해커들이 발견한 제3자 수리 후 고장 나도록 설계된 기차

 (arstechnica.com)
1P by GN⁺ | ★ favorite | 댓글 1개
  • 폴란드에서 Newag 제조 열차가 제3자 정비 뒤 운행 불능 상태가 되며 철도 운행과 승객 수용 능력에 차질이 생김
  • 윤리적 해킹 그룹 Dragon Sector는 Impuls 열차 제어 시스템에 정비소 위치와 부품 일련번호를 조건으로 한 잠금 코드가 있었다고 주장함
  • Newag는 의도적 고장 유발 기능을 부인하고, Dragon Sector에 대해 명예훼손과 해킹법 위반 소송을 예고함
  • Dragon Sector는 운전석 패널에서 입력하는 문서화되지 않은 unlock code로 문제를 풀었고, SPS와 함께 제어 시스템을 조작했다는 의혹을 부인함
  • 제조사와 독립 정비업체의 충돌이 수리권 논쟁으로 번지며, 안전 주장·법적 압박·소프트웨어 잠금의 경계가 쟁점이 됨

폴란드 열차 운행을 흔든 제3자 수리

  • 폴란드에서 Newag가 만든 열차가 제조사가 아닌 업체에서 정비된 뒤 작동하지 않는 문제가 발생함
  • 정비업체 Serwis Pojazdów Szynowych(SPS) 는 2022년 6월 윤리적 해킹 그룹 Dragon Sector에 열차 소프트웨어 분석을 의뢰함
  • 대상은 폴란드 철도 운영사 Lower Silesian Railway 소유 차량들이었고, 여러 차량의 “미스터리한 고장”으로 운행 가능한 객차가 줄어듦
    • Rynek Kolejowy에 따르면 열차 부족은 운송사와 승객에게 “심각한 문제”가 됨
    • 이용 가능한 차량이 줄면서 열차가 짧아지고 승객 수용 능력도 감소함

Dragon Sector가 지목한 잠금 조건

  • Dragon Sector는 두 달 동안 소프트웨어를 분석한 뒤, “제조사의 개입”이 강제 고장과 열차 미시동으로 이어졌다고 결론냄
  • 핵심 주장은 Newag가 Impuls 열차 제어 시스템에 특정 조건에서 운행을 막는 코드를 넣었다는 것임
    • GPS 추적기가 열차가 독립 정비소에 며칠간 주차돼 있었다고 판단하면 작동을 멈추는 조건이 있었다고 주장함
    • SPS 정비 홀과 업계 내 유사 회사들의 정비 홀이 위치 조건에 포함됐다고 함
    • 아직 공사 중이던 SPS 홀도 조건에 들어 있었다고 함
  • 404 Media에 따르면 특정 부품이 제조사 승인 일련번호 없이 교체된 경우에도 열차가 벽돌화됐다는 주장이 나옴

문서화되지 않은 unlock code

  • Dragon Sector는 운전석 패널에서 입력할 수 있는 문서화되지 않은 unlock code를 발견했고, 이 코드로 문제를 해결했다고 404 Media에 밝힘
  • Dragon Sector의 Sergiusz Bazański는 Mastodon에서 열차들이 제3자 정비소에서 정비된 뒤 임의의 이유로 잠겼다고 씀
  • Bazański는 제조사가 해당 문제를 정비소 과실로 돌리며 제3자가 아니라 제조사에서 정비해야 한다고 주장했다고 밝힘
  • 일부 경우 Newag가 원격으로 열차를 잠글 수 있었던 것처럼 보였다는 주장도 나옴
  • Newag는 “어떤 원격 개입”도 “사실상 불가능”하다고 반박함

Newag의 부인과 법적 대응 위협

  • Newag는 “workshop-detection” 소프트웨어나 의도적 고장을 일으키는 기능을 개발했다는 주장을 부인함
  • 회사는 Dragon Sector가 명예훼손과 해킹 관련 법을 위반했다며 소송을 위협함
  • 해킹된 열차가 철도 교통 안전에 위협이 될 수 있으므로 운행에서 제외해야 한다는 입장도 냄
    • 404 Media는 Newag의 안전 관련 주장이 아직 입증되지 않았다고 전함
  • Newag는 Dragon Sector의 보고서를 신뢰할 수 없다고 했고, 그 이유로 Newag의 주요 경쟁사 중 하나가 해당 분석을 의뢰했다는 점을 들었음
  • Newag 사장 Zbigniew Konieczek는 회사가 의도적으로 결함 소프트웨어를 설치했다는 증거가 제공되지 않았다고 말함
    • 그는 경쟁사가 소프트웨어에 개입했을 가능성도 제기함
    • Konieczek는 Janusz Cieszyński가 Newag에 대해 허위이고 매우 해로운 정보를 퍼뜨렸다고 비판함

당국 조사와 수리권 논쟁으로 확산

  • Newag는 해킹 조사를 위해 당국에 연락했고, 철도교통청이 해당 차량의 운행 제외 여부를 결정하도록 통보했다고 밝힘
  • 폴란드 전 디지털부 장관 Janusz Cieszyński는 X에 Newag 사장이 연락해 회사가 사이버 범죄의 피해자라고 주장했다고 씀
  • Cieszyński는 자신이 본 분석이 Newag의 주장과 다른 방향을 가리켰다고 적음
  • Dragon Sector와 SPS는 열차 제어 시스템을 조작했다는 주장을 부인함
  • 404 Media는 Newag의 대응이 수리권 분야에서 흔한 방식과 닮았다고 봄
    • 제조사가 경쟁 정비업체를 소송 위협과 입증되지 않은 제3자 수리 안전 위험 주장으로 압박하는 방식임
  • Dragon Sector는 성공 사례를 YouTube에 올리고 바르샤바 Oh My H@ck 콘퍼런스에서 결과를 논의함
  • The Register에 따르면 Dragon Sector는 12월 말 독일 함부르크에서 열리는 37th Chaos Communication Congress에서 더 상세한 발표를 계획함
  • Dragon Sector의 Michał Kowalczyk는 Newag의 방어 논리가 약해 실제 소송에서 방어가 어려울 것이라며, 언론에서 위협적으로 보이려는 것 같다고 404 Media에 말함

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 같은 소식의 이전 토론들:
    https://news.ycombinator.com/item?id=38628635
    https://news.ycombinator.com/item?id=38632033

  • 이 사건에서 정말 거슬리는 건 열차가 고장 나도록 설계됐을 뿐 아니라, 그 설계가 엉망이라 운행 중 고장날 수도 있었다는 점임
    제조사가 승객의 생명을 위험에 빠뜨렸다면 그 회사 임원 전원에게 개인 책임을 물어야 함
    https://news.ycombinator.com/item?id=38641289
    이 관점이 더 깊이 조사되면, 단순한 상업 분쟁이 아니라 훨씬 더 중대한 문제로 바뀐다고 봄

    • 나쁜 일이 벌어지면 임원들은 다른 사람들에게 일을 시켰을 뿐이라며 모른다고 하고, 좋은 일이 벌어지면 사람들에게 일을 시킨 게 자기들이라며 모든 공을 가져감
    • 문제는 미국 전역에 고속도로가 깔리던 시절부터 시작됐고, 이후 미국이 철도 산업 규제를 완화해 장거리 트럭 운송과 경쟁하게 만들면서 계속 악화됐음
      John Oliver의 철도 편이 이걸 아주 잘 설명했음
      그 뒤 노동자들은 쉬는 날이 없어졌고, 열차 한 대의 인원을 2명으로 줄였으며 지금은 1명까지 줄이려 함
      열차 길이는 실제로 수 마일까지 늘어났고, 도로와 구급차를 막아 여러 사람을 죽였으며, 학교에 가려고 열차 밑을 기어가던 아이들이 치이는 일도 있었음
      기관사는 4마일 길이의 열차를 걸어 다니며 “점검”해야 하는데, 규제 완화 때문에 원래 체크리스트 전체를 보던 점검 시간이 몇 분 수준으로 줄었음
      단일 규제 기관의 권한은 약해졌고, 1900년대 초반식 브레이크를 단 열차도 굴러감
      화학물질 유출을 동반한 “사고”가 해마다 여러 번 나고, 전부 이윤 추구 때문임
      이런 노동자들은 계속 과로하면서도 병가는 2~3개월 전에 잡지 않으면 쓸 수 없음
      이제 열차 사고는 피하기 어려워졌고, 다음 사고는 Ohio의 Palestine보다 더 재앙적일 수 있음
      철도는 정말 훌륭하고 사회에 엄청나게 기여할 수 있는데, 기업의 이윤 추구와 규제 완화가 이렇게 만든 게 안타까움
    • 열차가 고장 나거나 멈추는 것 자체는 부상이나 사망 위험을 만들지 않음

  • 이 이야기는 이 글이 더 잘 정리함:
    https://badcyber.com/dieselgate-but-for-trains-some-heavywei...

    • 관련 HN 토론도 있음: https://news.ycombinator.com/item?id=38567687 5일 전, 댓글 289개
    • “열차가 해당 정비소 중 하나에 최소 10일 머물면 운행 능력을 비활성화하는 조건이 컴퓨터 코드에 작성돼 있었다”라니, 이건 정말 명백히 잘못된 일임
    • 원문 기사도 읽을 만함
      Newag 경영진의 뻔뻔한 허세가 나오는데, 요약하면 “우리 열차에서 발견된, 경쟁사를 방해하는 소프트웨어를 우리가 설치했다는 걸 증명할 수는 없지 않느냐”에 가까움
    • 그 제목은 너무 오해를 부름
      주제에 관심이 있어서 HN에서 링크를 봤지만, “Dieselgate”라면 당연히 배출가스 이야기일 거라고 생각하고 넘겼음
      열차 배출가스 이야기는 이미 다들 알고 있고 별 새 내용이 없을 거라 여겼기 때문임
      제목에 벤더 종속이나 수리할 권리를 넣었어야 함

  • Dragon Sector에 따르면 Newag가 Impuls 열차 제어 시스템에 코드를 넣어, GPS 추적기가 열차가 독립 정비소에 며칠 세워져 있다고 표시하면 운행을 멈추게 했다고 함
    이건 꽤 치명적인 정황임
    단독 개발자가 한 일인지, 위에서 지시한 일인지 궁금함

    • Newag 사장 Zbigniew Konieczek이 “우리 회사가 결함 소프트웨어를 의도적으로 설치했다는 증거는 제시되지 않았다. 우리 견해로는 진실이 완전히 다를 수 있다. 예를 들어 경쟁사가 소프트웨어에 개입했을 수도 있다”고 했음
      이 변명이 너무 터무니없어서 경영진이 알고 있었다는 게 오히려 분명해 보임
    • 어떤 단독 개발자가 “열차 정비소들의 GPS 좌표를 전부 찾아서, 거기에 며칠 세워져 있으면 열차가 작동하지 않게 해야겠다”고 생각하겠음?
    • 단독 개발자라면 이런 일을 하고 그 결정을 경영진에게 숨길 동기가 전혀 없음
      물론 단독 개발자가 아이디어를 내고, 큰 보너스를 기대하며 경영진에게 제안할 수는 있음
      하지만 왜 비밀리에 하겠음?
      상부 경영진이 관여하지 않은 경우는 상상하기 어려움
    • 다른 해명이 실패하면 분명 그 설명도 시도할 것임
      지금 입장은 “열차에 그런 코드는 없고, 있더라도 우리 것이 아니다”처럼 보임
    • 직원이 승인 없이 한 일이어도 회사는 여전히 책임져야 함
      안전 규정이 직원 행동에 대한 제조사의 책임을 면제한다고 보지 않음
      오히려 반대로, 비정상 직원이 있어도 리뷰와 감사 등을 통해 안전 보장을 해야 한다고 봄

  • 그걸 구현하라고 강요받은 개발자가 누가 시켰는지 증명할 문서 증거를 보관해뒀길 바람
    아니면 요즘 충성심이 어떻게 보상받는지 알게 될 것임

    • 그런 문서를 보관했더라도, 시킨 관리자와 함께 처벌받아야 함
      비윤리적이라는 걸 알면서도 한 일이니 거부했어야 함
      프로그래머에게 해고 위험은 거의 다른 직업군만큼 큰 문제가 아님
    • 문서 흔적이 있든 없든, 사회에는 이런 짓을 하는 사람이 더 적어야 함
      이걸 구현한 사람이 읽고 있다면, 당신은 아주 나쁜 사람이고 사회에 해로운 사람임
    • 그 개발자가 증언해서 더 높은 직급의 관리자들이 벌금을 내고 감옥에도 가길 바람
      회사도 막대한 계약상 벌금과 제재를 맞아야 함
      기대하진 않지만 그렇게 되면 좋겠음

  • 방해 공작을 넣은 상품을 팔고도 사기 혐의로 기소되고 감옥 가는 시점이 과연 오긴 할까?

    • 이론적으로는 최근 공개된 기소가 징역 0.5~8년에 해당하는 두 가지 범죄 통지에서 시작됐음
    • 권력자들이 왜 자기 자신을 처벌하겠음?

  • Newag가 “어떤 원격 개입도 사실상 불가능하다”고 했다는데, 이건 꽤 대담한 말임
    경험상 자동화·로봇 시스템을 만드는 거의 모든 회사는 어떤 형태로든 백도어를 유지함
    원격으로 비활성화하려는 목적이 아니라, 요청을 받으면 문제를 빠르고 효율적으로 원격 접근해 해결하기 위해서임
    현지 IP 불일치나 시스템 서비스 중단을 확인하려고 고객사까지, 때로는 지구 반대편까지 날아가는 건 말이 안 되니 “불가능”하다는 말은 사실이 아님

  • 요약하면, 폴란드 열차 정비 회사 SPS는 Newag가 만든 열차가 “무작위로” 계속 고장 나고 수리도 안 되자 수상하게 여겼음
    수리가 늦어지면 벌금을 내는 계약 때문에 폴란드 정부에 수백만 단위 벌금을 내고 있었음
    그래서 Dragon Sector라는 해커들을 2개월간 몰래 고용해 Newag 열차 코드를 파헤쳤고, 해커들은 말기 자본주의나 기업 보호주의, 방해 공작, 몸값 요구로 볼 만한 놀라운 것들을 찾아냄
    발견된 비밀 코드는 SPS를 포함한 폴란드 열차 정비 회사 5곳의 창고 주변 지리적 다각형 안에 들어가면 열차를 고장 내고, 100만 km 이후 고장 내고, 10일 동안 움직이지 않으면 고장 내며, “고장”을 해제하는 비밀 버튼 조합도 들어 있었음

    • 저수준 기술 보고서가 공개돼 있는지 궁금함
      펌웨어 역공학을 좋아하는데, 이건 성배급처럼 들림
      무려 열차라니, 누가 바이너리를 좀 흘려줬으면 함
    • 초보들이네
      다들 증거가 클라이언트에서 바로 발견되지 않게 그런 장난은 웹 서비스 호출 뒤에 숨겨야 한다는 걸 아는데
    • “자본주의의 말기 플랫폼 오염”은 본질적으로 Marx가 예언한 Verelendung과 같은 것임을 방금 깨달음

  • 중복 글임
    이제 아무도 사이트를 안 읽나?
    원래 뉴스 토론은 일주일 조금 전에 있었음: https://news.ycombinator.com/item?id=38530885
    회사의 후속 반박 글도 있음
    Polish train maker denies claims its software bricked competitor rolling stock https://news.ycombinator.com/item?id=38570654
    게다가 바로 어제 표를 많이 받은 404media 중복도 있었음
    https://news.ycombinator.com/item?id=38628635

    • 메인 페이지의 모든 뉴스를 매일 다 읽어야 계속 방문할 수 있는 요구사항이라도 있나?
      며칠에 한 번 로그인해서 몇 개 읽고, 마음에 드는 것에 추천 누르고, 또 며칠 뒤 방문하면 안 되는 건가?
    • 여기 링크된 사이트 대부분은 읽지 않음
      댓글을 보러 여기 옴
      알 만큼 중요한 내용이라면 댓글에 직접 인용돼 있을 거라고 가정함

  • “이 문을 세 번 두드리면 들어갈 수 있고, 아니면 문이 영원히 잠긴다” 같은 악성 코드를 예상했음
    그런데 실제로는 “경쟁사의 위도·경도 위치에 지리적으로 주차돼 있으면 열차를 벽돌로 만든다”였음
    코드에 백도어나 재밌는 이스터에그를 넣는 방법은 여러 가지가 있는데, 정말 번거롭고 노골적인 악용 방식을 골랐음

    • 거의 맞혔음
      운전석 콘솔에 비밀 버튼 조합이 있었고, 그 조합을 누르면 마법처럼 열차가 풀렸음
      지금은 제거됐음
    • 공식 입장을 읽어보면 변호사와 상의조차 안 한 것 같은 인상을 피하기 어려움
      특정 혐의를 부인하는 방식이 오히려 추가 조사를 구걸하는 수준임
      폴란드 사람이고 과거에 이런 부류와 일해봤는데, 그 성명은 이제는 사라졌으면 하는 사업 방식의 냄새가 남
      그런데 아직도 여기저기 남아 있는 모양임
답변달기