Sementes da curva NIST P-256 rastreadas até uma execução de lrand48 em 1997

Uma equipe da Anthropic descobriu de onde vieram as sementes de aparência aleatória por trás da P-256 do NIST e de outras curvas elípticas padrão. As sementes foram geradas em 1997 e 1998 por um antigo gerador de números aleatórios em C, o lrand48, iniciado a partir do relógio do computador. A descoberta, reivindicada em 15 de outubro de 2026, encerra uma questão que criptógrafos discutem há anos. Ela não enfraquece as curvas.

A recompensa e quem a reivindicou

Filippo Valsorda, engenheiro de criptografia, ofereceu há três anos uma recompensa para quem conseguisse explicar as sementes. O post em que ele anuncia a reivindicação diz que pesquisadores da Anthropic a reivindicaram às 01:07:51 UTC de 15 de outubro de 2026. O prêmio foi triplicado para US$ 36.864 e vai para o ISRG, a organização sem fins lucrativos que mantém o serviço de certificados Let's Encrypt.

A Anthropic publicou seu próprio relato em 16 de outubro. Ele cita dez pesquisadores, entre eles Nicholas Carlini e Steve Weis. A Anthropic diz que seu modelo Claude identificou o padrão em menos de meia hora.

Por que as sementes importavam

As curvas primas do NIST, da P-192 à P-521, são usadas no ECDSA, uma forma comum de criar assinaturas digitais. Cada curva foi gerada a partir de uma semente de 20 bytes. Pelo padrão ANSI X9.62, a semente passa por um hash SHA-1 para produzir os números da curva. Uma semente de aparência aleatória deveria provar que ninguém escolheu uma curva conveniente.

O problema era que ninguém sabia de onde as sementes tinham vindo. Elas foram entregues em 1997 por Jerry Solinas, matemático da NSA que morreu em 2023. A história contada por anos era que elas eram hashes de frases em inglês. A preocupação era simples: se as sementes tivessem sido escolhidas livremente, alguém poderia testar muitas até que uma gerasse uma curva fraca. Valsorda agora escreve que as descobertas "descartam completamente a técnica descrita por Bernstein e Lange", dois pesquisadores que estudaram esse risco.

Como as sementes foram geradas

O método era simples, segundo os dois relatos. Um programa passava o timestamp Unix atual, a contagem de segundos desde 1970, para srand48(). Depois tirava do gerador candidatos de 20 bytes e testava cada um. Os candidatos que não cumpriam as regras do ANSI X9.62 eram descartados.

A primeira pista do Claude foi estatística. A Anthropic diz que quatro das sementes tinham o bit mais alto igual a zero em todas as suas 20 palavras, uma chance de 1 em 5.810 para dados realmente aleatórios. Esse padrão apontava para um gerador fraco dos anos 1990, o lrand48. A equipe então usou redução de reticulados, uma técnica matemática para recuperar números ocultos, para reconstruir o estado do gerador.

Curva	Início do gerador (UTC)	Candidato usado
P-192	18 de maio de 1997, 14:45:34	139
P-521	8 de agosto de 1997, 01:12:04	1.136
P-256	16 de agosto de 1997, 01:52:34	1.842
P-384	30 de agosto de 1997, 14:50:08	2.688
P-224	3 de abril de 1998, 12:52:07	7.026

A Crypto Briefing informa os mesmos números para a P-256: timestamp 871696354 e semente C49D360886E704936A6678E1139D26B7819F7E90. Valsorda escreveu sua própria versão do algoritmo em Go, e a Anthropic publicou seu código sob a licença de domínio público CC0.

O que ainda não tem explicação

A resposta não está completa. Valsorda encontrou uma regra extra além do ANSI X9.62: uma curva é rejeitada se sua ordem tiver mais bits do que o corpo sobre o qual ela é construída. Uma segunda regra ainda lhe escapa, escreve ele. O método deixa cerca de duas vezes mais sementes válidas do que as que foram publicadas.

A Anthropic lista as mesmas lacunas. O candidato 876 da execução da P-256 também gera uma curva válida, mas foi usado o candidato 1.842. Os pontos base da P-224, da P-256, da P-384 e da P-521 continuam sem explicação, assim como a semente da curva binária B-163. A Anthropic explicou seis pontos base, incluindo o da P-192, por meio de um gerador diferente, de uma biblioteca chamada FreeLIP.

O que isso significa para desenvolvedores

Nada no seu código precisa mudar. A Anthropic diz que o trabalho não é uma quebra criptográfica, nem um novo ataque, nem uma fraqueza nas curvas. Valsorda acrescenta que os profissionais da área não tinham preocupações sérias nem antes disso.

O que muda é o argumento. Equipes que evitavam a P-256 porque suas sementes eram um mistério podem rever essa escolha com evidências melhores. A Anthropic diz que as descobertas tornam um backdoor menos plausível. Os candidatos pulados significam que a escolha ainda não está totalmente explicada, então o debate se estreita em vez de terminar.

Se você trabalha com criptografia, vale a pena ler o código de reprodução. Ele mostra como um teste estatístico somado à redução de reticulados pode reconstruir o estado de um gerador só a partir de sua saída. É um bom lembrete para nunca usar o lrand48 para nada secreto.

As questões em aberto são um bom quebra-cabeça para quem tiver curiosidade. A segunda regra de rejeição e os pontos base que faltam continuam sendo problemas ainda não reivindicados.