La provenienza crittografica è l’origine documentata e la cronologia di generazione di un parametro o di una chiave crittografica. Può descrivere come sono stati selezionati i valori, quali algoritmi o input sono stati utilizzati e se il processo può essere riprodotto in modo indipendente. Per i parametri pubblici, come i parametri di dominio delle curve ellittiche, la provenienza aiuta i revisori a valutare la trasparenza e l’affidabilità del processo di definizione degli standard.
La provenienza è importante perché un processo di generazione poco chiaro o non verificabile può sollevare dubbi su scelte nascoste o strutture sfruttabili, ma non costituisce di per sé una prova di una debolezza crittografica. In pratica, i ricercatori possono esaminare i seed pubblicati, il comportamento del software o i documenti storici per ricostruire il modo in cui sono stati generati i parametri. I difensori dovrebbero distinguere questa questione di audit dagli attacchi alle chiavi segrete o ai nonce di firma deboli e affidarsi a parametri convalidati e a implementazioni crittografiche affidabili, a meno che non venga dimostrata una debolezza concreta.