P256 ปัญหาเมล็ดพันธุ์

ฉันกำลังอ่านเกี่ยวกับเส้นโค้งวงรีและประวัติของมัน และดูเหมือนว่าผู้คนไม่เชื่อถือเมล็ด P256 ซึ่งกำหนดไว้ใน ม.ป.ป.186-3 บน หน้า 89 เป็น

SEED = c49d3608 86e70493 6a6678e1 139d26b7 819f7e90

ซึ่งผู้คนสงสัยว่าอาจถูกสร้างขึ้นโดยประสงค์ร้าย

ฉันสงสัยว่าจะเกิดอะไรขึ้นถ้าเมล็ดถูกหยิบด้วยวิธีที่คำนวณยากมากที่จะไม่สุ่มเช่น จากประวัติศาสตร์บล็อก Bitcoin กว่าทศวรรษ?

สมมติว่าเราทำดังต่อไปนี้ เรากำหนดหมายเลขบล็อก Bitcoin สูงสุด เช่น 730422 ซึ่งเป็นบล็อก Bitcoin ล่าสุด จุดเริ่มต้นคือบล็อกกำเนิด Bitcoin ตอนนี้เราทำซ้ำขั้นตอน:

1. แฮชแฮชบล็อกเพื่อรับ X
2. เมล็ดพันธุ์ += X[0]
3. คำนวณความสูงของบล็อกถัดไปเป็น X % 730422
4. ทำซ้ำ 1 จนกว่าเราจะมีเมล็ดที่ยาวพอ

เมล็ดพันธุ์ดังกล่าวจะปลอดภัยหรือไม่ภายใต้สมมติฐานที่ว่าพลังงานกว่าทศวรรษไม่ได้ถูกสร้างขึ้นโดยประสงค์ร้าย?

พารามิเตอร์เส้นโค้งถูกสร้างขึ้นด้วย $y^2=x^3+ax+H(s)$ กับ $H$ เป็น SHA-1 และ $s$ เป็นเมล็ดพันธุ์พิเศษ เนื่องจากค่าต่างๆ ถูกสร้างขึ้นโดยการส่งเมล็ดผ่าน SHA-1 จึงเป็นเรื่องยากที่จะแบ็คดอร์เส้นโค้ง เว้นแต่จะมีเส้นโค้งที่อ่อนแอจำนวนมากที่สามารถพบได้โดยใช้กำลังดุร้าย หรือ SHA-1 มีความเสี่ยงต่อภาพจำลองเล็กน้อย การโจมตี ความเป็นไปได้ทั้งสองดูเหมือนจะไม่น่าเป็นไปได้อย่างยิ่ง ตาม กระดาษเกี่ยวกับเรื่อง, NSA จะต้องรู้ระดับอย่างน้อย $2^{61}$ เส้นโค้งที่อ่อนแอในปี 1997 ที่ยังไม่ทราบ ณ วันนี้ และ สามารถดำเนินการได้ $2^{86}$ การดำเนินการบิตก่อนปีเดียวกัน สิ่งนี้ไม่น่าจะเป็นไปได้อย่างไม่น่าเชื่อ

แม้ว่าคำแนะนำของคุณจะทำให้การโจมตีนั้นยากขึ้นอย่างแน่นอน แต่การโจมตีนั้นใช้ไม่ได้ผลอยู่แล้ว หรือไม่ก็เป็นไปไม่ได้ นอกจากนี้ หากคุณกังวลเกี่ยวกับเส้นโค้งที่สุกแล้ว ควรใช้ a โค้งที่ปลอดภัย ด้วยพารามิเตอร์ที่ไม่มีอะไรขึ้นแขนของฉัน ดูสิ่งนี้ด้วย คำตอบนี้ โดย โทมัส พรอินทร์.