Seit einem Vierteljahrhundert rätselt die Kryptografie-Welt, woher die Zufallswerte hinter den NIST-Elliptischen-Kurven eigentlich stammen. Die Kurven stecken in TLS, SSH, Bitcoin-Signaturen und praktisch jedem HTTPS-Zertifikat weltweit. Jetzt hat Claude die Antwort gefunden — in unter 30 Minuten.
WARUM DAS RÄTSEL ÜBERHAUPT EXISTIERT
1997 veröffentlichte das US-Standardisierungsinstitut NIST eine Reihe elliptischer Kurven für digitale Signaturen — darunter P-192, P-224, P-256, P-384 und P-521. Jede Kurve wurde mit einem Hash eines zufälligen Seeds erzeugt, der angeblich keine Hintertür enthält. Das Problem: Niemand hat je verraten, woher diese Seeds kamen. Seit den Snowden-Enthüllungen 2013 steht der Verdacht im Raum, die NSA könnte die Seeds absichtlich so gewählt haben, dass eine schwache Kurve herauskommt — eine eingebaute Hintertür für jeden, der das Geheimnis kennt.
SO GING CLAUDE DIE SACHE AN
Anthropic ließ ein internes Forschungsmodell auf das Problem ansetzen. Der erste Fund: Bei vier der zehn Seeds stand in allen 20 Wörtern eine Null im obersten Bit — ein Muster, das nach Zufall eine Wahrscheinlichkeit von nur 1 zu 5.810 hat. Das roch nach einem Pseudozufallsgenerator, keinem echten Zufall.
Claude erkannte darin die Signatur von lrand48, einer C-Bibliotheksfunktion aus den 1990ern, die nur die oberen 31 Bit eines 48-Bit-Zustands zurückgibt. Für die kleineren Primzahl-Kurven reichte das, um per Gitterreduktion (LLL-Algorithmus) den internen Zustand des Generators komplett zu rekonstruieren — ein klassisches Gitterproblem aus dem Kryptografie-Lehrbuch, nur eben automatisiert gelöst.
DIE ZEITSTEMPEL ALS BEWEIS
Weil der Generator mit einem festen Startwert läuft, ließ sich sein Zustand einfach rückwärts abspulen — bis zum ursprünglichen Startzeitpunkt. Das Ergebnis: Alle fünf rekonstruierten Primzahl-Seeds stammen aus Unix-Zeitstempeln zwischen Mai 1997 und April 1998. P-192 wurde demnach am 18. Mai 1997 erzeugt, P-256 am 16. August 1997, P-521 erst im August 1998. Keine Verschwörung, kein Hinweis auf eine gezielte Manipulation — nur ein Programmierer, der die Systemuhr als Zufallsquelle nahm, wie es in den 90ern üblich war.
WARUM DAS DEIN VERTRAUEN STÄRKEN SOLLTE, NICHT SCHWÄCHEN
Hier liegt die eigentliche Pointe: Eine absichtlich geschwächte Kurve hätte vermutlich keine so banale, nachvollziehbare Spur hinterlassen. Wer eine Hintertür einbauen will, sucht sich gezielt einen passenden Seed aus Millionen Möglichkeiten — er tippt nicht einfach die aktuelle Uhrzeit in einen Taschenrechner. Die Entdeckung spricht also eher gegen die seit Jahren kursierende NSA-Backdoor-These, als dass sie sie bestätigt.
Ganz gelöst ist das Rätsel trotzdem nicht: Ein Seed für die binäre Kurve B-163 blieb unerklärt, ebenso die Basispunkte mehrerer Kurven. Die stammen offenbar aus einem anderen Werkzeug, dem FreeLIP-Generator des Mathematikers Arjen Lenstra — warum aber genau diese Werte gewählt wurden und nicht benachbarte, ebenfalls gültige Alternativen, bleibt offen.
ANTHROPIC SPENDET DAS BOUNTY-GELD
Die Entdeckung lief im Rahmen eines Forschungsprojekts, nicht als klassisches Bug-Bounty-Programm — trotzdem hat Anthropic 36.864 US-Dollar an die Internet Security Research Group gespendet, die Organisation hinter dem kostenlosen Zertifikatsdienst Let’s Encrypt. Eine Geste, die zeigt, wo das Projekt seine Wurzeln als Internet-Infrastruktur-Grundlagenforschung sieht.
WAS DAS FÜR DEINEN HOMELAB-ALLTAG BEDEUTET
Direkt handeln musst du nicht — deine TLS-Zertifikate, dein SSH-Schlüssel oder dein VPN ändern sich durch diese Entdeckung nicht. Spannend ist sie trotzdem: Sie zeigt, wie weit KI-gestützte Kryptoanalyse inzwischen reicht. Ein Rätsel, an dem Forscher seit 1997 kratzten, war für ein Sprachmodell eine Halbe-Stunden-Aufgabe. Das wirft die Frage auf, welche anderen alten Kryptografie-Annahmen gerade neu vermessen werden — mit Werkzeugen, die es vor zwei Jahren noch nicht gab.