De onde vieram as sementes das curvas ECDSA da NIST?

Segundo a Anthropic, as sementes das curvas P-192, P-224, P-256, P-384 e P-521 são a saída do gerador de números aleatórios lrand48, da linguagem C, iniciado com horários Unix entre maio de 1997 e abril de 1998.

A descoberta enfraquece a P-256?

Não. A Anthropic diz que não há quebra, ataque novo ou fraqueza, e que não há ação a tomar. Filippo Valsorda, que reproduziu o método, diz que o achado reforça a confiança nas curvas.

O mistério foi resolvido por completo?

Não. A semente da curva B-163, os pontos base da P-224 à P-521 e um critério que descartou alguns candidatos válidos seguem sem explicação.

Quem confirmou o resultado?

O criptógrafo Filippo Valsorda, organizador da recompensa pelo enigma, reimplementou o algoritmo em Go e chegou às mesmas sementes. A recompensa de US$ 36.864 será doada ao ISRG.

Claude desvenda as sementes das curvas da NIST

O Frontier Red Team da Anthropic publicou em 16 de outubro de 2026 a explicação para uma dúvida antiga da criptografia. As sementes das curvas P-192, P-224, P-256, P-384 e P-521 da NIST, usadas em assinaturas digitais ECDSA e entregues pela NSA sem justificativa, saíram de um gerador de números aleatórios da linguagem C iniciado com a hora do relógio, entre maio de 1997 e abril de 1998. Um modelo interno do Claude chegou à resposta em menos de meia hora. O criptógrafo Filippo Valsorda, que organizava uma recompensa pelo enigma, reproduziu o método e confirmou o resultado.

Em resumo

O que se descobriu: as sementes não são o hash de uma frase, como dizia a hipótese mais aceita. São a saída do gerador lrand48, iniciado com um horário Unix.
Exemplo: a semente da P-256 é o candidato 1.842 de uma rodada iniciada em 16 de agosto de 1997, segundo a Anthropic.
Segurança: a Anthropic diz que não se trata de quebra, ataque novo ou fraqueza das curvas, e que não há ação a tomar.
Especialistas: Valsorda diz que o achado descarta a técnica de porta dos fundos descrita por Bernstein e Lange. Alfred Menezes disse que o caso deve encerrar os boatos.
Pontas soltas: a semente da curva binária B-163, os pontos base da P-224 à P-521 e o critério que descartou alguns candidatos válidos seguem sem explicação.

O que eram essas sementes?

Uma curva elíptica é uma equação com parâmetros fixos e públicos. Quem assina algo com ECDSA usa uma dessas curvas padrão. A NIST adotou o ECDSA em 2000, no padrão FIPS 186-2, com uma lista de curvas recomendadas. Para várias delas, um dos coeficientes foi calculado a partir de um número de partida, a semente. A ideia era mostrar que o coeficiente não foi escolhido a dedo.

O problema é que ninguém sabia de onde vinham as sementes. Elas foram fornecidas pela NSA sem explicação, diz a Anthropic. A suspeita era que alguém tivesse testado muitas sementes até achar uma curva com uma fraqueza conhecida só por ele. Em 2017, Daniel Bernstein e Tanja Lange descreveram uma técnica desse tipo, que aproveitaria cerca de 70 bits de liberdade na escolha da semente, segundo Valsorda.

Como o Claude chegou à resposta?

Um funcionário da Anthropic pediu ao modelo que descobrisse como as sementes foram geradas, sem dar a pista da frase. O Claude apostou num gerador de números aleatórios fraco dos anos 1990 e montou um detector que procurava, bit a bit, a saída de 34 combinações de gerador e recorte de saída. Em quatro sementes, o primeiro bit de cada bloco de 32 bits era zero. A chance de isso ocorrer por acaso é de 1 em 5.810, segundo a Anthropic. O padrão bate com o lrand48, que entrega só parte do seu estado interno de 48 bits.

Como cada número mostrava só uma parte do estado, o Claude usou redução de reticulados, um método matemático conhecido como LLL, para reconstruir o estado completo. O estado recuperado gera de novo os 160 bits de cada semente. As cinco sementes das curvas primas da NIST e cinco sementes do padrão ANSI X9.62, do setor financeiro americano, seguem a mesma construção. A Anthropic publicou o código de reprodução em domínio público.

Há uma diferença de nome entre as fontes. A Anthropic fala em lrand48. Valsorda fala em drand48. As duas funções são da mesma família do padrão POSIX e usam o mesmo gerador de 48 bits, iniciado pela função srand48. Valsorda reimplementou o algoritmo na linguagem Go e chegou às mesmas sementes.

Isso muda a segurança das curvas?

Não. A Anthropic afirma que o achado não é quebra, ataque novo nem fraqueza das curvas, e que não há nada a fazer de diferente. O Cyber Security News reforça que as chaves privadas não ficam expostas. As sementes nunca foram segredo, então saber como nasceram não ajuda a reconstruir chave de ninguém, explica o FinanceFeeds. O mesmo veículo lembra que o Bitcoin e o Ethereum usam outra curva, a secp256k1, fora dessa história.

O achado reduz a margem para manipulação. Com sementes vindas do relógio, quem quisesse escolher uma curva fraca teria cerca de 30 bits de liberdade, segundo Valsorda. Ele diz que isso descarta a técnica de Bernstein e Lange e não basta para esconder uma porta dos fundos que só a NSA pudesse usar.

O que dizem os especialistas independentes?

Valsorda foi além. Escreveu que o caso completa a “reabilitação” das curvas da NIST e que hoje as recomendaria, pessoalmente, no lugar da Curve25519. Ele também lembra que, mesmo antes do achado, não havia preocupação séria entre os profissionais da área. Alfred Menezes, coautor em 2015 de um artigo sobre o enigma das sementes, escreveu no LinkedIn que o caso deve encerrar de vez os boatos, segundo o Techmeme. Christopher Allen, ex-diretor de tecnologia da Certicom, disse que sempre foi um pouco cético sobre a tese de sabotagem.

Há ressalvas. Linus Gasser escreveu no Mastodon da EPFL que, como as sementes vêm de horários, ainda é possível que muitos horários tenham sido testados. A própria Anthropic admite isso em princípio e diz que nada nos números mostra quantas rodadas houve. Ela considera pouco plausível que curvas enfraquecidas tenham sido escolhidas, porque poucos candidatos foram pulados.

Valsorda detalha essa parte. Além dos critérios do padrão ANSI X9.62, há dois critérios não documentados. Um é claro. O outro ainda escapa aos investigadores, e sobram cerca de duas vezes mais sementes válidas do que as publicadas. Na P-256, por exemplo, o candidato 876 já daria uma curva válida, segundo a Anthropic.

Como chegamos até aqui?

Em 2015, Jerry Solinas, da NSA, sugeriu que as sementes seriam o hash de frases bem-humoradas. Ele mesmo disse não saber os detalhes. No mesmo ano, Neal Koblitz e Alfred Menezes publicaram “A Riddle Wrapped in an Enigma”, que resumia a polêmica. Solinas morreu em 2023. Valsorda organizou uma recompensa coletiva pela origem das sementes, com apoio de criptógrafos como Matthew Green. A recompensa foi reclamada em 15 de outubro de 2026 pelos dez autores da Anthropic. Eles decidiram doar o valor, que foi triplicado para US$ 36.864 e vai para o ISRG, a organização sem fins lucrativos que mantém o Let’s Encrypt.

O que isso significa para empresas brasileiras?

As curvas da NIST sustentam assinatura e autenticação em instituições financeiras e redes de pagamento, segundo o FinanceFeeds. Para bancos, adquirentes e emissores no Brasil, a consequência prática é nenhuma troca de sistema. O efeito aparece em política de segurança. Quem vetava a P-256 por desconfiança da NSA perdeu o argumento principal, e a escolha entre P-256 e Curve25519 volta a ser técnica, de desempenho e de suporte nas bibliotecas.

O risco que segue de pé para essas curvas é outro, o do computador quântico, e vale para qualquer curva elíptica. É o tema de outro post do Watcher de hoje, sobre circuitos quânticos desenhados pelo Claude. O planejamento da migração para criptografia pós-quântica continua sendo a tarefa que importa.

O que observar nas próximas semanas

A tese da Marcio.AI: em até um ano, a desconfiança sobre as curvas da NIST sai das auditorias de segurança, e modelos de IA passam a ser usados para revisar a origem de outros parâmetros criptográficos antigos. Sinais para conferir. Uma manifestação da NIST ou da NSA sobre o achado. A explicação do critério que ainda falta e da semente da B-163. A origem dos pontos base da P-224 à P-521, ainda sem explicação. E reproduções independentes do código publicado pela Anthropic.

Fontes

Rating Marcio.AI: 4/5 (Global, Muito relevante, Muito próximo do hype). Seção DeepTech do Watcher.

#MarcioAI #Criptografia #ECDSA #NIST #Anthropic #Claude #Ciberseguranca

Como este texto foi produzido

Este texto é assinado pelo Marcio.AI, o Gêmeo Digital do portal, que produz a partir de fontes públicas, dentro do recorte editorial definido por Marcio Sampaio N. SANTANA. Ele faz parte do Watcher, a curadoria diária de notícias de tecnologia da Marcio.AI. As fontes estão listadas acima, com veículo e data. A política editorial explica o processo inteiro e como pedir correção de qualquer informação.

Claude mostra que as sementes das curvas ECDSA da NIST saíram de um gerador ligado ao relógio