이건 형사사건일 확률이 높음, 국가가 직접 처벌 절차를 진행할 것이고, 추가로 민사소송도 할 수 있음, 변호사를 선임하면 시간은 좀 들지만 별도 비용 없이도 충분히 합당한 보상을 받을 수 있음, 처벌을 위한 의미도 큼
만약 이런 일이 한 명에게 일어났다면 아마 더 많은 사람들에게도 있었을 것임, 충분히 조사하면 집단소송도 가능할 것이라 생각함
그래서 중요한 서류는 세 부로 만들어야 함 — 각 당사자 하나씩, 그리고 공증인이 세 번째 복사본을 가지는 것임, 문서 서명 서비스가 그 역할을 하며, 아주 드물게 누가 진짜 사본을 가지고 있는지 증언해야 하는 일이 생김, 내가 비슷한 회사에서 일할 때 1건의 서명 분쟁 사례만 들었고, 내용 분쟁은 없었음, 해시가 어떻게 동작하는지 나한테는 명확해도 판사는 기술적인 내용을 이해하지 못할 수 있으니, 결국 회사가 공식 입장을 표명해야 함
세 부 관행은 최소 14세기 인덴처 계약부터 있었음, “인덴처(indenture)”라는 말이 들쭉날쭉한 이빨 모양 절단에서 유래했고, 손으로 문서를 세 번 써서 전체 서명 후에 절단함, 복제를 어렵게 만들고 중간에 대문자 라틴어를 써서 위조도 어렵게 함, 두 사본이 일치하지 않으면 누군가 거짓말한 것임, 이 세 번째 사본은 공증사무소에 보관해서 누가 진실인지 판별함, 인덴처드 서번트 계약도 이런 방식임
바로 이런 이유 때문에 RightSignature가 저렴하게 셀프호스팅하는 서비스가 아니고, 비싼 SaaS 서비스임, 누가 어떤 버전에 서명했는지 증언 가능한 제3자를 제공하는 것이 본질임
세 부 복사에 대한 설명을 이제서야 듣게 되어 궁금증이 해소됨, 그동안 바빠서 찾아보지 못했었음
이번 OP 사례가 그 질문을 증명하는 사례라고 생각함, 인증 서비스를 통해 위조가 되었다는 게 충격적이고, 이 상황을 제대로 조사해서 증명하려면 소프트웨어·포렌식에 매우 밝은 사람이 수많은 검증 과정을 거쳐야 겨우 가능함, 그리고 아직도 합의나 유죄판결이 끝난 게 아님, Craig Wright 사건처럼 간단한 수정·백데이트도 엄청난 전문가 포렌식이 필요함, 반면 원본 PDF 수정은 초보자도 5분 만에 할 수 있음
Gwern이 집중한 것은 논문 PDF 등 공개된 문서 위조였던 듯함, 이 경우는 아예 새 PDF를 만들어서 원본과 비교 자체를 못 하게 하는 편이 낫지만, 법적 증거용 공식 문서는 가능한 한 원본과 똑같이 위조해야 들키지 않음, 다만 이런 문서는 대개 인터넷에 공개되지 않음
"왜 PDF용 포토샵이 없는가"에 대한 답으로 Xournal++이 있음
나도 최근 비슷한 일을 겪음, 포르투갈에서 1년 있었는데 부동산 중개인이 전기·수도요금 청구서를 조작해서 위조 PDF를 줬음, PDF 메타데이터로 위조 사실을 알아냈지만 그 이상 조치는 하지 않고 돈만 돌려받았음, 메타데이터는 쉽게 덮어쓸 수 있다는 것도 알게 됨, 이런 문제에서 어떻게 안전하게 보호할 수 있는지 궁금함
디지털 서명이 적용된 전자 청구서가 한 가지 해결책임, 예시로 프랑스의 Factur-X(독일명 ZUGFeRD)는 서명이 포함된 XML 데이터를 PDF에 내장함, 그래서 인보이스 발행자가 맞는지 쉽게 검증 가능함, 유럽 여러 국가가 부가세 처리를 위해 이 체계를 도입 중이고, 기계가 읽을 수 있는 서명 데이터가 종이문서보다 훨씬 신뢰할 수 있음, 또 다른 대책은 이런 경우를 신고해서 관련자를 사기죄로 처벌하는 것임
변호사들은 수백 년 전부터 답을 가지고 있었음, 모든 문서는 여러 부로, 서명 시점에 당사자별로 보관하는 것임, 나도 계약서를 두 부씩 받아서 양측이 모두 서명하고 각자 한 부씩 보관함, 수정이 있을 때도 마찬가지임, 각자 자신의 카피를 책임감 있게 보관함, 그리고 이 과정이 디지털로도 적용되어야 함
이런 경우라면 위조된 문서를 이용해 사기친 것에 대해 소송을 해야 할 것 같은 기분임, 당신에게는 효과가 없었을지라도, 동일한 방식으로 다수의 피해자가 생겼을 수 있음
만약 다른 세입자들을 위해 싸우고 싶지 않다면 소송을 "위협"만 해도 좋음, 그럼 부동산중개인이 집주인 정보 공개나 보증금 반환을 유도할 수 있음
반환받아야 할 보증금, 혹은 wire-fraud(형사상 사기)로 인한 민사상 배상이 궁극적 목표인 것임
RightSignature 사이트에 명확한 증거가 남아 있는 것 같지만, 사이트가 사라지더라도 문서 진위를 검증할 수 있는 방법이 필요함, 현재 제공되는 인증 페이지는 사이트가 없으면 무용지물임
어렵게 느껴지는 이유는, 인증 페이지가 PDF 내부에 포함되어 있지만 자기자신의 해시나 서명은 넣을 수 없음, 해시만 사용할 수도 없는데, 파일을 변조하면서 해시도 바꿀 수 있기 때문임, 명확하게 서명된 페이로드를 추출하는 방법이 필요하지만, RightSignature는 암호화 기반 설계가 아니라 완전히 새롭게 디자인해야 함
PDF 자체는 서명 검증 기능을 지원하며, Adobe Reader도 이를 인식함, DocuSign이 이 방식을 사용하고 있으며, Reader 상에서 서명된 버전을 바로 볼 수 있음 (Adobe 서명 문서 가이드, 서명 미리보기 예시: Adobe Reader 예)
임대 중개업체 관련 결론이 났는지 너무 궁금해짐
아직 아무 일도 일어나지 않았음, 부동산 관련 부처에 정식 불만을 제기하는 중이고, 중개업체로부터 추가 응답은 못 들음
sha256 충돌을 일부러 만드는 건 현실적으로 불가능하다고 생각함, SHAttered도 SHA-1에서 110년치 GPU 성능이 필요했음, 오히려 RightSignature 쪽에서 실수로 잘못된 문서를 업로드한 것 아닐까, 파일 선택을 잘못하거나 실수로 아닌 버전을 올려놓고 착각했을 수도 있다는 느낌임
OP가 글에서 명확히 밝히길, 해당 초안은 훨씬 나중에 업로드된 것이므로 단순 혼동일 수 없음, 만약 일부러 새 버전을 올려놨던 거라면 이미 서명된 임대차계약이 다 끝난 후에 수정 버전을 다시 올리는 건 무슨 합리적인 의도가 있을지 모르겠음
실제로 서명에 사용된 해시는 오리지널 문서(세입자 서명과 사기 추가 조항이 없는 버전)와 일치함, 그 외 다른 버전과는 해시가 맞지 않음
이 단계라면 중개업체가 선택할 수 있는 건 두 가지임, (A) 스스로 보증금을 즉시 반환하고, 중개인이 단순 전달자라면 나중에 집주인에게 청구하는 것, (B) 집주인 정보를 모두 제공하고, 집주인에게 법적 반환을 명확히 요구하는 것임, PDF 위조 이슈와 업체와의 줄다리기도 흥미롭지만, 목적은 보증금 반환임
Hacker News 의견
캘리포니아의 High Technology Theft Apprehension and Prosecution Program, FBI의 Internet Crime Complaint Center, 샌프란시스코의 Financial Crimes Unit 등에 문의할 것을 추천함, RightSignature는 Citrix에 인수되었으므로 Citrix 측에도 알리는 것을 고려해볼 만함, 사실관계가 명확히 유리하므로 변호사 비용 없이도 성공 가능성이 높음, 손해배상 청구도 가능할 것임 (High Technology Theft Apprehension and Prosecution Program, Internet Crime Complaint Center, Financial Crimes Unit, Citrix 인수 관련 기사, Citrix GC 정보)
이건 형사사건일 확률이 높음, 국가가 직접 처벌 절차를 진행할 것이고, 추가로 민사소송도 할 수 있음, 변호사를 선임하면 시간은 좀 들지만 별도 비용 없이도 충분히 합당한 보상을 받을 수 있음, 처벌을 위한 의미도 큼
만약 이런 일이 한 명에게 일어났다면 아마 더 많은 사람들에게도 있었을 것임, 충분히 조사하면 집단소송도 가능할 것이라 생각함
그래서 중요한 서류는 세 부로 만들어야 함 — 각 당사자 하나씩, 그리고 공증인이 세 번째 복사본을 가지는 것임, 문서 서명 서비스가 그 역할을 하며, 아주 드물게 누가 진짜 사본을 가지고 있는지 증언해야 하는 일이 생김, 내가 비슷한 회사에서 일할 때 1건의 서명 분쟁 사례만 들었고, 내용 분쟁은 없었음, 해시가 어떻게 동작하는지 나한테는 명확해도 판사는 기술적인 내용을 이해하지 못할 수 있으니, 결국 회사가 공식 입장을 표명해야 함
세 부 관행은 최소 14세기 인덴처 계약부터 있었음, “인덴처(indenture)”라는 말이 들쭉날쭉한 이빨 모양 절단에서 유래했고, 손으로 문서를 세 번 써서 전체 서명 후에 절단함, 복제를 어렵게 만들고 중간에 대문자 라틴어를 써서 위조도 어렵게 함, 두 사본이 일치하지 않으면 누군가 거짓말한 것임, 이 세 번째 사본은 공증사무소에 보관해서 누가 진실인지 판별함, 인덴처드 서번트 계약도 이런 방식임
바로 이런 이유 때문에 RightSignature가 저렴하게 셀프호스팅하는 서비스가 아니고, 비싼 SaaS 서비스임, 누가 어떤 버전에 서명했는지 증언 가능한 제3자를 제공하는 것이 본질임
세 부 복사에 대한 설명을 이제서야 듣게 되어 궁금증이 해소됨, 그동안 바빠서 찾아보지 못했었음
예전에 Gwern이 왜 사람들이 이걸 자주 시도하지 않는지 궁금해했다는 글이 생각남 (Gwern 블로그: PDF 위조에 대한 고찰)
이번 OP 사례가 그 질문을 증명하는 사례라고 생각함, 인증 서비스를 통해 위조가 되었다는 게 충격적이고, 이 상황을 제대로 조사해서 증명하려면 소프트웨어·포렌식에 매우 밝은 사람이 수많은 검증 과정을 거쳐야 겨우 가능함, 그리고 아직도 합의나 유죄판결이 끝난 게 아님, Craig Wright 사건처럼 간단한 수정·백데이트도 엄청난 전문가 포렌식이 필요함, 반면 원본 PDF 수정은 초보자도 5분 만에 할 수 있음
Gwern이 집중한 것은 논문 PDF 등 공개된 문서 위조였던 듯함, 이 경우는 아예 새 PDF를 만들어서 원본과 비교 자체를 못 하게 하는 편이 낫지만, 법적 증거용 공식 문서는 가능한 한 원본과 똑같이 위조해야 들키지 않음, 다만 이런 문서는 대개 인터넷에 공개되지 않음
"왜 PDF용 포토샵이 없는가"에 대한 답으로 Xournal++이 있음
나도 최근 비슷한 일을 겪음, 포르투갈에서 1년 있었는데 부동산 중개인이 전기·수도요금 청구서를 조작해서 위조 PDF를 줬음, PDF 메타데이터로 위조 사실을 알아냈지만 그 이상 조치는 하지 않고 돈만 돌려받았음, 메타데이터는 쉽게 덮어쓸 수 있다는 것도 알게 됨, 이런 문제에서 어떻게 안전하게 보호할 수 있는지 궁금함
디지털 서명이 적용된 전자 청구서가 한 가지 해결책임, 예시로 프랑스의 Factur-X(독일명 ZUGFeRD)는 서명이 포함된 XML 데이터를 PDF에 내장함, 그래서 인보이스 발행자가 맞는지 쉽게 검증 가능함, 유럽 여러 국가가 부가세 처리를 위해 이 체계를 도입 중이고, 기계가 읽을 수 있는 서명 데이터가 종이문서보다 훨씬 신뢰할 수 있음, 또 다른 대책은 이런 경우를 신고해서 관련자를 사기죄로 처벌하는 것임
변호사들은 수백 년 전부터 답을 가지고 있었음, 모든 문서는 여러 부로, 서명 시점에 당사자별로 보관하는 것임, 나도 계약서를 두 부씩 받아서 양측이 모두 서명하고 각자 한 부씩 보관함, 수정이 있을 때도 마찬가지임, 각자 자신의 카피를 책임감 있게 보관함, 그리고 이 과정이 디지털로도 적용되어야 함
이런 경우라면 위조된 문서를 이용해 사기친 것에 대해 소송을 해야 할 것 같은 기분임, 당신에게는 효과가 없었을지라도, 동일한 방식으로 다수의 피해자가 생겼을 수 있음
만약 다른 세입자들을 위해 싸우고 싶지 않다면 소송을 "위협"만 해도 좋음, 그럼 부동산중개인이 집주인 정보 공개나 보증금 반환을 유도할 수 있음
반환받아야 할 보증금, 혹은 wire-fraud(형사상 사기)로 인한 민사상 배상이 궁극적 목표인 것임
RightSignature 사이트에 명확한 증거가 남아 있는 것 같지만, 사이트가 사라지더라도 문서 진위를 검증할 수 있는 방법이 필요함, 현재 제공되는 인증 페이지는 사이트가 없으면 무용지물임
어렵게 느껴지는 이유는, 인증 페이지가 PDF 내부에 포함되어 있지만 자기자신의 해시나 서명은 넣을 수 없음, 해시만 사용할 수도 없는데, 파일을 변조하면서 해시도 바꿀 수 있기 때문임, 명확하게 서명된 페이로드를 추출하는 방법이 필요하지만, RightSignature는 암호화 기반 설계가 아니라 완전히 새롭게 디자인해야 함
PDF 자체는 서명 검증 기능을 지원하며, Adobe Reader도 이를 인식함, DocuSign이 이 방식을 사용하고 있으며, Reader 상에서 서명된 버전을 바로 볼 수 있음 (Adobe 서명 문서 가이드, 서명 미리보기 예시: Adobe Reader 예)
임대 중개업체 관련 결론이 났는지 너무 궁금해짐
sha256 충돌을 일부러 만드는 건 현실적으로 불가능하다고 생각함, SHAttered도 SHA-1에서 110년치 GPU 성능이 필요했음, 오히려 RightSignature 쪽에서 실수로 잘못된 문서를 업로드한 것 아닐까, 파일 선택을 잘못하거나 실수로 아닌 버전을 올려놓고 착각했을 수도 있다는 느낌임
OP가 글에서 명확히 밝히길, 해당 초안은 훨씬 나중에 업로드된 것이므로 단순 혼동일 수 없음, 만약 일부러 새 버전을 올려놨던 거라면 이미 서명된 임대차계약이 다 끝난 후에 수정 버전을 다시 올리는 건 무슨 합리적인 의도가 있을지 모르겠음
실제로 서명에 사용된 해시는 오리지널 문서(세입자 서명과 사기 추가 조항이 없는 버전)와 일치함, 그 외 다른 버전과는 해시가 맞지 않음
이 단계라면 중개업체가 선택할 수 있는 건 두 가지임, (A) 스스로 보증금을 즉시 반환하고, 중개인이 단순 전달자라면 나중에 집주인에게 청구하는 것, (B) 집주인 정보를 모두 제공하고, 집주인에게 법적 반환을 명확히 요구하는 것임, PDF 위조 이슈와 업체와의 줄다리기도 흥미롭지만, 목적은 보증금 반환임
접속하려 했는데 403 에러가 남 (웹아카이브 링크)