학자의 의무

지식을 가진 사람의 의무는 진실을 숨기지 않는 데 그치지 않고, 그 지식이 필요한 사람을 적극적으로 찾아 전달하는 것까지 포함함 Intel Hyper-Threading의 캐시 정보 유출을 발견한 경험에서, 조율된 취약점 공개는 논문 발표보다 먼저 보안팀에 비공개로 알리고 대응을 준비할 책임이었음 지식 전달의 도덕적 의무는 안전이나 보안 위험에만 국한되지 않음. 문제를 해결할 수 있는 담당자에게 먼저 알리되, 대응이 없으면 더 넓게 공유할 필요가 있음 지식은 사회를 위해 전달해야 하지만, 행동을 강요할 권한은 없음. 행동할 수 있는 모든 사람이 알게 됐다면 의무는 다한 것이며, 상대방은 지식을 거절할 자유도 있음 여기서 연구자는 새로운 지식을 만들고 학자는 필요한 사람에게 지식을 전달하는 역할로 구분됨. 논문 출판만으로는 충분하지 않으며, 의무를 실천할 여건 역시 누구에게나 같지는 않음 Hyper-Threading 취약점과 6개월의 책임 2004년 11월 16일, Oxford에 도착한 지 π년 만에 박사학위 논문을 제출할 무렵 관심은 Intel CPU의 정보 유출 문제에 쏠려 있었음 Intel이 2002년 도입한 동시 멀티스레딩 기능 Hyper-Threading은 캐시 상태를 통해 실행 스레드 사이에 정보를 유출할 수 있었음 당시에는 NSA가 방어 역할과 공개 활동을 확대하면서도 부채널 공격만은 공개적으로 논의하지 않는다는 농담이 있었음 그 침묵 자체가 NSA가 이 분야를 얼마나 중요하게 여기는지 드러내는 부채널이라는 취지였음 발견한 정보 유출로 실용적인 암호 공격이 가능한지 확인한 결과, 12월 중순에는 RSA 개인키 전체를 복원할 만큼의 비트를 탈취하는 개념 증명 공격을 완성함 이후 약 6개월은 보안팀에 조용히 알리고 공개 전에 문제를 해결하기 위한 협업에 투입됨 동료들이 논문 수정과 구직에 나설 때, 이 책임을 경력보다 우선해 두 작업을 미뤘고 지도교수들은 이를 못마땅해했음 2005년 5월 초 Intel은 발표를 앞두고 Yahoo에 논문 철회를 지시해 달라고 요청했지만, Yahoo는 해당 연구자가 자사 직원이 아니므로 해고를 위협할 위치에 있지 않다고 답함 2005년 5월 13일 BSDCan에서 논문을 발표하고 보안 권고문을 공개함 FreeBSD, NetBSD, Red Hat, SCO, Ubuntu도 동시에 또는 곧이어 권고문을 발표함 조율된 공개를 가능하게 한 생활 여건 책임 있는 공개, 오늘날 널리 쓰이...