Curve ellittiche NIST: risolto il mistero dei seed, bounty da 36.864 $ a Let's Encrypt

Un dubbio aperto da 26 anni sulla crittografia che regge buona parte del web è stato chiuso il 16 ottobre 2026. Un team di Anthropic ha ricostruito il metodo con cui, alla fine degli anni '90, furono generati i "seed" delle curve ellittiche standardizzate da NIST, quelle su cui si basano ECDSA e quindi moltissime connessioni TLS, compresi i certificati emessi da Let's Encrypt. Il bounty messo in palio per chi avesse trovato la risposta, 36.864 dollari, va ora a ISRG, l'organizzazione non profit che gestisce Let's Encrypt.

Perché il dubbio esisteva

Le curve NIST P-192, P-224, P-256, P-384 e P-521 furono pubblicate nel 2000 con dei seed forniti dalla NSA, senza spiegazione sul metodo di generazione. Il sospetto che potessero nascondere una debolezza voluta non era campato in aria: la NSA aveva effettivamente inserito un backdoor in un altro standard NIST, il generatore casuale Dual_EC_DRBG, come confermato dai documenti diffusi da Edward Snowden nel 2013, al punto che lo standard fu ritirato nel 2014.

Il bounty e la soluzione

Nel 2023 il cripotografo Filippo Valsorda annunciò un bounty per i seed il 5 ottobre 2023, offrendo 12.288 dollari, triplicati a 36.864 dollari se il destinatario avesse scelto di donarli a un'organizzazione no profit. Un gruppo di ingegneri aveva messo soldi propri per finanziare il premio.

A risolvere il quesito è stato un modello di ricerca interno di Anthropic, Claude, che ha ricostruito i seed delle curve P-192, P-224, P-256, P-384 e P-521 risalendo al generatore lrand48, inizializzato con timestamp Unix tra maggio 1997 e aprile 1998, in meno di mezz'ora. Valsorda ha verificato il risultato reimplementando l'algoritmo in Go.

Il team di Anthropic ha scelto di donare il premio a ISRG, la nonprofit che gestisce Let's Encrypt. Il risultato non costituisce una rottura di ECDSA, né rivela alcun nuovo attacco. Restano però alcuni punti non chiariti: resta da spiegare l'origine del seed della curva binaria B-163 e il metodo preciso di selezione di alcuni base point successivi.

Per chi gestisce certificati TLS e infrastrutture che si appoggiano su ECDSA, la notizia non comporta azioni da intraprendere: nessuna curva va sostituita, nessun aggiornamento è richiesto. Resta però un tassello in più nella documentazione pubblica della crittografia su cui si basa gran parte del traffico HTTPS odierno.