Unter 30 Minuten für ein 26 Jahre altes Rätsel: Was der Fund zu den NSA-Kurven über KI im Betrieb verrät

TL;DR. Seit dem Jahr 2000 stecken in vielen verschlüsselten Verbindungen Kurven, deren Startwerte die NSA nie erklärt hat. Am 16. Oktober hat Anthropic die Herkunft offengelegt. Ein KI-Modell fand in unter 30 Minuten, woran Fachleute 26 Jahre lang gescheitert waren, und die Antwort ist banal: ein einfacher Zufallsgenerator, gestartet mit der Uhrzeit von 1997. Wir haben nachgerechnet: 14 von 14 Werten stimmen Bit für Bit, in 59 Millisekunden. An Ihrer Verschlüsselung ändert sich nichts. An der Frage, wo KI in Ihrem Betrieb Neues finden kann, schon.

Was gefunden wurde

Die Kurven P-192 bis P-521 stehen seit dem Jahr 2000 im Signaturstandard FIPS 186-2 der US-Normenbehörde NIST. Auf ihnen beruhen bis heute viele verschlüsselte Verbindungen und digitale Signaturen. Jede Kurve leitet sich aus einem 20 Byte langen Startwert ab, dem Seed. Die NSA hatte diese Seeds geliefert, ohne zu sagen, woher sie kamen. Das nährte über Jahre den Verdacht, jemand habe gezielt schwache Kurven ausgewählt. Der zuständige NSA-Mitarbeiter erinnerte sich später an einen Scherzsatz, der durch eine Hash-Funktion gelaufen sei. Gefunden hat den Satz niemand. 2023 lobte ein bekannter Kryptograf eine Prämie für die Lösung aus.

Im Oktober fragte ein Anthropic-Mitarbeiter ein internes Forschungsmodell, ob es die Herkunft klären könne, ohne ihm den Hinweis auf den Scherzsatz zu geben. Mehrere Kollegen waren dieser Spur zuvor erfolglos gefolgt. Das Modell ging anders vor. Es überlegte, wie Software in den 1990er Jahren Zufallszahlen erzeugte, und suchte in den Seeds nach den Spuren solcher Generatoren. Nach unter 30 Minuten stand fest: Die Seeds stammen aus lrand48, dem einfachen Zufallsgenerator der Programmiersprache C, gestartet mit der Uhrzeit. Die Zeitstempel liegen zwischen Mai 1997 und April 1998. Der Seed der meistgenutzten Kurve P-256 ist der 1.842. Kandidat eines Laufs, der am 16. August 1997 um 1:52 Uhr Weltzeit begann.

Wir haben nachgerechnet

Anthropic hat den Lösungsweg als kurzes Programm veröffentlicht, frei verwendbar. Wir haben es auf einem Laptop laufen lassen. Verglichen haben wir nicht mit Anthropics eigener Liste, sondern mit den Werten, die die verbreitete Verschlüsselungsbibliothek OpenSSL mitliefert. Das Ergebnis: 14 von 14 Seeds stimmen Bit für Bit, die Rechenzeit lag bei 59 Millisekunden. Als Gegenprobe haben wir aus den Seeds der fünf NIST-Primkurven nach dem genormten Verfahren die Kurven selbst berechnet. Auch sie passen. Ebenso die sechs Basispunkte, deren Herkunft das Modell nebenbei geklärt hat.

Unabhängig davon hat der Kryptograf, der die Prämie ausgelobt hatte, den Weg in einer anderen Programmiersprache nachgebaut und bestätigt. Die 36.864 Dollar gehen an die gemeinnützige Organisation hinter Let’s Encrypt, die kostenlose Zertifikate für Websites ausgibt.

Das Kleingedruckte

• Kein Modell zum Kaufen. Gerechnet hat ein internes Forschungsmodell von Anthropic. Ob die heute verfügbaren Modelle dasselbe schaffen, sagt der Bericht nicht.
• Ein Mensch hat die Frage gestellt. Den Anstoß gab ein neugieriger Mitarbeiter. Veröffentlicht hat das Ergebnis ein Team von zehn Leuten.
• Nicht alles ist geklärt. Der Seed der Kurve B-163 passt zu keinem Muster. Für neun Basispunkte, darunter den von P-256, fehlt die Herkunft weiter.
• Eine offene Auswahl. Im Lauf von P-256 hätte schon Kandidat 876 eine Kurve mit denselben Eigenschaften ergeben. Er wurde übersprungen, nach welchen Regeln, weiß niemand. Der Kryptograf zählt insgesamt etwa doppelt so viele brauchbare Seeds wie veröffentlicht. Eine Hintertür halten er und Anthropic trotzdem für unplausibel, dafür war der Spielraum viel zu klein.

Das Muster dahinter

Am selben Tag hat Anthropic ein zweites Ergebnis veröffentlicht. Claude entwarf Schaltungen für Quantencomputer, ein automatischer Prüfer kontrollierte jeden Entwurf und bewertete ihn. In einem Fall braucht die neue Schaltung 17-mal weniger Gatter, also Rechenschritte, als die beste bisher veröffentlichte. Anthropic schreibt selbst dazu, dass das nur bei Aufgaben funktioniert, deren Ergebnis sich schnell prüfen lässt.

Beim Kurvenrätsel war es genauso. Ob ein gefundener Zustand alle 160 Bit eines Seeds erzeugt, lässt sich in Millisekunden nachrechnen. Zufall ist dabei ausgeschlossen. Daraus folgt eine einfache Regel: KI wird dort zum Entdecker, wo es einen Prüfer gibt. Wo eine Antwort nur plausibel klingt, bleibt sie eine Vermutung. Die Geschichte vom Scherzsatz klang auch plausibel, sie kam sogar vom Urheber selbst. Sie war falsch.

Was das für einen Mittelständler heißt

In jedem gewachsenen Betrieb gibt es solche Seeds: Werte, deren Herkunft niemand mehr kennt. Ein Faktor in der Preisformel. Ein Grenzwert im Steuerungsprogramm einer Maschine von 2004. Ein Makro in der Kalkulation. Das Dateiformat einer Altanlage, zu dem es keine Beschreibung gibt. Wer so etwas erklärt haben will, fragt meist den Kollegen, der es damals gebaut hat. Oft ist der nicht mehr da, oder seine Erinnerung trügt. Hier kann KI heute helfen: Vermutungen aufstellen, sie systematisch durchprobieren und am Ende ein kleines Programm liefern, das die bekannten Werte exakt wieder erzeugt. Erst dieses Programm ist der Fund.

Was Sie jetzt tun sollten

1. An der Verschlüsselung nichts ändern. Der Fund ist kein Angriff. Anthropic schreibt ausdrücklich, dass nichts zu tun ist, und eine Hintertür in den Kurven wird sogar unwahrscheinlicher. Den geplanten Umstieg auf quantensichere Verfahren berührt das nicht.
2. Eine Liste der unerklärten Werte anlegen. Drei bis fünf Konstanten, Formeln oder Formate, die im Betrieb täglich wirken und die niemand mehr begründen kann.
3. Vorher den Prüfer festlegen. Bestimmen Sie für jeden Fall, woran Sie eine richtige Erklärung erkennen: an bekannten Ein- und Ausgaben, an Altdaten, an einer Simulation.
4. Nachrechnung verlangen, nicht Begründung. Lassen Sie die KI ein Programm liefern, das die bekannten Werte erzeugt, und führen Sie es selbst aus. So wie wir es mit Anthropics 14 Seeds gemacht haben.
5. Lücken offen lassen. Was sich nicht nachrechnen lässt, bleibt als offen markiert, wie B-163. Eine ehrliche Lücke ist mehr wert als eine erfundene Erklärung.

Der Fund zu den NSA-Kurven ist kein Sicherheitsproblem, sondern ein Lehrstück. Das Modell hat nicht besser geraten als die Fachleute, es hat schneller geprüft. Wenn es in Ihrem Betrieb einen Wert gibt, den keiner mehr erklären kann, sprechen Sie uns gern an.