Editör: Enver Adıgüzel
Anthropic, 16 Ekim’de Claude’un NIST tarafından standartlaştırılmış ve Ethereum passkey imzalamasında desteklenen P-256 eğrisinin arkasındaki kamuya açık tohum değerinin yeniden oluşturulmasına yardımcı olduğunu açıkladı. Bulgu, cüzdan geliştiricilerine eğrinin kökenine ilişkin uzun süredir süren kaygılar hakkında yeni bir kanıt sunuyor.
Tohum neden önemli?
Tohum, eğrinin denkleminde bir katsayıyı türetmek için kullanılan kamuya açık bir tasarım girdisi. Cüzdan işlemlerini yetkilendiren özel imza anahtarlarından ayrı bir şey. Anthropic, Amerika Birleşik Devletleri Ulusal Güvenlik Ajansı’nın (NSA) sağladığı açıklanmamış tohumların, parametrelerin kasıtlı olarak zayıflatıldığı yönündeki şüpheleri beslediğini belirtiyor.
Ayrıca Okuyun
Şirketin yayımladığı tarife göre, eski bir C kütüphanesi üreteci olan lrand48, 16 Ağustos 1997 saat 01:52:34 UTC zaman damgasıyla başlatılıyor. Üreteç bir dizi aday tohum üretiyor. Aday 1.842’ye ilerlendiğinde yayımlanan P-256 değeri elde ediliyor; bu da kamuya açık sabit için tekrarlanabilir bir tarif anlamına geliyor.
Ethereum bağlantısı
Bağlantı, P-256’yı de anılan secp256r1 ile imza doğrulamasını tanımlayan EIP-7951 üzerinden kuruluyor. Teklif, Apple Secure Enclave, Android Keystore ve FIDO2/WebAuthn cihazlarını ilgili donanım olarak sayıyor. Böylece cüzdan yetkilendirmesi, cihazlara ve doğrulayıcılara yerleşik imza yetenekleriyle ilişkilendiriliyor.
EIP-7951, cihaz tabanlı imzalamayı, çok faktörlü kimlik doğrulamayı ve hesap soyutlaması için daha basit anahtar yönetimini kullanım gerekçeleri arasında sayıyor. Ethereum’un mevcut eğrisi secp256k1’den farklı olan P-256, tüm Ethereum cüzdanlarını değil, P-256 ile uyumlu imzalamayı ilgilendiriyor.
Hâlâ açık sorular
Anthropic, aday 876’nın da gerekli boyutta asal mertebeli bir eğri verdiğini bildiriyor; bu da seçim ölçütlerini belirsiz bırakıyor. Üretim çalıştırmalarının sayısı ile ayrı bir sabit matematiksel nokta olan P-256 taban noktasının kökeni hâlâ bilinmiyor. Anthropic, bulgunun yeni bir saldırı ya da eğri zayıflığı tanımlamadığını ve kullanıcıların herhangi bir işlem yapmasına gerek olmadığını belirtiyor.
Kaynak: Anthropic
