Ein internes Forschungsmodell des KI-Unternehmens Anthropic hat eines der langlebigsten Rätsel der modernen Kryptografie gelöst. Das System Claude führte die Seeds der weit verbreiteten NIST-Kurven auf den Standard-Zufallsgenerator lrand48 aus der C-Bibliothek zurück, der mit Unix-Zeitstempeln aus den Jahren 1997 und 1998 initialisiert worden war. Die computergestützte Analyse nahm dabei weniger als 30 Minuten in Anspruch.
Die betroffenen Kurvenparameter hatte das National Institute of Standards and Technology (NIST) im Jahr 2000 im Standard FIPS 186-2 ohne nähere Erläuterungen von der NSA übernommen. Seither hielten sich in der Fachwelt Spekulationen über absichtlich eingebaute Schwachstellen.
Zeitstempel aus den späten Neunzigerjahren
Die Untersuchung zeigt, dass die Seeds der Primkörper-Kurven P-192, P-224, P-256, P-384 und P-521 direkte Ausgaben des lrand48-Generators sind und nicht auf Hashes eines englischen Satzes basieren. Die Seeds lassen sich präzisen Zeitpunkten zwischen Mai 1997 und April 1998 zuordnen.
So entspricht die verbreitete Kurve P-256 dem Kandidaten 1842 eines Laufs, der am 16. August 1997 um 01:52:34 UTC gestartet wurde. Für P-192 ermittelte das Modell den Kandidaten 139 ab dem 18. Mai 1997, für P-224 den Kandidaten 7026 ab dem 3. April 1998, für P-384 den Kandidaten 2688 ab dem 30. August 1997 und für P-521 den Kandidaten 1136 ab dem 8. August 1997.
Die Seeds der binären Kurven verweisen rechnerisch auf den Februar 1984, wurden jedoch am 17. April 1998 verdoppelt, was laut Anthropic darauf hindeuten könnte, dass das damalige Erzeugungsprogramm die Systemuhr halbierte.
Nach Einschätzung von Anthropic bedeutet der Fund keinen kryptografischen Bruch und erfordert keine Anpassung bei der Nutzung des Signaturverfahrens ECDSA. Für Nutzer bestehe kein Handlungsbedarf. Das Szenario einer gezielten Hintertür verliere an Plausibilität: Eine von Forschern wie Bernstein und Lange postulierte Manipulationstechnik mit 70 Bit Freiheit sei ausgeschlossen; es verbleibe lediglich ein Spielraum von rund 30 Bit.
Neue KI-Technologien verändern die IT-Sicherheit rasant und werfen gleichzeitig komplexe regulatorische Fragen auf. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und neuen Bedrohungen Unternehmer jetzt im Blick behalten müssen. Cyber Security E-Book jetzt kostenlos herunterladen
Analysemethode und offene Fragen
Für die Rekonstruktion nutzte das Team einen Scanner für aufeinanderfolgende Generator-Ausgaben. Auffällig war dabei ein Null-Bit an oberster Stelle bei vier von zehn Seeds. Über eine LLL-Basisreduktion auf abgeschnittene Generator-Zustände gelang schließlich die Bestimmung der Ausgangswerte.
Ergänzend dazu zeigte sich, dass die Basispunkte von P-192 sowie der Kurven prime192v2/v3 und prime239v1–v3 aus dem FreeLIP-Zufallsgenerator stammen (mit den Seeds 20000, 20420, 20507, 20509, 20512 und 20517). Nach dem Initialisieren wurden jeweils sieben Ausgaben verworfen und x-Kandidaten aus 26-Bit-Werten modulo des Primkörpers bis zum Auftreffen auf die Kurve erzeugt.
Einige Details bleiben laut Anthropic ungeklärt: Dazu zählen der Seed der Kurve B-163, die Basispunkte von P-224, P-256, P-384 und P-521 sowie die Frage, warum bestimmte Zwischenkandidaten verworfen wurden. Im Fall von P-256 war beispielsweise bereits Kandidat 876 mathematisch valide, veröffentlicht wurde letztlich jedoch Kandidat 1842.
Auszahlung des Kopfgelds
Mit der Entdeckung beanspruchte ein Forschungsteam von Anthropic um Nicholas Carlini, Paul Crowley und Steve Weis am 15. Oktober 2026 um 01:07:51 UTC eine von Filippo Valsorda im Jahr 2023 ausgelobte Prämie.
Die Summe, ursprünglich 12.288 US-Dollar, war auf 36.864 US-Dollar verdreifacht worden und ging vollständig als Spende an die Betreiberorganisation von Let’s Encrypt, die Internet Security Research Group. Valsorda verifizierte die Berechnungen unabhängig in der Programmiersprache Go.
Während die Kryptografie Rätsel der Vergangenheit löst, müssen Unternehmen heute neue Anforderungen wie den EU AI Act bewältigen. Ein kostenloser Umsetzungsleitfaden bietet Ihnen jetzt den notwendigen Überblick über alle Fristen, Pflichten und Risikoklassen der neuen KI-Verordnung. Kompakten Leitfaden zur KI-Verordnung kostenlos sichern
Das Ergebnis blieb nicht ohne fachliche Diskussion: In Online-Foren wie Hacker News wandten Kommentatoren ein, dass eine nachträgliche Suche nach passenden Zeitstempeln ähnliche Resultate liefern könne. Andere Systeme wie Bitcoin sind von den Erkenntnissen unberührt: Die Kryptowährung setzt auf die Kurve secp256k1 mit fest definierten, einfachen Parametern, während P-256 eine 77-stellige Konstante aus den nun entschlüsselten NSA-Laufzeiten nutzt.