Anthropic: Claude rekonstruiert Ursprung von ECDSA-Kurven

Anthropic hat mithilfe von Claude die Herkunft bislang rätselhafter Parameter eines verbreiteten Standards für digitale Signaturen rekonstruiert. Nach Einschätzung des Unternehmens macht der Fund langjährige Hintertür-Vermutungen deutlich weniger plausibel. Eine neue Angriffsmöglichkeit ergibt sich daraus laut Anbieter nicht.

Am 16. Oktober 2026 veröffentlichte Anthropic die Untersuchung zum Signaturstandard ECDSA, der auf elliptischen Kurven beruht, also mathematischen Strukturen für kryptografische Berechnungen. Die US-Standardisierungsbehörde NIST hatte ihn 2000 in den Standard für digitale Signaturen FIPS 186-2 aufgenommen. Der US-Geheimdienst NSA lieferte Ausgangswerte für die Kurvenparameter, ohne deren Herkunft zu erklären. Aus diesen Startwerten werden per Rechenverfahren die Kurvenparameter berechnet. Ein internes Forschungsmodell fand die Herkunft dieser Ausgangswerte laut Anbieter in weniger als einer halben Stunde. Die Untersuchung betraf unter anderem die standardisierten elliptischen Kurven mit den Bezeichnungen P-192, P-224, P-256, P-384 und P-521.

Zeitstempel statt scherzhafter Passphrase

Claude identifizierte den Pseudozufallszahlengenerator lrand48 aus der Programmiersprache C als Ursprung der Werte. Solche Generatoren erzeugen aus einem Anfangszustand eine reproduzierbare Zahlenfolge. Hier initialisierten Unix-Zeitstempel den Generator, also Zahlenwerte für Zeitpunkte. Die rekonstruierten Startzeitpunkte von zehn untersuchten Primkurven, deren Berechnungen auf einer Primzahl beruhen, lagen zwischen Mai 1997 und April 1998. Dazu zählen fünf NIST-Kurven und fünf Beispielkurven aus einem Standard des US-Normungsinstituts ANSI. Frühere Nachforschungen hatten erfolglos nach einer scherzhaften Passphrase gesucht. Anthropic zufolge macht die nun nachvollziehbare Erzeugung absichtlich eingebaute Schwächen deutlich weniger plausibel.

Übersprungene Kandidaten bleiben erklärungsbedürftig

Die Rekonstruktion erklärt nicht sämtliche Auswahlentscheidungen. Bei P-256 entsprach erst Kandidat 1842 dem standardisierten Ausgangswert. Ein Kandidat ist dabei jeweils einer der nacheinander aus dem Generator gewonnenen 20 Byte langen möglichen Ausgangswerte. Bereits Kandidat 876 hätte jedoch eine Kurve passender Größe und mit entsprechend gewählten Parametern ergeben. Anthropic kennt den Grund für das Überspringen nicht. Wegen der geringen Zahl ausgelassener Kandidaten hält das Unternehmen eine gezielte Auswahl geschwächter Kurven für unplausibel. Der Ausgangswert der binären Kurve mit der Bezeichnung B-163, deren Berechnungen auf einer anderen mathematischen Zahlenstruktur beruhen als bei Primkurven, blieb ebenfalls ungeklärt.

Zusätzlich rekonstruierte Claude für sechs Kurven die Herkunft ihrer Basispunkte, also fester Punkte auf den Kurven, aus denen öffentliche ECDSA-Schlüssel abgeleitet werden. Diese stammten aus dem Zufallszahlengenerator von FreeLIP, einem Softwarepaket für Berechnungen mit großen ganzen Zahlen. Das Preisgeld für die Aufklärung der Ausgangswerte beträgt 36.864 US-Dollar. Es soll an die Forschungsgruppe für Internetsicherheit gespendet werden.