인텔 CPU 결함을 발견한 학자는 왜 논문을 미루고 6개월을 바쳤나
The Duty of a Scholar
2004년 박사 논문을 제출한 직후, 저자는 인텔의 Hyper-Threading이 캐시 상태를 통해 정보를 누출한다는 사실을 발견하고 RSA 개인 키 전체를 복원하는 개념 증명 익스플로잇을 완성한다. 이후 6개월간 취업과 논문 수정을 미루고 조용히 보안 팀에 알리는 책임 있는 공개 절차에 매달렸고, 인텔이 Yahoo에 논문 철회를 요청했지만 무직이었기에 막을 수 없었다. Fichte의 '학자의 사명'을 인용하며, 지식은 그 자체로 지닌 자에게 의무를 부과한다고 주장한다.
나에게 그 의무는 진실을 말해야 할 사람들을 적극적으로 찾아 나서는 것까지 포함한다. '아무도 묻지 않았으니' 뒤에 숨는 것은 그 의무를 다하지 못하는 것이다.
HN 토론
32- cperciva
와, 정말 빨리 올라왔네요.
독자들은 제 2020년 글 "On the use of a life"도 흥미로운 동반 글로 생각할 수 있을 겁니다: https://www.daemonology.net/blog/2020-09-20-On-the-use-of-a-...
- ballmerpoint
> 예를 들어 IEEE 회원들은 "대중의 안전, 건강, 복지를 최우선으로 한다…"는 의무를 지키겠다고 서약하는데, 그 의무는 해당 엔지니어가 참여한 프로젝트에서 발생하는 위험에만 국한되지 않습니다. "즉시 공개할" 의무는 위험이 존재함을 인지한 모든 엔지니어에게 부여됩니다.
10년 넘게 IEEE의 활동 회원으로 있으면서, (여기 글쓴이를 제외하고는) 이 의무를 진지하게 받아들이는 사람을 본 적이 없습니다. 그러한 위험을 직접 초래하는 일을 하는 IEEE 회원들도 많습니다.
- Animats
인텔은 문제가 아니라고 주장했습니다: [1]
오늘날이라면 더 큰 문제가 됐을 겁니다. AI 시대에는 익스플로잇하기 어려운 취약점을 공격하는 것이 훨씬 쉬워졌습니다. AI는 예산만큼만 인내심을 가질 수 있습니다.
[1] https://www.itnews.com.au/news/intel-soothes-hyperthreading-...
- nickelpro
인텔의 대응은 이랬습니다:
> 타이밍 익스플로잇은 90년대 중반부터 보안 커뮤니티에 알려져 왔습니다. 현실적인 관점에서 이 공격은 실용적이지 않습니다.
그리고 이것은 Spectre가 있는 지금도 기본적으로 최신 기술 수준입니다. 통제된 환경에서는 취약점을 입증할 수 있지만, 그러한 조건이 실제 운영 환경에서 발생하는 것은 공학적 관점에서 실용적이지 않습니다.
- jruohonen
그는 어딘가 R. K. Merton을 닮은 것 같아서, 좋은 읽을거리였습니다.