Ứng phó với tình huống chưa được huấn luyện

 (ccc.de)
1 điểm bởi GN⁺ 2024-12-28 | 1 bình luận | Chia sẻ qua WhatsApp
  • Khi ba hacker tiết lộ tại 37C3 về hành vi vô hiệu hóa của các đoàn tàu Newag và vướng vào các vụ kiện hình sự lẫn dân sự, Chaos Computer Club đã bắt đầu gây quỹ chi phí pháp lý
  • Các đoàn tàu liên quan tự chuyển sang trạng thái ngủ đông khi ở quá lâu trong phạm vi tọa độ địa lý của đối thủ cạnh tranh hoặc xưởng bảo trì của khách hàng, hoặc trong các điều kiện trông như đã được sửa chữa chưa đăng ký
  • Những đoàn tàu bị vô hiệu hóa chỉ có thể được “cứu” bằng cách gọi kỹ thuật viên Newag, và các hacker đã xác nhận hành vi này mà không thay thế các bộ phận tàu cần xác thực
  • Sau khi Newag đệ đơn kiện, tại 38C3, quá trình pháp lý đã tiêu tốn khoảng 30.000 euro cho đến nay cùng các diễn biến tiếp theo đã được công bố
  • Tính đến ngày 8 tháng 1 năm 2025, CCC đã nhận được 31.088,89 euro qua 529 khoản chuyển khoản; phần vượt quá sẽ được sử dụng cho các mục đích theo điều lệ của CCC e.V.

Việc công bố DRM trên tàu Newag và tranh chấp pháp lý

  • Chaos Computer Club (CCC) hỗ trợ ba hacker đã công bố tại 37C3 việc can thiệp vào các đoàn tàu của nhà sản xuất phương tiện đường sắt Ba Lan Newag
  • Nội dung này được trình bày trong bài thuyết trình tại 37C3, và CCC xem đây là một trong những bài thuyết trình được yêu thích nhất tại 37C3
  • Các đoàn tàu chuyển sang trạng thái ngủ đông trong một số điều kiện nhất định
    • Khi bị đỗ quá lâu trong phạm vi tọa độ địa lý của đối thủ cạnh tranh hoặc xưởng bảo trì của khách hàng
    • Khi ở trong các điều kiện trông như đã được sửa chữa chưa đăng ký
  • Những đoàn tàu bị vô hiệu hóa theo cách này chỉ có thể được “cứu” bằng cách gọi kỹ thuật viên Newag
  • Các hacker đã phát hiện hành vi này mà không cần thay thế trái phép tiềm tàng các bộ phận tàu cần xác thực

Hoạt động gây quỹ của CCC và bài trình bày tiếp theo tại 38C3

  • Sau khi vụ việc được công bố, Newag đã kiện các hacker về cả hình sự lẫn dân sự
  • CCC cho rằng vụ kiện này mang tính chất nhằm ngăn chặn việc công bố về các “illegal instructions” như vậy và các công bố trong tương lai
  • Các hacker đã trình bày quá trình pháp lý tại 38C3, với chi phí đến nay ở mức khoảng 30.000 euro
  • CCC đề nghị chuyển khoản vào tài khoản ngân hàng chung của Chaos Computer Club e.V. và ghi nội dung tham chiếu là Lokomotive
    • Tài khoản: DE41 2001 0020 0599 0902 01
    • BIC: PBNKDEFFXXX
  • Các khoản quyên góp vượt quá mức 30.000 euro cần thiết, số dư nếu chi phí pháp lý thực tế thấp hơn, và án phí được hoàn trả sẽ được sử dụng cho các mục đích theo điều lệ của Chaos Computer Club e.V.
  • CCC e.V. cũng nêu rõ rằng tổ chức này không được chính thức công nhận là tổ chức phi lợi nhuận
  • Bài trình bày tiếp theo diễn ra vào thứ Sáu, ngày 27 tháng 12 năm 2024 tại 38C3 ở Hamburg; có thể xem qua livestream từ 23:00 cùng ngày và sau đó sẽ được công bố trên media.ccc.de
  • Theo cập nhật ngày 8 tháng 1 năm 2025, tổng cộng 31.088,89 euro đã được tiếp nhận qua 529 khoản chuyển khoản ngân hàng

Bài viết liên quan

1 bình luận

 
GN⁺ 2024-12-28
Ý kiến trên Hacker News

  • Tôi đã quyên góp 133,7€, và nếu phát sinh thêm chi phí pháp lý, tôi sẵn sàng đóng góp tiếp
    Mong những người khác cũng quyên góp rộng rãi và chia sẻ trong luồng này
    Những gì Newag đang làm ở đây thật sự đáng ghê tởm: họ muốn thu 20.000€ mỗi đoàn tàu để “kích hoạt lại” các đoàn tàu đã được bảo trì tại xưởng sửa chữa bên thứ ba
    Không thể để tạo ra tiền lệ như vậy
    Tôi cũng rất khuyên nên xem bài trình bày trước đó: https://media.ccc.de/v/37c3-12142-breaking_drm_in_polish_tra...

    • Theo lịch, nhóm đó dự kiến bắt đầu bài trình bày We've not been trained for this: life after the Newag DRM disclosure lúc 23:00 giờ địa phương, khi đó còn khoảng 30 phút nữa
      Phát trực tiếp ở đây: https://streaming.media.ccc.de/38c3/eins/hls
      Bài trình bày đã kết thúc và rất xuất sắc
      Lịch: https://events.ccc.de/congress/2024/hub/en/event/we-ve-not-b...
    • Tiền lệ có thể không phải vấn đề lớn như nhiều người nghĩ
      Phần lớn châu Âu không theo hệ thống tư pháp dựa trên án lệ, nên bản thân luật quan trọng hơn các phán quyết trước đó trong những vụ tương tự
    • Chúng ta phải đấu tranh để quyền sửa chữa được bảo đảm bằng luật cho mọi sản phẩm
      Nếu đã mua một sản phẩm, bạn phải có quyền truy cập và sửa mọi phần mềm trong đó
    • Tôi không biết quyên góp trên website thế nào
      Không rõ bạn đã quyên góp ở đâu

  • Có vẻ các nhà sản xuất tàu đang bắt chước thủ đoạn của rất nhiều công ty ngày nay
    Việc nhà sản xuất vô hiệu hóa từ xa sản phẩm sau khi bán vì bất kỳ lý do nào đang lan như một thảm họa trên nhiều nhóm sản phẩm
    Sau khi nhận tiền và giao sản phẩm, nhà sản xuất không nên có quyền can thiệp vào cách sử dụng sản phẩm đó
    Chuyện này thật sự phải dừng lại, và các cơ quan quản lý trên toàn thế giới đang ngủ quên trước vấn đề này

    • “Chúng ta”, một nhóm chuyên gia phần mềm hoàn toàn đồng nhất, cũng có thể ngăn chuyện này, nhưng lại không làm
    • Bản quyền là gốc rễ của vấn đề
      Tăng thêm quy định cũng có thể là một cách giải quyết, nhưng tôi tự hỏi đó có thật sự là hướng chúng ta muốn không
    • Hố tham lam vô tận mà mô hình thuê bao mở ra cho ngành phần mềm cũng đang kéo các nhà sản xuất phần cứng vào
      Trên thực tế, chúng ta không còn mua đồ nữa mà là thuê chúng
      Nếu “thị trường” chấp nhận thứ vớ vẩn này, các cơ quan quản lý sẽ chẳng làm gì cả
    • Đây không chỉ là chuyện thời nay
      Chiếc PC đầu tiên của tôi cũng có niêm phong mở ra là mất bảo hành

  • Newag cũng nhắm vào nghị sĩ Paulina Matysiak, chủ tịch nhóm nghị viện về ứng phó với tình trạng bị loại trừ khỏi giao thông, và đã nộp đơn xin tước quyền miễn trừ của bà
    Bà đã điều tra vấn đề này kể từ khi sự việc được biết đến vào năm ngoái
    https://transinfo-pl.translate.goog/inforail/jest-wniosek-o-...

  • Tôi nhớ câu chuyện “các hacker” đã phát hiện ra rằng công ty tàu hỏa đã vô hiệu hóa những đoàn tàu được bảo trì bởi một nhà thầu sửa chữa cạnh tranh
    Thật đáng tiếc khi họ bị kiện
    Hy vọng họ có thể quyên đủ tiền để buộc Newag phải trải qua một quá trình discovery đau đớn và sâu rộng

    • Thật đáng tiếc là công ty không bị truy tố vì phá hoại và có lẽ cả tội phản quốc
      Dù là tàu do chính họ sản xuất, tấn công tàu hỏa là tấn công hạ tầng trọng yếu quốc gia

  • Không biết quy tắc đạo đức cũ “nếu mẹ bạn bị sốc khi bạn giải thích công việc mình đang làm, thì bạn đang làm điều gì đó sai” đã đi đâu mất rồi
    Những gì Newag làm rõ ràng vi phạm quy tắc đó

    • Về bản chất, quy tắc đó nói về việc “liệu chuyện này có gây rắc rối về chính trị không”
      Nhưng hiện nay các doanh nghiệp độc quyền lớn cứ phớt lờ hiệu ứng đó
      Báo chí thiếu tiền và bị tha hóa, còn các chính trị gia cũng bị tha hóa theo nghĩa rộng
    • Có vẻ mệnh lệnh tối thượng là tối đa hóa tiền bạc, vì làm theo quy tắc đó không sinh lời
      Bằng mọi cách có thể, dù hợp pháp hay nửa hợp pháp
    • Người ta hiếm khi nói sự thật với gia đình, và luôn có cách bóp méo đôi chút để tự thuyết phục bản thân

  • Đã có thảo luận trước đây khi vụ này mới được phát hiện, và tôi ngạc nhiên là nó không được bàn luận nhiều hơn: https://news.ycombinator.com/item?id=38893116

  • Mong ai đó tóm tắt cho những người chưa biết toàn bộ câu chuyện
    Tôi thắc mắc vì sao các chính phủ đã mua những đoàn tàu Trojan horse này lại không đập tan nhà cung cấp tàu, và không trao huân chương cho các hacker đã phanh phui chuyện này

    • Vì các chính phủ rất tư bản chủ nghĩa, nên họ tin rằng các tập đoàn lớn có thể làm bất cứ điều gì họ muốn

  • Đây gần như là một xu hướng phổ biến
    Nếu các nhà sản xuất chưa làm thì nhiều khả năng họ đang lên kế hoạch
    Khi nhiều nơi trên thế giới phát triển, các nhà sản xuất cung cấp máy móc rẻ hơn mọc lên everywhere, và hào lũy của các nhà sản xuất hiện hữu đang biến mất
    Các nhà sản xuất hàng lâu bền đang bám vào mô hình kinh doanh tiếp theo: dịch vụ đăng ký bảo trì và hỗ trợ
    Dịch vụ đội xe kết nối của Ford đang có đà, và có thể cực kỳ sinh lời trong mảng xe thương mại
    Một phần đáng kể của xu hướng này bắt nguồn từ việc lực lượng lao động suy yếu do thiếu nhân lực, thiếu đào tạo và thiếu kinh nghiệm
    Vụ tàu hỏa lần này rõ ràng gần như là tội phạm, nhưng cũng không quá xa làn sóng “tiến bộ” đang diễn ra hiện nay

  • Đáng tiếc là những phát hiện kiểu này có vẻ sẽ trở thành bài học cho các công ty khác
    Tức là họ sẽ đi theo hướng khiến các thủ đoạn có khả năng phủ nhận hợp lý của mình khó bị phát hiện hơn, và che giấu chúng dưới danh nghĩa “bảo mật”
    Big Tech đã chơi trò đó một thời gian rồi
    https://news.ycombinator.com/item?id=36926276
    https://news.ycombinator.com/item?id=24955071

  • Newag đang hành xử như mafia ở đây
    Kiểu như “tàu mà dừng lại thì đáng tiếc thật nhỉ..?”
    Tôi không muốn chỉ đạo Ba Lan phải làm thế này thế kia, nhưng một kết cục thỏa đáng là tìm ra chính xác ai đã ra lệnh lập trình tàu Newag theo cách đó và tống người đó vào tù
    Mỗi khi phát hiện một đoàn tàu có phần mềm như vậy thì cộng thêm án, và buộc Newag phải bảo trì miễn phí đoàn tàu đó
    Nếu Ba Lan muốn thể hiện thái độ cứng rắn về cách họ xử lý những kẻ kiếm tiền bằng cách bóc lột công chúng, thì đó có lẽ là mức tốt nhất
    Còn nếu muốn nói rằng ngay cả khi có bằng chứng áp đảo, bóc lột công chúng Ba Lan vẫn là một vụ làm ăn có lời, thì cứ làm vậy thôi

    • NewAg rõ ràng đang hành động với ác ý, phá hoại, và tống tiền trong đầu
      Khi liên quan đến tàu hỏa và đường sắt, đó không chỉ là vấn đề kinh doanh đơn thuần mà là vấn đề an ninh quốc gia mang tính chiến lược
      Nó giống như tình huống “một đoàn tàu chở thực phẩm dễ hỏng mà dừng giữa đường khiến mùa màng thối rữa thì đáng tiếc thật nhỉ”
      Tôi không biết có quốc gia nào mà an ninh lương thực lại không ảnh hưởng đến khả năng duy trì trật tự của chính phủ
      Nếu một bên thứ ba không phải nhà bảo trì làm chuyện này, họ hợp lý mà nói sẽ bị coi là tổ chức khủng bố, và các thành viên của nhóm đó cũng nên bị đối xử như vậy
      Ngay cả nếu họ lập luận rằng nó chỉ giới hạn ở một tính năng nhỏ, cụ thể mà người ta phải đồng ý, thì họ vẫn đã chèn một lỗ hổng không cần thiết cho hoạt động bình thường vào chuỗi cung ứng, rồi thiết kế nó như thể là thứ bắt buộc
      Ít nhất, dù không trực tiếp thực hiện, họ cũng đang dọn đường cho những nhóm như vậy hoành hành