Claude за полчаса раскрыла криптографическую загадку NIST: обнуление инфраструктурных рисков
Безопасность цифровой инфраструктуры опирается на криптографические стандарты, происхождение которых десятилетиями оставалось в тени. Алгоритм цифровой подписи на эллиптических кривых (ECDSA) был принят NIST еще в 2000 году как часть стандарта цифровой подписи FIPS 186-2, однако параметры его базовых кривых поставлялись полностью без задокументированных источников. Более двадцати лет этот вакуум порождал упорные подозрения относительно намеренных бэкдоров или аппаратных компромиссов, заложенных создателями. Сомнения укреплялись из-за отсутствия документации и тихого ухода ключевых авторов из индустрии, что создавало постоянный фоновый риск для тысяч корпоративных систем.
"Это всего лишь временные метки": многолетняя загадка происхождения одного из самых популярных криптографических стандартов получила объяснение.
Это напряжение между тотальным контролем над доверенной средой и непрозрачным криптографическим наследием вынуждало службы безопасности закладывать в бюджет скрытую стоимость потенциального пересмотра стандартов. Рынок нехотя мирился с архитектурным черным ящиком, поскольку ручной аудит параметров требовал непомерных затрат ресурсов без каких-либо гарантий окончательного результата.
Автоматизация реверс-инжиниринга устаревшего кода
Ситуация изменилась, когда исследователь из Anthropic поручил внутренней исследовательской модели восстановить точный алгоритм генерации базовых параметров. Задача, ранее требовавшая колоссальных человеко-часов, была выполнена Claude менее чем за тридцать минут для всего набора кривых NIST P-192, P-224, P-256, P-384 и P-521. Расследование выявило полное отсутствие сложных криптографических хеш-функций: параметры оказались тривиальным выводом генератора псевдослучайных чисел lrand48 из стандартной библиотеки C, инициализированного стандартной временной меткой Unix. По данным Anthropic, модель самостоятельно разработала сканер, который проверял пересечения битовых срезов по 34 комбинациям генераторов, выделяя повторяющиеся паттерны в нулевых стартовых битах.
Claude написала сканер, который последовательно проверял каждый опубликованный сид по одному биту за раз и определял, являются ли соседние фрагменты последовательными выводами генератора образца 1990-х годов.
Успешное развертывание автономного агента для работы со сложными математическими структурами знаменует собой структурный сдвиг в практической пользе моделей, переходящих от базовой обработки текста к глубокому аудиту устаревшего кода. Прямые финансовые затраты на расследование остались пренебрежимо малыми, полностью переписывая экономику поиска уязвимостей в корпоративном софте.
Экономика инфраструктурного доверия
Эти выводы решительно уничтожают десятилетия спекуляций относительно целостности криптографических кривых, хороня гипотезу об умышленных бэкдорах. Генерация параметров с помощью примитивного генератора системных часов устраняет угрозу внешнего вмешательства. Для корпоративных заказчиков это означает мгновенное испарение инфраструктурных рисков без необходимости капитальных затрат на экстренную криптографическую миграцию или доработку систем безопасности. Бизнес-подразделения внезапно получают юридическую и техническую определенность в отношении базовых стандартов шифрования, предоставленную целиком автономной системой.
Технологические тяжеловесы активно отказываются от ручной проверки кода в пользу исчерпывающих математических аудитов инфраструктуры на базе больших языковых моделей, сокращая накладные расходы, которые раньше тратились на масштабные контракты с внешними консультантами.
Источник: Anthropic Research