テクノロジー · ニュース解説
25年来の暗号学の謎はタイムスタンプへ 新たなECDSA破りではない
標準楕円曲線の複数のシードが、古いCの乱数生成器と1997～98年の時刻から作られた過程が再構成された。意図的なバックドア説は弱まるが、秘密鍵は漏れず、未解明の選択も残る。
新たに公表された再構成は、複数の標準楕円曲線シードを、1997年と1998年のUnix時刻で初期化したCライブラリのlrand48に結び付けた。Anthropicによれば、内部状態を復元し、公表値をビット単位で再現した。
これは公開パラメータの由来に関する成果で、新しいECDSA破りではない。曲線シードは利用者の秘密鍵でも、署名ごとの秘密nonceでもない。研究者は利用者の対応は不要としている。
何が再構成されたのか
研究チームは1990年代のソフトウェアが残し得る模様を探索した。ゼロビットの並びがlrand48を示し、出力の一部しか含まれない場合は格子簡約で内部状態を復元した。
NIST素数曲線5本とANSI例示曲線5本のシードを再現できた。逆方向の計算で1997年5月から1998年4月の初期化時刻に至り、再現コードも公開された。
シードは利用者の秘密ではない
ここでいうシードは標準の公開曲線パラメータを導く過程の値であり、個人やサーバーの秘密鍵、ECDSA署名時の秘密nonceとは別物だ。
研究は破りでも新攻撃でもないと明記する。この発見だけを理由に証明書、暗号資産鍵、署名鍵を交換する根拠はなく、通常の更新と鍵管理は続けるべきだ。
意義はあるが意図の証明ではない
単純で再現可能な生成経路は、由来不明だった数値に平凡な説明を与える。研究者は意図的な操作を以前より考えにくくするとするが、最終選択者の動機までは証明しない。
現行のNIST SP 800-186は米政府向け推奨楕円曲線を定めている。今回の研究は歴史的由来を扱い、標準変更を発表したものではない。
残る未解明点
B-163のシード、P-224、P-256、P-384、P-521の基点は説明されていない。また要件を満たす早い候補が飛ばされた例もある。
P-256では候補876も条件を満たしたようだが、公表値は1,842番だった。選択基準と基点の由来が分かるまでは、多くの生成過程は再現できても全設計判断は不明、という限定的結論が妥当だ。
