Newag DRM 공개 후 삶: 훈련되지 않은 현실 [비디오]

• 독립 정비소 수리 뒤 고장 나는 열차를 분석한 팀이 Newag 열차를 리버스 엔지니어링해, 정비 시도를 감지하면 고장을 시뮬레이션하는 코드를 발견하고 37C3에서 공개함
• 이번 38C3 발표는 공개 이후의 후폭풍을 다루며, 의회 워크그룹 세션 3회와 Newag 해명, 열차 운영사 증언이 핵심 축임
• 열차 운영사들은 Newag가 단일 열차 잠금 해제에 2만 유로 이상을 청구하고도 10분 만에 풀 수 있었다고 밝혔지만, Newag는 잠금 자체를 모른다는 입장을 보였음
• 발표자들은 140쪽 소송과 저작권 침해·불공정 경쟁 주장에 대응하는 한편, 언론에 리버스 엔지니어링 개념을 반복 설명해야 했음
• 공개 이후 공식 조사는 6건으로 늘었고 이 중 2건은 형사 조사라, 다른 열차 운영사 사례까지 포함해 파장이 계속 확산됨

---

37C3 공개 이후 벌어진 일

• 독립 정비소에서 정비받은 뒤 고장 나는 열차들을 분석하던 팀은 Newag 열차를 리버스 엔지니어링했고, 정비 시도를 감지하면 고장을 시뮬레이션하는 코드를 발견함
• 해당 결과는 37C3에서 공개됐으며, 이번 38C3 발표는 그 뒤 이어진 법적·정치적·언론 대응을 업데이트하는 형식임
• 의회 워크그룹 세션은 3차례 열렸고, Newag의 주제와 무관한 슬라이드에는 더러운 화장실 사진이 포함됐다고 밝힘
• 열차 운영사들은 Newag가 단일 열차 잠금 해제에 2만 유로 이상을 받았고, 실제 잠금 해제는 10분 안에 가능했다고 증언함
  • 동시에 Newag는 해당 잠금에 대해 아무것도 모른다는 입장을 냈음

소송과 공식 조사

• Newag 관련 소송은 140쪽 분량이며, 발표자들에게 저작권 침해와 불공정 경쟁을 제기하는 내용임
• 발표자들은 언론을 상대로 리버스 엔지니어링이 무엇인지 반복해서 설명해야 했음
• 공식 조사는 총 6건으로 늘었고, 이 중 2건은 형사 조사임
• 37C3 발표 이후 다른 열차 운영사에서도 새로운 사례가 나옴
• 발표 자료와 녹화는 Creative Commons BY 4.0 라이선스로 공개됨

[GN⁺]

Hacker News 의견들

• 이전 논의: https://news.ycombinator.com/item?id=42524568
  법적 대응에 기부하고 싶다면 CCC 법률 기금이 열려 있음: https://www.ccc.de/en/updates/2024/das-ist-vollig-entgleist

• 발표에 나온 회사 Newag는 아직도 대형 정부 계약을 따내고 있음: https://en.railmarket.com/news/rolling-stock/25459-newag-s-g...

  • 정당한 절차 없이 공공 입찰 참여를 막을 수는 없음
    입찰은 보통 낙찰자 선정에서 가격이 가장 중요한 요소가 되는 편임
  • 돈이 여러 방향으로 흘러가는 느낌이라 씁쓸함

• 그 사람들을 지지하고 보증하긴 하지만, “더 일찍 공개했어야 한다”는 건 헛소리에 가까움
  폴란드에서 정치 변화가 확실해진 1년 전에 이미 공개했고, 정권 교체 전에 공개했다면 비극적이었을 수 있음
  회사와 소유 구조가 이전 정치 권력과 강하게 얽혀 있었고, 이전 권력이 계속 집권했다면 공개하지 않았을 거라고 봄
  발표에서 보인 작업은 이전 권력이 아직 강할 때 진행됐고, 결국 공개한 건 잘한 일이지만 계산이 엄청나게 많았을 것임
  공개하려면 가능한 최적의 시점을 계산해야 하며, 이건 순수한 영웅주의라기보다 맞는 일을 맞는 시점에 한 것에 가까움

  • 확실한가? 그 열차들은 중앙정부가 아니라 Dolnośląska 지방정부 소속으로 알고 있고, 주 정부 변화도 없었던 걸로 앎
    관심이 잘 안 붙는 건 특정 정치 권력과 무관하게 고질적인 문제로 보임
    기자들에게 설명하기 어렵다고 토로한 것처럼 기자들도 이해하지 못했고 대중도 이해하지 못했음
    Pegasus 사건조차 현 의회에서 크게 진전되지 않았음
    좀 냉소적으로 말하면 러시아 음모론처럼 포장했으면 갑자기 뉴스 전체를 뒤덮었을지도 모름
    자국에서 벌어진 일이라 심각하게 받아들여지지 않는 듯하고, 미국이 중국을 대하는 방식을 보면 실제로 아무것도 없을 수도 있는데도 심각하게 다뤄짐

• 정치와 깊게 얽힌 산업에서는 이런 일이 어디서나 벌어짐
  사기나 부패를 폭로한 개인은 평소에는 괴롭힘과 스토킹을 당하고, 사건이 알려지면 SLAPP에 시달림
  이제야 독일과 미국식 기준이 폴란드에도 도착한 셈이고, 오래 기다려온 변화임

  • Eva Joly 회고록이 이 점에서 꽤 교훈적이었음
    특히 한 장군이 그녀에게 “석유 사업을 조사해서 운이 좋았다, 무기 사업을 조사했다면 이미 죽었을 것”이라고 말한 대목이 인상적임

• 관련: 1년 전 원래 이야기 - https://news.ycombinator.com/item?id=38788360

• 실력 있는 폴란드 해커들이 기업 탐욕을 폭로했음. 잘했음

  • 단순한 기업 탐욕보다 훨씬 심각함
    전체 공급망에 내장된 취약점이고, 부패가 만든 국가 안보 문제임
    세계대전 중 목숨으로 대가를 치르기 전에 지금 드러낸 것이니, 이들은 상과 보상을 받아야 함
    회사가 특정 위치에 있을 때 열차가 멈추게 만들었다면 그 위치는 무엇으로 결정되는가? 과거 위조 문제가 있었던 약한 GPS 무선 신호인가?
    누군가 악의적으로 만든 무선 신호를 열차 쪽으로 쏴서 이 기능을 켜는 표적 페이로드를 보낸다면 어떻게 될까? 수확물이나 식품이 썩을 수도 있음
    이 정도 사고는 천재가 아니어도 가능하고, 요즘 영화 줄거리만 봐도 떠올릴 수 있음
    식량 안보는 수천 년 동안 모든 나라의 문제였음

• EU도 이 사안을 조금 조사해야 하는 것 아닌가?

  • EU는 연방정부가 아님
    EU 예산이 오용됐거나 해당 국가 정부가 EU 의무를 위반한 경우에만 조사할 수 있음
    그 외에는 각국이 법을 공통 유럽 틀에 맞추고, 누군가 그 법을 어겼을 때 조사는 해당 국가 정부가 책임짐