Claude élucide les courbes ECDSA et écarte une porte dérobée de la NSA

Claude a abordé le problème différemment. Plutôt que de chercher une phrase secrète, il a raisonné sur la façon dont le logiciel qui générait les courbes dans les années 1990 devait fonctionner. Il a supposé que les auteurs avaient utilisé un générateur de nombres pseudo-aléatoires livré avec les bibliothèques C de l'époque. Ces vieux générateurs sont assez faibles pour que leur production soit reconnaissable, ce qui peut révéler lequel a été utilisé et permettre d'en récupérer l'état.

Claude a écrit un scanner qui parcourait chaque graine publiée bit par bit, testant si des segments adjacents ressemblaient à des sorties consécutives d'un générateur des années 1990. Le balayage a couvert 34 combinaisons de générateurs et de tranches de sortie. Puis il a repéré un schéma : pour certaines graines, les bits de poids fort des cinq mots de 32 bits étaient tous à zéro. Quatre des dix graines avaient un 0 dans le bit de poids fort pour les 20 mots, ce qui ne se produirait par hasard qu'avec une probabilité de 1 sur 5 810. Cette signature pointait vers lrand48, qui ne renvoie que les 31 bits de poids fort d'un état de 48 bits.

Pour récupérer l'état caché, Claude a essayé les 2¹⁷ valeurs possibles des 17 bits manquants et vérifié si les quatre mots suivants suivaient. Cela a fonctionné pour les quatre graines. Les graines restantes des courbes premières venaient du même générateur mais conservaient moins de bits de chaque sortie. Récupérer un générateur congruentiel linéaire tronqué est un problème de réseau classique, résolu par l'algorithme Lenstra–Lenstra–Lovász. Claude a fait tourner le solveur sur chaque fenêtre jusqu'à ce que les dix graines de courbes premières correspondent au même schéma.

Chaque état récupéré de 48 bits régénère les 160 bits de sa graine, ce qui, selon Anthropic, ne peut pas se produire par hasard. Comme le générateur fonctionne aussi bien en arrière qu'en avant, Claude a remonté chaque état jusqu'à la forme que srand48 aurait initialisée, avec les 16 bits de poids faible égaux à 0x330E. Pour les dix graines de courbes premières, chaque initialisation était un horodatage Unix compris entre mai 1997 et avril 1998.

Anthropic précise clairement qu'il ne s'agit ni d'une cassure cryptographique, ni d'une nouvelle attaque, ni d'une faiblesse des courbes ECDSA. Au contraire, l'entreprise estime que cette découverte renforce sa conviction que les courbes ont été choisies sans portes dérobées ni faiblesses intentionnelles. Les graines ont été générées de manière simple et reproductible — un générateur pseudo-aléatoire courant initialisé à partir de l'horloge — ce qui laisse bien moins de place à la subversion qu'un hachage mystérieux d'une phrase secrète.

La découverte referme aussi une histoire humaine. Jerry Solinas, employé de longue date de la NSA, était le principal candidat derrière la théorie de la phrase humoristique, mais il est décédé en 2023 et ses anciens collègues n'ont pas répondu, laissant la question ouverte. Anthropic indique que la plupart des chercheurs faisaient déjà confiance aux courbes, et que le message pour la communauté cryptographique relève de la conclusion, non de l'alarme.

Pour les lecteurs en Tunisie, l'impact pratique est pratiquement nul. ECDSA est enfoui au plus profond de l'infrastructure d'Internet, sécurisant les sites web, les applications bancaires et les services de messagerie, et Anthropic affirme qu'il n'y a rien à changer ni à mettre à jour : ni correctif, ni nouvelle clé, ni nouvelle norme. Ce travail est un résultat de recherche sur la façon dont les paramètres ont été choisis à l'origine, pas une faille exploitable.

Si vous utilisez HTTPS, une application bancaire ou tout service chiffré, les certificats et signatures sur lesquels vous comptez aujourd'hui restent aussi fiables qu'hier — sans doute davantage, puisque le vieux soupçon autour des graines du NIST a désormais une explication banale. La disponibilité des modèles Claude d'Anthropic en Tunisie est une question distincte que cette recherche n'aborde pas ; il convient de vérifier la disponibilité régionale auprès d'Anthropic avant de s'inscrire.