앤스로픽, 클로드가 이더리움 패스키 보안용 P-256 시드 재구성에 도움 줬다고 밝혀

앤스로픽은 10월 16일 클로드가 이더리움 패스키 서명에 지원되는 NIST 표준 암호 곡선 P-256의 공개 시드를 재구성하는 데 도움을 줬다고 밝혔다. 이번 발견은 곡선의 기원을 둘러싼 오랜 우려에 대해 지갑 개발자들에게 새로운 증거를 제공한다. 공개 시드는 곡선 방정식의 계수를 도출하는 데 쓰이는 설계 입력값이다. 공개 시드는 지갑 활동을 승인하는 비밀 서명 자격 증명과 별개다.

앤스로픽은 미국 국가안보국(NSA)이 제공한 출처 불명의 시드가 매개변수를 의도적으로 약화했을 수 있다는 의심을 키웠다고 말했다. 앤스로픽이 공개한 재현 절차는 기존 C 라이브러리 생성기 lrand48을 1997년 8월 16일 01:52:34 UTC의 타임스탬프로 초기화한다. 생성기는 후보 시드의 순서를 만들어 낸다. 후보 1,842번까지 진행하면 공개된 P-256 값이 나오며, 이를 통해 해당 공개 상수를 반복 재현할 수 있다.

앤스로픽은 이번 발견으로 의도적인 백도어가 있었을 가능성이 낮아졌다고 말했다. 앤스로픽은 새로운 공격이나 곡선의 취약점은 발견하지 않았으며 사용자가 조치할 필요도 없다고 밝혔다.

이더리움의 EIP-7951은 P-256(세크프256r1이라고도 함)을 사용한 서명 검증을 규정한다. EIP-7951은 관련 하드웨어로 애플 시큐어 인클레이브, 안드로이드 키스토어, FIDO2/WebAuthn 기기를 명시한다. 이는 지갑 승인 기능을 기기와 인증기에 내장된 서명 기능과 연결한다. EIP-7951의 도입 취지에는 계정 추상화의 용도로 기기 내장 서명, 다중 인증, 간소화된 키 관리가 열거돼 있다.

이더리움 계정 문서는 트랜잭션에 서명하는 비밀 키와 트랜잭션 검증에 쓰이는 공개 정보를 구분한다. 컨트랙트 계정은 코드로 제어된다. EIP-7951의 P256VERIFY 연산은 메시지 해시, 서명, 공개 키를 입력받아 서명의 유효성을 확인한다. P-256은 이더리움에서 이미 사용 중인 곡선 secp256k1과 다르다. 이번 발견은 P-256 호환 서명과 관련이 있으며 모든 이더리움 지갑에 해당하는 것은 아니다.

앤스로픽은 후보 876번에서도 필요한 크기의 소수 차수 곡선이 생성됐다며 선정 기준이 명확하지 않다고 보고했다. 생성 실행 횟수는 여전히 알려지지 않았다. 별도의 고정 수학적 점인 P-256의 기저점이 어디서 유래했는지도 여전히 밝혀지지 않았다.