一个值得记录的瞬间。

Claude 找出 NIST P-256 等曲线种子的来历

Anthropic 10-16 发文称，内部研究模型不到半小时就还原了 NIST P-192、P-224、P-256、P-384、P-521 五条曲线种子的来历：种子不是任何哈希的输出，而是用 Unix 时间戳初始化 C 库的 lrand48 随机数生成器，每次取 20 字节作一个候选。流传多年的「哈希一句玩笑话」说法与此不符。P-256 种子是 1997-08-16 01:52:34（UTC）那次运行的第 1842 个候选。

赏金发起人 Filippo Valsorda 用 Go 重新实现算法，验证了这一结果；36864 美元赏金捐给运营 Let's Encrypt 的 ISRG。Anthropic 称这不是密码学攻破，也不是新攻击，用户无需采取任何行动。按 Valsorda 估算，即便当年可以任选 1997 到 1998 年间的时间戳和前 16 个素数阶候选，可操纵空间也只有约 30 比特，不够埋入后门。TLS 常用的 secp256r1、JWT 的 ES256 用的都是 P-256。P-224、P-256、P-384、P-521 的基点来历仍未解开；P-256 那次运行中第 876 个候选同样合格却被跳过，筛选标准也还不清楚。

来源：https://www.anthropic.com/research/ecdsa-curve-origins