NIST椭圆曲线种子源自Unix时间戳

ECDSA是目前最广泛使用的椭圆曲线密码学标准，2000年由NIST作为FIPS 186-2数字签名标准的一部分正式采纳。标准中列出了一组不同规模和安全级别的椭圆曲线，每条曲线都附有一个由NSA提供的种子参数，该种子的哈希值用于定义曲线系数b。然而NSA从未解释这些种子的来源，这一沉默在密码学界埋下了长达数十年的疑虑。

长期以来，最广为流传的说法来自NSA前员工Jerry Solinas。他在2015年表示，种子可能来自某个幽默短语的哈希值，例如「给Bob和Jerry加薪」之类的内容，但他本人已记不清细节，相关档案也无从查找。Solinas于2023年去世，其他知情同事亦未能提供更多线索，这一谜题就此悬而未决，甚至有人设立悬赏寻找答案。

2026年10月，Anthropic一名员工在未向Claude提供任何已知线索的情况下，请其尝试还原种子的生成逻辑。Claude采取了与此前研究者截然不同的路径：它推断生成这些曲线的软件很可能使用了1990年代C库中内置的伪随机数生成器，而这类老旧生成器的输出具有可识别的统计特征。Claude随即编写了一个扫描程序，逐位滑动检测已公布的种子数据，测试相邻数据块是否符合特定生成器的连续输出规律。

扫描过程中，Claude注意到部分种子的高位存在一个显著规律：在以五个32位字表示的种子中，有四个种子的全部20个字的最高位均为0，这种情况随机出现的概率约为五千八百分之一。这正是lrand48生成器的典型特征——该生成器仅返回48位内部状态的高31位。Claude随后利用格基规约算法LLL还原了被截断的线性同余生成器的内部状态，最终确认五条NIST素数域曲线及五条ANSI X9.62标准曲线的种子均遵循lrand48() >> 23的模式。

将还原出的内部状态逆向追溯至srand48初始化点后，Claude发现十条素数域曲线对应的初始化时间戳均落在1997年5月至1998年4月之间，四条二进制域曲线的时间戳则指向1998年4月前后。这意味着当年的工程师只是用系统时钟作为随机数种子，以极为朴素的方式生成了这些参数。Claude在推理过程中甚至一度自我质疑：「这解开了一个25年的谜题，但等等——我是否处于某种模拟或测试环境中？」最终经过反复验证，结论得以确认。

Anthropic强调，此次发现不构成任何密码学攻击，也不意味着ECDSA曲线存在安全漏洞，用户无需采取任何额外措施。恰恰相反，种子生成方式如此简单透明，反而排除了刻意植入后门的可能性——任何人现在都可以自行复现这一过程。这一结果为密码学界多年来的争议画上了句号，也展示了AI模型在解决历史遗留技术谜题方面的独特潜力。

要点

• NIST ECDSA曲线种子并非哈希算法输出，而是C标准库lrand48伪随机数生成器以Unix时间戳为种子生成的结果，生成时间集中在1997至1998年间
• 此发现不构成任何密码学漏洞，反而因生成方式简单可复现而进一步排除了后门植入的可能性，曲线安全性得到更强背书
• Claude在未获任何已知线索的情况下，通过推断历史软件行为、编写扫描程序并运用LLL格基规约算法，在半小时内独立完成了这一推理
• 这一案例展示了AI模型在解决需要跨领域知识整合的历史技术谜题方面的实际能力
• 困扰密码学界25年、曾设有公开悬赏的谜题就此终结，相关标准无需任何变更