앤트로픽 “Claude, 전자서명 표준 출발값 출처 찾았다”

앤트로픽은 10월 16일(현지시간) Claude가 전자서명 표준 ECDSA에 쓰이는 주요 곡선의 출발값 출처를 찾아냈다고 발표했다. ECDSA는 인터넷에서 전자서명을 만들고 확인할 때 널리 쓰이는 표준이다. 회사에 따르면 내부 연구용 Claude는 30분도 걸리지 않아 미국 국립표준기술연구소(NIST)의 곡선 다섯 개, P-192, P-224, P-256, P-384, P-521의 출발값이 어떻게 만들어졌는지 알아냈다.

출발값은 왜 의심받았나

암호 계산에 쓰는 곡선을 처음에 어떤 기준으로 골랐는지가 오랜 의문이었다. NIST는 2000년 전자서명 표준에 ECDSA를 채택했다. 규격에는 곡선을 정하는 출발값인 ‘시드’가 담겼다. 앤트로픽에 따르면 이 값들은 미국 국가안보국(NSA)이 전달했고, 어떻게 만들었는지에 대한 설명은 없었다. 누군가 몰래 보안 허점을 심어 두려고 값을 고른 것이 아니냐는 의심이 이어진 이유다.

기존 조사에서는 농담 섞인 문구를 일정한 길이의 값으로 바꿔 썼다는 옛 관계자의 기억이 가장 유력한 설명이었다. 앤트로픽 직원들도 이 가능성을 따라가 봤지만 답을 찾지 못했다. 이번에는 직원 한 명이 그 단서를 알려 주지 않은 채 내부 연구용 Claude에 생성 방식을 찾아보라고 요청했다. 회사는 문구에 관한 기억이 실제 생성 방식과 달랐다고 설명했다.

컴퓨터 시계가 만든 숫자

Claude가 찾아낸 출발점은 문장이 아니라 시각 정보였다. 앤트로픽은 당시 쓰던 무작위 숫자 생성 프로그램에 컴퓨터가 시간을 숫자로 바꿔 기록한 값을 넣어 시드를 만들었다고 밝혔다. 이 프로그램은 숫자를 차례로 만들어 내고, 일정한 길이씩 묶어 시드 후보로 썼다. P-256의 표준 시드는 이 과정에서 나온 1842번째 후보였다.

이미지: anthropic.com

Claude는 옛 소프트웨어의 작동 방식을 거꾸로 추적했다. 먼저 공개된 시드의 숫자 배열에서 특정 생성 프로그램의 흔적을 찾았다. 이어 그 프로그램의 내부 상태를 되살린 뒤 계산을 거꾸로 돌려 시작값을 구했다. 앤트로픽에 따르면 NIST와 ANSI X9.62 표준의 곡선 시드 10개에서 복원한 시작값은 모두 1997년 5월부터 1998년 4월 사이의 시각이었다. 복원한 상태로 다시 계산하면 각 시드 전체가 그대로 만들어졌다고 회사는 설명했다.

분석은 시드 말고 다른 값으로도 이어졌다. Claude는 공개키 계산의 기준이 되는 ‘기준점’ 일부의 출처도 찾았다. 앤트로픽은 P-192와 ANSI X9.62 예제 곡선 5개의 기준점이 수학 계산 소프트웨어 FreeLIP에서 나왔다고 밝혔다. 다만 P-224, P-256, P-384, P-521의 기준점은 어떻게 만들었는지 풀지 못했다고 설명했다.

지금 쓰는 전자서명, 바꿔야 하나

앤트로픽은 이번 결과가 ECDSA를 깨는 공격법이나 새 취약점을 찾아낸 것은 아니라고 밝혔다. 오래된 숫자 생성 프로그램을 썼다는 사실이 곡선 자체의 보안 결함을 뜻하지도 않는다고 설명했다. 회사는 누구나 다시 해 볼 수 있는 단순한 생성 방식이 드러나면서, 몰래 허점을 심었다는 의혹의 설득력이 낮아졌다고 평가했다. 이용자가 따로 조치하거나 쓰는 방식을 바꿀 필요는 없다는 입장이다.

이미지: anthropic.com

아직 설명하지 못한 대목도 있다. P-256에서는 조건에 맞는 876번째 후보를 지나쳐 1842번째 후보가 채택됐다. 다른 곡선에서도 조건에 맞아 보이는 후보를 건너뛴 사례가 있었다. 앤트로픽은 어떤 기준으로 건너뛴 것인지, 의도하지 않은 결과인지 알지 못한다고 밝혔다. 다만 건너뛴 후보가 많지 않다는 점에서 일부러 약한 곡선을 골랐을 가능성은 낮다고 봤다. B-163 곡선 시드의 출처도 숙제로 남았다.

앞으로 지켜볼 대목은 복원 결과의 검증과 남은 시드, 기준점의 생성 경위다. 앤트로픽은 시드 발견에 걸린 상금 3만6864달러를 인터넷 보안 연구 그룹(ISRG)에 기부할 예정이라고 밝혔다.