Claude klärt die Herkunft der ECDSA-Kurven: Die NSA-Startwerte stammen aus einem simplen Zufallsgenerator

Ein internes Forschungsmodell von Anthropic rekonstruierte nach Angaben des Unternehmens in weniger als einer halben Stunde, wie die NSA 1997 die Startwerte der Standardkurven P-256 und P-384 erzeugte. Die Werte stammen nicht aus einem geheimen Satz, sondern aus dem Zufallszahlengenerator lrand48 der C-Bibliothek, initialisiert mit der damaligen Uhrzeit. Für eine versteckte Hintertür in den Kurven bleibt damit kaum Spielraum.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

C49D3608 86E70493 6A6678E1 139D26B7 819F7E90: Diese 160 Bit stehen seit dem Jahr 2000 als Startwert der Kurve P-256 im Signaturstandard FIPS 186-2 der US-Normungsbehörde NIST. Eine Herleitung lieferte die NSA nie. NSA-Kryptograf Jerry Solinas erinnerte sich 2015 nur an einen Satz wie „Gebt Bob und Jerry eine Gehaltserhöhung“, aus dessen Hashwert die Zahl entstanden sein sollte.^[1] Nach dem Tod von Solinas lobte der Kryptograf Filippo Valsorda 2023 eine Belohnung für die Lösung aus.^[2]

Das Wichtigste in Kürze

• Die Startwerte von P-192, P-224, P-256, P-384 und P-521 entstanden aus Unix-Zeitstempeln zwischen Mai 1997 und April 1998.
• Die Prämie von rund 32.000 Euro geht an die Let’s-Encrypt-Betreiberin ISRG.
• Offen bleiben übersprungene Kandidaten und der Basispunkt von P-256.
• Für den TLS-Schlüsselaustausch empfiehlt das BSI P-256 weiterhin bis 2031.

Wie kam das Modell den Startwerten auf die Spur?

Das Modell prüfte, ob die Werte aus einem der schwachen Pseudozufallszahlengeneratoren stammen, die C-Bibliotheken der 1990er-Jahre mitlieferten.^[1]

Der lineare Kongruenzgenerator lrand48 rechnet intern mit 48 Bit und gibt nur die oberen 31 aus, das höchste Bit jedes 32-Bit-Worts bleibt also null. Genau dieses Muster zeigten vier Startwerte der Binärkurven. Bei den übrigen Kurven rekonstruierte das Modell den internen Zustand mit dem LLL-Algorithmus zur Gitterbasisreduktion. Rückwärts gerechnet führte jeder Zustand auf einen Unix-Zeitstempel.

Die Redaktion führte den veröffentlichten Python-Code aus. Das Skript erzeugt alle 14 Startwerte Zeichen für Zeichen. Valsorda prüfte den Befund mit einer eigenen Umsetzung in Go.^[2] Ein KI-Modell löst damit ein weiteres altes Kryptorätsel: Im September entschlüsselte GPT-6 Astra eine Enigma-Nachricht von 1941, im Juli fand ein Anthropic-Modell eine Schwäche im Post-Quanten-Verfahren HAWK.

Warum galten die NIST-Kurven als verdächtig?

Der Argwohn hatte einen handfesten Anlass. Nach Medienberichten im September 2013 riet NIST von Dual_EC_DRBG ab, einem Zufallsgenerator auf Basis elliptischer Kurven, und strich das Verfahren 2014 aus seiner Empfehlung SP 800-90A.^[3] Seither gerieten auch die unerklärten Startwerte der NIST-Kurven in Verdacht.

Daniel Bernstein und Tanja Lange beschrieben 2017 eine Methode, mit rund 70 Bit Wahlfreiheit beim Startwert gezielt schwache Kurven zu finden. Laut Valsorda schließen die neuen Funde diese Methode aus: Selbst bei freier Wahl des Zeitpunkts und großzügig gezählten Kandidaten blieben der NSA kaum 30 Bit Spielraum.^[2]

Anthropic nennt selbst die offenen Fragen. Bei P-256 übersprang das Programm von 1997 den ebenfalls tauglichen Kandidaten 876. Die Kriterien dafür sind unbekannt. Auch die Basispunkte von P-224, P-256, P-384 und P-521 bleiben ungeklärt.^[1]

Was bedeutet der Fund für Unternehmen in Deutschland?

Anthropic betont, der Fund sei weder ein Angriff noch eine Schwäche der Kurven.^[1] Für den Schlüsselaustausch in TLS 1.2 empfiehlt das BSI secp256r1, also P-256, neben brainpoolP256r1 bis 2031.^[4] Grundsätzlich rät die Behörde zu Kurvenparametern, die nachweisbar zufällig erzeugt und nachvollziehbar dokumentiert sind, etwa den Brainpool-Kurven.^[5] Diese Dokumentation fehlte den NIST-Kurven bis zum 16. Oktober.

• Nicht austauschen: Zertifikate und Bibliotheken mit P-256 oder P-384 können bleiben, Anthropic sieht ausdrücklich keinen Handlungsbedarf.
• Umstieg auf quantensichere Verfahren planen: Das BSI nahm im Januar 2026 Fristen für diesen Wechsel in TR-02102-2 auf.^[4] Wie schnell KI-Mathematik auch diese neuen Verfahren unter Druck setzen könnte, beschreibt Vitalik Buterins Warnung zur gitterbasierten Kryptografie.

Quellen

Mehr Newshunger?

• Angreifer erschleichen sich TLS-Zertifikate für Google und andere große Dienste
• Cloudflare baut eine Zertifizierungsstelle für das gesamte Internet
• OpenAI zieht drei mathematische Ergebnisse zurück
• Chinas quantensicheres Staatshandy setzt auf Physik, der Westen auf Mathematik
• Staatstrojaner ohne Einfallstor: Matthew Green erwartet das Ende des staatlichen Hackens
• Cybersecurity-Glossar 2026: 99 Begriffe von BSI bis Zero Trust für Entscheider