A origem dos números da NSA apareceu em meia hora de IA

Durante 26 anos, os números que fecharam o padrão de segurança da internet carregaram a suspeita de esconder uma armadilha. A agência americana de segurança os entregou sem dizer de onde vinham, e nesta semana um modelo de inteligência artificial da Anthropic achou a origem deles. Saíram de um sorteio automático, iniciado com a data e a hora do computador, entre 1997 e 1998, e a resposta saiu antes de meia hora.

A descoberta virou piada entre nomes conhecidos do setor. O cofundador da Ledger, Nicolas Bacca, escreveu no X uma provocação de duas palavras em inglês, "checkmate Satoshi", como quem dá xeque-mate no criador do bitcoin.

A piada tem fundo real. Ao lançar o bitcoin, em 2009, Satoshi Nakamoto escolheu uma curva de fora do pacote da NSA, a secp256k1, e a decisão sempre foi lida como desconfiança em relação aos números fornecidos pela agência. Adam Back, da Blockstream, entrou na conversa para dividir a responsabilidade. Na avaliação dele, a falha é da própria NSA, que publicou as curvas sem mostrar como as havia gerado. Bacca respondeu que o argumento era justo, mas que a piada continuava boa.

O responsável pela carteira da Coinbase, Pete Kim, resumiu o outro lado da história. Segundo ele, a escolha da curva do bitcoin nasceu em boa parte do receio de uma porta dos fundos da NSA, que no fim não existia.

A dúvida que atravessou 26 anos

O padrão em questão é o conjunto de curvas que o NIST, o instituto de padrões do governo americano, publicou em 2000 para assinar documentos digitais. É a mesma matemática que protege o cadeado do site do banco e a carteira de bitcoin. Cada curva tem um número de partida, a semente. As sementes foram entregues pela NSA sem explicação. A suspeita cresceu após 2013, quando as revelações de Edward Snowden mostraram que a agência atuou para enfraquecer padrões de criptografia, e o NIST retirou das recomendações um gerador aleatório ligado a ela.

Ficou a pergunta que ninguém respondia, se aquelas sementes escondiam uma fraqueza conhecida só por quem as criou. Neal Koblitz e Alfred Menezes, dois criptógrafos, resumiram o imbróglio em 2015. A melhor pista vinha de um engenheiro da NSA, Jerry Solinas, que disse acreditar ter gerado as sementes a partir do resumo de uma frase bem-humorada. Solinas morreu em 2023 sem que ninguém reproduzisse os números.

Como a IA chegou lá

Na Anthropic, alguém pediu a um modelo interno da casa que descobrisse como aquelas sementes haviam sido geradas, sem contar a pista da frase esquecida, e o modelo escolheu outro caminho. Em vez de procurar palavras, imaginou como o software de 1997 teria sido escrito e concluiu que a ferramenta da época usava um gerador pseudoaleatório das bibliotecas da linguagem C, fraco o bastante para que sua saída fosse reconhecível. Um programa varreu as sementes publicadas atrás desse padrão e refez o caminho até o gerador.

O resultado qualquer pessoa pode conferir. A Anthropic publicou o código, e basta informar o carimbo de tempo para ver a semente aparecer. Na P-256, a mais usada do pacote, a semente publicada saiu na posição 1.842 de uma sequência iniciada às 01h52 UTC do dia 16 de agosto de 1997.

A Anthropic também localizou a origem dos pontos de partida de seis curvas, detalhe que nunca havia sido explicado. No texto que publicou, a empresa afirma que não há nada a fazer e que o achado encerra anos de especulação. O anúncio chega no meio de uma discussão sobre o risco de a IA atacar a própria criptografia, que já levou pesquisadores a pedir uma preparação antecipada do setor.

O que muda, e o que não muda

A Anthropic repete que isso não é uma quebra de segurança. Ninguém ficou mais perto da chave privada de uma carteira por causa disso. O efeito é o contrário. Uma semente que saiu de um relógio, e que qualquer pessoa consegue reproduzir, reduz a margem para alguém ter escolhido uma curva defeituosa de propósito. O criptógrafo Filippo Valsorda, que organizou a recompensa pela solução, calculou que a liberdade de quem gerou as sementes era de cerca de 30 bits, pouco demais para esconder uma armadilha.

O achado também derruba uma tese de 2017 segundo a qual a NSA teria tido liberdade suficiente para escolher uma entre um grupo pequeno de curvas fracas. Com os horários revelados, essa possibilidade sai de cena. O que continua sem resposta é o motivo de o programa original ter descartado algumas candidatas que dariam curvas válidas, como a de número 876 no mesmo lote da P-256.

Seguem sem explicação, até agora, a semente da B-163 e os pontos de partida das curvas P-224, P-256 e P-384, além da P-521.

O bitcoin nunca entrou nessa

O bitcoin nunca teve nada a ver com esse pacote de curvas. A rede criada por Satoshi roda sobre a secp256k1, definida por números pequenos e fixos, que quase não deixam margem para esconder algo. No lugar de um desses números, a P-256 traz um valor de 77 dígitos, saído justamente da semente entregue pela NSA. A desconfiança em torno da criptografia do bitcoin segue outro caminho, o dos computadores quânticos, tema que o setor acompanha de perto e que não tem relação com o que a IA resolveu nesta semana.

A solução rendeu dinheiro para uma boa causa. O prêmio oferecido por Valsorda, ampliado para 36.864 dólares caso o ganhador doasse o valor, foi reivindicado no dia 15 de outubro pelo time da Anthropic e entregue ao Internet Security Research Group, que mantém o Let's Encrypt e emite certificados gratuitos usados por boa parte dos sites do mundo.