16 अक्टूबर को Anthropic ने रिपोर्ट की कि Claude के आंतरिक अनुसंधान मॉडल ने जांच में मदद की कि ECDSA डिजिटल हस्ताक्षर मानक में उपयोग किए जाने वाले वक्र के पैरामीटर कैसे उत्पन्न किए गए थे। कंपनी के अनुसार, यह निष्कर्ष पैरामीटर बनाने की उस प्रक्रिया के एक हिस्से को समझाता है जो वर्षों से अस्पष्ट था। कंपनी ज़ोर देती है कि यह न तो कूटलेखन को तोड़ने का मामला है, न कोई नया हमला और न वक्रों में मिली कोई कमज़ोरी; इस नतीजे के कारण सिस्टम के उपयोग में बदलाव की ज़रूरत नहीं है।
कंपनी के अनुसार, मॉडल ने आधे घंटे से कम समय में अभाज्य क्षेत्रों पर परिभाषित 5 NIST वक्रों के बीज मानों की उत्पत्ति का पता लगाया। इन वक्रों में P-256 के साथ P-192, P-224, P-384 और P-521 शामिल हैं। यह व्याख्या सार्वजनिक पैरामीटर उत्पन्न करने के तरीके से संबंधित है। यह सार्वजनिक कुंजी से निजी कुंजी निकालने का कोई तरीका प्रदान नहीं करता है और किसी अन्य व्यक्ति के हस्ताक्षर को चैट के माध्यम से नकली नहीं बनाता है।
पैरामीटर के पीछे ऐतिहासिक प्रश्न
ईसीडीएसए (ECDSA) एक डिजिटल हस्ताक्षर तंत्र है जो दीर्घवृत्तीय वक्रों के गणित पर आधारित है। इसका उपयोग करने के लिए, आपको उन पैरामीटरों पर सहमत होना होगा जो वक्र को परिभाषित करते हैं। इनमें से कुछ मानों को पहले शुरूआत मानों के साथ प्रकाशित किया गया था, जिन्हें बीज कहा जाता है, बिना उनकी उत्पत्ति की पूरी व्याख्या के। चूंकि चयन NSA के माध्यम से हुआ था, इसलिए स्पष्टीकरण की कमी ने क्रिप्टोग्राफिक समुदाय में चयन प्रक्रिया और उसकी विश्वसनीयता के बारे में प्रश्न उठाए।
इस तरह का बीज न तो उपयोगकर्ता पासवर्ड है और न ही निजी कुंजी है। यह साझा और सार्वजनिक पैरामीटरों को परिभाषित करने के लिए उपयोग की जाने वाली जानकारी का हिस्सा है. यह अंतर खोज को समझने के लिए महत्वपूर्ण है: एक मानक संख्या कैसे बनाई जाती है इसकी व्याख्या डिजाइन के इतिहास पर प्रकाश डाल सकती है, बिना किसी विशेष हस्ताक्षर पर निर्भर गुप्तता को समझौता किए। एक सार्वजनिक पैरामीटर के स्रोत का खुलासा एक गुप्त कुंजी के खुलासे के बराबर नहीं है।
Anthropic के अनुसार, अपने कर्मचारियों के साथ पहले प्रयोगों ने इस संभावना पर ध्यान केंद्रित किया कि मूल्यों को पाठ्य अभिव्यक्ति से बनाया गया था। मॉडल ने मानकीकरण के समय से सॉफ्टवेयर से संबंधित एक और दिशा की जांच की। कंपनी ने व्याख्या और उन मानों के बीच मेल को दोबारा उत्पन्न करने के तरीके प्रकाशित किए। यह एक महत्वपूर्ण बिंदु है कि दावा एक मौखिक मॉडल प्रतिक्रिया से परे जाता है: यह एक गणितीय संबंध की पहचान करता है जो पहले प्रकाशित मूल्यों के खिलाफ परीक्षण किया जा सकता है।
क्या पाया गया है, जो अभी तक समझाया नहीं गया है.
कंपनी के अनुसार, अध्ययन किए गए बीज एक पुराने pseudorandom जनरेटर से जुड़े हैं जिसे lrand48 कहा जाता है, जो टाइमस्टैम्प का उपयोग करके प्रारंभ किया जाता है। यह व्याख्या संबंधित पैरामीटर को दोबारा उत्पन्न करने का तरीका देती है। इस तंत्र के विवरण आज के रहस्यों के निर्माण के लिए एक सिफारिश नहीं बनाते हैं: इसका कार्य यहां सार्वजनिक मूल्यों के एक ऐतिहासिक विकल्प को समझाना है। इसका मतलब यह नहीं है कि एक घड़ी का उपयोग करके निजी कुंजी उत्पन्न करना एक सुरक्षित विधि होगी।
इस अध्ययन ने कई सवाल भी खड़े किए हैं। Anthropic ने 1 अपरिभाषित द्विचर वक्र बीज और कई वक्रों के आधार बिंदुओं की पहचान की जिनकी उत्पत्ति अभी तक पुनर्निर्मित नहीं की गई है। इसके अलावा, कुछ रन अज्ञात कारणों से संभावित उम्मीदवारों को छोड़ दिया। इसलिए, कुछ पैरामीटरों की एक अर्थपूर्ण व्याख्या के बारे में बात करना सही है, मानकों को बनाने के दौरान किए गए हर निर्णय का पूर्ण प्रतिकृति नहीं।
कंपनी के आकलन में ये निष्कर्ष इस भरोसे को मज़बूत करते हैं कि वक्रों को जानबूझकर कोई कमज़ोरी शामिल करने के लिए नहीं चुना गया था। यह शोधकर्ताओं के निष्कर्ष पर आधारित है, जो उन्होंने प्रदान की व्याख्या पर आधारित है, और यह प्रमाण नहीं है कि ECDSA का उपयोग करने वाली कोई भी प्रणाली किसी भी समस्या से सुरक्षित है। एक अनुप्रयोग की सुरक्षा इस बात पर भी निर्भर करती है कि कुंजी कैसे संग्रहित की जाती हैं, हस्ताक्षर कैसे बनाए जाते हैं और अनुमतियां कैसे संभाली जाती हैं। पैरामीटर के स्रोत का अध्ययन किसी भी सॉफ्टवेयर के लिए सुरक्षा जांच नहीं है जो मानक को लागू करता है।
Claude की भूमिका को समझने के लिए कैसे
Anthropic एक आंतरिक अनुसंधान मॉडल का उपयोग करता है। यह घोषणा नहीं की गई कि यह विशेष क्षमता हर Claude ग्राहक को समान रूप से उपलब्ध है या एक छोटा प्रश्न पूछकर हर उपयोगकर्ता वही नतीजा पाएगा। इसमें एक निश्चित समस्या पर शोध प्रक्रिया का वर्णन है, जहाँ तुलना के लिए सार्वजनिक मान उपलब्ध हैं। केवल उत्पाद नाम ही किसी अन्य उपयोगी वातावरण में परिणाम क्या होगा यह निर्धारित करने के लिए पर्याप्त नहीं है।
यह उदाहरण दिलचस्प है क्योंकि यह परिकल्पनाओं को उनके परीक्षण के साथ जोड़ता है। एक मॉडल उन विवरणों के बीच संबंध का सुझाव दे सकता है जिनकी पहचान पहली नज़र में मुश्किल है, लेकिन वैज्ञानिक मूल्य तब बनाया जाता है जब यह परीक्षण किया जा सकता है कि क्या संबंध वास्तव में डेटा को समझाता है। यहाँ सटीक लक्ष्य मान उपलब्ध हैं। उन मानों से मेल स्थापित करना इस बात से अलग प्रश्न है कि व्याख्या पाठक को विश्वसनीय लगती है या नहीं। एक बहुत ही स्पष्ट पाठ भी एक गलत धारणा प्रस्तुत कर सकता है।
शोधकर्ताओं और विकासकर्ताओं के लिए, यह एक सत्यापन विधि की योजना बनाने के लिए एक याद दिलाने वाला है। एक मॉडल को एक तकनीकी प्रश्न सौंपने से पहले, यह जानना अच्छा है कि कौन से परिणाम प्रस्ताव का समर्थन करेंगे और कौन इसे बदनाम करेगा। यदि उत्तर के लिए गणितीय परीक्षण या प्रयोग की आवश्यकता है, तो मॉडल का मौखिक वर्णन उन्हें प्रतिस्थापित नहीं करेगा। एआई का उपयोग खोज में मदद कर सकता है, बिना इसकी खोज सफल रही है यह निर्धारित करने के लिए अधिकारियों को स्थानांतरित किए।
सुरक्षा प्रबंधकों और उपयोक्ताओं को क्या करना चाहिए
इस घोषणा के तुरंत जवाब में इसे परिप्रेक्ष्य में रखना चाहिए। Anthropic खुद कहता है कि खोज के कारण बदलने की कोई जरूरत नहीं है। पासवर्ड रीसेट करने, प्रमाणपत्रों को बदलने या हस्ताक्षरों का उपयोग बंद करने का कोई कारण नहीं है क्योंकि केवल एक शीर्षक एआई और क्रिप्टोग्राफी का उल्लेख करता है। इस तरह के निर्णय प्रासंगिक चेतावनी, आपूर्तिकर्ता मार्गदर्शन और विशेष प्रणाली की स्थिति पर आधारित होना चाहिए, न कि दोनों प्रकार के अनुसंधान के मिश्रण पर।
पेशेवर टीमों को मानक पैरामीटर के स्रोत, उनकी गणितीय शक्ति और उनके कार्यान्वयन की सटीकता के बीच अंतर करना चाहिए। एक संगठनात्मक प्रणाली का मूल्यांकन करते समय, टीमों को अद्यतन, पहुँच नियंत्रण और महत्वपूर्ण सुरक्षा जारी रखनी चाहिए जिसकी आवश्यकता होती है। यह एक सामान्य संचालन सिफारिश है, वर्तमान रिलीज में खोजे गए किसी नए कमजोरी के लिए कोई समाधान नहीं है। यह निष्कर्ष किसी अन्य समस्या के लिए उपचार की आवश्यकता को बदलने के लिए आधार प्रदान नहीं करता है।
एक शांत परिणाम, स्पष्ट सीमाओं के साथ.
जाँच का प्रश्न यह नहीं है कि Claude किसी भी डिजिटल हस्ताक्षर प्रणाली में सेंध लगा सकता है या नहीं। यह प्रश्न यह है कि क्या यह स्पष्ट करना संभव है कि सार्वजनिक संख्याओं को कैसे चुना गया था जब उनके इतिहास के कुछ हिस्सों को स्पष्ट रूप से दस्तावेजीकृत नहीं किया गया था। Anthropic के अनुसार, उनमें से एक बड़े हिस्से के लिए जवाब हाँ है। यह स्पष्टीकरण ऐतिहासिक अनिश्चितता को कम करता है, जबकि साथ ही साथ यह भी स्पष्ट करता है कि कहाँ अंतराल शेष हैं। परिणाम को समझने के लिए दोनों भागों की आवश्यकता होती है।
इज़राइल और अन्य देशों के पाठकों के लिए इसका व्यावहारिक महत्व शोध के नतीजे और सटीक सत्यापन के साथ AI के उपयोग के उदाहरण में है। किसी विशेष सेवा में सुरक्षा के नुकसान या खाता समझौते के बारे में कोई चेतावनी नहीं है। जब प्रस्ताव को अपनी सीमाओं के भीतर रखा जाता है, तो इसे अतिरंजित किए बिना योगदान को देखा जा सकता है: पैरामीटरों की उत्पत्ति को समझना, जिन खोजों का परीक्षण किया जा सकता है और आगे के काम के लिए खुले प्रश्नों के साथ।