P-256 : l'IA d'Anthropic perce le secret des courbes de la NSA, une horloge de 1997

Le 15 octobre à 1 h 07 min 51 s (heure universelle), une équipe réclame la prime promise par le cryptographe Filippo Valsorda. Elle apporte la réponse à une énigme vieille d'un quart de siècle : l'origine des « graines » des courbes elliptiques du NIST, dont la célèbre P-256, qui protège encore une grande partie des connexions HTTPS et des signatures électroniques.

Cette équipe compte dix chercheurs d'Anthropic, parmi lesquels Nicholas Carlini et Steve Weis. Le 16 octobre, l'entreprise a publié le détail de la découverte : selon elle, l'essentiel du travail a été fait par « un modèle de recherche interne » de Claude, son IA, qui n'est pas nommé plus précisément.

Des nombres fournis sans explication

Ces courbes ont été normalisées en 2000 dans la norme de signature FIPS 186-2. Pour prouver qu'elles n'avaient pas été choisies avec une faiblesse cachée, chacune était dérivée d'une graine passée dans la fonction de hachage SHA-1. Mais ces graines venaient de la NSA, sans explication. Jerry Solinas, l'ancien employé de l'agence qui les aurait produites, pensait avoir haché une phrase humoristique. Il est mort en 2023 sans que personne ne la retrouve.

La même année, Filippo Valsorda a lancé une prime de 12 288 dollars, triplée si le gagnant en faisait don à une association. Plusieurs employés d'Anthropic avaient déjà cherché la phrase, sans succès.

Une horloge plutôt qu'une phrase

Selon Anthropic, un employé a posé la question au modèle sans lui souffler la piste de la phrase. Celui-ci a supposé qu'un générateur de nombres pseudo-aléatoires peu robuste, courant dans les bibliothèques C des années 1990, avait été utilisé. Un balayage a révélé la signature de la famille rand48. Le modèle a ensuite reconstitué l'état interne du générateur, puis l'a fait tourner à l'envers jusqu'à son point de départ. Anthropic indique que la recherche a pris moins d'une demi-heure.

Le résultat est prosaïque. Chaque graine provient d'un générateur initialisé avec l'heure de l'ordinateur. Pour P-256, il s'agit du 16 août 1997 à 1 h 52 min 34 s, et de la 1 842^e valeur produite. Les autres courbes renvoient à des dates allant de mai 1997 à avril 1998. Anthropic publie un programme qui reproduit les graines. Filippo Valsorda écrit avoir réimplémenté l'algorithme pour vérifier la réponse.

Faut-il changer quelque chose ?

Non, selon Anthropic, qui écrit qu'il ne s'agit pas d'une « cassure cryptographique, d'une nouvelle attaque ou d'une faiblesse ». Le résultat écarte même un scénario théorique. En 2017, les cryptographes Bernstein et Lange avaient décrit comment environ 70 bits de liberté dans le choix d'une graine pourraient servir à viser une famille hypothétique de courbes faibles. Avec une horloge, la NSA aurait eu, selon Filippo Valsorda, « à peine 30 bits de liberté » : trop peu pour cela.

Tout n'est pas résolu. Le procédé produit environ deux fois plus de candidats valides que ceux retenus. Pour P-256, la 876^e valeur convenait aussi, et personne ne sait pourquoi elle a été écartée. Un critère de rejet reste inexpliqué. La graine de la courbe B-163 et les points de base de P-224, P-256, P-384 et P-521 aussi. Anthropic reconnaît enfin qu'il reste en principe concevable que ces courbes aient été choisies pour une propriété particulière : rien dans les nombres n'indique combien d'essais ont été faits.

Quant à la part exacte de l'IA, seule Anthropic la décrit : ni le modèle ni les échanges ne sont publiés. La prime de 36 864 dollars ira à l'ISRG, l'association qui gère Let's Encrypt. Valsorda, lui, s'amuse du calendrier : l'énigme est résolue « juste à temps » pour que ces courbes soient remplacées par les signatures post-quantiques.