Nombres sans artifice (nothing-up-my-sleeve)
Des constantes choisies de façon vérifiable par tous, pour que personne ne puisse prétendre qu'elles cachent une porte dérobée.
Le nom vient de la prestidigitation : rien dans les manches. Les algorithmes cryptographiques emploient de tels nombres comme constantes. Blowfish part des décimales de pi, et SHA-2 tire ses valeurs initiales des parties fractionnaires des racines carrées et cubiques des premiers nombres premiers. N'importe qui peut recalculer ces valeurs à partir d'une source connue et ennuyeuse ; personne n'a donc pu les choisir pour y loger une faiblesse.
Le contre-exemple est Dual_EC_DRBG du NIST, un générateur aléatoire dont les constantes n'avaient aucune justification publique. Quand les soupçons de porte dérobée sont devenus publics en 2013, le NIST a retiré sa recommandation. La leçon : une constante qu'on ne peut pas expliquer est une constante à laquelle il ne faut pas se fier.