Claude reconstrói em meia hora a origem de sementes criptográficas da NSA
Um modelo de pesquisa da Anthropic identificou, em menos de 30 minutos, uma possível explicação para a origem das cinco sementes usadas na criação das curvas elípticas P-192, P-224, P-256, P-384 e P-521, incluídas em padrões do NIST. A procedência desses valores era uma questão em aberto havia cerca de 25 anos.
As sementes foram publicadas como parte dos parâmetros das curvas, mas não veio acompanhadas de uma explicação sobre como haviam sido geradas. Essa ausência alimentou dúvidas: se os valores tivessem sido escolhidos de maneira intencional, poderiam, em tese, incorporar alguma propriedade que favorecesse quem conhecesse o método de construção. As curvas passaram a ser adotadas com a inclusão do ECDSA no padrão FIPS 186-2, em 2000.
Durante anos, uma hipótese recorrente dizia que as sementes seriam hashes de frases. A lembrança de Jerry Solinas, matemático que trabalhou na NSA, sobre expressões como “Give Bob and Jerry a raise” também levou pesquisadores a tentar descobrir qual texto poderia ter sido usado. As buscas não encontraram uma resposta convincente.
O modelo seguiu uma direção diferente. Em vez de procurar uma frase original, examinou geradores de números pseudoaleatórios comuns em softwares da década de 1990. A equipe montou um processo automatizado que combinava 34 possibilidades de geradores e formas de selecionar seus resultados. Também investigou 17 bits ocultos associados às curvas binárias e aplicou redução de reticulado pelo algoritmo LLL às curvas construídas sobre campos primos.
A análise apontou para o `lrand48`, um gerador presente em antigas bibliotecas da linguagem C. De acordo com a reconstrução, ele teria sido inicializado com marcas de tempo Unix situadas entre maio de 1997 e abril de 1998. Nesse cenário, a semente da P-256 corresponderia ao 1.842º candidato de uma execução iniciada em 16 de agosto de 1997. Cinco sementes de exemplo associadas ao padrão ANSI X9.62 também se ajustariam ao mesmo método.
O resultado, porém, não significa que o ECDSA tenha sido quebrado. A reconstrução procura explicar como os parâmetros podem ter sido produzidos; ela não fornece um meio de falsificar assinaturas digitais nem demonstra uma vulnerabilidade prática nas curvas. A Anthropic afirma que o achado não justifica alterações em sistemas já em operação e disponibilizou o código usado para reproduzir a análise.
Também há lacunas. A origem da semente da curva B-163 continua sem explicação, assim como a de vários pontos-base. Os pesquisadores tampouco conseguiram esclarecer por que o candidato número 876 da P-256, que aparentava atender aos critérios, foi descartado quando os parâmetros foram definidos. A NSA não havia comentado a investigação.
O que são as sementes de uma curva elíptica?
Em criptografia de curvas elípticas, os parâmetros matemáticos definem o espaço no qual as operações criptográficas acontecem. A semente é um valor usado durante a geração de alguns desses parâmetros. Tornar pública sua origem ajuda a demonstrar que eles foram obtidos por um processo verificável, e não escolhidos para criar uma vantagem secreta.
Por isso, a questão levantada não se limita à curiosidade histórica. Quando a geração de parâmetros é transparente, especialistas conseguem avaliar melhor se houve margem para manipulação. Ainda assim, a falta de uma explicação original não prova que exista uma falha: é necessário distinguir suspeita sobre o processo de criação de evidência de uma vulnerabilidade explorável.
Por que a descoberta não representa uma quebra criptográfica?
Encontrar um possível gerador e uma janela de datas permite reconstruir uma sequência provável de valores, mas isso não equivale a obter as chaves privadas dos usuários. Também não demonstra que seja possível calcular essas chaves a partir das sementes ou produzir assinaturas válidas em nome de terceiros.
A avaliação de segurança depende de outros fatores, como os parâmetros completos da curva, a implementação do algoritmo e a geração das chaves em cada sistema. Segundo a Anthropic, o trabalho não aponta um caminho para comprometer o ECDSA nem altera a recomendação de uso das curvas analisadas.
O que ainda falta confirmar?
A explicação proposta resolve parte importante do enigma, mas não todas as perguntas. A curva B-163 e alguns pontos-base permanecem sem uma origem estabelecida, e a exclusão de um candidato da P-256 segue sem justificativa conhecida. Esses detalhes são relevantes para completar a reconstrução histórica, embora não invalidem automaticamente o resultado apresentado.
A publicação do código também permite que outros especialistas testem a hipótese, procurem inconsistências e verifiquem se o método reproduz os valores identificados. Esse tipo de validação independente é essencial em pesquisas criptográficas: uma conclusão ganha força quando pode ser examinada e reproduzida por equipes diferentes.
Para organizações que utilizam ECDSA, a consequência imediata é limitada. O estudo não recomenda substituir certificados, trocar chaves ou alterar sistemas em produção. A principal contribuição está em oferecer uma explicação plausível para a geração de parâmetros que, por décadas, não tinham uma origem pública clara – e em mostrar como ferramentas de IA podem acelerar investigações técnicas sem, por isso, dispensar validação humana.