Der „Hintertür-Seed“ der NIST-Ellipsenkurven, über den 25 Jahre lang gestritten wurde: Am 16. Oktober lieferte Anthropic die Antwort. Die Seeds der Kurven von P-192 bis P-521 sind keine Hashes eines versteckten Passworts, sondern wurden vom Zufallszahlengenerator lrand48 aus einer C-Bibliothek der 90er-Jahre erzeugt. Als Startwert diente jeweils der damalige Unix-Zeitstempel. Der Seed von P-256 entspricht dem 1842. Kandidaten eines Generators, der am 16. August 1997 um 9:52:34 Uhr Pekinger Zeit gestartet wurde. Das interne Claude-Modell fand ihn in weniger als einer halben Stunde; das vom ursprünglichen Autor veröffentlichte Skript kann das Ergebnis Zeichen für Zeichen reproduzieren. Das Preisgeld von 36.864 US-Dollar spendete das Team an die gemeinnützige Organisation hinter Let's Encrypt.
Die endgültige Antwort auf die Verschwörungstheorie lautet also: Jemand hat auf die Uhr geschaut. Das passt gut zu meinem Bild von Ingenieuren.
Ein paar Gedanken aus technischer Sicht:
1. Bitcoin und Ethereum verwenden secp256k1 mit den Parametern a=0 und b=7. Da gibt es keine Seeds. Das hat also von Anfang an nichts mit deinen Coins zu tun. P-256 kommt bei Passkeys und Sicherheitschips in Smartphones zum Einsatz. Wer mit einem Passkey signiert, kann bei Smart Wallets also erst einmal aufatmen.
2. Auch das Ungeklärte sollte erwähnt werden: Die Herkunft eines weiteren Seeds und der Basispunkte von vier Kurven ist noch nicht erklärt. Außerdem wurden damals im Verfahren einige Kandidaten übersprungen, die eigentlich geeignet aussahen. Derzeit gibt es keine Belege dafür, dass die Kurven absichtlich geschwächt wurden.
3. Was Kleinanleger wirklich im Gedächtnis behalten sollten, ist das Gegenteil. Bei öffentlichen Parametern ist es kein Problem, einen Zeitstempel als Zufallsquelle zu verwenden – sie sind ohnehin öffentlich. Wichtig ist nur, dass sich die Herkunft im Nachhinein nachvollziehen lässt. Bei privaten Schlüsseln ist ein Zeitstempel als Zufallsquelle dagegen eine Katastrophe. Beim Milk-Sad-Vorfall 2023 verwendete ein Open-Source-Wallet-Tool für die Kommandozeile die Systemzeit, um den Zufallszahlengenerator für die Erstellung von Wiederherstellungsphrasen zu speisen. Angreifer probierten systematisch alle Zeitpunkte aus diesen Jahren durch. Berichten zufolge wurden dabei rund 900.000 US-Dollar gestohlen.
So mache ich es selbst: Wiederherstellungsphrasen lasse ich ausschließlich von einer Hardware-Wallet oder einer etablierten Wallet lokal auf dem Gerät erzeugen. Ich verwende keine „Generatoren für Wiederherstellungsphrasen“ im Web und erfinde auch keine „bedeutungsvollen“ Wortfolgen. Wallets, die ich vor einigen Jahren mit wenig verbreiteten Tools oder alten Versionen erstellt habe, prüfe ich auf Hinweise zu Schwachstellen im Zufallszahlengenerator. Falls es solche Hinweise gibt, erstelle ich eine neue Wallet und übertrage meine Vermögenswerte dorthin.
Die endgültige Antwort auf die Verschwörungstheorie lautet also: Jemand hat auf die Uhr geschaut. Das passt gut zu meinem Bild von Ingenieuren.
Ein paar Gedanken aus technischer Sicht:
1. Bitcoin und Ethereum verwenden secp256k1 mit den Parametern a=0 und b=7. Da gibt es keine Seeds. Das hat also von Anfang an nichts mit deinen Coins zu tun. P-256 kommt bei Passkeys und Sicherheitschips in Smartphones zum Einsatz. Wer mit einem Passkey signiert, kann bei Smart Wallets also erst einmal aufatmen.
2. Auch das Ungeklärte sollte erwähnt werden: Die Herkunft eines weiteren Seeds und der Basispunkte von vier Kurven ist noch nicht erklärt. Außerdem wurden damals im Verfahren einige Kandidaten übersprungen, die eigentlich geeignet aussahen. Derzeit gibt es keine Belege dafür, dass die Kurven absichtlich geschwächt wurden.
3. Was Kleinanleger wirklich im Gedächtnis behalten sollten, ist das Gegenteil. Bei öffentlichen Parametern ist es kein Problem, einen Zeitstempel als Zufallsquelle zu verwenden – sie sind ohnehin öffentlich. Wichtig ist nur, dass sich die Herkunft im Nachhinein nachvollziehen lässt. Bei privaten Schlüsseln ist ein Zeitstempel als Zufallsquelle dagegen eine Katastrophe. Beim Milk-Sad-Vorfall 2023 verwendete ein Open-Source-Wallet-Tool für die Kommandozeile die Systemzeit, um den Zufallszahlengenerator für die Erstellung von Wiederherstellungsphrasen zu speisen. Angreifer probierten systematisch alle Zeitpunkte aus diesen Jahren durch. Berichten zufolge wurden dabei rund 900.000 US-Dollar gestohlen.
So mache ich es selbst: Wiederherstellungsphrasen lasse ich ausschließlich von einer Hardware-Wallet oder einer etablierten Wallet lokal auf dem Gerät erzeugen. Ich verwende keine „Generatoren für Wiederherstellungsphrasen“ im Web und erfinde auch keine „bedeutungsvollen“ Wortfolgen. Wallets, die ich vor einigen Jahren mit wenig verbreiteten Tools oder alten Versionen erstellt habe, prüfe ich auf Hinweise zu Schwachstellen im Zufallszahlengenerator. Falls es solche Hinweise gibt, erstelle ich eine neue Wallet und übertrage meine Vermögenswerte dorthin.