La vida después de la divulgación del DRM de Newag: una realidad para la que no nos entrenaron [video]
(media.ccc.de)- Un equipo que analizaba trenes que fallaban después de ser reparados por talleres independientes hizo ingeniería inversa a trenes de Newag, descubrió código que simulaba fallas al detectar intentos de mantenimiento y lo presentó en 37C3
- Esta presentación de 38C3 aborda las repercusiones posteriores a la divulgación, con tres ejes principales: sesiones de un grupo de trabajo parlamentario, las explicaciones de Newag y testimonios de operadores ferroviarios
- Los operadores ferroviarios declararon que Newag cobraba más de 20.000 euros por desbloquear un solo tren, aunque podía hacerlo en 10 minutos; Newag, en cambio, sostuvo que no sabía nada sobre el bloqueo
- Los presentadores tuvieron que responder a una demanda de 140 páginas y a acusaciones de infracción de copyright y competencia desleal, además de explicar repetidamente a la prensa el concepto de ingeniería inversa
- Tras la divulgación, las investigaciones oficiales aumentaron a 6, de las cuales 2 son investigaciones penales, por lo que las repercusiones siguen expandiéndose e incluyen casos de otros operadores ferroviarios
Lo que ocurrió después de la presentación en 37C3
- El equipo que analizaba trenes que fallaban tras recibir mantenimiento en talleres independientes hizo ingeniería inversa a trenes de Newag y encontró código que simulaba fallas al detectar intentos de mantenimiento
- Los resultados se presentaron en 37C3, y esta presentación de 38C3 es una actualización sobre las respuestas legales, políticas y mediáticas que siguieron
- Las sesiones del grupo de trabajo parlamentario se realizaron 3 veces, y se indicó que las diapositivas de Newag que no tenían relación con el tema incluían fotos de baños sucios
- Los operadores ferroviarios testificaron que Newag cobraba más de 20.000 euros por desbloquear un solo tren, y que el desbloqueo real podía hacerse en menos de 10 minutos
- Al mismo tiempo, Newag sostuvo que no sabía nada sobre ese bloqueo
Demandas e investigaciones oficiales
- La demanda relacionada con Newag tiene 140 páginas y acusa a los presentadores de infracción de copyright y competencia desleal
- Los presentadores tuvieron que explicar repetidamente a la prensa qué es la ingeniería inversa
- Las investigaciones oficiales aumentaron a un total de 6, de las cuales 2 son investigaciones penales
- Después de la presentación en 37C3, también surgieron nuevos casos en otros operadores ferroviarios
- Las diapositivas y la grabación de la presentación se publicaron bajo licencia Creative Commons BY 4.0
1 comentarios
Comentarios en Hacker News
Discusión anterior: https://news.ycombinator.com/item?id=42524568
Si quieres donar para la respuesta legal, el fondo legal de CCC está abierto: https://www.ccc.de/en/updates/2024/das-ist-vollig-entgleist
La empresa Newag mencionada en la presentación sigue obteniendo grandes contratos gubernamentales: https://en.railmarket.com/news/rolling-stock/25459-newag-s-g...
En las licitaciones, por lo general el precio suele ser el factor más importante al elegir al ganador
Apoyo y respaldo a esa gente, pero decir que “debieron haberlo revelado antes” es casi una tontería
Ya lo revelaron un año antes de que el cambio político en Polonia se hiciera evidente, y si lo hubieran hecho antes del cambio de gobierno podría haber sido trágico
La empresa y su estructura de propiedad estaban fuertemente entrelazadas con el poder político anterior, y creo que no lo habrían revelado si ese poder hubiera seguido gobernando
El trabajo mostrado en la presentación se realizó cuando ese poder anterior aún era fuerte, y al final hicieron bien en revelarlo, pero debió haber muchísimos cálculos de por medio
Para revelarlo hay que calcular el mejor momento posible; esto se parece menos a un heroísmo puro y más a hacer lo correcto en el momento correcto
La falta de atención parece ser un problema crónico, sin relación con un poder político específico
Como se lamentaron de que era difícil explicárselo a los periodistas, los periodistas no lo entendieron y el público tampoco
Incluso el caso Pegasus no ha avanzado mucho en el parlamento actual
Si lo digo con algo de cinismo, quizá si lo hubieran presentado como una teoría de conspiración rusa de pronto habría copado todas las noticias
Parece que no se lo toman en serio porque ocurrió en su propio país, mientras que si se mira cómo EE. UU. trata a China, allá se toman en serio cosas incluso cuando puede que en realidad no haya nada
En industrias profundamente entrelazadas con la política, esto pasa en todas partes
Las personas que exponen fraude o corrupción sufren acoso y stalking de forma habitual, y cuando el caso se hace conocido les caen demandas SLAPP
Recién ahora llegaron a Polonia los estándares de Alemania y Estados Unidos, y es un cambio que llevaba mucho tiempo esperando
En particular, me impresionó la parte en la que un general le dijo: “Tuviste suerte de investigar el negocio del petróleo; si hubieras investigado el negocio de las armas, ya estarías muerta”
Relacionado: la historia original de hace 1 año - https://news.ycombinator.com/item?id=38788360
Hábiles hackers polacos expusieron la codicia corporativa. Bien hecho
Es una vulnerabilidad integrada en toda la cadena de suministro, y un problema de seguridad nacional creado por la corrupción
Como lo sacaron a la luz ahora, antes de que se pague con vidas en una guerra mundial, deberían recibir reconocimiento y recompensa
Si la empresa hizo que los trenes se detuvieran cuando estaban en una ubicación específica, ¿qué determina esa ubicación? ¿Una señal de radio GPS débil, del tipo que ya ha tenido problemas de falsificación en el pasado?
¿Qué pasaría si alguien enviara hacia el tren una señal de radio creada maliciosamente para activar esta función y mandar una carga útil dirigida? Las cosechas o los alimentos podrían echarse a perder
Un incidente de este nivel ni siquiera requiere un genio; basta con ver el argumento de una película de hoy en día para imaginarlo
La seguridad alimentaria ha sido un problema de todos los países durante miles de años
¿No debería la UE investigar un poco este asunto?
Solo puede investigar si se usó mal el presupuesto de la UE o si el gobierno del país en cuestión incumplió obligaciones de la UE
Fuera de eso, cada país adapta sus leyes al marco europeo común y, cuando alguien viola esas leyes, la responsabilidad de investigar recae en el gobierno de ese país