L’IA aide à élucider un mystère vieux de 25 ans sur la sécurité d’Internet

Une enquête assistée par l’IA a permis de retrouver, dans un programme informatique courant, l’origine de cinq nombres longtemps inexpliqués à la base de normes de sécurité d’Internet largement utilisées, apportant une réponse reproductible à un mystère vieux de 25 ans.

Anthropic affirme qu’un modèle Claude interne destiné à la recherche a identifié leur origine en moins d’une demi-heure. Ces nombres provenaient d’un programme générant des valeurs apparemment aléatoires, initialisé à partir de dates et d’heures de 1997 et 1998. Les chercheurs peuvent désormais reproduire ce processus pour retrouver les nombres publiés. L’ingénieur en cryptographie Filippo Valsorda a reproduit la méthode de manière indépendante.

Ces nombres, appelés graines, ont contribué à définir les courbes mathématiques utilisées pour vérifier les signatures numériques et authentifier les utilisateurs. L’Agence nationale de sécurité des États-Unis les avait fournis pour des normes adoptées par l’Institut national des normes et de la technologie en 2000, sans expliquer comment ils avaient été choisis. Ce secret avait alimenté la crainte que des faiblesses cachées y aient été introduites.

La découverte rend moins plausible l’existence d’une porte dérobée délibérément introduite, sans toutefois l’exclure. Les chercheurs ne peuvent toujours pas expliquer pourquoi certaines valeurs candidates appropriées ont été écartées ni comment chaque composant a été sélectionné. Il s’agissait de nombres publics servant à la conception, et non de clés secrètes d’utilisateurs ; Anthropic précise que les personnes utilisant ces normes n’ont rien à modifier.

Une prime de 36 864 dollars récompensant la découverte sera versée à l’Internet Security Research Group, l’organisation à but non lucratif à l’origine de Let’s Encrypt, qui fournit gratuitement des certificats de sécurité pour les sites web.