클로드, NSA 제공 NIST 곡선 시드 5종 경로 재구성

앤트로픽(Anthropic)은 10월 16일 연구 글에서 클로드가 1990년대 미국 국가안보국(NSA)이 제공한 NIST 타원곡선 시드 5종의 생성 경로를 재구성했다고 밝혔다. 이 결과는 오랜 백도어 의혹을 낮추는 단서지만, 모든 곡선 구성 과정이나 비트코인의 양자컴퓨터 보안 문제를 설명하지는 않는다.

앤트로픽은 클로드가 NIST의 P-192·P-224·P-256·P-384·P-521 시드를 30분 안에 찾아냈다고 밝혔다. 시드는 해시가 아니라 유닉스 타임스탬프로 초기화한 C 라이브러리 난수 생성기 lrand48의 출력이었다.

타원곡선은 공개키와 개인키를 연결해 전자서명 등에 쓰이는 수학적 구조다. NIST는 2000년 디지털 서명 표준에 타원곡선을 포함했지만, NSA가 제공한 시드의 생성 절차가 공개되지 않아 약점이 의도적으로 포함됐을 수 있다는 의문이 제기돼 왔다.

닐 코블리츠(Neal Koblitz)와 앨프리드 메네제스(Alfred Menezes)는 2015년 논문에서 NIST 곡선의 선택을 둘러싼 논란을 검토했다. 앤트로픽은 이번 분석이 시드 생성 경로를 일부 설명했지만, 곡선 매개변수 전체의 선택 과정을 재현한 것은 아니라고 밝혔다.

앤트로픽은 이번 결과가 암호 공격이나 타원곡선의 보안 취약점 발견은 아니며, NIST 곡선 사용자에게 별도 조치가 필요하지 않다고 밝혔다. 시드가 일반적인 난수 생성 절차에서 나왔다는 점은 백도어 의혹을 낮추는 근거가 된다.

다만 후보 선택 과정에는 설명되지 않은 부분이 남았다. P-256 시드는 같은 실행에서 1842번째 후보였지만, 그보다 앞선 876번째 후보도 유효한 곡선 조건을 만족했다. 앤트로픽은 앞선 후보를 건너뛴 이유를 설명하지 못했다.

P-224·P-384·P-521의 기준점 생성 방식과 일부 후보 선택 규칙도 미해결 상태다. 바이너리 곡선 B-163의 시드 역시 재현하지 못했다.

비트코인(BTC)은 이번 분석 대상인 NIST 곡선 대신 secp256k1을 사용한다. 비트코인 개발자 문서와 비트코인 코어 구현은 이 곡선을 공개키에 쓰는 별도 곡선으로 설명한다. 따라서 NIST 시드 생성 경로가 밝혀졌다고 비트코인의 곡선이나 보안 조건이 바뀌지는 않는다.

비트코인의 양자컴퓨터 위험은 시드 출처와 다른 쟁점이다. 충분히 강력한 양자컴퓨터가 공개키에서 개인키를 계산할 수 있다는 우려가 제기돼 왔지만, 공격 가능한 장치의 구현 시점은 제시되지 않았다.

구글(Google)은 10월 15일 윌로(Willow) 프로세서로 양자 오류 보정 기술을 시연하고 특정 오류를 기존 방식보다 약 40배 줄였다고 밝혔다. 이 결과는 비트코인 키를 풀 수 있는 장치나 공격 가능 시점을 보여준 것은 아니다.

앤트로픽은 이번 분석이 오래된 NIST 곡선 시드의 생성 경로를 일부 설명했다고 밝혔다. 후보 선택과 일부 곡선 매개변수의 출처는 여전히 남은 문제이며, 비트코인의 양자 보안과는 별도로 다뤄야 한다.

자주 묻는 질문

클로드가 NSA의 암호를 해독했나요?

아닙니다. 앤트로픽이 밝힌 내용은 NIST 타원곡선에 사용된 시드의 생성 경로를 재구성했다는 것입니다. 실제 암호문이나 개인키를 해독한 것은 아닙니다.

이번 발견은 비트코인에 직접 영향을 주나요?

이번에 분석한 시드는 NIST 곡선에 쓰였고, 비트코인은 secp256k1을 사용합니다. 비트코인 개발자 문서는 공개키에 secp256k1을 쓴다고 설명하며, 앤트로픽은 NIST 곡선 사용자에게 별도 조치가 필요하지 않다고 밝혔습니다. 따라서 이번 결과가 비트코인의 곡선 생성 경로나 보안을 직접 바꾸지는 않습니다.

비트코인의 양자컴퓨터 위험도 해결됐나요?

아닙니다. 공개키에서 개인키를 계산할 만큼 강력한 양자컴퓨터에 대한 우려는 시드 출처 논란과 별개입니다. 구글의 오류 보정 시연도 비트코인 키를 풀 수 있는 장치나 공격 시점을 제시하지 않았습니다.