Anthropic resuelve el enigma de las curvas NIST

El enigma de las semillas de las curvas NIST, resuelto

El 15 de octubre de 2026, a las 01:07:51 UTC, un equipo de Anthropic reclamó la recompensa que Filippo Valsorda había anunciado tres años antes por resolver un misterio abierto desde hacía casi tres décadas: cómo se generaron las semillas de las curvas elípticas del NIST. La respuesta no fue una frase ingeniosa convertida en hash, sino el generador drand48 de la librería estándar de C, inicializado con la marca de tiempo del reloj.

El premio, de 36.864 dólares (36 Ki$), fue donado a ISRG, la organización sin fines de lucro que opera Let's Encrypt, que triplicó su valor. Para un founder, la noticia no es anecdótica: toca directamente la confianza en la criptografía que sostiene TLS, las firmas digitales y prácticamente toda la infraestructura web.

Qué encontró el equipo de Anthropic

Los nombres detrás del hallazgo son John Wood, Henry de Valence, Ava Howell, Zack Voase, Lucy Sweet, Amir Omidi, Paul Crowley, Iain McGinniss, Nicholas Carlini y Steve Weis. Según reportó Unite.AI, el Frontier Red Team de Anthropic publicó la investigación el 16 de octubre de 2026, y buena parte del trabajo la hizo un modelo interno de investigación de Claude, que identificó el origen en menos de media hora.

El algoritmo es casi decepcionantemente simple: se pasa el timestamp UNIX del momento a srand48() y se producen bytes de a uno con drand48. Cada secuencia de 20 bytes se prueba como semilla según ANSI X9.62 y se descarta si la curva resultante no es válida. Valsorda reimplementó el algoritmo en Go para verificar la afirmación.

Las curvas P-192, P-224, P-256, P-384 y P-521 fueron publicadas por el NIST en FIPS 186-2 en 2000. Hasta esta semana nadie sabía cómo se habían elegido esas semillas arbitrarias. La leyenda interna, sostenida por el propio Dr. Jerry Solinas, fallecido en 2023, decía que las había generado en 1997 hasheando frases en inglés que después olvidó. Solinas llegó a declarar en 2015 que el mensaje era algo como "Give Bob and Jerry a raise". La memoria jugó una mala pasada: no hubo frase, hubo reloj.

Los timestamps recuperados caen entre mayo de 1997 y abril de 1998. La semilla publicada de P-256, por ejemplo, fue el candidato número 1842 de su corrida, según Unite.AI.

Por qué esto importa para la criptografía que usas

Durante años, la falta de explicación sobre las semillas alimentó teorías conspirativas. En 2015, Koblitz y Menezes publicaron "A riddle wrapped in an enigma", donde argumentaban que era implausible que la NSA hubiera elegido una semilla para explotar una debilidad que hubiera escapado a décadas de criptoanálisis.

Pero en 2017, Daniel Bernstein y Tanja Lange describieron a Koblitz y Menezes una técnica que podría haber explotado 70 bits de libertad en la elección de la semilla para apuntar a una clase hipotética de curvas débiles de orden primo. Bernstein es autor de Curve25519, un diseño competidor.

El hallazgo de esta semana descarta por completo esa técnica. Incluso si la NSA hubiera podido elegir cualquier timestamp de 1997-98 y cualquiera de los primeros 16 candidatos de orden primo, habría tenido apenas unos 30 bits de libertad. No alcanza para apuntar a una clase pequeña de curvas débiles ni para incrustar ningún tipo de backdoor.

Queda un detalle sin explicar: hay más semillas válidas que curvas publicadas. Algunos candidatos viables fueron salteados y los huecos no son regulares. Valsorda y el equipo exploraron varias explicaciones sin encontrar un ajuste convincente. Quizás el mismo generador se usó para validar semillas, o quizás había un bug que devolvía el resultado equivocado la mitad de las veces.

¿Qué significa esto para tu startup?

Para la mayoría de los equipos, la respuesta corta es: nada que romper, todo que documentar.

• No hay acción urgente de seguridad. El propio Valsorda lo dice: no hay nada que hacer, porque la mayoría de los investigadores ya confiaba en estas curvas. El hallazgo refuerza esa confianza en lugar de socavarla.
• Sí hay una lección de ingeniería. El misterio existió porque en 1997 nadie documentó cómo se generaron los parámetros. Si tu equipo genera claves, semillas o parámetros criptográficos, deja registro de la receta: qué generador, qué entrada y qué criterios de aceptación. La trazabilidad es parte del entregable, no un extra.
• Revisa tu inventario criptográfico. El episodio es un buen recordatorio para saber qué algoritmos y curvas usas hoy. Si no puedes responder esa pregunta en una tarde, tienes un problema de visibilidad, no de criptografía.

El calendario post-cuántico ya está corriendo

La ironía del cierre: Valsorda señala que este hallazgo llega justo a tiempo para que estas curvas se retiren en favor de firmas post-cuánticas.

El NIST finalizó sus primeros estándares post-cuánticos en agosto de 2024, FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA), y planea retirar los algoritmos más débiles frente a la computación cuántica después de 2030 y eliminar la mayoría hacia 2035, según reportó Forbes.

El costo de la migración es real. Según TechTimes, una clave pública ML-KEM ronda los 1.184 bytes frente a los 32 bytes de una clave X25519, y las firmas ML-DSA pesan 1.312 bytes contra unos 33 bytes de ECDSA. Un estudio sobre TLS post-cuántico en infraestructura de trading citado por el mismo medio encontró un aumento de aproximadamente 23% en la latencia de establecimiento de conexión, de unos 24,7 a 30,4 milisegundos.

Y la adopción va lenta: el Quantum Readiness Outlook de DigiCert de julio de 2026, citado por BankInfoSecurity, encontró que 87% de las organizaciones están planificando, probando o implementando criptografía post-cuántica, pero solo 7% tiene más de la mitad de sus certificados digitales con criptografía quantum-safe o híbrida.

Para los equipos que venden a gobierno o al sector financiero, hay fechas duras: la orden ejecutiva EO 14412, firmada el 22 de junio de 2026, fija el 31 de diciembre de 2030 para migrar el establecimiento de claves y el 31 de diciembre de 2031 para las firmas digitales, según TechTimes.

Conclusión

El misterio de las semillas del NIST terminó con una respuesta aburrida, que es exactamente lo que la criptografía necesita. Un generador de números pseudoaleatorios de los años 90, inicializado con el reloj, produjo los parámetros que hoy sostienen buena parte de la web. No hay backdoor, no hay frase secreta, no hay conspiración.

Para un founder, el valor está en el método: documentar decisiones técnicas que parecen obvias hoy y serán un enigma en 30 años. Y en el calendario: la migración post-cuántica ya tiene fechas, y las organizaciones que empiecen por inventariar su criptografía hoy van a llegar mucho mejor paradas que las que esperen.

Fuentes

• The NIST Elliptic Curves Seeds Bounty Has Been Claimed (fuente original)
• Anthropic Says Claude Traced NIST ECDSA Curve Seeds to a 1990s RNG
• Post-Quantum Deadlines Collide With OT Reality
• Banks Can Finish Post-Quantum Migration and Still Be Exposed
• Post-Quantum Cryptography Is Becoming Mandatory For Financial Institutions