blog.6admin.io
guest@6admin.io:~$
crypto, ecdsa, nist, nsa, bitcoin, secp256k1, llm

Des timestamps, pas une backdoor : les seeds NIST et le choix de Satoshi

Le 16 octobre, Anthropic a publié la solution d’une énigme que la communauté cryptographique traînait depuis plus de vingt-cinq ans, et que des gens très compétents avaient fini par ranger dans le même tiroir que l’assassinat de Kennedy et la recette du Coca-Cola : l’origine des “seeds” fournies par la NSA pour fabriquer les courbes elliptiques que le NIST a standardisées en 2000, dont P-256, que votre navigateur utilise probablement plusieurs centaines de fois par jour sans vous demander votre avis. Trois jours plus tard, la presse crypto s’est emparée du sujet sous l’angle de Bitcoin, en se demandant si l’on tenait enfin l’explication du choix de Satoshi Nakamoto, qui avait soigneusement évité ces courbes au profit d’une autre, secp256k1.

J’ai donc passé une partie de la soirée à creuser la question avec un LLM, parce que pousser un modèle dans ses derniers retranchements, recouper ce qu’il raconte avec des sources primaires et le regarder se prendre les pieds dans le tapis reste, à mon goût, infiniment plus distrayant qu’une énième série Netflix. L’exercice s’est révélé instructif à double titre, d’abord sur le fond, ensuite sur la facilité déconcertante avec laquelle une machine, tout comme un humain, se met à fabriquer des “indices” dès qu’on lui tend une hypothèse séduisante.

Le problème, pour ceux qui n’ont pas de master en maths

Une signature numérique sur courbe elliptique repose sur un jeu de paramètres publics que tout le monde partage, un peu comme un modèle de serrure que l’on aurait standardisé pour toute la planète. Personne ne s’inquiète que le modèle soit public, c’est le principe, mais tout le monde a intérêt à ce que ce modèle n’ait pas été choisi par quelqu’un qui en garderait un passe-partout dans sa poche.

Pour rassurer, la méthode retenue à l’époque consistait à ne pas choisir la courbe à la main, mais à la dériver d’une suite de chiffres aléatoires, la fameuse seed, passée dans SHA-1. L’idée était de dire “regardez, on n’a rien choisi, c’est le hasard qui a parlé”, ce qui aurait été parfaitement convaincant si la seed avait elle-même une origine connue. Or la NSA a fourni ces seeds sans la moindre explication, et une seed dont on ignore la provenance ne prouve strictement rien : rien n’interdit d’en avoir essayé des millions jusqu’à tomber sur une courbe présentant une faiblesse que l’on serait seul à connaître, puis de publier la gagnante en prenant l’air innocent. C’est un peu comme un tirage du loto où l’organisateur jurerait que les boules sont sorties au hasard tout en refusant de montrer la sphère.

La légende voulait que Jerry Solinas, mathématicien de la NSA, ait obtenu ces seeds en hachant une blague de bureau du genre “Give Bob and Jerry a raise”, dont plus personne ne se souvenait exactement, les archives de l’époque étant, selon ses propres termes, probablement rangées quelque part à côté de l’Arche d’alliance. Solinas est mort en 2023, emportant avec lui ce qui ressemblait à la dernière piste, et le cryptographe Filippo Valsorda avait mis en jeu une prime pour quiconque retrouverait les seeds d’origine.

Ce qui a été trouvé : l’heure de l’horloge, tout bêtement

Il n’y avait pas de blague, pas de phrase secrète, pas de hachage du tout. Les seeds sortent de lrand48, le générateur pseudo-aléatoire de la bibliothèque C standard, autrement dit le générateur de grand-papa, initialisé avec l’heure de la machine au moment où le programme a été lancé. Ce générateur est si faible que ses sorties se reconnaissent, et le modèle, après avoir repéré un motif suspect de bits systématiquement à zéro, a pu remonter jusqu’à l’état initial du générateur, donc jusqu’à l’heure exacte de son lancement, à l’aide d’un peu d’algèbre que l’on enseigne en master (une réduction de réseau, pour ceux que ça intéresse). Le tout en moins d’une demi-heure, après vingt-cinq ans de spéculations humaines, ce qui a quelque chose d’humiliant pour l’espèce.

Pour les dix courbes concernées (cinq NIST, cinq exemples ANSI X9.62), les dates tombent entre mai 1997 et avril 1998. La seed de P-256 a été générée le 16 août 1997 à 01:52:34 UTC, soit un vendredi soir vers 22 heures, heure de Fort Meade, en supposant que l’horloge de la machine était juste, ce qui en 1997 n’avait rien d’acquis. Quelqu’un à la NSA a donc fait tourner un petit programme un vendredi soir d’été et retenu le 1842e résultat. Le tout se reproduit avec une vingtaine de lignes de Python publiées par Anthropic, ce qui, pour une question qui relevait jusque-là de la foi, change tout : n’importe qui peut désormais vérifier au lieu de croire.

Le paradoxe de la lampe à lave

Il y a dans cette histoire une ironie qui mérite qu’on s’y attarde. Si la NSA avait réellement tiré ses seeds au hasard, au sens physique du terme, avec du bruit thermique, de la désintégration radioactive ou, pour les esthètes, le mur de lampes à lave que Cloudflare filme dans le hall de son siège de San Francisco pour alimenter en entropie ses serveurs, le mystère serait resté entier pour l’éternité. Un vrai hasard ne laisse aucune trace : il n’y a pas de graine à retrouver derrière lui, pas d’état interne à reconstituer, et personne ne pourrait jamais démontrer qu’on n’a pas relancé le tirage dix mille fois jusqu’à obtenir le résultat souhaité. Pour prouver son innocence, un hasard parfait ne sert donc strictement à rien.

Ce qui a sauvé la mise, c’est précisément que l’auteur du programme a utilisé un générateur pseudo-aléatoire, c’est-à-dire une machine parfaitement déterministe qui fabrique des nombres d’apparence aléatoire à partir d’une valeur de départ, et qu’il a choisi l’un des plus faibles qui soient. lrand48 ne garde en mémoire que 48 bits d’état, il suit une formule linéaire connue de tous, et ses sorties trahissent leur origine à qui sait les regarder, si bien qu’avec un peu d’algèbre on remonte de la sortie jusqu’à la graine, puis de la graine jusqu’à l’heure de l’horloge. Avec un générateur cryptographiquement solide correctement initialisé, cette remontée aurait été impossible en pratique, et le résultat tout aussi invérifiable qu’avec des lampes à lave.

Pour ceux qui confondraient un peu tout, et c’est bien normal tant le mot “aléatoire” recouvre des réalités différentes, il faut distinguer trois familles. Le vrai générateur matériel, qu’il s’appuie sur du bruit thermique, un phénomène quantique ou des lampes à lave, ne part d’aucune graine, si bien qu’il n’y a rien à retrouver derrière sa sortie. Le risque se situe ailleurs, dans la confiance que l’on accorde au matériel, qui peut être défaillant, biaisé ou piégé, et c’est tout le sens du débat qui agite depuis 2013 la communauté Linux autour de RDRAND, l’instruction d’aléa des processeurs Intel, que le noyau a toujours refusé d’utiliser seule et qu’il mélange à d’autres sources. Des chercheurs ont d’ailleurs montré la même année, à CHES, qu’on pouvait piéger un circuit en modifiant simplement le dopage de quelques transistors, sans ajouter le moindre composant, et ils l’ont démontré sur un design dérivé du générateur d’Intel, ce qui ne prouve pas qu’Intel l’ait fait mais suffit à faire passer l’envie de croire sur parole. Le générateur pseudo-aléatoire faible, comme lrand48 ou le vieux rand(), est au contraire entièrement déterminé par sa graine, et un état interne aussi petit se laisse remonter sans grande difficulté : c’est le cas des courbes NIST. Reste le générateur pseudo-aléatoire cryptographique, comme celui qui se cache derrière /dev/urandom ou ChaCha20, lui aussi déterministe, mais conçu pour que retrouver sa graine à partir de ses sorties soit irréalisable en pratique, pourvu qu’on l’ait initialisé avec suffisamment d’entropie, ce qui, comme le savent tous ceux qui ont vu des clés SSH dupliquées sur des parcs de machines clonées, n’a rien d’automatique.

La bonne méthode existait pourtant déjà, et les cryptographes la désignent sous le nom pittoresque de “nothing up my sleeve numbers” : on dérive les constantes de valeurs que personne ne peut avoir choisies en douce, comme les décimales de π ou les racines carrées des premiers nombres premiers, et l’on montre ainsi sa manche vide au public. Ironie supplémentaire, c’est exactement ce que fait SHA-256, conçu par la NSA, dont les constantes proviennent des parties fractionnaires des racines carrées et cubiques des premiers nombres premiers. L’autre voie, plus radicale, consiste à concevoir des courbes dont chaque paramètre découle d’une contrainte explicite, au point qu’il ne reste plus rien à choisir, et c’est tout l’esprit de Curve25519 et, dans une moindre mesure, de secp256k1.

Ce qui reste ouvert

Le billet d’Anthropic a l’honnêteté de lister ce qu’il n’explique pas, et c’est la partie que la plupart des reprises ont lue en diagonale. Une seed de courbe binaire, B-163, ne correspond à rien de ce qui a été essayé, et l’origine de plusieurs points de base reste inconnue. Claude a tout de même retrouvé celle de six points de base, ceux de P-192 et de cinq courbes d’exemple ANSI, générés par le générateur de FreeLIP d’Arjen Lenstra. Ceux de P-224, P-256, P-384 et P-521 restent inexpliqués. Plus piquant, certains résultats parfaitement utilisables ont été écartés sans raison apparente : pour P-256, le 876e candidat du même run donne une courbe première de taille correcte, et personne ne sait pourquoi le programme a poursuivi jusqu’au 1842e.

Les auteurs estiment qu’un si petit nombre de candidats écartés rend peu plausible la sélection délibérée d’une courbe affaiblie, puisqu’il faudrait alors que les courbes faibles soient courantes et faciles à trouver, ce qui se saurait. Ils reconnaissent toutefois qu’il resterait concevable, en théorie, d’avoir relancé le programme à différentes heures jusqu’à obtenir la courbe souhaitée, et que rien ne dit combien de fois il a tourné. L’objection se mord cependant la queue, puisqu’une telle mise en scène n’aurait d’intérêt que si l’on comptait un jour exhiber l’horodatage comme preuve d’innocence, ce que personne n’a pris la peine de faire en un quart de siècle.

L’hypothèse d’une backdoor dans ces seeds passe donc de “invérifiable” à “très improbable”, ce qui est énorme, sans pour autant constituer une preuve d’absence.

Pourquoi la méfiance n’était pas de la paranoïa

Il serait confortable d’en conclure que les soupçons envers la NSA relevaient du complotisme de forum. L’histoire, malheureusement, ne nous fait pas ce cadeau.

En 2006, le NIST a standardisé, avec la bénédiction de la NSA, un générateur de nombres aléatoires baptisé Dual_EC_DRBG, qui reposait sur deux points d’une courbe dont la relation n’était pas documentée. Dès 2007, deux chercheurs de Microsoft, Dan Shumow et Niels Ferguson, ont montré que quiconque connaîtrait le lien secret entre ces deux points pourrait, en observant quelques sorties du générateur, prédire toutes les suivantes, c’est-à-dire deviner vos clés de chiffrement. Il n’y avait aucun bug, le générateur faisait exactement ce que disait la norme. La trappe était dans les maths, et seul celui qui avait choisi les points en détenait la clé. Les documents Snowden ont ensuite fini de ruiner la réputation de l’algorithme, Reuters a rapporté que RSA Security avait touché dix millions de dollars pour en faire le générateur par défaut de sa bibliothèque BSAFE, ce que l’entreprise a contesté sans jamais vraiment le démentir, et le NIST a fini par le retirer en 2014. Une backdoor en kit, normalisée, livrée avec contrat commercial : on ne parle plus d’hypothèse.

Le cas de DES, en 1977, est plus retors, puisque la NSA y a mis les mains dans les deux sens à la fois. D’un côté, elle a fait modifier les S-boxes, des tables de substitution au cœur de l’algorithme, d’une manière qui le protégeait contre la cryptanalyse différentielle, une technique d’attaque qu’IBM avait découverte de son côté dès 1974 mais que la NSA lui a demandé de garder secrète, et que le monde académique ne redécouvrirait qu’en 1990 avec Biham et Shamir. De l’autre, elle a poussé pour réduire la clé, d’abord à 48 bits, avant qu’on ne transige à 56, ce qui laissait l’algorithme à la portée de quiconque disposait du budget d’un État pour essayer toutes les combinaisons. Renforcer la serrure contre les cambrioleurs tout en s’assurant qu’on pourra toujours défoncer la porte soi-même, c’est une philosophie.

Le point commun de ces deux histoires tient en des paramètres ou des choix de conception dont personne n’expliquait l’origine, et les seeds NIST cochaient exactement cette case. Il était parfaitement rationnel de s’en méfier en 2008, quoi qu’on en sache aujourd’hui.

Petit bestiaire de la confiance mal placée

Et l’on n’a là que l’étage mathématique de l’immeuble, car pour ce qui est de vendre au monde du matériel que l’on se réserve le droit d’écouter, les agences ont une imagination qui ferait passer n’importe quel scénariste pour un amateur.

Crypto AG, ou la neutralité suisse en option. Pendant des décennies, la société suisse Crypto AG a été le fournisseur de référence des machines de chiffrement pour plus d’une centaine d’États, de l’Iran au Vatican en passant par l’Inde, le Pakistan, l’Argentine et quelques alliés de l’OTAN qui ne se doutaient de rien. En 2020, une enquête conjointe du Washington Post, de la ZDF et de la SRF a révélé que l’entreprise appartenait secrètement, depuis 1970, à la CIA et au BND allemand, puis à la CIA seule à partir des années 1990, et que les machines vendues aux clients intéressants étaient sciemment affaiblies. Des gouvernements payaient donc rubis sur l’ongle pour que Washington et Bonn puissent lire leurs télégrammes diplomatiques, ce qu’un rapport interne de la CIA qualifiait avec une modestie touchante de coup de renseignement du siècle. Détail savoureux, un employé de l’entreprise, Hans Bühler, avait passé neuf mois dans une prison iranienne en 1992, soupçonné d’espionnage, et la société avait alors balayé ces soupçons comme une théorie du complot absurde.

Le colis piégé, version Cisco. Parmi les documents Snowden publiés en 2014 figurent des photos, tirées d’une newsletter interne de la NSA datée de 2010, montrant des agents de l’unité TAO en train d’ouvrir proprement un carton Cisco intercepté en cours de livraison, d’installer un implant dans le routeur sur une “load station” prévue à cet effet, puis de refermer le tout et de le remettre dans le circuit comme si de rien n’était. Le document précise que ces opérations d’interdiction de la chaîne logistique comptaient parmi les plus productives de TAO, et Cisco a fini par expédier du matériel à des adresses sans rapport avec certains clients pour éviter que les colis ne fassent un détour par le Maryland.

La backdoor de la backdoor. Juniper utilisait Dual_EC_DRBG dans ScreenOS, le système de ses pare-feux NetScreen, avec son propre point Q en lieu et place de celui de la NSA, ce qui revenait déjà à garder une serrure dont on se contente de changer le barillet. En décembre 2015, l’entreprise a annoncé avoir découvert du code non autorisé : quelqu’un, dont l’identité n’a jamais été officiellement établie, avait discrètement remplacé le Q de Juniper par le sien en 2012, s’appropriant ainsi la capacité de déchiffrer passivement le trafic VPN des clients. Le chercheur Ralf-Philipp Weinmann a parlé de “backdoored backdoor”, et l’histoire résume à elle seule le problème des portes dérobées “réservées aux gentils” : une trappe ne connaît pas de propriétaire, seulement des gens qui ont la clé.

ANOM, le téléphone de mafieux conçu par le FBI. Lorsque le FBI a fait tomber Phantom Secure, fournisseur de téléphones chiffrés très prisé du crime organisé, il a laissé un vide sur le marché et s’est empressé de le combler lui-même. Entre 2018 et 2021, l’agence a fait distribuer, via des intermédiaires qui ignoraient tout, environ 12 000 téléphones ANOM à plus de 300 organisations criminelles dans une centaine de pays, chaque message étant discrètement dupliqué vers un serveur sous contrôle des enquêteurs. Les clients venaient d’eux-mêmes réclamer les appareils, ce qui constitue probablement le meilleur produit jamais lancé par une agence fédérale, et la fin de l’opération en juin 2021 s’est soldée par plus de 800 arrestations.

EncroChat, cocorico. La France n’est pas en reste. En 2020, la gendarmerie, depuis le C3N de Pontoise, a pénétré les serveurs d’EncroChat hébergés chez OVH à Roubaix et poussé un implant sur les téléphones du réseau via son propre mécanisme de mise à jour, interceptant en quelques mois plus de 100 millions de messages et conduisant, selon Europol, à plus de 6 500 arrestations à travers le monde. Le procédé, couvert par le secret défense, continue d’alimenter des recours devant les tribunaux, ce qui rappelle utilement qu’un outil efficace contre les trafiquants l’est aussi contre n’importe qui d’autre, selon qui décide de la cible.

Ledger, ou le mouchard 4G livré sous blister. Pour ceux qui penseraient que tout cela relève de l’histoire ancienne, l’actualité de ce mois d’octobre 2026 se charge de les détromper. Depuis le 9 octobre, des acheteurs de Ledger en Indonésie, en Malaisie et aux Philippines voient leurs portefeuilles se vider, et les estimations on-chain dépassent les 90 millions de dollars pour environ 300 wallets. Tous les cas confirmés concernent des appareils vendus par CryptoBilis, un revendeur pourtant officiel de la marque en Asie du Sud-Est, et Mark Karpelès, l’ancien patron de Mt. Gox, a été parmi les premiers à démonter un Nano X neuf pour y trouver, glissé à la place de la mousse de calage sous l’écran, un petit circuit doté d’un microcontrôleur, d’un modem LTE et d’une eSIM. Le principe est d’une simplicité qui confine à l’insolence : l’implant lit l’écran au moment où l’appareil affiche les 24 mots de la phrase de récupération lors de l’initialisation, puis les envoie aux attaquants par le réseau mobile, sans toucher ni au Secure Element, ni au firmware, ni aux signatures, ce qui lui permet de passer sans broncher le contrôle d’authenticité de Ledger. On n’a donc rien cassé, ni la crypto, ni la puce sécurisée, ni le code. On a simplement regardé par-dessus l’épaule de l’appareil au seul moment où le secret s’affiche en clair, ce qu’Adi Shamir, le S de RSA, avait érigé en troisième loi de la sécurité lors de sa conférence Turing : “cryptography is typically bypassed, not penetrated”. À ce jour, l’enquête n’a pas établi qui a modifié ces appareils ni à quel endroit de la chaîne de distribution, et rien ne permet d’attribuer l’opération à un État plutôt qu’à des criminels bien outillés, ce qui ne l’empêche pas d’illustrer à merveille le même problème que les cartons Cisco de la NSA : entre l’usine et votre bureau, le matériel passe par des mains que vous ne connaissez pas.

Clipper, le pionnier. Enfin, pour ceux qui croient que la question est nouvelle, rappelons qu’en 1993 l’administration Clinton proposait déjà d’équiper les téléphones américains de la puce Clipper, conçue par la NSA, qui chiffrait les communications tout en confiant une copie des clés au gouvernement. Le chercheur Matt Blaze a montré dès 1994 qu’on pouvait contourner le mécanisme de séquestre, et le projet est mort quelques années plus tard, sans que l’idée ne disparaisse jamais vraiment des discours sur le “chiffrement responsable”.

Une précision s’impose pour garder l’honnêteté dont ce billet se réclame : en 2008, Satoshi pouvait connaître Clipper, les rumeurs autour de Crypto AG et la démonstration de Shumow et Ferguson sur Dual_EC. Il ne pouvait en revanche pas savoir ce qui se tramait déjà et resterait secret pendant des années : les interceptions de matériel par la NSA, révélées en 2014, la substitution de paramètre chez Juniper, révélée en 2015, ou l’opération Crypto AG, confirmée en 2020. Le contexte public de l’époque suffisait néanmoins largement à justifier qu’un cypherpunk se méfie de tout paramètre dont personne ne pouvait expliquer l’origine.

Le choix de Satoshi

secp256k1, la courbe retenue par Bitcoin, se décrit en une ligne, y² = x³ + 7, et ses paramètres ne laissent à peu près aucune place pour cacher quoi que ce soit : pas de seed, pas de hachage, pas de chiffres sortis d’un chapeau. Elle a aussi l’avantage d’être rapide à calculer, ce qui n’est pas anodin pour un réseau où chaque nœud vérifie des millions de signatures, et elle était disponible dans OpenSSL, ce qui l’est encore moins pour quelqu’un qui code seul dans son coin. Par souci d’honnêteté, il faut préciser que son point de base n’est pas mieux documenté que ceux du NIST, sans que cela soit considéré comme une faiblesse, le choix de ce point n’étant pas un levier d’affaiblissement connu.

Satoshi n’a jamais expliqué ce choix. Il est compatible avec une méfiance envers des paramètres opaques fournis par la NSA, mais il l’est tout autant avec des considérations de performance ou de simple commodité. La découverte d’Anthropic ne nous apprend rien sur ce que Satoshi savait ou pensait en 2008. Elle confirme seulement qu’à cette date, la question de l’origine des seeds n’avait aucune réponse, et qu’un développeur prudent pouvait légitimement préférer une courbe qui n’en posait pas.

Comment un LLM fabrique des indices

Venons-en à la partie que je trouve la plus savoureuse. Avant même de parler de courbes, j’avais demandé au modèle de faire une synthèse “sans biais” de l’hypothèse selon laquelle Bitcoin aurait pu être une opération de renseignement, ce qui est évidemment une demande piège, puisque l’on ne lui demande pas d’être neutre mais de cesser de défendre la version officielle. Il s’est exécuté avec un enthousiasme suspect.

En quelques échanges, l’anonymat de Satoshi est devenu “trop propre pour être l’œuvre d’un amateur”, donc la signature probable d’un professionnel du renseignement. Puis, emporté par son élan, le modèle m’a expliqué que le choix du pseudonyme “Satoshi” était “presque trop symbolique”, puisque le satoshi est la plus petite unité du bitcoin, métaphore de l’homme invisible mais fondamental. Sauf que l’unité porte le nom de son inventeur, et non l’inverse. C’est à peu près comme soupçonner Alessandro Volta d’avoir choisi son nom de famille en hommage au volt. Une fois pris la main dans le sac, il a reconnu de bonne grâce avoir construit une explication séduisante après coup puis l’avoir déguisée en élément de preuve, ce qui est, convenons-en, plus d’autocritique que n’en produisent la plupart des chaînes YouTube consacrées au sujet.

Ce travers n’a rien de propre aux machines, et il mérite qu’on s’y arrête parce qu’il structure la quasi-totalité des débats sur les origines de Bitcoin. Un indice ne vaut que s’il est nettement plus probable dans une hypothèse que dans l’autre : si l’on enquête sur un vol et que le suspect porte des chaussures, on n’a rien appris, puisque l’innocent en porte aussi. Une OPSEC sans faille, un pseudonyme japonais, un anglais britannique dans ses échanges ou le choix d’une courbe transparente sont exactement de cet ordre, aussi attendus chez un cypherpunk discipliné, nourri depuis quinze ans aux listes de diffusion où l’on dissertait de la NSA et de l’anonymat, que chez une cellule de renseignement. Les statisticiens diraient que leur rapport de vraisemblance avoisine 1. On peut en empiler autant qu’on veut, l’hypothèse n’en sera pas plus solide, et c’est précisément ce que l’affaire des seeds NIST illustre en sens inverse : il a fallu un élément discriminant, reproductible et vérifiable par n’importe qui pour faire avancer une question que vingt-cinq ans de soupçons, de rumeurs et de blagues sur Bob et Jerry n’avaient pas fait bouger d’un pouce.

Moralité, la NSA a bien fabriqué des backdoors, Satoshi avait de bonnes raisons de se méfier, et le pire ennemi de l’enquêteur reste, comme toujours, la belle histoire qu’il a envie de croire, qu’elle sorte d’un cerveau humain ou d’un modèle de quelques centaines de milliards de paramètres.

Sources

Les seeds NIST et leur découverte

Aléa, constantes et courbes

Dual_EC_DRBG et DES

Le bestiaire