קלוד פיצח תעלומה של ה-NSA בתוך חצי שעה
מודל מחקר פנימי של Anthropic גילה שסידי עקומות NIST נוצרו ממחולל ישן ומשעון יוניקס ולא מדלת אחורית, אך זה רחוק ממתקפה עצמאית.
- בדקו תבניות בינאריות ופלט של מחוללים ישנים לפני שאתם מריצים כוח גס על טקסט חופשי.
קונספירציות קריפטוגרפיות נשמעות מצוין על הנייר, עד שמישהו בודק את קוד המקור ב-C. עשרים וחמש שנה חוקרי אבטחה תהו מאיפה הגיעו המספרים השרירותיים שהזינו את תקן החתימה הדיגיטלית הנפוץ בעולם. החשש היה שסוכנות הביון האמריקאית הטמינה בהם דלת אחורית לפענוח תעבורה מוצפנת, בדומה למקרה של תקן Dual_EC_DRBG הידוע לשמצה. עכשיו, דיווח ב-The Decoder חשף שמודל AI פתר את התעלומה בפחות מחצי שעה. המציאות התבררה כהרבה פחות דרמטית משחשבו.
זה היה מהיר להפתיע.
שעון ישן במקום קנוניה
התעלומה הזאת התחילה רשמית בשנת 2000, כאשר מכון התקנים האמריקאי פרסם את תקן FIPS 186-2 שהגדיר את עקומות ECDSA המוכרות כיום ברשת, בהן P-256 ו-P-384. השורשים של חלקן נמתחו לתקן ANSI X9.62 מ-1999 שבו אלפרד מנזס (Alfred Menezes) שימש ככותב ראשי. מנזס אישר כי מי שסיפק את הערכים היה דוקטור ג'רי סולינאס (Jerry Solinas), נציג הסוכנות בוועדת התקינה. סולינאס מסר את הסידים בלי תיעוד טכני על אופן הפקתם, מה שהצית גל שמועות שנמשך עשורים.
העניין סביב הנושא היה כה עמוק, עד שחוקר האבטחה פיליפו ולסורדה הקים באונטי ציבורי לפיצוח המקור. סכום הפרס המקורי עמד על 8,192 דולר, עלה בהמשך ל-12,288 דולר, ושולש ל-36,864 דולר למקרה שייתרם לצדקה. המניע לאתגר נבע מדבריו של סולינאס עצמו לפני מותו ב-2023, לפיהם הערכים הופקו מגיבוב של משפטי בדיחה שנשכחו ממחשבו האישי.
הודעות המקור היו בנוסח 'תנו לבוב ולג'רי העלאה' או 'בוב וג'רי שולטים', אבל אף אחד לא זכר את הפרטים.ג'רי סולינאס, במיילים שפורסמו בדיעבד
ההסבר הזה הוביל חוקרים רבים, בהם סטיב וייס, לנסות כוח גס על ביטויים טקסטואליים. וייס חקר מיילים, מסמכי ארכיון וזיכרונות של עמיתים סביב הפרשה. ולסורדה המליץ לתקוף רשימת גיבובים שכיסו מונים מספריים של עד 2400 עבור העקומות הגדולות, ופחות מ-1175 עבור P-256. אלא שהמודל של חברת Anthropic לקח כיוון אחר לגמרי והוכיח שהזיכרון האנושי שוב הטעה את כולם. הסידים לא נוצרו ממשפטים שנונים אלא ממחולל המספרים lrand48 ושותפו drand48, כשהוא מאותחל באמצעות חותמות זמן פשוטות של שעון מערכת Unix בין מאי 1997 לאפריל 1998.
מתברר שזה היה רק שעון.
בלי מודלים מסחריים
המפתח לפיצוח לא היה קסם מתמטי מופשט, אלא זיהוי אנומליה מבנית בייצוג הביטים. פונקציית lrand48 המקורית פולטת מספרים בני 31 סיביות בלבד, מה שגרם לכך שהביט העליון בחלק מהערכים היה מאופס באופן עקבי לחלוטין. במקום לחפש מחרוזות אנגליות ששימשו כמחרוזת שרירותית לתקן IEEE 1363, המודל זיהה את התבנית של 31 הסיביות. משם הסיק את קיומו של המחולל המסוים, ושחזר את חותמות הזמן המדויקות ששימשו להרצת הפונקציה במחשבי הסוכנות בסוף שנות התשעים.
עם זאת, אל תבנו על זה שתפתחו מחר חשבון ותתחילו לתקוף מערכות הצפנה. לפי הדוקומנטציה של Anthropic, הניסוי בוצע על ידי מודל מחקר פנימי של צוות ה-Red Team שלהם, ולא באמצעות גרסת הייצור הציבורית של Claude. החברה לא פירטה אילו כלי עזר או מעטפת תוכנה סופקו למודל במהלך הפתרון, כך שלא ידוע אם משתמש רגיל יכול לשחזר את התוצאה בממשק המסחרי.
בישראל מודלי Claude פועלים בקרב מפתחים ומשולבים בארגונים כמו KPMG, אך יכולות מחקר פנימיות כאלו אינן זמינות במוצרי המדף.
ההבדל בין הסבר לפריצה
אם אתם מנהלים תשתיות שרתים, תבדקו לפני שאתם נלחצים לשנות הגדרות במוצרים שלכם. גילוי מקור הסידים אינו שובר את ההצפנה של ECDSA, אינו מחליש את תעודות ה-SSL ברשת, ולא משפיע בשום צורה על רשת הביטקוין שמשתמשת במבנה פרמטרים שונה. הממצא בעיקר מנקה את ה-NSA מחשד ספציפי: סביר להניח שהסוכנות לא שתלה דלת אחורית מתוחכמת בערכי ההתחלה האלה, שכן הם נגזרו בפשטות משעון מערכת שרץ באותן דקות במעבדה.
לפי חוקרי החברה, התגלית מחזקת את הביטחון בכך שהעקומות נבחרו ללא דלתות אחוריות מכוונות. למרות זאת, לא הייתי ממהר להכריז על פתרון מוחלט של כל סימני השאלה ההיסטוריים סביב התקן הזה. תעלומות אחרות נותרו ללא מענה פתוח.
בין השאר, לא ברור מדוע הסקריפט המקורי דילג על עקומה תקינה אחת, מועמד מספר 876, לפני שבחר את הסיד הסופי של עקומת P-256. בנוסף, הסיד של העקומה הבינארית B-163 טרם פוענח, ואין עדיין הסבר למקור נקודות הבסיס בעקומות שבין P-224 ל-P-521.
חצי שעה עם הכנה אנושית
ההצהרה על פענוח בתוך 30 דקות נשמעת חדשה בדיווחים עיתונאיים, אבל מאחוריה עומדות שנים של עבודה אנושית מאומצת. החוקרים הם אלה שבודדו את הנתונים, שללו תיאוריות שגויות והגדירו סביבת עבודה מדויקת שאפשרה לאלגוריתם להתמקד בבעיה. עבודות הרקע של סטיב וייס ופיליפו ולסורדה הגדירו את גבולות הגזרה של הבעיה עוד בשנת 2023. מודלים מסוגלים לחבר רמזים בינאריים ולזהות חולשות תוכנה מוכרות ביעילות גבוהה, אך רק כשהם מקבלים מסגור קפדני מהחוקר שיושב מול המסך.
מה שבאמת מעניין כאן הוא היכולת לחלץ שגיאות מימוש ותיקות מתוך ערימות ביטים נשכחות. מלוא סכום הבאונטי נתרם לארגון Internet Security Research Group שמפתח תשתיות רשת חופשיות. אז לא, ה-AI עדיין לא שובר פרוטוקולים בלי עזרה אנושית צמודה. בינתיים, מחשבי שנות התשעים עדיין מצליחים להפתיע אותנו.
מה שואלים על זה
- Anthropics' Claude cracks a 25-year-old NSA cryptography mystery in under 30 minutesthe-decoder.com · המקור
- Announcing the $12k NIST Elliptic Curves Seeds Bountywords.filippo.io · דף המוצר
- How were the NIST ECDSA curve parameters generated?saweis.net · דף המוצר
- Claude reveals ECDSA curve originsanthropic.com · קריאה נוספת
23 עובדות בכתבה נבדקו אחת־אחת מול המקורות המקושרים ומול חיפוש ברשת ב־17 באוקטובר 2026. מה שלא אומת הוסר או מסומן כטענה של החברה. הכתיבה נעשתה בעזרת AI מהמקורות האלה בלבד, בעריכה ובאחריות של סלבה מלנדוביץ׳. טעות? כתבו לנו.