Claude 不到 30 分钟破解一桩 26 年密码学悬案：NSA 给的曲线参数是怎么来的

一桩困扰密码学界 26 年的谜题，被 Claude 在不到半小时里理出了头绪。Anthropic 在 10 月 16 日公布了这项研究，还把复现代码一起放了出来。

事情要从 2000 年说起。美国当时把一组椭圆曲线纳入数字签名标准，曲线参数由美国国家安全局提供，但生成过程一直没公开。由于不知道参数怎么来的，外界长期怀疑里面可能藏了后门。这些曲线用于 ECDSA，作用是验证数字信息的真实性，银行、网站证书等场景都在用。

Anthropic 的研究人员让 Claude 换个思路：别盯着数学推导，先去翻上世纪 90 年代常用的软件工具。结果发现，这些“种子”来自 C 语言库里一个叫 lrand48 的伪随机数生成器，初始化输入是 Unix 时间戳。

Claude 通过识别位模式、恢复生成器状态、再反向推算，把生成时间锁定在 1997 年到 1998 年。五条标准曲线 P-192、P-224、P-256、P-384、P-521 的种子，都能用那段时间的时间戳复现出来。其中 P-256 对应 1997 年 8 月 16 日的一次运行，标准里的种子是那轮生成的第 1842 个候选值。

Anthropic 特别说明，这不等于攻破了 ECDSA，也没有发现新的攻击方法。研究的意义在于，参数被刻意植入后门的可能性降低了，普通用户不需要做任何处理。

当然，谜题没有完全解开。B-163 的种子来源、部分曲线基点的生成方式，以及当年为什么跳过一些可用曲线，目前还没有答案。