Toomore 📷🎈🎫

美國國家安全局（以下簡稱國安局）在 1990 年代交出一串 40 個字元的亂碼，二十多年來沒人說得出它從哪裡來。Anthropic 本月公布，旗下的 Claude 不到半小時就找到答案，那串亂碼是從 1997 年 8 月 16 日某一秒的電腦時鐘算出來的。 這串亂碼跟很多人每天都有關係，用臉或指紋解鎖的網站通行密鑰（passkey），很多用的是一條叫 P-256 的數學曲線。它常用在一套叫 ECDSA 的電子簽章裡，作用像蓋在資料上的印章，證明資料真的出自你、中途沒被改過。這條曲線的形狀由幾個數字決定，其中一個是把那串亂碼丟進一道公開的公式，打散後算出來的，業界把這串亂碼叫做「種子」。 用公開公式算，原本是為了讓人放心，誰都能拿同一串種子自己核對一次。但種子本身是怎麼挑的，國安局從來沒說明。如果種子可以隨便挑，設計者就能一直換，換一個種子就得到一條新曲線，直到撈到一條只有自己知道弱點的。這種擔心不是空想，2013 年紐約時報等媒體根據史諾登洩漏的文件報導，國安局在另一套亂數標準裡埋了後門。 負責這批曲線的國安局數學家 Jerry Solinas 生前的說法是，種子大概是拿一句玩笑話算出來的，但哪一句他也記不清。他在 2023 年過世，同年密碼學家 Filippo Valsorda 開出懸賞，直到今年 10 月才有人領走。 Claude 換了一個方向，它沒去猜玩笑話，而是假設種子是電腦產生的「亂數」。電腦其實不會丟骰子，它是用一條固定公式，從一個起點開始，一個接一個算出看起來很亂的數字。看起來像擲骰子，其實完全可以預測，只要起點一樣，算出來的數字就一模一樣。這跟排命盤很像，同一個出生時間，排出來一定是同一張命盤，反過來說，手上有命盤，就有機會倒推出生時辰。 當年一種常見做法，是拿電腦時鐘當「出生時間」。電腦裡有一顆專門計時的小晶片，靠鈕扣電池供電，關機也照樣在走，程式向電腦要時間時，可以拿到一個從 1970 年 1 月 1 日起算、每過一秒就加 1 的數字。拿這個數字當起點很方便，每一秒都不同，算出來的亂數也就不同，代價是只要知道是哪一秒，整串數字都能重算出來。 Claude 先找出當年用的是哪條公式，它把幾組種子攤開成一長串 0 和 1，每 32 個排成一列，發現有 4 組種子每一列最左邊那格全是 0，如果是隨機的，這種巧合大約 5,810 次才會碰上一次。這正好是 1990 年代 C 語言常用的亂數函式 lrand48 留下的指紋，它每次只吐出 31 格，放進 32 格的空間，最左邊那格就永遠空著。P-256 這類曲線比較麻煩，種子只保留了每次亂數輸出的一小部分，Claude 再用數學方法還原公式當時的內部數字，接著把公式倒著算，一路推回啟動的那一秒。 答案出來時，Claude 的第一個反應是懷疑，它在思考紀錄裡寫：「我是不是在某種模擬或測試環境裡？」最後說服它的是計算，從那一秒重跑公式，算出來的 40 個字元和標準文件完全相同。 以 P-256 為例，起點是國際標準時間 1997 年 8 月 16 日凌晨 1 點 52 分 34 秒，在電腦時鐘上是 871,696,354。公式從這裡開始算，第 1,842 組就是標準文件上那串種子。Anthropic 公開了重現程式，實測不到一秒就算完（速度依電腦而定），40 個字元一字不差。連同 P-256 在內，同一類（質數曲線）的 10 條標準曲線，種子起點都落在 1997 年 5 月到 1998 年 4 月之間的某一秒。 這項發現沒有破解任何加密，ECDSA 和 P-256 也沒有因此變得不安全。種子現在任何人都能重算，Anthropic 認為刻意挑出弱曲線的可能性低了很多。但同一次計算裡，第 876 組也符合目前已知的條件，最後卻沒被採用，原因至今沒人知道。Anthropic 團隊選擇把 Valsorda 的懸賞捐給慈善機構，金額因此加碼成 36,864 美元，將交給營運免費網站憑證服務 Let's Encrypt 的非營利組織 ISRG。