Uma recompensa de $12,288 foi anunciada para a primeira pessoa que conseguir decifrar as sementes das curvas elípticas do NIST e descobrir as frases originais que foram codificadas para gerá-las.
A recompensa será triplicada para $36,864 se o beneficiário do prêmio escolher doar o valor para qualquer instituição de caridade 501(c)(3).
Este desafio foi anunciado pelo especialista em criptografia Filippo Valsorda, que levantou a quantia com a ajuda de figuras reconhecidas na criptografia e na segurança cibernética.
Isso inclui o professor da Universidade Johns Hopkins, Matt Green, o contribuinte do PKI e Chromium, Ryan Sleevi, o especialista em segurança de navegadores, Chris Palmer, o desenvolvedor do "ataque de Logjam", David Adrian, e o engenheiro de criptografia da AWS, Colm MacCárthaigh.
Na Criptografia de Curvas Elípticas (ECC), as sementes são valores ou conjuntos de valores usados como entrada inicial para um algoritmo de criptografia ou processo de produção de chaves criptográficas.
A ECC baseia-se no conceito matemático de curvas elípticas definidas sobre campos finitos para gerar chaves relativamente curtas, mas seguras.
Usar curvas garante que, para um ponto selecionado (nelas), é computacionalmente inviável determinar o múltiplo desse ponto (escalar) usado para produzi-lo, fornecendo a base para criptografia.
As curvas elípticas do NIST (P-192, P-224, P-256, P-384 e P-521), introduzidas em 2000 através da agência FIPS 186-2 sobre 'Padrão de Assinatura Digital', e que são cruciais para a criptografia moderna, foram geradas em 1997 usando sementes fornecidas pela NSA.
As curvas são especificadas por seu coeficiente e um valor de semente aleatório, enquanto o processo determinístico para derivar as chaves é transparente e verificável para aliviar os medos de vulnerabilidades ocultas.
Usuários finais e desenvolvedores não precisam interagir diretamente com essas sementes, mas utilizam os parâmetros da curva no protocolo criptográfico selecionado.
No entanto, aqueles preocupados com a integridade e a segurança do sistema estão realmente interessados na origem das sementes.
Ninguém sabe como as sementes originais foram geradas, mas rumores e pesquisas sugerem que são hashes de frases em inglês fornecidas à Solinas pela NSA.
Acredita-se que Solinas tenha usado um algoritmo de hashing, provavelmente o SHA-1, para gerar as sementes e presumivelmente se esqueceu das frases para sempre.
"As curvas elípticas do NIST que alimentam grande parte da criptografia moderna foram geradas no final dos anos 90 por meio de sementes fornecidas pela NSA.
Como as sementes foram geradas?", lê-se em um post no blog de Valsorda.
"Rumor tem que são hashes de frases em inglês, mas a pessoa que as escolheu, Dr.
Jerry Solinas, faleceu no início de 2023 deixando para trás um mistério criptográfico, algumas teorias da conspiração e um desafio histórico de quebrar códigos."
A preocupação vem da comunidade criptográfica há muitos anos, começando com a polêmica do Dual_EC_DRBG que alegou que a NSA colocou uma backdoor no algoritmo.
O cenário mais preocupante surge da especulação e do ceticismo sobre uma fraqueza intencional incorporada nas curvas do NIST, o que permitiria a decodificação de dados sensíveis.
Embora não exista evidências substanciais para apoiar esses cenários, a origem das sementes permanece desconhecida, criando medo e incerteza na comunidade.
As implicações de segurança que surgem das preocupações de que a NSA selecionou intencionalmente curvas fracas são graves e encontrar as frases originais usadas para gerá-las dissiparia essas preocupações de uma vez por todas.
Além disso, esse desafio tem significado histórico, considerando que as curvas elípticas do NIST são fundamentais na criptografia moderna.
Este é, essencialmente, um mistério criptográfico que adiciona intriga a toda a história, especialmente após a morte do Dr.
Solinas.
Filippo Valsorda acredita que qualquer pessoa com potência de GPU suficiente e experiência em forçar bruta de senhas poderia decifrar os hashes (presumíveis) SHA-1 e derivar as frases originais.
A primeira submissão de pelo menos uma frase pré-semente receberá metade da recompensa ($ 6,144) e a outra metade será para a primeira pessoa que submeter o pacote completo de cinco.
Se for a mesma pessoa, ela receberá a recompensa total de $ 12k.
Mais detalhes sobre o desafio e como enviar suas descobertas podem ser encontrados no blog de Valsorda.
Publicidade
O mais completo curso de Pentest e Hacking existente no Brasil, ministrado por instrutores de referência no mercado. Oferece embasamento sólido em computação, redes, Linux e programação. Passe por todas as fases de um Pentest utilizando ambientes realísticos. Se prepare para o mercado através da certificação SYCP. Saiba mais...