클로드, NIST 타원곡선 시드 비밀 30분 만에 풀었다 — 25년 의혹의 답은 1997년 컴퓨터 시계
Anthropic said on October 16, 2026 that an internal Claude research model worked out in under 30 minutes where the NSA-supplied seeds behind NIST's P-192 to P-521 elliptic curves came from: not hashes of a secret phrase, but outputs of the C library's lrand48 random generator seeded with Unix timestamps from May 1997 to April 1998. Bounty organizer Filippo Valsorda reproduced it independently. Anthropic says this is not a break of ECDSA.
앤트로픽은 2026년 10월 16일 사내 클로드 연구 모델이 30분이 안 돼 NIST 타원곡선 P-192~P-521의 시드가 어디서 왔는지 밝혀냈다고 발표했다. 비밀 문장의 해시가 아니라 C 라이브러리 난수 함수 lrand48에 1997년 5월~1998년 4월의 유닉스 시각을 넣어 뽑은 값이었다. 현상금 주최자 필리포 발소르다가 독립적으로 재현했고, 앤트로픽은 암호가 깨진 것은 아니라고 밝혔다
3줄 요약
- 발견 — NSA가 준 시드는 해시가 아니라 1997~98년 컴퓨터 시계로 돌린 난수였다
- 검증 — 현상금 주최자가 Go로 다시 구현해 일치 확인, 3만6864달러는 ISRG에 기부
- 의미 — 뒷문 의혹은 약해졌고, 사용자는 할 일이 없다. B-163 등은 여전히 미해결
핵심 질문
- NIST 타원곡선 시드 풀렸다
- **다섯 개 소수체 곡선(P-192·P-224·P-256·P-384·P-521)의 시드 출처가 밝혀졌다.** | 항목 | 내용 | |---|---| | 생성 방식 | C 라이브러리 lrand48 난수 | | 초기값 | 유닉스 시각(1997년 5월~1998년 4월) | | P-256 | 1,842번째 후보가 공개 시드와 일치 | | 걸린 시간 | 30분 미만 | | 독립 재현 | 필리포 발소르다(Go 구현) |
- P-256 백도어 있나
- **앤트로픽은 이번 결과가 오히려 의도적 약점이 없었다는 확신을 높인다고 밝혔다.** 생성 과정이 단순하고 누구나 재현할 수 있기 때문이다. | 질문 | 답 | |---|---| | 암호가 깨졌나 | 아니다 | | 새 공격법인가 | 아니다 | | 사용자가 할 일 | 없다 | | 남은 의문 | 일부 유효 후보를 건너뛴 이유 |
- NIST 곡선 시드 현상금
- **2023년 필리포 발소르다가 건 1만2288달러 현상금이다.** 자선단체 기부 시 3배인 3만6864달러가 된다. | 항목 | 내용 | |---|---| | 개설 | 2023년 10월 | | 기본액 | 1만2288달러 | | 기부 시 | 3만6864달러 | | 수령처 | ISRG(렛츠인크립트 운영 비영리) |
인터넷 암호의 상당 부분이 기대고 있는 숫자 다섯 개의 출처가 25년 만에 밝혀졌다. 앤트로픽은 2026년 10월 16일 사내 클로드 연구 모델이 미국 국가표준기술연구소(NIST) 타원곡선의 '시드(seed)'가 어떻게 만들어졌는지를 30분이 안 되는 시간에 알아냈다고 발표했다. 답은 비밀 문장이 아니라 1997~98년 어느 컴퓨터의 시계였다.
NIST는 2000년 전자서명 표준(FIPS 186-2)에 타원곡선 몇 개를 넣었다. 곡선의 핵심 계수는 '시드'라는 20바이트 값을 해시해 정했는데, 이 시드를 미국 국가안보국(NSA)이 아무 설명 없이 건넸다. 시드를 만든 NSA 수학자 제리 솔리너스는 2023년 세상을 떠났다. 출처를 모르는 숫자 위에 HTTPS·전자서명이 서 있었던 것이다.
1. 왜 25년 동안 의혹이었나
| 시점 | 일 |
|---|---|
| 1997년 | 암호학자 알프레드 메네제스가 솔리너스로부터 시드를 받음 |
| 2000년 | NIST, P-192~P-521을 표준에 채택 |
| 2013년 | 스노든 문서로 NSA가 난수 표준 Dual_EC를 약화시켰다는 의혹 확산, NIST가 Dual_EC 철회 |
| 2023년 | 솔리너스 사망. 필리포 발소르다가 시드 원문 찾기 현상금 1만2288달러 개설 |
| 2026년 10월 16일 | 앤트로픽, 시드 출처 발표. 발소르다가 독립 재현 |
시드를 해시해 곡선을 만드는 방식은 원래 "우리가 일부러 약한 곡선을 고르지 않았다"는 것을 보여 주려는 장치다. 그런데 시드 자체가 어디서 왔는지 모르면, NSA가 약한 곡선이 나올 때까지 시드를 바꿔 가며 골랐을 가능성을 배제할 수 없다. Dual_EC 사건 뒤로 이 의심은 더 커졌다. "제리에게 월급을 올려 줘라" 같은 농담 문장을 해시했다는 소문도 돌았지만, 이번 결과로 틀린 이야기가 됐다.
2. 클로드가 찾은 것 — 시계와 난수 함수
| 항목 | 내용 |
|---|---|
| 대상 | P-192, P-224, P-256, P-384, P-521 (+ANSI X9.62 곡선 5개) |
| 생성기 | C 표준 라이브러리 lrand48(오른쪽으로 23비트 자른 출력) |
| 초기값 | 유닉스 시각, 1997년 5월~1998년 4월 |
| P-256 | 1,842번째 후보가 공개 시드와 정확히 일치 |
| 단서 | 시드 10개 중 4개에서 각 워드의 최상위 비트가 0 — 우연일 확률 5,810분의 1 |
| 시도한 조합 | 1990년대 난수 생성기·자르기 방식 34가지 |
| 내부 상태 복원 | 격자 기저 축소(LLL) 알고리즘, 숨은 17비트는 2¹⁷가지 대입 |
| 걸린 시간 | 30분 미만 |
클로드는 1990년대에 흔히 쓰던 난수 생성기 34가지를 대입해 보다가, 시드 일부에서 최상위 비트가 계속 0인 패턴을 발견했다. lrand48의 출력을 잘라 쓰면 생기는 흔적이다. 이어 교과서적인 격자 기법으로 생성기의 내부 상태를 복원하고 거꾸로 돌려 출발점을 찾았다. 그 출발점이 1997~98년의 유닉스 시각이었다. 이진체 곡선의 시각은 1984년으로 읽혔는데, 두 배로 하면 1998년 4월 17일 — P-224 실행 2주 뒤 — 이 나온다. 연구진은 프로그램이 "시계를 반으로 나눴을" 가능성을 제시했다.
결정적 근거는 시각이다. 생성기 초기값의 하위 16비트(0x330E)는 6만5536단계마다 저절로 나타나므로 그것만으로는 증거가 아니지만, 거꾸로 돌려 얻은 값이 하나같이 1997~98년의 그럴듯한 날짜로 떨어졌다. 현상금을 건 발소르다는 이 풀이를 Go 언어로 따로 구현해 일치를 확인했다. 현상금 3만6864달러는 웹 인증서 무료 발급 서비스 렛츠인크립트를 운영하는 비영리단체 ISRG에 기부된다.
3. 그래서 암호는 안전한가
앤트로픽은 이번 결과가 "암호 해독도, 새 공격도, 약점도 아니다"라고 못 박았다. 오히려 반대다. 시드가 시계로 돌린 평범한 난수였고 누구나 재현할 수 있다는 것은, 약한 곡선을 노리고 수없이 시드를 바꿔 고르지 않았다는 쪽의 근거가 된다.
| 질문 | 답 |
|---|---|
| P-256 쓰는 서비스는 무엇을 해야 하나 | 할 일 없음 |
| 비트코인은 | 비트코인은 secp256k1을 쓰며 이번 시드 문제와 무관 |
| 남은 의문 | P-256에서 876번째 후보도 유효했는데 1,842번째를 고른 이유 |
| 건너뛴 곡선 수 | P-224에서 3개, ANSI 두 실행에서 7개 |
연구진은 건너뛴 후보가 몇 개뿐이라 약한 곡선을 골라냈다고 보기 어렵다고 판단했다. 다만 선택 기준은 모른다. 타원곡선 암호가 무엇이고 P-256이 어디에 쓰이는지는 함께 실린 「타원곡선 암호란」에서 정리했다.
4. 남은 것과 확인되지 않은 것
- B-163: 다섯 번째 이진체 곡선의 시드는 어떤 가설에도 맞지 않았다.
- 기준점: P-192 등 6개 곡선의 기준점은 아르옌 렌스트라의 FreeLIP 난수(시드 20000·20420·20507·20509·20512·20517)로 설명됐지만, P-224·P-256·P-384·P-521과 이진체 곡선의 기준점은 아직 모른다.
- AI의 역할: 이번 발표는 AI가 공개 데이터에서 사람 연구자들이 수년간 못 푼 패턴을 찾은 사례다. 같은 능력이 공격 쪽에도 쓰일 수 있다는 점은 「API 키 도용이란」에서 다룬 범죄 포럼 동향과 함께 읽을 만하다.