Ein Vierteljahrhundert lang fragten sich Kryptografen, ob die NSA die Zahlen hinter einer Reihe weitverbreiteter elliptischer Kurven heimlich manipuliert hatte. Die Antwort könnte, wie sich nun zeigt, ein Pseudozufallszahlengenerator aus einer alten C-Bibliothek sein, den ein KI-Modell in weniger als einer halben Stunde aufspürte. Niemand hatte versprochen, dass die Erklärung besonders spektakulär ausfallen würde.
Das Rätsel in Kürze
Im Jahr 2000 genehmigte das US-amerikanische National Institute of Standards and Technology (NIST) eine Reihe elliptischer Kurven, die von der NSA vorgeschlagen worden waren. Diese Kurven kommen in der Public-Key-Kryptografie zum Einsatz. Dort ermöglichen sie den Nachweis, dass man einen geheimen Schlüssel besitzt, ohne ihn offenzulegen. Nützlich und unspektakulär – bis man fragt, woher die Kurvenparameter stammen.
Die Behörde erklärte nie, woher einige der Zahlen stammten, mit denen die Kurven konstruiert wurden. Dieses Schweigen legte einen Verdacht nahe: Vielleicht hatte die NSA sehr viele Kandidaten ausprobiert und einen ausgewählt, der ihr erlaubte, den Schutz zu umgehen. Edward Snowdens Enthüllungen über Versuche, kryptografische Standards zu schwächen, trugen nicht dazu bei, diesen Verdacht zu zerstreuen.
In der Kryptografie gilt eine unerklärte Konstante selten als charmante Eigenheit.
Eine lange Liste von Menschen, die es versucht haben
Das Rätsel beschäftigte namhafte Fachleute. Die Kryptografen Neal Koblitz und Alfred Menezes zeichneten die Vorgeschichte in einer 2015 veröffentlichten Arbeit mit dem Titel „A Riddle Wrapped in an Enigma“ nach. Für Menezes war es auch eine persönliche Angelegenheit. Er hatte an der Ausarbeitung des ursprünglichen Standards mitgewirkt und erinnerte sich daran, die Startwerte 1997 vom NSA-Mathematiker Jerry Solinas erhalten zu haben.
Der Sicherheitsforscher Steve Weis suchte jahrelang nach einer Erklärung, unter anderem mit Anträgen auf Einsicht in Regierungsunterlagen. Im Jahr 2023 setzten der Kryptografieingenieur Filippo Valsorda und weitere Mitglieder der Community eine Belohnung für die Lösung des Rätsels aus. Die Grundprämie betrug 12.288 US-Dollar. Falls der Gewinner das Geld für einen guten Zweck spendete, konnte sie auf 36.864 US-Dollar steigen.
Also: jahrzehntelange Nachforschungen, förmliche Anträge, eine wissenschaftliche Arbeit und ein Preisgeld. Den entscheidenden Fortschritt brachte schließlich ein Sprachmodell.
Was Claude tatsächlich tat
Ein Mitarbeiter von Anthropic beauftragte ein internes Claude-Modell damit, den Ursprung der Zahlen eigenständig zu untersuchen. Ein Detail ist dabei wichtig: Dem Modell wurde nichts von der Hypothese gesagt, dass die Startwerte aus einer vergessenen Wortfolge abgeleitet worden sein könnten. Es musste einen eigenen Ansatz finden.
Das gelang. Das Modell rekonstruierte die Zahlenfolge mithilfe von lrand48, einem Pseudozufallszahlengenerator aus einer alten C-Programmbibliothek. Solche Generatoren folgen einem festen Algorithmus und liefern bei denselben Startparametern deshalb jedes Mal dieselbe Ausgabe. Diese Reproduzierbarkeit macht den ganzen Kniff erst möglich.
Das Modell konnte fünf Startwerte in weniger als 30 Minuten diesem Generator zuordnen. Für einen dieser Werte, der zur Konstruktion der Kurve P-256 verwendet wurde, fand es bei der 1.842. überprüften Variante eine exakte Übereinstimmung. Zeitstempel aus den Jahren 1997 und 1998 halfen dabei, die Folge mit den historischen Aufzeichnungen in Verbindung zu bringen.
Was noch ungeklärt ist
Der Fall ist noch nicht vollständig geklärt, und der Bericht spricht das offen an. Es bleibt unklar, warum das Programm einige Kandidaten übersprang, die geeignet gewesen wären. Ebenso unklar ist, wie die übrigen Kurvenparameter ausgewählt wurden.
Für den Ursprung der Startwerte gibt es damit nun eine plausible, reproduzierbare Erklärung. Für den vollständigen Entscheidungsprozess dahinter gilt das nicht.
Was das für die Nutzer dieser Kurven bedeutet
Das Ergebnis verringert die Wahrscheinlichkeit, dass die Kurven des NIST einen absichtlich eingebauten Mechanismus zur Umgehung ihres Schutzes enthalten. Ein Startwert aus einem gewöhnlichen, reproduzierbaren Generator wirkt deutlich weniger wie eine gezielt aus einem Heuhaufen von Möglichkeiten herausgesuchte Nadel. Die oben genannten offenen Fragen verhindern allerdings einen vollständigen Freispruch.
Zwei weitere Punkte helfen, die Nachricht richtig einzuordnen:
- Kein geheimer Schlüssel kommt ans Licht. Die veröffentlichten Startwerte waren schon immer zugänglich. Herauszufinden, wie sie erzeugt wurden, legt keinen versteckten NSA-Schlüssel offen und kompromittiert für sich genommen auch kein System.
- Kein Handlungsbedarf. Anthropic erklärte, dass Nutzer dieser Kurven weder Einstellungen ändern noch auf andere Algorithmen umsteigen müssen.
Noch eine Klarstellung für alle, die sich am Rande mit Kryptografie beschäftigen: Die von Bitcoin verwendete Kurve secp256k1 war nicht Teil dieser Geschichte. Ihre Parameter werden anders konstruiert, und das Rätsel betrifft sie nicht.
Wohin das Geld fließt
Die Belohnung geht an die Internet Security Research Group, die gemeinnützige Organisation, die das Projekt Let's Encrypt unterstützt. Dieses stellt kostenlose Sicherheitszertifikate für Websites aus. Ein stimmiger Abschluss für eine Prämie, die als Wette darauf begann, ob die NSA etwas im Schilde geführt hatte.
Das Fazit
Am interessantesten ist vielleicht eher die Methode als das Urteil. Ein Mensch stellte einem Modell eine offene Frage, verschwieg ihm die gängige Theorie, und das Modell fand eine Antwort, nach der Menschen 25 Jahre lang gesucht hatten. Skeptiker werden zu Recht Antworten auf die verbleibenden Fragen verlangen, und der Bericht sagt unmissverständlich, dass diese noch ausstehen.
Dennoch: Die wahrscheinliche Erklärung für das große NSA-Rätsel ist eine Standardbibliotheksfunktion, die jeder schon 1997 hätte aufrufen können. Verschwörungen sind meist spannender als das, worauf sie zurückgehen.