NISTの暗号規格はなぜ26年間「出典不明の数字」を使い続けていたのか。Claudeが突き止めた乱数生成器の正体を確かめる

まず初めに

26年間、世界中の暗号学者が首をひねってきた謎がある。NISTの楕円曲線のシードは、NSAが何の説明もつけずに提供した数値列で、有力説は「亡くなった職員がジョークのフレーズをハッシュ化した」というものだった。確認しようにも本人はもう2023年に亡くなっている――つまり四半世紀分の陰謀論が、検証不能なまま漂っていたわけだ。それをAnthropicの社員が「ヒントなしで当てられる?」とClaudeに聞いただけで、30分足らずで片付けてしまった。暗号学会が四半世紀かけて解けなかった謎が、オフィスの思いつきで解けるとは、専門家の皆さんも気の毒というかなんというか。種を明かせば1990年代の安っぽい乱数生成器の出力というのも、謎が謎であった時間の長さに対してあまりに地味な正体で、それもまた笑いどころではある。※個人の感想です

何が起きているのか

Anthropicは2026年10月16日、Frontier Red Teamを含む研究チーム(John Wood、Henry de Valence、Ava Howell、Zack Voase、Lucy Sweet、Amir Omidi、Paul Crowley、Iain McGinniss、Nicholas Carlini、Steve Weisの各氏)の成果として、ECDSA(楕円曲線を使った電子署名方式)で使われるNIST曲線の「シード」の起源を公式サイトで公表しました。ECDSAは米国標準技術研究所(NIST)が2000年にFIPS 186-2で採用した、現在も広く使われる暗号標準です。曲線の係数bはシード値をハッシュ化して決められていましたが、そのシード自体はNSAから説明なしで提供されたもので、由来が26年間論争の的になっていました。有力だった説は、NSA職員だったJerry Solinas氏が「ハッシュ化したジョークのパスフレーズ」から生成したというものでしたが、同氏は2023年に亡くなっており、確証は得られていませんでした。

きっかけは、Anthropicの従業員がヒントを示さずにClaudeへ「このシードの生成方法を推定できるか」と尋ねたことでした。Claudeは1990年代のCライブラリに特徴的な弱い乱数生成器の出力パターンを探すスキャナを自ら作成し、上位ビットがすべて0になるパターンから、C標準ライブラリの乱数生成器「lrand48」(48ビットの内部状態から上位31ビットを返す線形合同法せんけいごうどうほう)を特定しました。素数曲線のシードは出力が切り詰められていたため、内部状態を復元するために格子基底簡約のLLLえるえるえるアルゴリズムを使い、状態を逆方向にたどって初期化時の形まで復元しました。30分でここまでやる執念、本来は休日出勤レベルの作業量である。

30分足らずで、ClaudeはP-192、P-224、P-256、P-384、P-521の各シードの起源を特定しました。いずれもハッシュ値ではなく、Unixタイムスタンプで初期化された「lrand48」の出力でした。素数曲線のシードの初期化時刻は1997年5月から1998年4月の間のタイムスタンプで、例えばP-256のシードは「1997年8月16日01:52:34 UTC」から生成を始め、1,842番目の候補が採用されていたことまで特定されています。一方で、基点(ベースポイント)Gについては、P-192とANSI X9.62の例示曲線の一部(prime192v2・prime192v3・prime239v1〜v3)は、Arjen Lenstra氏のLIPパッケージ由来の乱数生成器「FreeLIP」から生成されたと判明しましたが、P-224・P-256・P-384・P-521の基点は未解明です。一方、NISTの二値曲線ではB-233・B-283・B-409・B-571の4つのシードの生成方法も復元されました。未解明なのはB-163のシードと、NIST二値曲線の基点です。

なぜ重要なのか

今回の発見が重要なのは、暗号の安全性そのものではなく、「標準の透明性」という観点です。暗号の標準が信頼される条件の一つは、パラメータの決め方に裏口が仕込まれていないと誰もが確認できることです。シードが単純な公開の乱数生成器の出力であれば、当時の担当者が「狙った弱い曲線」を後から選べる余地が小さく、改ざんの疑いは弱まります。Anthropicはこの点を「暗号の弱点や新しい攻撃を示すものではなく、むしろ曲線が特定の意図を持って選ばれたのではないという確信を強めるものだ」と説明しています。

一方で、Anthropic自身も「説明できない点が残る」と認めています。候補の一部が飛ばされて選ばれている理由や、複数の曲線の基点が未解明である点は、完全な透明性の証明にはなっていません。26年来の疑念の大部分が解消されたとはいえ、暗号標準の検証という作業自体が、AIによって再び動き出した例として注目に値します。

私たちへの影響

ECDSAは、Webの通信を暗号化するTLS証明書や電子署名など、私たちが日常的に使うインターネットサービスの裏側で広く使われている仕組みです。今回の発見によって、利用者側で何か設定を変える必要は一切ありません。暗号の強度や安全性に関する結論が変わったわけでもなく、既存のシステムやアプリはそのまま使い続けて問題ありません。

Anthropicはシードと基点を再現できるPythonコードを、パブリックドメイン(CC0 1.0)として公開しており、暗号研究者であれば誰でも検証できる状態になっています。また、シードを発見した人への懸賞金36,864ドル(Filippo Valsorda氏が組織した「NISTセカンドシード懸賞」)は、インターネットの安全な通信規格を支える非営利団体Internet Security Research Group(ISRG)に寄付される予定です。

初心者が知っておくべきこと

「楕円曲線たえんきょくせん暗号」とは、楕円曲線という特殊な図形の数学的な性質を利用して、鍵のやり取りや電子署名を行う暗号方式です。同じ安全性を、より短い鍵の長さで実現できる利点があり、スマートフォンやWebブラウザのTLS通信などで広く使われています。「シード」とは、この楕円曲線の具体的な形(係数)を決めるために最初に使われた数値のことです。シードの決め方が公開され、誰でも同じ手順で再現できるなら、「特定の攻撃者だけが知る弱点」を混ぜ込む余地が小さいと考えられます。

Q. 今回の発見で、自分が使っているサービスの暗号が危険になりましたか。 A. いいえ。Anthropicの発表は、既存の暗号方式に新しい脆弱性が見つかったという内容ではなく、むしろ標準の信頼性を裏付ける内容です。利用者側で対応すべきことはありません。

IT Postの見方――4半世紀分のミステリーを「雑談」で終わらせた話

IT Postは、今回の一件を「暗号学会 vs 社内の思いつき」という構図として、普通に笑っていい話だと見る。NSAが説明もつけずに投げた数字を前に、専門家たちが26年間「裏口があるのでは」と疑い続けた末に出た答えが、1990年代の安い乱数生成器だったというのは、ミステリー小説の犯人が「実は隣の部屋にいた管理人でした」だったときのあの脱力感に近い。それを解いたのがAIというのも皮肉が効いている――人間が四半世紀かけて答えを出せなかった謎を、AIは「ヒントなしで当ててみて」という社内の軽いお願いから30分で片付けてしまった。

もっとも、IT Postが素直に褒めたいのはこの結果の使われ方だ。Anthropicはこれを「自社AIのすごさ」の自慢話として終わらせず、シードと基点を再現できるコードを無償公開し、懸賞金まで非営利団体へ寄付する形に落とし込んでいる。せっかく解けた謎を身内の手柄話で終わらせず、業界全体の検証可能性に還元しているあたりは素直に好印象だ。ただし、基点の一部やB-163のシードは依然未解明のままだという点も忘れてはいけない。「26年の謎、一瞬で解決」という見出しだけが独り歩きしないよう、残された謎の分だけは引き続き地味な宿題として残っている、という話でもある。※個人の感想です

今後どうなりそうか

Anthropicは、B-163のシード、P-224・P-256・P-384・P-521の基点、およびNIST二値曲線の基点を未解明の点として挙げています。具体的な続報の時期は公式発表では示されていません。IT Postでは、関連する続報が確認され次第、あらためて取り上げます。