Vida após a divulgação do DRM da Newag: uma realidade para a qual não fomos treinados [vídeo]

• A equipe que analisava trens que apresentavam falhas após reparos em oficinas independentes fez engenharia reversa nos trens da Newag, descobriu código que simulava avarias ao detectar tentativas de manutenção e divulgou isso na 37C3
• Esta apresentação da 38C3 aborda as repercussões após a divulgação, tendo como eixos centrais três sessões do grupo de trabalho parlamentar, as explicações da Newag e os depoimentos das operadoras de trens
• As operadoras de trens afirmaram que a Newag cobrava mais de 20 mil euros para desbloquear um único trem, embora o desbloqueio pudesse ser feito em 10 minutos; a Newag, porém, disse não saber nada sobre o bloqueio em si
• Os palestrantes tiveram de responder a uma ação judicial de 140 páginas e a alegações de violação de direitos autorais e concorrência desleal, ao mesmo tempo em que precisaram explicar repetidamente à imprensa o conceito de engenharia reversa
• Após a divulgação, o número de investigações oficiais subiu para 6, das quais 2 são criminais, e as repercussões continuam se ampliando, incluindo casos de outras operadoras de trens

---

O que aconteceu depois da divulgação na 37C3

• A equipe que analisava trens que apresentavam falhas após manutenção em oficinas independentes fez engenharia reversa nos trens da Newag e encontrou código que simulava avarias ao detectar tentativas de manutenção
• O resultado foi divulgado na 37C3, e esta apresentação da 38C3 atualiza os desdobramentos jurídicos, políticos e midiáticos que se seguiram
• As sessões do grupo de trabalho parlamentar ocorreram 3 vezes, e eles afirmaram que os slides da Newag sem relação com o tema incluíam fotos de banheiros sujos
• As operadoras de trens testemunharam que a Newag cobrava mais de 20 mil euros para desbloquear um único trem, enquanto o desbloqueio real podia ser feito em menos de 10 minutos
  • Ao mesmo tempo, a Newag declarou não saber nada sobre esse bloqueio

Ação judicial e investigações oficiais

• A ação judicial relacionada à Newag tem 140 páginas e acusa os palestrantes de violação de direitos autorais e concorrência desleal
• Os palestrantes tiveram de explicar repetidamente à imprensa o que é engenharia reversa
• O número total de investigações oficiais subiu para 6, das quais 2 são investigações criminais
• Depois da apresentação na 37C3, novos casos surgiram também em outras operadoras de trens
• Os slides da apresentação e a gravação foram publicados sob a licença Creative Commons BY 4.0

[GN⁺]

Opiniões no Hacker News

• Discussão anterior: https://news.ycombinator.com/item?id=42524568
  Se você quiser doar para a resposta jurídica, o fundo jurídico do CCC está aberto: https://www.ccc.de/en/updates/2024/das-ist-vollig-entgleist

• A empresa Newag, mencionada na apresentação, ainda está conseguindo grandes contratos governamentais: https://en.railmarket.com/news/rolling-stock/25459-newag-s-g...

  • Não dá para impedir a participação em licitações públicas sem o devido processo legal
    Em licitações, normalmente o preço tende a ser o fator mais importante na escolha do vencedor
  • Fica um gosto amargo, como se o dinheiro estivesse fluindo em várias direções

• Eu apoio e endosso essas pessoas, mas dizer que “deveriam ter divulgado antes” é quase besteira
  Eles já divulgaram há um ano, quando a mudança política na Polônia estava garantida; se tivessem divulgado antes da troca de governo, poderia ter sido trágico
  A empresa e sua estrutura de propriedade eram fortemente entrelaçadas com o poder político anterior, e acho que eles não teriam divulgado se o governo anterior tivesse permanecido no poder
  O trabalho mostrado na apresentação foi feito quando o poder anterior ainda era forte, e no fim a divulgação foi a decisão certa, mas deve ter envolvido muitos cálculos
  Para divulgar, é preciso calcular o melhor momento possível; isso parece menos um heroísmo puro e mais fazer a coisa certa no momento certo

  • Tem certeza? Pelo que sei, esses trens pertencem ao governo regional da Dolnośląska, não ao governo central, e também não houve mudança no governo estadual
    A falta de interesse parece ser um problema crônico, independentemente de uma força política específica
    Como eles se queixaram de que era difícil explicar aos jornalistas, os jornalistas também não entenderam, e o público também não entendeu
    Nem mesmo o caso Pegasus avançou muito no parlamento atual
    Falando de forma um pouco cínica, se tivessem embalado isso como uma teoria de conspiração russa, talvez de repente tivesse dominado todo o noticiário
    Como aconteceu no próprio país, parece que não está sendo levado a sério; olhando para a forma como os EUA tratam a China, mesmo quando talvez não haja nada de fato, o assunto é tratado com seriedade

• Em setores profundamente entrelaçados com a política, isso acontece em todo lugar
  Indivíduos que expõem fraudes ou corrupção normalmente sofrem assédio e perseguição, e, quando o caso vem à tona, enfrentam SLAPP
  Só agora os padrões ao estilo alemão e americano chegaram à Polônia, uma mudança aguardada há muito tempo

  • As memórias de Eva Joly foram bastante instrutivas nesse ponto
    Em especial, foi marcante o trecho em que um general lhe disse: “você teve sorte por investigar o negócio do petróleo; se tivesse investigado o negócio de armas, já estaria morta”

• Relacionado: a história original de um ano atrás - https://news.ycombinator.com/item?id=38788360

• Hackers poloneses competentes expuseram a ganância corporativa. Muito bem

  • É muito mais grave do que simples ganância corporativa
    É uma vulnerabilidade embutida em toda a cadeia de suprimentos, e um problema de segurança nacional criado pela corrupção
    Como isso veio à tona agora, antes que vidas pagassem o preço durante uma guerra mundial, eles deveriam receber prêmios e recompensas
    Se a empresa fez com que os trens parassem quando estivessem em certos locais, como esses locais são determinados? Por sinais fracos de rádio de GPS, que já tiveram problemas de falsificação no passado?
    O que aconteceria se alguém direcionasse ao trem um sinal de rádio malicioso e enviasse um payload direcionado para ativar esse recurso? Colheitas ou alimentos poderiam apodrecer
    Não é preciso ser um gênio para imaginar esse tipo de incidente; basta olhar para enredos de filmes de hoje em dia
    Segurança alimentar é uma preocupação de todos os países há milhares de anos

• A UE não deveria investigar um pouco esse assunto?

  • A UE não é um governo federal
    Ela só pode investigar se o orçamento da UE tiver sido usado indevidamente ou se o governo do país tiver violado obrigações da UE
    Fora isso, cada país adapta suas leis ao arcabouço europeu comum, e, quando alguém viola essas leis, a investigação é responsabilidade do governo desse país