앤스로픽 연구진이 2000년 공개된 NIST 타원곡선의 시드에서 백도어를 발견하지 못했다고 밝혔다. NSA가 시드를 제공해 의혹이 이어졌지만, 연구진은 시드가 만들어진 과정을 역설계했고 필리포 발소르다(Philippo Valsorda)가 결과를 검증해 현상금을 지급했다.
타원곡선 암호의 보안은 이산 로그 문제를 풀기 어렵다는 점에 달려 있다. NIST 곡선은 다음과 같은 형태이며, 의혹은 매개변수 b가 어떻게 선택됐는지에 집중됐다.
y² = x³ − 3x + b (mod p)
대부분의 b 값에서는 안전하다고 알려져 있지만, 누군가 특정 값을 의도적으로 골라 암호를 약화했을 가능성이 제기돼 왔다. NSA가 난수 생성기 Dual_EC_DRBG에 백도어를 넣은 전력이 있어 의심은 더 커졌다.
2014년 9월 6일, 대니얼 J. 번스타인(Daniel J. Bernstein)은 NSA의 제리 솔리나스(Jerry Solinas)에게 시드의 출처를 물었다. 솔리나스는 이후 이메일에서 시드가 유머러스한 영어 문장의 ASCII 표현을 해싱해 생성됐다고 답했지만, 정확한 문구와 해싱 절차는 기억나지 않는다고 했다.
2023년 10월 5일 발소르다는 NIST 타원곡선 시드의 출처를 역설계하는 현상금(안내)을 내걸었다. 앤스로픽 연구진은 이틀 전 현상금을 차지했고, 발소르다가 결과를 검증해 상금을 지급했다. 연구 결과에 따르면 솔리나스는 시드를 선의로 만들었지만, 곡선 공개 후 세월이 흐르면서 그 과정을 정확히 기억하지 못했다. 시드 구성 과정에는 문구가 아니라 날짜가 사용됐다.
NIST 곡선은 유한체 연산에 유용한 성질을 지녔고, 채택은 출처에 대한 의혹 때문에 주저돼 왔다. 발소르다는 이번 결과가 NIST 타원곡선 암호의 신뢰 회복을 마무리한다며, 자신은 이제 Curve25519·Ed25519·X25519보다 NIST 곡선을 권하겠다고 밝혔다. 다만 곡선은 양자내성 서명으로 대체되면서 퇴역할 시점에 이르렀다고 덧붙였다.
앤스로픽은 이번 시드 탐색에 무차별 대입이 많이 필요했으며, 확인할 후보를 만드는 데 일부 기지가 필요했지만 이를 더 추상적인 수준의 무차별 대입으로 볼 수도 있다고 설명했다. 이 결과만으로 대규모 언어 모델이 암호화의 위협이라는 뜻은 아니며, 암호 원시 요소와 프로토콜의 약점을 찾으려는 연구실의 움직임은 시드 탐색과는 별개의 문제라고 했다.
NIST 곡선 P-192, P-224, P-256, P-384, P-521은 정수의 mod p 유한체 위에 정의된다. p의 비트 수는 곡선 이름의 숫자와 대응한다. 예를 들어 P-192의 기저체는 2192 − 264 − 1을 법으로 하는 정수이며, 192비트 소수다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요