Cryptographie : la fin de 25 ans de soupçons sur la NSA, ce que l'IA a découvert sur cette "faille" cachée

Pendant près d’un quart de siècle, quelques nombres mystérieux publiés par la NSA ont alimenté soupçons et théories chez les cryptographes. Ces « seeds » utilisées pour générer des courbes elliptiques standardisées n’avaient jamais été expliquées, au point que certains y voyaient une possible porte dérobée cachée au cœur de la cryptographie moderne.

Il aura suffi de moins de trente minutes à Claude, le modèle d’Anthropic, pour remonter leur origine et lever une grande partie du doute. En reliant ces seeds à un vieux générateur pseudo‑aléatoire de la bibliothèque C, l’IA a transformé un casse‑tête de 25 ans en problème reproductible, vérifiable par n’importe quel chercheur. La réponse, elle, se cachait dans un banal bout de code C.

Comment Claude a retracé l’origine cachée des seeds NIST de la NSA

L’affaire commence à la fin des années 1990, quand la NSA fournit au NIST plusieurs seeds destinées à générer les courbes ECDSA P‑192, P‑224, P‑256, P‑384 et P‑521, intégrées au standard en 2000. Aucune méthode de choix n’est alors publiée. Cette opacité nourrit les soupçons, surtout après les révélations sur les activités de l’agence. En 2023, l’ingénieur Filippo Valsorda et d’autres chercheurs proposent une prime de 12 288 $ (soit l’équivalent de plusieurs milliers d’euros), montant porté à plus de 36 000 $ si le gagnant reverse l’argent à une œuvre caritative, sans résultat malgré des années d’efforts.

Tout bascule quand un employé d’Anthropic demande à un modèle de recherche interne d’enquêter, sans lui souffler l’ancienne hypothèse d’une phrase secrète. Claude analyse alors les anciens générateurs pseudo‑aléatoires des bibliothèques C et remonte jusqu’à lrand48, initialisé par des timestamps Unix compris entre mai 1997 et avril 1998. Il parvient à reconstruire les seeds des courbes P‑192, P‑224, P‑256, P‑384 et P‑521. Pour P‑256, très utilisée, la seed publiée correspond exactement au 1 842e candidat généré par le programme. « C’est étonnant : cela résout le mystère vieux de 25 ans », écrit le modèle dans son raisonnement enregistré, avant de se demander « Hmm, est-ce plausible dans la réalité ? À ma connaissance … la prime était non résolue. … Tous les bits principaux sont clairs – 20 bits, probabilité 1e-6. Donc effectivement dans le monde réel. » Puis de conclure : « Wow, c’est une véritable découverte », rapporte CoinDesk.

Backdoor moins crédible, mais un mystère pas totalement refermé

L’un des effets immédiats de cette découverte est de rendre beaucoup moins plausible l’idée d’une porte dérobée soigneusement choisie par la NSA. Les seeds étudiées semblent provenir d’un générateur standard, alimenté par des horodatages précis, et non d’une recherche malveillante de paramètres faibles. Toute personne peut désormais relancer le programme et retrouver les mêmes nombres que ceux publiés à l’époque, ce qui renforce l’auditabilité des courbes NIST. Anthropic estime que cela rend une faiblesse cachée « beaucoup moins probable », tout en reconnaissant que certaines courbes candidates exploitables ont été écartées sans raison apparente et que l’origine de plusieurs points de base reste mystérieuse, tandis que la seed de la courbe binaire B‑163 n’a toujours pas été retrouvée.

Ce travail ne casse ni ECDSA ni Bitcoin : la sécurité des systèmes existants ne change pas, et aucun utilisateur des courbes NIST concernées n’a besoin de modifier clés ou certificats. Le réseau Bitcoin utilise d’ailleurs la courbe secp256k1, différente de P‑256 et dotée de paramètres beaucoup plus simples. La prime promise, elle, va enfin être versée : 36 864 $ doivent être donnés à l’Internet Security Research Group, l’organisation à l’origine de Let’s Encrypt, soit l’équivalent de plusieurs dizaines de milliers d’euros. Vingt‑cinq ans de recherches d’un côté, moins de trente minutes de calcul de l’autre : pour les cryptographes, le plus interressant est sans doute de voir jusqu’où une IA peut désormais pousser ce type d’enquête numérique.