Claude lost in 30 minuten NSA-mysterie op dat 25 jaar onopgelost bleef

Het AI-model Claude van Anthropic heeft in minder dan een half uur een mysterie opgelost waar beveiligingsexperts al ruim 25 jaar mee worstelden. Het gaat om geheimzinnige getallen die de Amerikaanse inlichtingendienst NSA gebruikte bij het ontwikkelen van een belangrijke beveiligingsstandaard.

Jarenlang bestond het vermoeden dat de geheime dienst hiermee een verborgen achterdeur had ingebouwd om versleutelde gegevens te kunnen kraken. Nu blijkt dat de getallen waarschijnlijk een veel eenvoudigere oorsprong hebben.

Claude ontdekt geheim achter 25 jaar oud NSA-mysterie

Het verhaal begint eind jaren negentig, toen de Amerikaanse geheime dienst NSA wiskundige gegevens aanleverde voor een nieuwe beveiligingsstandaard. Die werd in 2000 aangenomen door het Amerikaanse standaardisatie-instituut NIST. De gebruikte technologie helpt onder meer om internetverkeer, digitale informatie en financiële systemen te beveiligen.

Maar er was iets vreemds aan de beveiligingsmethode. De NSA had bepaalde getallen gebruikt zonder uit te leggen hoe die waren gekozen. Dat zorgde voor wantrouwen onder beveiligingsexperts. Zij vroegen zich af of de geheime dienst bewust getallen had geselecteerd waarmee de beveiliging gemakkelijker te kraken was.

Die vermoedens werden later versterkt door de onthullingen van Edward Snowden. Daaruit bleek dat de NSA betrokken was geweest bij pogingen om cryptografische beveiliging te verzwakken. Het Amerikaanse NIST schrapte uiteindelijk zelfs een andere, omstreden methode uit zijn aanbevelingen.

Onderzoekers probeerden jarenlang de oorsprong van de mysterieuze getallen te achterhalen. Ze onderzochten oude documenten, benaderden overheidsinstanties en zochten naar aanwijzingen van betrokken NSA-medewerkers. Maar een overtuigende verklaring bleef uit.

Daar kwam deze maand onverwacht verandering in. Een medewerker van Anthropic gaf een intern onderzoeksmodel van Claude de opdracht om het raadsel te onderzoeken. Zonder eerdere theorieën over de herkomst van de getallen mee te geven, liet hij het AI-model zelf naar een verklaring zoeken.

Binnen een half uur vond Claude een verrassend antwoord. De getallen bleken te kunnen worden gereconstrueerd met lrand48, een oud computerprogramma dat willekeurig ogende getallen genereert. Door tijdstippen uit 1997 en 1998 als uitgangspunt te gebruiken, kon het model de oorspronkelijke berekeningen nabootsen.

Bij de veelgebruikte beveiligingsmethode P-256 vond Claude een exacte overeenkomst met het gepubliceerde getal bij de 1.842e kandidaat. Ook vier andere mysterieuze getallen konden op dezelfde manier worden herleid.

De ontdekking verraste zelfs het AI-model. In zijn vastgelegde redenering vroeg Claude zich aanvankelijk af of de uitkomst wel echt kon zijn, omdat het mysterie volgens zijn kennis nog altijd onopgelost was.

Toen de berekeningen bleken te kloppen, schreef het model enthousiast: “Wauw, dit is een echte ontdekking.”

Wat betekent de ontdekking voor de beveiliging?

De uitkomst maakt het minder waarschijnlijk dat de NSA de onderzochte getallen bewust heeft uitgekozen om een verborgen zwakke plek te creëren. In plaats daarvan lijken ze afkomstig uit een bestaand computerprogramma, waarvan de berekeningen nu door iedereen kunnen worden herhaald.

Dat is belangrijk, omdat juist het ontbreken van een verklaring jarenlang voor wantrouwen zorgde. Beveiligingsexperts konden de getallen wel zien, maar niet controleren waarom de NSA precies deze had gekozen.

Toch zijn nog niet alle vragen beantwoord. Onderzoekers weten bijvoorbeeld nog niet waarom het oorspronkelijke programma sommige bruikbare getallen oversloeg. Ook is niet volledig duidelijk hoe bepaalde andere onderdelen van de beveiligingsmethoden werden vastgesteld.

Volgens Anthropic hoeven gebruikers van de betrokken beveiligingsstandaarden niets te veranderen. De ontdekking heeft geen nieuwe kwetsbaarheid blootgelegd, maar vooral duidelijkheid gegeven over een jarenlang onbeantwoorde vraag.

Ontdekking levert beloning van 36.864 dollar op

Aan het oplossen van het mysterie hing ook een flinke beloning. In 2023 loofden cryptografieonderzoekers 12.288 dollar uit voor degene die kon achterhalen waar de mysterieuze NSA-getallen vandaan kwamen.

De beloning liep op tot 36.864 dollar wanneer het prijzengeld aan een goed doel zou worden geschonken. Nu Claude het raadsel heeft opgelost, gaat dat volledige bedrag naar de Internet Security Research Group.

Deze non-profitorganisatie zit achter Let’s Encrypt, een dienst die websites helpt hun verbindingen te beveiligen met gratis beveiligingscertificaten.

Daarmee krijgt de ontdekking nog een bijzonder vervolg. Een AI-model heeft niet alleen in minder dan dertig minuten een raadsel opgelost dat een kwart eeuw onopgelost bleef, maar levert daarmee ook tienduizenden dollars op voor de beveiliging van het internet.