Claude راز بذر منحنی‌های NIST را باز کرد؛ از زمان یونیکس ۱۹۹۷ تا جایزه‌ی ۳۶ هزار دلاری

بیش از دو دهه، بذرهای منحنی‌های بیضوی NIST مثل یک معمای باز در دنیای رمزنگاری مانده بودند. حالا Anthropic می‌گوید Claude این اعداد را به یک مولد عدد تصادفی قدیمی و زمان یونیکس سال‌های ۱۹۹۷ و ۱۹۹۸ رسانده است.

۱. ماجرا چیست و چرا مهم است؟

شرکت Anthropic اعلام کرد که تیمی از پژوهشگرانش توانسته منشأ «بذر» منحنی‌های بیضوی استاندارد NIST را پیدا کند. این منحنی‌ها همان‌هایی هستند که در استاندارد FIPS 186-2 در سال ۲۰۰۰ منتشر شدند و از آن زمان در بخش بزرگی از ارتباطات امن اینترنتی، از گواهی‌های TLS تا امضای دیجیتال، استفاده شده‌اند.

بذر در اینجا یعنی یک عدد ۲۰ بایتی که به‌عنوان نقطه‌ی شروع تولید پارامترهای منحنی به‌کار رفته است. اگر بذر از یک فرایند شفاف و قابل‌اثبات آمده باشد، مطمئن می‌شویم طراح نمی‌توانسته منحنی را عمداً ضعیف کند. اما برای NIST این فرایند هیچ‌وقت به‌طور کامل توضیح داده نشده بود، و همین خلأ سال‌ها سوءظن ایجاد کرد.

این خبر به دسته‌ی اخبار هوش مصنوعی هم مربوط است، چون نشان می‌دهد مدل‌های زبانی فقط متن نمی‌نویسند و می‌توانند در مسائل فنی و پژوهشی سخت هم نقش جدی بازی کنند.

۲. معمایی که بیش از دو دهه باز مانده بود

روایت رایج این بود که بذرها نتیجه‌ی هش کردن یک جمله‌ی انگلیسی بوده‌اند. گفته می‌شد جری سولیناس، رمزنگار قدیمی NSA که در سال ۲۰۲۳ درگذشت، در سال ۱۹۹۷ جمله‌ای را هش کرده و بعدها آن را فراموش کرده است. پژوهشگران و علاقه‌مندان سال‌ها برای پیدا کردن این جمله تلاش کردند و به نتیجه نرسیدند.

فیلیپو والسوردا حدود سه سال پیش جایزه‌ای برای حل این معما اعلام کرد. هدف ساده بود: اگر کسی نشان دهد بذرها از کجا آمده‌اند، یکی از قدیمی‌ترین سؤال‌های بی‌پاسخ رمزنگاری مدرن بسته می‌شود.

۳. کشف چگونه انجام شد؟

بر اساس گزارش Anthropic، وقتی جست‌وجوی مبتنی بر جمله‌ها شکست خورد، مدل مسئله را از سمت مولد بررسی کرد. یکی از سرنخ‌ها الگوی عجیبی در بیت‌های بالای بذرها بود: در چهار بذر از ده بذر بررسی‌شده، بیت بالای همه‌ی کلمه‌ها صفر بود، الگویی که احتمال تصادفی بودنش بسیار کم است و به مولد lrand48 اشاره می‌کرد.

برای بذرهای منحنی‌های دودویی، مدل حدود ۲ به توان ۱۷ مقدار بیت پنهان را آزمود. برای منحنی‌های میدان اول (prime)، که خروجی‌شان کوتاه شده بود، از روش کاهش شبکه‌ی LLL استفاده کرد. سپس وضعیت مولد را به عقب برد تا به مقداردهی srand48 رسید و آن مقدار به زمان یونیکس تبدیل شد.

Anthropic می‌گوید پس از آنکه یکی از کارکنان این پرسش را مطرح کرد، مدل در کمتر از ۳۰ دقیقه به پاسخ رسید. این زمان ادعای خود شرکت است و برای ارزیابی دقیق باید به مستندات و کد منتشرشده نگاه کرد.

۴. نتیجه: نه جمله‌ی رمزی، بلکه drand48 و زمان یونیکس

طبق نوشته‌ی والسوردا، بذرهای منحنی‌های P-192، P-224، P-256، P-384 و P-521 خروجی تابع drand48 هستند که با یک زمان یونیکس از بازه‌ی ۱۹۹۷ تا ۱۹۹۸ مقداردهی شده است. روش به این شکل است: یک زمان به srand48 داده می‌شود، بایت‌ها یکی‌یکی از drand48 گرفته می‌شوند، و هر دنباله‌ی ۲۰ بایتی طبق رویه‌ی ANSI X9.62 به‌عنوان بذر نامزد بررسی می‌شود. اگر منحنی حاصل نامعتبر باشد، نامزد کنار گذاشته می‌شود.

جزئیات جالب اینکه بذر منحنی P-256 در گزارش Anthropic نامزد شماره‌ی ۱۸۴۲ از مولد معرفی شده است. همچنین برای چند منحنی ماه مه ۱۹۹۷، نقطه‌ی پایه به مولد کتابخانه‌ی FreeLIP، یک کتابخانه‌ی اعداد بزرگ، ردیابی شده است.

این یافته توضیح می‌دهد چرا هیچ جمله‌ای پیدا نشد: چنین جمله‌ای هرگز وجود نداشته است، یا دست‌کم بذرها از این راه ساخته نشده‌اند. با این حال، توضیح دقیق اینکه چرا حافظه‌ی نقل‌شده با واقعیت جور نیست، همچنان حدس و گمان است.

۵. جایزه و آدم‌های پشت پرده

به نوشته‌ی والسوردا، ده نفر از پژوهشگران Anthropic روی این مسئله کار کردند و در تاریخ ۱۵ اکتبر ۲۰۲۶ جایزه را مطالبه کردند. جایزه با مشارکت چند نفر به مبلغ ۳۶٬۸۶۴ دلار رسیده بود و تیم آن را به ISRG بخشید؛ نهاد غیرانتفاعی که Let’s Encrypt را اداره می‌کند.

کد بازتولید نتایج هم عمومی و تحت مجوز CC0 منتشر شده است. این یعنی هر پژوهشگر مستقلی می‌تواند به‌جای اعتماد کورکورانه به ادعای شرکت، خودش مراحل را اجرا و بررسی کند، و والسوردا همین کار را با پیاده‌سازی مستقل در Go انجام داد.

۶. درِ پشتی NSA؛ شایعه چقدر معتبر ماند؟

پیش از این کشف، بیشتر متخصصان نگرانی جدی نداشتند. کوبلیتس و منزس در سال ۲۰۱۵ استدلال کرده بودند که پنهان کردن ضعفی که چند دهه تحلیل رمزنگاری را دور بزند بعید است. در مقابل، برنشتاین و لانگ در سال ۲۰۱۷ روشی نظری توصیف کردند که با حدود ۷۰ بیت آزادی در انتخاب بذر می‌توانست خانواده‌ای بسیار بزرگ از منحنی‌های ضعیف فرضی را هدف بگیرد، و این ایده به تئوری‌های توطئه دامن زد.

والسوردا می‌نویسد یافته‌ی جدید این سناریو را رد می‌کند، چون حتی با فرض‌های سخاوتمندانه، آزادی انتخاب واقعی فقط حدود ۳۰ بیت بوده که برای هدف‌گیری چنین منحنی‌هایی کافی نیست. به گفته‌ی Anthropic هم، تعداد کم نامزدهای ردشده نشان می‌دهد انتخاب عمدی منحنی ضعیف بعید است، هرچند از نظر اصولی غیرممکن نیست.

اگر می‌خواهید با ریشه‌های این شرکت و رقبایش بیشتر آشنا شوید، مقاله‌ی OpenAI چیست؟ نقطه‌ی شروع خوبی است.

۷. پرسش‌هایی که هنوز بی‌پاسخ مانده‌اند

کشف جدید همه‌چیز را روشن نکرد. والسوردا دو معیار انتخاب غیرمستند را فراتر از رویه‌ی ANSI X9.62 شناسایی کرده است. یکی روشن است: بذر وقتی رد می‌شود که طول بیتی مرتبه‌ی منحنی از طول بیتی میدان پایه بزرگ‌تر باشد. معیار دوم هنوز توضیحی ندارد.

مشکل دیگر این است که فرایند حدوداً دو برابر بذر معتبر می‌دهد نسبت به آنچه منتشر شده است. نویسندگان چند احتمال را بررسی کرده‌اند، مثل استفاده از همان مولد برای اعتبارسنجی یا یک باگ در یکی از الگوریتم‌ها، اما توضیح قانع‌کننده‌ای پیدا نکرده‌اند.

برای منحنی‌های دودویی هم بذر B-163 با هیچ‌چیزی که امتحان شد جور درنیامد. همچنین نقطه‌ی پایه‌ی چند منحنی، از جمله P-224، P-256، P-384 و P-521، هنوز ردیابی نشده است. بنابراین باید این کشف را پیشرفتی بزرگ، اما نه پایان ماجرا، دانست.

۸. این خبر برای کاربران و توسعه‌دهندگان چه معنایی دارد؟

برای کاربر عادی، فوری هیچ‌چیز تغییر نمی‌کند. این یک حمله نیست و ضعف تازه‌ای در ECDSA نشان نمی‌دهد. نکته‌ی عملی این است که اگر نگران ایمنی منحنی‌های NIST بودید، دلیل مهمی برای آن کم‌رنگ‌تر شده است.

فیلیپو والسوردا در نوشته‌اش می‌گوید این نتیجه «بازسازی آبروی» رمزنگاری بیضوی NIST را کامل می‌کند و حالا شخصاً این منحنی‌ها را به Curve25519 ترجیح می‌دهد. او اشاره می‌کند زمان‌بندی جالب است، چون این منحنی‌ها قرار است به‌تدریج جای خود را به امضاهای پساکوانتومی بدهند.

برای توسعه‌دهندگان، درس مهم‌تری هم هست: مدل‌های هوش مصنوعی در تحلیل‌های امنیتی و رمزنگاری به ابزاری جدی تبدیل شده‌اند. همین ماه هم گزارش‌هایی درباره‌ی کشف آسیب‌پذیری با کمک مدل‌ها منتشر شده است. برای استفاده‌ی درست از چنین ابزارهایی، آموزش آموزش‌های ChatGPT و راهنمای نوشتن پرامپت می‌تواند کمک کند.

۹. هوش مصنوعی در پژوهش: فرصت یا ادعای تبلیغاتی؟

ادعای حل یک معمای ۲۵ ساله در نیم ساعت جذاب است، اما باید با احتیاط خوانده شود. بخش مهمی از موفقیت به تیم انسانی، تجربه‌ی رمزنگارانی مثل نیکلاس کارلینی و پل کراولی و داده‌های تاریخی مرتبط برمی‌گردد. هوش مصنوعی احتمالاً سرعت جست‌وجو و آزمودن فرضیه‌ها را بالا برد، اما نمی‌توان سهم دقیق هر طرف را از بیرون سنجید.

در عین حال، این نمونه نشان می‌دهد کاربرد واقعی مدل‌ها در پژوهش چقدر می‌تواند فراتر از چت‌بات باشد. برای دیدن دیدگاه متعادل درباره‌ی ظرفیت‌ها و محدودیت‌ها، مقاله‌ی توانایی‌ها و محدودیت‌های واقعی هوش مصنوعی را بخوانید، و برای ارتباط آن با کسب‌وکار، اهمیت هوش مصنوعی در کسب‌وکار را ببینید.

نکته‌ی دیگر شفافیت است. وقتی روش، کد و داده‌ها عمومی باشد، دیگران می‌توانند نتیجه را تکرار یا رد کنند، و همین تفاوت اصلی علم واقعی با تبلیغات است. پس بهتر است خبر را نه به‌عنوان معجزه‌ی هوش مصنوعی، بلکه به‌عنوان نمونه‌ای از همکاری انسان و مدل برای حل یک مسئله‌ی تاریخی ببینیم. اگر مدل‌های بعدی بتوانند در بقیه‌ی پرسش‌های باز، مثل معیار دوم انتخاب بذر و منشأ B-163، هم کمک کنند، آن‌وقت درباره‌ی توانایی واقعی‌شان با اطمینان بیشتری می‌توان حرف زد.

۱۰. پرسش‌های متداول

آیا منحنی‌های NIST حالا ناامن شده‌اند؟

خیر. طبق منابع گزارش‌شده، این یافته ضعف تازه‌ای نشان نمی‌دهد و بیشتر اعتماد به پارامترها را بالا می‌برد.

آیا ثابت شد NSA درِ پشتی نگذاشته است؟

اثبات قطعی نیست. فقط یکی از مهم‌ترین سناریوهای نظری عملاً تضعیف شده، و چند معیار انتخاب هنوز بدون توضیح است.

سهم Claude در این کشف چقدر بود؟

Anthropic می‌گوید یک مدل پژوهشی Claude در کمتر از ۳۰ دقیقه به پاسخ رسید، اما والسوردا از یک تیم ده‌نفره نام می‌برد. سهم دقیق هرکدام مستقل تأیید نشده است.

جایزه به چه کسی رسید؟

مبلغ ۳۶٬۸۶۴ دلاری به ISRG، سازنده‌ی Let’s Encrypt، اهدا شد.

کد و جزئیات را از کجا ببینم؟

کد بازتولید با مجوز CC0 منتشر شده و نوشته‌ی والسوردا شرح فنی کامل را دارد. برای خبرهای بیشتر، به بخش اخبار سر بزنید و درباره‌ی ضعف‌های تفکر مهندسی هم توهم توسعه‌دهنده‌ی تنها در برابر مهندس واقعی را بخوانید.