Claude selvitti NIST-käyrien siementen alkuperän alle puolessa tunnissa
Anthropic kertoi 16. lokakuuta, että sen sisäinen Claude-malli selvitti alle puolessa tunnissa, miten NISTin yleisimpien salauskäyrien siemenet syntyivät. Ratkaisu hälventää vuosikymmeniä jatkunutta epäilyä tahallisesta takaportista.
Anthropic kertoi 16. lokakuuta julkaisemassaan tutkimuskatsauksessa, että sen sisäinen Claude-tekoälymalli selvitti alle puolessa tunnissa, miten NISTin yleisimpien salauskäyrien niin sanotut siemenet syntyivät. Ratkaisu hälventää yli 25 vuotta jatkunutta epäilyä siitä, että käyriin olisi jätetty tahallinen takaportti. Anthropicin mukaan kyse ei ole salauksen murtamisesta eikä kenenkään tarvitse muuttaa asetuksiaan.
Mistä kiista syntyi
Taustalla on digitaalinen allekirjoitus, jota käytetään jatkuvasti muun muassa verkkosivujen suojatussa yhteydessä, ohjelmistojen allekirjoituksissa ja pankkien viestinnässä. Sen avulla vastaanottaja voi varmistaa, että viesti on lähtenyt juuri tietyltä taholta eikä sitä ole muutettu matkalla.
Yksi yleisimmistä allekirjoitustavoista on ECDSA. Lyhenne tulee sanoista Elliptic Curve Digital Signature Algorithm eli elliptiseen käyrään perustuva digitaalinen allekirjoitusalgoritmi. Sen nimi kertoo myös matemaattisen perustan: menetelmä käyttää elliptistä käyrää, joka on erityinen matemaattinen käyrä. Sen pisteillä on laskusääntö, jossa eteenpäin laskeminen on helppoa mutta takaisin päin päätteleminen käytännössä mahdotonta.
Yhdysvaltain standardointivirasto NIST otti ECDSA:n käyttöön vuonna 2000 julkaistussa FIPS 186-2 -standardissa. Standardi luettelee joukon valmiiksi määriteltyjä käyriä eri kokoluokissa, muun muassa P-192:n, P-224:n, P-256:n, P-384:n ja P-521:n. Numerot viittaavat käyrän kokoon ja sitä kautta suojan vahvuuteen.
Jokaisen käyrän määritelmään kuuluu myös niin sanottu siemen eli lähtöarvo, josta käyrän yksi keskeinen luku on johdettu. Ongelma oli, että NIST sai siemenet NSA:lta eikä kertonut, miten ne oli tuotettu. Esimerkiksi P-256-käyrän siemen on pitkä merkkijono C49D3608 86E70493 6A6678E1 139D26B7 819F7E90, jonka alkuperälle ei ollut selitystä.
Koska kyseessä on laajalti käytetty salausstandardi, epäselvä syntytapa herätti vuosien varrella vakavia epäilyksiä. Jos käyrän luvut olisi valittu tarkoituksella tietyllä tavalla, niihin voisi teoriassa kätkeä takaportin eli salaisen reitin, jolla suojauksen voisi ohittaa. Epäilyä ruokki se, että siemenet oli toimitettu ilman perusteluja.
Parhaiten tunnettu selitys tuli NSA:n pitkäaikaiselta työntekijältä Jerry Solinasilta. Hän kertoi vuonna 2015, että siemenet oli laskettu humoristisen lauseen tiivisteestä. Lause oli hänen muistinsa mukaan ollut suunnilleen “Give Bob and Jerry a raise” eli “antakaa Bobille ja Jerrylle palkankorotus”. Tarkkoja yksityiskohtia ei kuitenkaan löytynyt, ja Solinas kuoli vuonna 2023. Kryptografi Filippo Valsorda järjesti lopulta julkisen palkkion sille, joka selvittäisi siementen todellisen alkuperän.
Mitä Claude teki
Anthropicin työntekijät olivat yrittäneet ratkaista arvoitusta humoristisen lauseen vihjeen pohjalta siinä onnistumatta. Lokakuussa 2026 eräs yhtiön työntekijä kysyi sisäiseltä tutkimusmallilta, pystyisikö tämä selvittämään siementen synnyn ilman vihjettä. Claude ehdotti aivan toisenlaista lähtökohtaa: se arveli, että käyrät oli tuotettu 1990-luvun ohjelmistolla ja että niiden siemenet olisivat tuolloisen satunnaislukugeneraattorin tuottamaa sarjaa.
Ajatus perustui siihen, että vanhat satunnaislukugeneraattorit olivat yksinkertaisia ja niiden tuottama sarja tunnistettavissa. Jos sarja tunnistetaan, voidaan päätellä, mitä ohjelmaa on käytetty ja mikä sen lähtöarvo eli siemen oli ollut.
Claude kirjoitti ohjelman, joka kävi jokaisen julkaistun siemenen läpi bitti kerrallaan ja testasi, olisivatko vierekkäiset palat 1990-luvun generaattorin peräkkäisiä tuloksia. Se kävi läpi 34 eri yhdistelmää. Sitten se huomasi joissakin siemenissä selvän kuvion: osa ylimmistä biteistä oli aina nollia. Kun siemen kirjoitetaan viitenä 32-bittisenä sanana, neljässä kymmenestä siemenestä ylin bitti oli nolla kaikissa 20 sanassa. Satumaisesti sellainen osuu kohdalle noin kerran 5 810 yrityksessä.
Kuvio oli tunnusmerkki lrand48-generaattorille, joka kuului 1990-luvun C-ohjelmointikielen kirjastoihin. Se palauttaa vain 48-bittisen tilansa ylimmät 31 bittiä, minkä vuoksi ylin bitti näyttää aina nollalta. Kun generaattori tunnistettiin, Claude pystyi palauttamaan sen sisäisen tilan ja kulkemaan laskennassa taaksepäin aina siihen pisteeseen, jossa generaattori oli käynnistetty.
Käynnistysarvo paljasti ratkaisun: se oli Unix-aikaleima eli sekuntien määrä 1. tammikuuta 1970 alkaen. Kymmenen käyrän siemenet olivat syntyneet aikaleimoista, jotka osuvat toukokuun 1997 ja huhtikuun 1998 välille. Esimerkiksi P-256-käyrän siemen oli generaattorin 1 842. ehdokas, ja sen lähtöaika oli 16. elokuuta 1997 kello 01.52.34. P-192:n siemen oli puolestaan 139. ehdokas 18. toukokuuta 1997.
Neljän binäärikentän käyrän aikaleimat näyttivät ensin helmikuuta 1984. Kun aikaleimat kaksinkertaistettiin, ne asettuivat 17. huhtikuuta 1998 eli kaksi viikkoa P-224-ajon jälkeen. Anthropicin mukaan ohjelma oli mahdollisesti puolittanut kellonajan.
Yhtään siementä ei siis ollut laskettu tiivisteestä eli hajautusarvosta, kuten pitkään uskottiin. Ne olivat tavallisen, nykyisin heikkona pidetyn satunnaislukugeneraattorin tuottamaa sarjaa, joka oli käynnistetty kellonajalla.
Mitä tulos tarkoittaa
Anthropic korostaa, ettei löytö ole salauksen murtaminen, uusi hyökkäys eikä heikkous ECDSA-käyrissä. Kyse on pikemminkin siitä, että pitkään avoinna ollut kysymys sai yksinkertaisen ja tarkistettavan vastauksen.
Tulos vähentää merkittävästi epäilyä tahallisesta takaportista. Jos siemenet olisi valittu salaa tietyn ominaisuuden saavuttamiseksi, syntytapa olisi todennäköisesti ollut monimutkaisempi ja vaikeammin jäljitettävä. Nyt tiedossa on yksinkertainen menetelmä, jonka kuka tahansa voi toistaa ja tarkistaa. Käytännössä se tarkoittaa, että käyrien valintaan on jäänyt hyvin vähän liikkumavaraa, johon tahallinen heikennys olisi voitu kätkeä.
Anthropic huomauttaa myös, että suurin osa tutkijoista luotti käyriin jo ennestään. Yhtiön mukaan kyse on ennen kaikkea vuosien spekulaation päätösluvusta: mitään ei tarvitse tehdä toisin, eikä käytössä olevia salausasetuksia tarvitse vaihtaa.
Löydöllä on merkitystä myös laajemmin. Kryptoanalyysi eli salausten selvittäminen on perinteisesti ollut vaativaa matemaattista työtä. Nyt tekoälymalli pystyi yhdistämään tilastollisen kuvion tunnistamisen, ohjelmoinnin ja matemaattisen päättelyn tavalla, joka tuotti tarkistettavan tuloksen. Anthropicin mukaan ratkaisu syntyi alle puolessa tunnissa.
Kantapisteitä ja avoimeksi jääneitä asioita
Jokaisella käyrällä on myös niin sanottu kantapiste. Se on käyrän kiinteä piste, jonka kerrannaisina julkiset avaimet muodostetaan. Siemenen löytäminen ei selittänyt kantapisteiden alkuperää, joten Claude selvitti myös niitä.
Kuuden käyrän kantapisteet osoittautuivat peräisin olevan FreeLIP-ohjelmiston satunnaislukugeneraattorista. FreeLIP on matemaatikko Arjen Lenstran kirjoittama ohjelmisto suurten kokonaislukujen käsittelyyn, ja samaa koodia toimitettiin myös NTL-kirjaston varhaisissa versioissa. Menetelmä oli yksinkertainen: generaattori käynnistettiin pienellä luvulla, seitsemän ensimmäistä tulosta heitettiin pois ja sen jälkeen tuotettiin ehdokkaita käyrän x-koordinaatiksi, kunnes sopiva piste löytyi.
Kaikkea ei kuitenkaan saatu selville. Viides binäärikäyrän siemen, B-163, ei sopinut mihinkään kokeiltuun menetelmään. Myöskään P-224-, P-256-, P-384- ja P-521-käyrien kantapisteiden valintatapaa ei saatu selville.
Avoimeksi jäi myös kysymys siitä, miksi osa kelvollisista ehdokkaista ohitettiin. Esimerkiksi P-256:n kohdalla julkaistu siemen oli ehdokas numero 1 842, vaikka saman ajon ehdokas 876 olisi tuottanut samankokoisen ja samalla tavalla parametroidun käyrän. Anthropic pitää ohitettujen ehdokkaiden määrää kuitenkin niin pienenä, ettei se pidä uskottavana, että valinnalla olisi tavoiteltu heikennettyjä käyriä. Se, mitä valintakriteerejä mahdollisesti käytettiin, jäi epäselväksi.
Palkkio ja avoin koodi
Filippo Valsordan järjestämä palkkio oli 36 864 dollaria. Anthropicin mukaan summa lahjoitetaan Internet Security Research Groupille, joka on Let’s Encrypt -palvelun taustalla toimiva voittoa tavoittelematon järjestö.
Anthropic julkaisi tutkimussivullaan myös koodin, jolla siemenet voi tuottaa uudelleen. Koodi on vapautettu CC0 1.0 -lisenssillä eli käytännössä vapaaseen yleiseen käyttöön. Työn tekijöiksi mainitaan kymmenen Anthropicin tutkijaa: John Wood, Henry de Valence, Ava Howell, Zack Voase, Lucy Sweet, Amir Omidi, Paul Crowley, Iain McGinniss, Nicholas Carlini ja Steve Weis.
Keskeiset termit lyhyesti
Digitaalinen allekirjoitus on matemaattinen tapa todistaa, että viesti on lähtenyt tietyn avaimen haltijalta eikä sitä ole muutettu matkalla.
Elliptinen käyrä on matemaattinen käyrä, jonka pisteillä on erityinen laskusääntö. Salauksessa sitä käytetään niin, että eteenpäin laskeminen on helppoa mutta lähtökohdan päätteleminen lopputuloksesta on käytännössä mahdotonta.
Siemen on lähtöarvo, josta satunnaislukugeneraattori tai muu laskenta aloittaa. Sama siemen tuottaa aina saman tuloksen, joten siemenen voi ajatella koneen käynnistysavaimena.
Satunnaislukugeneraattori on ohjelma, joka tuottaa satunnaiselta näyttävää lukusarjaa. Se ei oikeasti arvo lukuja, vaan laskee ne eteenpäin siemenestä. Siksi sen tuottama sarja on periaatteessa ennustettavissa, jos siemen tiedetään.
Unix-aikaleima on tapa merkitä aika yhdellä luvulla: sekuntien määrä 1. tammikuuta 1970 alkaen.
Tiiviste eli hajautusarvo on laskennallinen sormenjälki, joka muodostetaan esimerkiksi tekstistä. Samasta tekstistä tulee aina sama tiiviste, mutta tiivisteestä ei voi päätellä alkuperäistä tekstiä.
Takaportti on salausjärjestelmään tahallaan jätetty salainen reitti, jolla suojauksen voi ohittaa.
Lisää salaukseen ja tekoälyyn liittyviä termejä löytyy Tekoälysanastosta.
Lähteet
- Anthropic: Claude reveals ECDSA curve origins, 16.10.2026.
- NIST: FIPS 186-2, Digital Signature Standard, 2000.
- Neal Koblitz ja Alfred Menezes: A Riddle Wrapped in an Enigma, 2015.
- Filippo Valsorda: The seeds bounty.
- Unite.AI: Anthropic Says Claude Traced NIST ECDSA Curve Seeds to a 1990s RNG, 16.10.2026.
Vastuuvapauslauseke: Tämä artikkeli on tarkoitettu vain tiedotustarkoituksiin. Sitä ei tarjota tai ole tarkoitettu käytettäväksi oikeudellisena, verotuksellisena, sijoitus-, rahoitus- tai muuna neuvona.
Mainos: alla on kumppanimainoksia ja mainoslinkkejä.
