2026-10-17 · 当时的记录
ECDSA是一种利用椭圆曲线完成数字签名的方法。不同实现使用标准公布的曲线参数才能互通，但2000年NIST标准中的一批生成种子没有说明最初怎样产生。过去查找曾沿“幽默短语的哈希”展开；Anthropic团队10月16日报告，内部研究模型改查1990年代程序常用的伪随机数生成器。伪随机数由有限内部状态决定，输出中残留的结构能帮助倒推状态。
方法先从部分种子的高位规律识别C库lrand48，并枚举隐藏位核对连续输出；另一批仅取每次输出的高字节，则用LLL格基约简——一种寻找整数关系的算法——恢复被截去的信息。把状态逆推到初始化形式后，十个素数域曲线种子对应1997至1998年的时间戳。P-256对应其中一次初始化的第1842个候选，公布的短程序可重算种子。这里找到的是生成关系，没有报告签名被破解。
仍需区分“能生成它”和“当年为什么选它”：同一次P-256运行里更早的第876个候选也满足作者列出的条件，却被跳过，原因未知；B-163种子及部分基点来源也未解释。HN评论一方保留弃选历史的疑问，另一方反对据小规模搜索推断存在弱曲线。两种意见都不构成新攻击证据。
本次记录的观点：fidotron · matthewdgreen
回到当期正文 ↗
查看依据
信息来源：John Wood 等 · Anthropic Frontier Red Team · 发现渠道：Hacker News · 原始讨论 · 阅读原文：曲线种子溯源 · 原标准：NIST FIPS 186-2（历史依据） · fidotron：弃选历史异议 · matthewdgreen：弱曲线数量的反驳2026-10-17 · 当时的记录
ECDSA 是一类用椭圆曲线完成数字签名的方法。NIST 在2000年发布的标准给出了曲线参数和生成参数的种子，却未解释种子最初如何产生。过去有人沿“幽默短语的哈希”查找；Anthropic 这次报告，内部研究模型换了方向，检查1990年代常用伪随机数生成器留下的位模式。伪随机数由有限内部状态确定，找到状态便能重建整段输出。
模型从部分曲线种子的最高位规律识别出 C 库 lrand48，再枚举隐藏位；对于只保留每次输出一个字节的另一批种子，则用 LLL 格基约简——把整数关系中的隐藏结构找出来——恢复状态。逆推初始化后，十个采用模素数运算的曲线种子对应1997至1998年的时间戳。例如 P-256 对上1997年8月16日的一次初始化及第1842个候选；其公布种子也能与旧标准核对。
这是参数来历的解释。团队没有报告签名被破解，并明确保留未知项：P-256 的更早可行候选为何被跳过、B-163 种子为何不匹配，以及若干基点怎样选择，仍未解释。
本次记录的观点：fidotron · matthewdgreen
回到当期正文 ↗
查看依据
原文 · 原始依据 · 原始依据