La vie après la divulgation du DRM de Newag : une réalité pour laquelle nous n’étions pas préparés [vidéo]
(media.ccc.de)- Une équipe qui analysait des trains tombant en panne après des réparations dans des ateliers indépendants a procédé au reverse engineering de trains Newag, découvert du code simulant une panne lorsqu’une tentative de maintenance était détectée, puis l’a présenté au 37C3
- Cette présentation au 38C3 revient sur les répercussions après cette divulgation, avec comme axes principaux trois sessions d’un groupe de travail parlementaire, les explications de Newag et les témoignages des opérateurs ferroviaires
- Les opérateurs ferroviaires ont déclaré que Newag facturait plus de 20 000 euros pour déverrouiller un seul train, alors que l’opération pouvait être effectuée en 10 minutes, tandis que Newag affirmait ne rien savoir de ce verrouillage
- Les intervenants ont dû répondre à une plainte de 140 pages et à des accusations de violation du droit d’auteur et de concurrence déloyale, tout en expliquant à plusieurs reprises aux médias le concept de reverse engineering
- Depuis la divulgation, le nombre d’enquêtes officielles est passé à 6, dont 2 enquêtes pénales, et les répercussions continuent de s’étendre avec des cas concernant d’autres opérateurs ferroviaires
Ce qui s’est passé après la divulgation au 37C3
- L’équipe qui analysait des trains tombant en panne après une maintenance effectuée par des ateliers indépendants a procédé au reverse engineering de trains Newag et découvert du code simulant une panne lorsqu’une tentative de maintenance était détectée
- Ces résultats ont été présentés au 37C3, et cette présentation au 38C3 prend la forme d’une mise à jour sur les suites judiciaires, politiques et médiatiques
- Les sessions du groupe de travail parlementaire se sont tenues à trois reprises, et les intervenants ont indiqué que les diapositives de Newag sans rapport avec le sujet incluaient des photos de toilettes sales
- Les opérateurs ferroviaires ont témoigné que Newag facturait plus de 20 000 euros pour déverrouiller un seul train, alors que le déverrouillage effectif pouvait être réalisé en moins de 10 minutes
- Dans le même temps, Newag a déclaré ne rien savoir de ce verrouillage
Poursuites et enquêtes officielles
- La plainte liée à Newag compte 140 pages et accuse les intervenants de violation du droit d’auteur et de concurrence déloyale
- Les intervenants ont dû expliquer à plusieurs reprises aux médias ce qu’est le reverse engineering
- Le nombre d’enquêtes officielles est passé à 6 au total, dont 2 enquêtes pénales
- Après la présentation au 37C3, de nouveaux cas sont apparus chez d’autres opérateurs ferroviaires
- Les supports de présentation et l’enregistrement sont publiés sous licence Creative Commons BY 4.0
1 commentaires
Commentaires sur Hacker News
Discussion précédente : https://news.ycombinator.com/item?id=42524568
Si vous souhaitez faire un don pour l’action en justice, le fonds juridique du CCC est ouvert : https://www.ccc.de/en/updates/2024/das-ist-vollig-entgleist
L’entreprise Newag mentionnée dans la présentation continue de décrocher de gros contrats publics : https://en.railmarket.com/news/rolling-stock/25459-newag-s-g...
Dans les appels d’offres, le prix tend généralement à être le facteur le plus important dans le choix du lauréat
Je soutiens ces gens et me porte garant d’eux, mais dire qu’« ils auraient dû rendre cela public plus tôt » relève presque du n’importe quoi
Ils l’ont déjà rendu public il y a un an, lorsque le changement politique en Pologne est devenu certain, et le faire avant le changement de pouvoir aurait pu être tragique
L’entreprise et sa structure de propriété étaient fortement liées au pouvoir politique précédent, et je pense qu’ils ne l’auraient pas rendu public si ce pouvoir était resté en place
Le travail montré dans la présentation a été mené alors que l’ancien pouvoir était encore fort, et le fait qu’ils aient finalement publié était une bonne chose, mais il a dû y avoir énormément de calculs
Pour rendre cela public, il faut calculer le meilleur moment possible ; ce n’est pas tant de l’héroïsme pur que le fait de faire ce qu’il faut au bon moment
Le manque d’intérêt semble être un problème chronique, sans lien avec un pouvoir politique précis
Comme ils l’ont dit en se plaignant de la difficulté à l’expliquer aux journalistes, les journalistes n’ont pas compris et le public non plus
Même l’affaire Pegasus n’a pas beaucoup avancé dans le Parlement actuel
Pour le dire de façon un peu cynique, s’ils l’avaient présenté comme une théorie du complot russe, cela aurait peut-être soudainement saturé toute l’actualité
Comme cela s’est passé dans leur propre pays, le sujet ne semble pas être pris au sérieux ; quand on voit la manière dont les États-Unis traitent la Chine, des sujets sont pris au sérieux même lorsqu’il n’y a peut-être rien en réalité
Dans les secteurs industriels profondément mêlés à la politique, ce genre de choses arrive partout
Les personnes qui dénoncent la fraude ou la corruption sont généralement harcelées et traquées, puis, lorsque l’affaire devient publique, elles subissent des procédures-bâillons (SLAPP)
Les standards à l’allemande et à l’américaine arrivent enfin en Pologne, et c’est un changement attendu depuis longtemps
Le passage le plus marquant est celui où un général lui dit qu’elle a eu de la chance d’enquêter sur le pétrole ; si elle avait enquêté sur le commerce des armes, elle serait déjà morte
Connexe : l’histoire initiale d’il y a un an - https://news.ycombinator.com/item?id=38788360
Des hackers polonais compétents ont exposé la cupidité des entreprises. Bien joué
C’est une vulnérabilité intégrée à toute la chaîne d’approvisionnement, et un problème de sécurité nationale né de la corruption
Ils l’ont révélé maintenant, avant que des vies n’en paient le prix pendant une guerre mondiale ; ils devraient donc recevoir des prix et des récompenses
Si l’entreprise a fait en sorte que les trains s’arrêtent lorsqu’ils se trouvent à certains endroits, par quoi ces endroits sont-ils déterminés ? Par un signal radio GPS faible, qui a déjà connu des problèmes de falsification ?
Que se passerait-il si quelqu’un envoyait vers le train un signal radio malveillant fabriqué pour activer cette fonction avec une charge utile ciblée ? Des récoltes ou des denrées alimentaires pourraient pourrir
Il n’est pas nécessaire d’être un génie pour imaginer ce genre d’incident ; les scénarios de films actuels suffisent à y penser
La sécurité alimentaire est un enjeu pour tous les pays depuis des millénaires
L’UE ne devrait-elle pas enquêter un peu là-dessus ?
Elle ne peut enquêter que si le budget de l’UE a été détourné ou si le gouvernement du pays concerné a enfreint ses obligations envers l’UE
En dehors de cela, chaque pays aligne ses lois sur le cadre européen commun, et lorsqu’une personne enfreint ces lois, l’enquête relève de la responsabilité du gouvernement national