Anthropic’in araştırma modeli Claude, ABD Ulusal Güvenlik Ajansı’nın şifreleme standartları için seçtiği sayıların kökenini yarım saatten kısa sürede ortaya çıkararak 25 yıllık bir bilmeceye yanıt buldu.
CoinDesk’in aktardığına göre model, NSA’nın 1990’ların sonunda sağladığı beş eliptik eğrinin başlangıç sayılarını eski bir yazılım ve 1997 ile 1998’e ait zaman damgalarıyla yeniden üretti. Bulgu, bu sayıların gizli bir güvenlik açığı oluşturmak amacıyla özel olarak seçilmiş olabileceği yönündeki şüphelere yeni bir yanıt getiriyor.
Eliptik eğri kriptografisi, internetteki güvenlik sistemlerinde ve kripto para cüzdanlarında kullanılan matematiksel yöntemlerden biri. Bunu herkesin tasarımını görebildiği, ancak yalnızca kendi anahtarıyla açabildiği bir kilit gibi düşünmek mümkün. Tartışma, kişilerin gizli anahtarlarından değil, bu ortak kilit tasarımının nasıl oluşturulduğundan kaynaklanıyordu.
25 yıllık şüpheyi eski bir program aydınlattı
ABD Ulusal Standartlar ve Teknoloji Enstitüsü NIST, NSA’nın sağladığı eğrileri 2000 yılında standartlarına dahil etmişti. Eğrilerin oluşturulmasında kullanılan başlangıç sayıları kamuya açıktı, ancak nasıl seçildikleri açıklanmamıştı. Bu durum, NSA’nın yalnızca kendisinin yararlanabileceği bir zayıflık aramak için çok sayıda seçeneği denemiş olabileceği şüphesini doğurdu.
Araştırmacılar yıllarca belge talepleri ve farklı teoriler üzerinden sayıların izini sürdü. Bir dönem, başlangıç değerlerinin unutulmuş bir ifadeden türetildiği ihtimali üzerinde de duruldu. Anthropic çalışanı, kurum içi araştırma modelinden konuyu incelemesini isterken bu eski teoriyi paylaşmadı.
Claude, yarım saatten kısa sürede sayıları eski C yazılım kütüphanelerindeki lrand48 adlı rastgele sayı üreteciyle ilişkilendirdi. 1997 ve 1998’den zaman damgaları kullanılarak çalıştırılan program, yayımlanmış başlangıç sayılarını yeniden oluşturabiliyordu. Yaygın kullanılan P-256 eğrisinin başlangıç değeri, 1.842’nci adayda tam olarak eşleşti.
Anthropic, aynı işlemin herkes tarafından tekrarlanabilmesinin gizli bir zayıflık ihtimalini önemli ölçüde azalttığını belirtiyor. Buna karşılık, orijinal üretim sürecinde bazı kullanılabilir adayların neden atlandığı ve eğrilerin diğer bileşenlerinin nasıl seçildiği hâlâ açıklığa kavuşmuş değil. Şirket, NIST eğrilerini kullananların herhangi bir değişiklik yapmasına gerek olmadığını da söylüyor.
Bitcoin ve Ethereum bu tartışmanın neresinde?
Bitcoin ve Ethereum, bu bilmecenin merkezindeki NIST eğrileri yerine secp256k1 adlı farklı bir eğriyi kullanıyor. Daha basit matematiksel yapısı ve küçük, sabit parametreleri, tasarım sırasında gizlice bir zayıflık yerleştirmek için oynanabilecek alanı daraltıyor.
Dolayısıyla Claude’un bulgusu, Bitcoin cüzdanlarının şifresinin kırılması değil, başka bir şifreleme standardının kökeninin aydınlatılmasıyla ilgili. Buradaki başlangıç sayıları en başından beri kamuya açıktı; cüzdanların gizli anahtarlarıyla aynı işlevi taşımıyor.
Bilmecenin çözümü için ayrılan 36.864 dolarlık ödül, internet sitelerine ücretsiz güvenlik sertifikaları sağlayan Let’s Encrypt’in arkasındaki kâr amacı gütmeyen Internet Security Research Group’a bağışlanacak.
Yatırım tavsiyesi değildir.
