Claude resolve mistério NIST ECDSA de 25 anos com lrand48

Introdução

NIST ECDSA está no centro de uma descoberta histórica, publicada em 16 de outubro de 2026. A Anthropic mostrou que as seeds das curvas padronizadas foram geradas com lrand48, um PRNG clássico de bibliotecas C, iniciado por timestamps de 1997 e 1998, e não por frases secretas ou processos obscuros. Isso esclarece a origem das seeds das P-192, P-224, P-256, P-384, P-521 e de exemplos ANSI X9.62, um enigma que alimentou hipóteses por 25 anos. (anthropic.com)

A relevância prática é direta. ECDSA, padronizado pela NIST em 2000 no FIPS 186-2, protege transações, atualizações de software e protocolos inteiros. Saber como as curvas nasceram ajuda a avaliar riscos, confiança e manter decisões técnicas alinhadas a fatos e datas verificáveis. (csrc.nist.gov)

O que exatamente foi descoberto

A equipe Frontier Red Team da Anthropic executou um raciocínio técnico simples e poderoso. Em vez de perseguir a lenda de um “passphrase engraçado”, o grupo testou se as seeds publicadas poderiam ser saídas de geradores antigos de 1990, reconhecíveis por padrões de bits. Em menos de meia hora, um modelo interno identificou que várias seeds dos conjuntos NIST e ANSI X9.62 batiam com a saída do lrand48, quando deslocada e fatiada do jeito certo. Os padrões nos bits mais altos eram a assinatura do LCG por trás do lrand48, algo impossível de ignorar depois que se sabe o que procurar. (anthropic.com)

Para as curvas de campo primo, a verificação indicou uma regra extremamente específica. As seeds derivam de lrand48 com um deslocamento de 23 bits, sintetizável como lrand48() >> 23, e cada candidata é formada por 20 bytes. A P-256, por exemplo, surge na candidata 1842 da sequência iniciada por um timestamp de 16 de agosto de 1997, às 01:52:34 UTC. As reconstruções do estado interno do PRNG, para dez seeds, levaram sempre a inicializações srand48 com timestamps entre maio de 1997 e abril de 1998, coincidindo com o período histórico de padronização. (anthropic.com)

O anúncio não é um ataque criptográfico, nem aponta novas fraquezas práticas nas curvas. O próprio post da Anthropic enfatiza que os usuários não precisam tomar nenhuma ação. O resultado desmonta a hipótese de backdoor por construção secreta das seeds, já que agora se explica a origem com um procedimento reproduzível, simples e verificável publicamente. (anthropic.com)

Contexto, datas e documentos que importam

ECDSA entrou formalmente no guarda-chuva federal em 27 de janeiro de 2000, via FIPS 186-2. Desde então, as curvas P-256 e P-384, entre outras, tornaram-se onipresentes em TLS, assinaturas de software, carteiras de criptomoedas e dispositivos embarcados. O documento FIPS 186-4, mais recente e ainda amplamente consultado, publica explicitamente a seed da P-256 como C49D3608 86E70493 6A6678E1 139D26B7 819F7E90, exatamente uma das que foram reproduzidas desde timestamps com lrand48. Conectar essas pontas com datas exatas tira a questão do campo da especulação. (nvlpubs.nist.gov)

A descoberta também dialoga com um passado turbulento de padrões envolvendo curvas e geradores aleatórios. Em 2014, a NIST removeu o Dual_EC_DRBG das recomendações, após anos de críticas e análises que discutiam previsibilidade e governança de parâmetros. Embora Dual_EC_DRBG não seja ECDSA, o episódio alimentou suspeitas gerais sobre PRNGs e sobre a origem de constantes em padrões criptográficos. Esclarecer a genealogia das seeds do ECDSA, com datas e ferramentas reprodutíveis, oferece um contraponto factual. (nist.gov)

Como o lrand48 e os timestamps entram nessa história

O lrand48 é um gerador congruencial linear de 48 bits que devolve 31 bits por chamada, padrão em bibliotecas C de décadas atrás. Ao inicializar com srand48(t), usando um timestamp Unix como t, cada chamada subsequente produz números pseudoaleatórios previsíveis, porém com propriedades estatísticas suficientes para usos não críticos. O padrão de bits superiores zerados, quando se escreve a seed como palavras de 32 bits, é o rastro que permitiu reconhecer a família do gerador. Com esse rastro, recuperar o estado interno se torna um problema de tentativa e verificação dos 17 bits ocultos, ou um problema de retaguarda com técnicas de lattice quando a saída é truncada. (anthropic.com)

Essa abordagem permitiu mapear seeds de curvas NIST e também de exemplos do ANSI X9.62. Em dez casos, a regra lrand48() >> 23 se manteve, e os estados internos reconstruídos reproduziram todos os 160 bits das seeds, algo que não acontece por coincidência. Além disso, os timestamps que emergem ao “andar para trás” o LCG batem em janelas de maio de 1997 a abril de 1998, bem alinhadas com o período documental de padronização das curvas. (anthropic.com)

O que muda na prática para quem usa NIST ECDSA

Para equipes de segurança, o recado é pragmático. Não há alteração operacional imediata a fazer, nem urgência de migração por causa desta descoberta. A Anthropic afirma claramente que não se trata de um ataque, e que a plausibilidade de um backdoor intencional fica menor, pois o método agora é transparente e reproduzível. Para ecossistemas como Bitcoin, que usam ECDSA, a cobertura de mídia especializada também ressaltou que não existe ação corretiva a adotar por esse motivo específico. (anthropic.com)

Ainda existem perguntas em aberto. Algumas candidatas viáveis parecem ter sido puladas durante as buscas daquela época, e nem todos os pontos base G tiveram sua origem explicada. Isso mantém viva a investigação histórica e técnica, sem comprometer a segurança conhecida das curvas. O ponto objetivo é que as seeds, antes um mistério, agora têm uma explicação estreita, reprodutível e com carimbo de data. (anthropic.com)

Exemplos reproduzíveis que amarram o caso

Um trecho de código no próprio artigo da Anthropic permite imprimir as seeds resultantes para nomes como P-192, P-224, P-256, P-384, P-521 e exemplos ANSI. A tabela incluída mapeia timestamps específicos, como 1997-08-16 01:52:34 para P-256, e contagens de candidatas, como 1842, até coincidir com as seeds publicadas. Ver a correspondência total em 160 bits, com offsets de 23 bits sobre o lrand48, é o tipo de validação que encerra controvérsias. (anthropic.com)

Para referência histórica, a página da NIST preserva o FIPS 186-2, publicado em 27 de janeiro de 2000, e o FIPS 186-4, onde a seed da P-256 aparece literalmente registrada. Esse casamento entre reprodutibilidade prática e documentação oficial sustenta a narrativa de que não houve intenção de enfraquecimento por escolha das seeds. (csrc.nist.gov)

Implicações para confiança, compliance e roadmap de criptografia

Confiança técnica nasce de transparência, dados verificáveis e repetição independente. A comunidade já observava há anos que as seeds eram “número sem manga” com explicações insuficientes. A ligação direta com lrand48, timestamps e reconstrução do estado encaixa as peças. Em auditorias, comitês de risco e due diligence de fornecedores, a conversa muda de “não sabemos de onde veio” para “sabemos o algoritmo e o momento em que foi gerada”. Isso reduz risco de governança e facilita relatórios para conselhos e agências. (anthropic.com)

Para planejamento estratégico, há duas frentes. A primeira é continuidade segura com NIST ECDSA, cientes de que a descoberta não cria vetor novo. A segunda é acompanhar a trajetória de curvas modernas, como Curve25519 e Curve448, padronizadas em documentos NIST atuais, que oferecem benefícios de implementação e auditabilidade diferente. O esclarecimento histórico não anula o movimento em direção a curvas com design e geração mais transparentes desde a origem. (en.wikipedia.org)

Aplicações práticas e checagens que qualquer time pode fazer

• Registrar internamente, com ata datada, que a origem das seeds das curvas NIST ECDSA foi explicada pela Anthropic e que não há ação operacional obrigatória. Referenciar a publicação de 16 de outubro de 2026.
• Reproduzir localmente os testes com o código disponibilizado, documentando que as seeds batem bit a bit. Isso cria trilha de auditoria para frameworks de compliance. (anthropic.com)
• Revisitar políticas de geração de parâmetros internos. Para qualquer artefato criptográfico novo, exigir método de geração publicamente verificável, com scripts e entradas audíveis, evitando PRNGs antigos e garantindo entropia de qualidade.
• Manter o roadmap de curvas modernas em paralelo, alinhado a guias como SP 800-186, sem adotar mudanças reativas por manchete. (en.wikipedia.org)

Perguntas que ainda merecem investigação

• Critérios de seleção. Por que algumas candidatas viáveis foram ignoradas nas execuções de 1997 e 1998. O post sugere que pode ter havido artefatos do programa ou critérios não documentados. Isso não implica enfraquecimento, mas deixa uma peça do quebra cabeça sem legenda. (anthropic.com)
• Pontos base não explicados. A origem exata de G em P-224, P-256, P-384 e P-521 continua sem prova documental replicável. Parte dos pontos base de maio de 1997 casou com o gerador do FreeLIP, mas os demais não. É um convite a novas reproduções públicas. (anthropic.com)
• Binary curves. Um seed de B-163 não se encaixou em nada testado, sugerindo que há mais material histórico a recuperar. (anthropic.com)

Reflexões e insights

A trilha de dados tem uma beleza rara. O padrão de bits que denuncia o lrand48. A regressão do LCG até encontrar o formato de estado com low 16 bits em 0x330E. Os timestamps que recaem em datas plausíveis, de maio de 1997 a abril de 1998, sincrônicos com as discussões de padronização registradas. Quando fatos, datas e código concordam, a hipótese de manipulação deliberada perde oxigênio. Em vez de medo, ganha a verificação independente e o escrutínio público. (anthropic.com)

O episódio também embute uma lição de engenharia. Ferramentas de IA, quando direcionadas por hipóteses corretas e critérios de refutação, aceleram investigações que a comunidade carregava há décadas. Não substituem revisão por pares, mas fornecem alavancas para fechar janelas históricas com evidência reprodutível. Em 2026, isso tem valor técnico e pedagógico.

Conclusão

O caso das seeds do NIST ECDSA encerra uma discussão longa com um método simples, verificável e alinhado ao período documental do padrão. A origem em lrand48 com timestamps de 1997 e 1998 explica os números publicados e diminui a plausibilidade de backdoor. As recomendações operacionais não mudam. Para quem depende de ECDSA no dia a dia, a notícia traz contexto e serenidade. (anthropic.com)

O trabalho agora é de manutenção de confiança. Reproduzir localmente os resultados, arquivar evidências, fortalecer políticas de geração de parâmetros e continuar migrando, no tempo certo, para curvas com geração totalmente auditável desde o início. A boa criptografia vive de escolhas transparentes e de documentação precisa, com datas, seeds e código que qualquer pessoa possa checar.