✨︎ Resumen (TL;DR):
- Anthropic informó que un modelo interno de investigación de Claude reconstruyó el origen de las semillas de cinco curvas NIST usadas en ECDSA.
- La receta combina lrand48, marcas de tiempo Unix de 1997 y 1998 y candidatos de 20 bytes; en P-256, el candidato 1,842 coincide con el estándar histórico.
- El hallazgo aclara la procedencia de parámetros públicos, pero no explica por qué se eligió ese candidato ni recupera claves privadas.
Anthropic informó el 16 de octubre de 2026 que un modelo interno de investigación de Claude reconstruyó el origen de las semillas de P-192, P-224, P-256, P-384 y P-521, cinco curvas NIST usadas en firmas digitales ECDSA. La receta emplea un generador seudoaleatorio, fechas de 1997 y 1998 y candidatos de 20 bytes; para P-256 reproduce la semilla publicada en el estándar histórico FIPS 186-2. Según la empresa, el hallazgo refuerza la confianza en esos parámetros, aunque todavía no explica por qué se eligió el candidato 1,842.
El NIST es el instituto estadounidense de estándares y tecnología. Sus curvas proporcionan parámetros matemáticos para ECDSA. ECDSA es un algoritmo que permite firmar datos y verificar su autenticidad e integridad.
La NSA había aportado las semillas sin explicar su origen. Según el informe de Anthropic, esa opacidad alimentó sospechas de una puerta trasera.
La receta combina lrand48 y fechas reproducibles
El informe abarca P-192, P-224, P-256, P-384 y P-521. Según Anthropic, un generador seudoaleatorio antiguo de las bibliotecas de C, lrand48, recibía una marca de tiempo Unix, una fecha expresada en segundos, y producía candidatos de 20 bytes.
El criptógrafo Filippo Valsorda, organizador de la recompensa por resolver el enigma, publicó una implementación propia en Go y confirmó que reproduce las semillas.
Para P-256, la receta parte del 16 de agosto de 1997 a las 01:52:34 UTC y reproduce la semilla en el candidato 1,842. Ese valor coincide con el publicado en la página 31 del estándar histórico FIPS 186-2, de 2000.
El proceso tiene dos etapas. Primero, el generador produjo la semilla. Después, un procedimiento basado en SHA-1 utilizó esa semilla para obtener los parámetros de la curva. Encontrar el origen de la semilla no elimina esa segunda operación.
La secuencia aclara el origen, no la selección
Valsorda advirtió que la secuencia incluye candidatos válidos que no se publicaron. En el caso de P-256, el candidato 876 ya daba una curva viable, pero la semilla publicada corresponde al 1,842.
Todavía no se sabe por qué se eligió ese candidato. Valsorda plantea posibles fallas del programa original, pero no existe una causa comprobada. Reconstruir el generador aclara la procedencia de la semilla; los criterios completos de selección siguen abiertos.
Anthropic tampoco pudo explicar el origen de la semilla de la curva binaria B-163 ni cómo se eligieron los puntos base, otro parámetro criptográfico, de P-224, P-256, P-384 y P-521.
Parámetros públicos, claves privadas
La norma FIPS 186-5 del NIST distingue los parámetros de dominio de las claves privadas. Los parámetros de dominio pueden ser públicos y compartidos por muchos usuarios. Para generar claves privadas, la norma exige un generador aprobado con la seguridad correspondiente.
Por eso, reconocer un generador antiguo en las semillas publicadas no equivale a recuperar las claves de los usuarios. La investigación reconstruye la preparación de unas constantes matemáticas. La confidencialidad de las claves y la seguridad de cada implementación son cuestiones separadas.
El hallazgo no revisa Dual_EC_DRBG
El alcance de esta reconstrucción también difiere del caso Dual_EC_DRBG. El 21 de abril de 2014, el NIST anunció que retiraba ese generador de sus recomendaciones en borrador, tras evaluar preocupaciones sobre una posible debilidad y la pérdida de confianza pública.
Dual_EC_DRBG generaba bits destinados, entre otros usos, a crear claves secretas. La reconstrucción de estas semillas no revisa ese mecanismo.
Anthropic afirma que el resultado aporta confianza en las curvas y no exige cambios en el uso de ECDSA. La investigación aclara la procedencia de las cinco semillas, pero deja abiertas la razón para elegir el candidato 1,842, la explicación de B-163 y la selección de los puntos base.
