理這場爭議，標題為〈A Riddle Wrapped in an Enigma〉。謎團一直沒解開，業餘研究者於是展開調查，也有人懸賞找出種子來源。

最好的一個說法，是已故 NSA 員工 Jerry Solinas 用一句帶點幽默的口令做雜湊，產生了種子。但 Solinas 在 2015 年的說法相當模糊：他說自己記得可能是計數器，而不是多次雜湊，訊息內容大意是「給 Bob 和 Jerry 加薪」或「Bob 和 Jerry 最強」之類。實際寫程式的 Bob Reiter 也記不清細節，當年的檔案也找不到。Solinas 於 2023 年去世，當時的其他同事也沒有回應，種子最初怎麼推導出來，始終沒有答案。

Claude 如何找到種子

Anthropic 內部曾有數位員工循著「幽默短句雜湊」的線索追查，都沒有成功，後來證明這個方向是錯的。2026 年 10 月，一位好奇的員工向內部研究模型提問：在不給任何線索的情況下，它能不能推算出這些種子是怎麼產生的。

據來源表示，Claude 不到半小時就找出 NIST P-192、P-224、P-256、P-384 與 P-521 種子的來源。這些種子不是任何雜湊演算法的輸出，而是 C 函式庫中 lrand48 亂數產生器的結果，初始值是 Unix 時間戳記。

Claude 的做法，是先推測產生曲線的軟體可能用了 1990 年代 C 函式庫附帶的偽亂數產生器（PRNG）。這類舊式產生器很脆弱，輸出可以被辨識。Claude 因此寫了掃描程式，逐位元滑過每組公開種子，檢查相鄰區塊是不是這類產生器的連續輸出。掃描涵蓋 34 種產生器與輸出切片的組合。

掃描時，Claude 注意到部分種子的高位元都是零。以五個 32 位元字來看，十組種子中有四組，每個字的最高位元都是零，依機率估算純屬巧合的機率為 1/5,810。這正是線性同餘產生器 lrand48 的特徵，因為它只回傳 48 位元狀態中的高 31 位元。Claude 接著對隱藏的 17 個位元窮舉 2¹⁷ 種可能，檢查後續四個字是否吻合，結果四組種子都成立。

質數曲線的種子同樣來自 lrand48，但每個輸出保留的位元較少。Claude 因此改用格基規約（LLL 演算法）還原產生器的內部狀態，並對所有可能的位元視窗都執行求解。結果顯示，五組 NIST 質數曲線種子與五組 ANSI X9.62 標準中的種子，都符合同一模式：`lrand48() >> 23`。每個還原出的 48 位元狀態，都能重現該種子完整的 160 位元，這不太可能是巧合。

這個線性同餘產生器的反向運算和正向一樣容易，所以 Claude 把每組種子的狀態倒推，直到符合 srand48 的初始化形式，也就是低 16 位元為 0x330E。不過來源指出，這種形式的內部狀態大約每 65,536 步就會出現一次，單憑這點不能當作證據。

真正的關鍵在時間戳記。十組質數曲線的 srand48 初始值，對應的日期都落在 1997 年 5 月至 1998 年 4 月之間。四組二進位曲線的初始值對應 1984 年 2 月；如果把時間戳記乘以二，則對應 1998 年 4 月 17 日，也就是 P-224 執行後兩週。來源推測，程式可能把時鐘值減半了。

基點的來源

每條曲線還有一個基點 G，所有 ECDSA 公鑰都是它的倍數。來源指出，前述種子無法決定這個基點，所以接著的問題是：基點是怎麼產生的？

檢查種子時，Claude 也找到部分基點的來源。1997 年 5 月產生的六條曲線，即 P-192 與 ANSI X9.62 的 prime192v2、prime192v3 與 prime239v1 至 v3，基點來自 Arjen Lenstra 的長整數運算套件 FreeLIP 中的亂數產生器。Victor Shoup 的 NTL 函式庫早期版本也附有相同程式碼。

來源描述的流程大致如下：以小整數設定產生器種子；丟棄七個輸出；從 26 位元輸出產生候選 x 座標，並對 p 取模；重複這個步驟，直到 x 落在曲線上。Claude 找出的種子值分別是：P-192 為 20000，prime239v1 至 v3 為 20420、20507 與 20509，prime192v2 與 v3 為 20512 與 20517。據來源所知，過去沒有任何 NIST 基點得到解釋。P-224、P-256、P-384 與 P-521 的基點不符合這套流程，作者也無法說明它們是怎麼選出來的。

尚未解答的問題

來源坦承仍有未解之處。並非每個候選種子都能產生可用的曲線，部分看似可行的曲線被跳過了。例如 P-256 的公開種子是第 1,842 個候選，但同一次執行中的第 876 個候選，也能產生階數為質數、大小正確、參數選法相同的曲線。P-224 的執行略過了三條這類曲線，ANSI X9.62 範例曲線的兩次執行又略過了七條。作者不知道當時採用什麼標準，也無法確定這是不是無意間留下的痕跡。

作者認為，被跳過的候選數量很少，不太可能是刻意挑選弱化曲線；若真是如此，就意味著弱化曲線很常見又容易找到。不過，若要用搜尋時間戳記的方式選出具有特定性質的曲線，仍有可能，但來源指出，這麼做只有在想拿時間戳記當作「種子是無害產生」的證據時才有意義。來源也說明，光看數字無法知道曾經執行過多少次。

此外，有一組種子至今無法還原：第五個二進位種子 B-163，Claude 試過的所有方法都對不上，仍無法解釋。P-224、P-256、P-384 與 P-521 的基點如何產生，作者也不清楚；NIST 二進位曲線的基點同樣未知。

懸賞與致謝

找出種子的懸賞金為 36,864 美元，來源表示將全數捐給 Internet Security Research Group。

本研究由 Anthropic 的 John Wood、Henry de Valence、Ava Howell、Zack Voase、Lucy Sweet、Amir Omidi、Paul Crowley、Iain McGinniss、Nicholas Carlini 與 Steve Weis 共同完成。作者們也追念已故的 Jerry Solinas，稱讚他面對「邪惡網路迷因」與「NSA 壞人代表」這類標籤時，始終以幽默態度看待。另外感謝 Filippo Valsorda 組織 NIST 橢圓曲線種子懸賞活動。

來源另附上可重現種子與部分基點的程式碼，以 CC0 1.0 公眾領域授權釋出。