책 목록으로 돌아가기

- **저자**: Clifford Stoll — 천문학자 출신 시스템 관리자, Lawrence Berkeley Laboratory (LBL)

The Cuckoo's Egg — Clifford Stoll (1989)

핵심 사실

• 저자: Clifford Stoll — 천문학자 출신 시스템 관리자, Lawrence Berkeley Laboratory (LBL)
• 연도: 1986~1987년 실제 사건 기록, 1989년 출판
• 한 줄 요약: 75센트 회계 오류 하나가 미국 군사 네트워크를 뒤지는 독일 KGB 스파이 해커 추적으로 이어진 실화

사건 타임라인

발단: 75센트의 오차 (1986년 8월)

LBL 유닉스 시스템에서 75센트 회계 불일치 발견. "Hunter"라는 미등록 계정이 원인임을 확인하는 과정에서 Joe Sventek 계정이 영국에 있는 당사자 모르게 사용되고 있음을 발견.

해커의 침투 기법

1. Gnu-Emacs 취약점(버그) 악용: move-mail 기능이 파일 소유권 변경 시 대상 디렉토리를 검증하지 않아, 시스템 보호 영역에 임의 파일을 이식 가능
2. atrun 스케줄러 교체: 5분마다 실행되는 시스템 프로그램을 자신의 프로그램으로 swap → super-user 권한 획득
3. 이후: 비밀번호 파일 복사, 유휴 계정 탈취, Trojan Horse 시도, Milnet 군사 네트워크 탐색

모니터링 구축

• 50개 모뎀 라인에 프린터 연결해 하룻밤 모니터링 → 첫 80피트 분량의 프린트아웃 확보
• Unix-8 watchdog 컴퓨터를 원웨이 해자(one-way moat)로 구성
• Tymnet 네트워크 추적으로 Oakland → Virginia → 독일 연결 확인

해커의 표적

• 앤니스턴 육군 기지, 화이트 샌즈 미사일 기지, TRW 방산업체, BBN(Milnet 제작사), Ramstein 공군기지, Fort Stewart, 해군 시스템 등 30~80여 개 군사·방산 컴퓨터
• SDI(스타워즈) 관련 데이터 집중 탐색
• KH-11 첩보위성 관련 키워드 검색

Operation Showerhead (미끼 작전)

Martha(Cliff의 연인·법학도)가 기획: 가짜 SDI 문서 "SDINET" 파일 생성. 해커가 탐독하도록 유도하고, 이후 "Barbara Sherwin"에게 편지 보내면 더 많은 정보 제공 약속. → 피츠버그의 Laszlo Balogh가 편지 발송 → KGB가 정보 검증에 활용한다는 사실 확인

독일 추적 및 체포

• Tymnet의 Steve White가 자동화된 추적 프로그램으로 독일 Datex 네트워크 주소 확인
• 독일 Bundespost + 브레멘 주 검사 + BKA(연방범죄수사청) 공조
• 1987년 6월 29일: 하노버 Markus Hess 아파트 급습, 플로피 100장·컴퓨터·Milnet 문서 압수
• 1989년 3월 2일: Pengo, Hagbard, Peter Carl, Dirk Bresinsky, Markus Hess 5인 간첩 혐의 기소

해커 그룹 구조 (KGB 연결)

KGB (동베를린)
    ↑ 현금 + 코카인 공급
Peter Carl (베를린) ←→ Dirk Bresinsky (Siemens 프로그래머)
    ↑
Pengo = Hans Huebner (18세 VMS 전문가) ←→ Hagbard = Karl Koch (코카인 중독, 23세)
    ↑
Markus Hess (하노버, 수학·물리 중퇴, Unix 프로그래머)
    ↑
Lawrence Berkeley Lab 침투

• 거래 내용: 군사 네트워크 프린트아웃·비밀번호 → KGB, 약 30,000 DM($18,000) 수령
• KGB 추가 구매 목표: DEC VMS 운영체제 소스코드(250,000 DM 제시), Unix 소스코드, 반도체 설계 도면
• Hagbard: 1989년 5월 23일 하노버 인근 숲에서 분신 사망(자살 추정), 유서 없음

기술적 핵심 개념

핵심 통찰 (위키 소유자 관점)

1. 75센트가 보안 사고의 기원 — 이상 탐지의 중요성

모든 큰 침해는 작은 이상 신호에서 시작된다. Cliff가 "천문학자의 법칙: 기록하지 않으면 없었던 것"을 지킨 로그북이 결국 재판 증거가 됐다. → 데이터 주도 이상 탐지의 원형

2. 디지털 스파이는 저비용 첩보의 미래

KGB 시각: 현지 요원 파견(비용↑, 외교 리스크↑) vs. 컴퓨터 해커 고용(비용↓, 리스크↓). 결론: "집을 떠나지 않는 스파이"가 가능해졌다. 1986년에 이미 현실화됨.

3. 네트워크의 기반은 신뢰 — 그러나 신뢰는 취약하다

Dennis Hall(동료): "네트워크는 케이블이 아니라 협력 공동체다. 해커는 기술을 망가뜨리는 게 아니라 신뢰를 파괴한다." → [[books/sapiens.md]]의 "허구적 현실이 집단을 결속"과 연결: 인터넷도 집단적 신뢰로만 작동하는 허구 구조

4. 보안 vs. 개방성의 영구적 딜레마

• White Sands: 컴퓨터 생성 무작위 비밀번호 강제 → 보안 우수 but 사람들이 적어서 노출
• LBL: 사용자 선택 비밀번호 → 편리하지만 "wyvern"처럼 약한 비밀번호 존재
• 보안을 강화할수록 네트워크 개방성이 훼손된다 → AI 에이전트 보안 딜레마([[articles/ai-agent-traps.md]])와 동일 구조

5. 관료주의가 안보의 가장 큰 구멍

• FBI: "백만 달러 손실 없으면 수사 안 함"
• NSA: "정보 수집만, 배포 안 함"
• CIA: "듣는 사람들, 말하는 사람들 아님"
• 각 기관의 "bailiwick(관할권)" 집착 → 책임 공백 발생

6. 소프트웨어 다양성이 보안의 방패

Wayne 지적: VMS, AT&T Unix, Berkeley Unix, IBM TSO 등 운영체제 다양성이 존재하면, 단일 취약점이 모든 시스템을 무너뜨리지 못한다. → 생물학적 유전 다양성의 전산적 유비

7. 실시간 기록(로그북)이 모든 것을 구한다

• DOE가 "왜 먼저 보고 안 했냐" 주장 → 로그북으로 11월 12일 통보 사실 증명
• 독일 검찰에 제출한 증거도 로그북
• 법정에서의 관건은 문서화

챕터별 주요 내용

원문은 56챕터 + 에필로그로 구성. 아래는 서사 흐름에 따른 파트별 요약.

Part 1 | 75센트의 발단 (Ch. 1–3)

배경: 1986년 8월, 천문학자 출신 Cliff Stoll이 예산 삭감으로 LBL 시스템 관리자로 전직. 첫 업무는 회계 불일치 정리.

• 75센트 오차 발견: Unix 회계 시스템에서 $414.48와 $414.23 불일치 → "Hunter"라는 미등록 계정이 9초 사용하고 과금되지 않은 것이 원인
• Sventek 계정: Hunter가 사용한 발판 계정. 실제 Joe Sventek은 영국에 있었음에도 Berkeley에서 해당 계정이 사용 중 → 외부 침입 확정
• Dockmaster 경보: 해군 컴퓨터 네트워크 Dockmaster가 LBL 계정을 통한 해킹 시도를 민원 제기 → 사건의 심각성 인식
• 슈퍼유저 의심: 해커가 "wyvern" 같은 약한 비밀번호 계정을 통해 루트 권한을 노리고 있음을 확인

핵심 교훈: 아무도 신경 쓰지 않던 "75센트" 오차가 국제 스파이 사건의 실마리였다.

Part 2 | 감시망 구축 (Ch. 4–7)

• 80피트 프린트아웃: 50개 모뎀 라인에 프린터를 연결해 밤새 해커 행동 기록. 첫 세션 결과물이 80피트(24m) 분량의 종이
• Gnu-Emacs 취약점(move-mail 버그): 파일 소유권 변경 시 목적 디렉토리 무결성을 검증하지 않음 → 시스템 보호 영역에 악성 파일 이식 가능
• atrun 교체 트릭: 5분마다 자동 실행되는 atrun 스케줄러를 해커의 프로그램으로 교체 → 5분 내 super-user 권한 획득. 비밀번호 파일 복사, 전자메일 열람, 감시 프로세스 종료
• "뻐꾸기 알" 메타포: 뻐꾸기가 다른 새의 둥지에 알을 낳아 숙주가 대신 품게 하듯, 해커가 시스템 디렉토리에 악성 프로그램을 심어 OS가 직접 실행하게 만드는 기법 → 책 제목의 유래
• 경영진 설득: 상사 Roy Kerth에게 보고 → "닫지 말고 잡아라" 방침 결정. 해킹을 막지 않고 추적하기로 합의
• Martha의 법률 검토: Cliff의 연인이자 법대생 Martha가 전자 감시의 합법성 분석 → "당신 컴퓨터를 지키는 것이므로 합법" 결론

Part 3 | Tymnet 추적과 최초 연락들 (Ch. 8–12)

• Tymnet 추적 시작: 패킷 네트워크 Tymnet의 Ron Vivier와 협력해 해커 연결 경로 역추적. Oakland → Virginia(McLean/Mitre) 연결 확인
• Anniston Army Base 침투: 앨라배마주 애니스턴 육군 기지 컴퓨터에 해커 침입 확인. 해커가 .d라는 이름의 파일을 숨겨두고 3개월 후 정확히 기억해 재방문 → "이건 학생 장난이 아니다"
• 화이트 샌즈 미사일 기지 시도: 4개 계정 × 5개 컴퓨터 시도했지만 무작위 생성 비밀번호에 막혀 실패
• FBI 최초 접촉 (7번 시도): FBI Oakland 사무소 — "백만 달러 손실이나 기밀 유출 없으면 수사 안 함". 반복 거절
• AFOSI 참여: 공군 특수수사대(OSI) Jim Christy와 국방통신청(DCA) Steve Rudd가 관심 표명. "군사 네트워크 침입은 우리 영역" — 그러나 실질적 지원 없음
• 비밀번호 해독: 해커의 비밀번호 jaeger(독일어 '사냥꾼'), hedges, hunter, benson → Benson & Hedges 담배 브랜드 연결. "해커가 담배 피운다" 결론

Part 4 | Livermore·CIA·스파이 냄새 (Ch. 13–18)

• Lawrence Livermore 침투: 해커가 MFE(자기융합에너지) 네트워크를 통해 LBL에 연결. Cromwell 계정 비밀번호를 LBL에서 훔쳐 활용
• Elxsi 컴퓨터 함정: 해커가 신형 Elxsi 컴퓨터에 접근하자 속도를 의도적으로 느리게 만드는 "전자 타르 인형(tar baby)" 설치. 10분 낭비시키는 데 성공
• CIA 방문 (Teejay & Greg): 4인 CIA 팀 방문. "당신들이 뭔가 중요한 걸 보고 있다"며 격려하지만 실질 지원 거부. "우리는 국내 활동에 관여 불가" — 국내 문제는 FBI 영역이라는 벽
• 전자메일에서 'SDI' 검색: 해커가 스타워즈(SDI) 관련 키워드를 집중 탐색. 단순 학생 장난이 아닌 군사 첩보 목적 확실해짐
• Luis Alvarez의 조언: 노벨물리학상 수상자 Alvarez가 카페테리아에서 조언: "경찰처럼 생각하지 말고, 과학자처럼 접근하라. 벽돌벽에 막히면 돌아가라."

Part 5 | Mitre와 Virginia 추적 (Ch. 19–24)

• McLean(Mitre) 연결 확인: Tymnet 추적이 버지니아주 McLean의 Mitre Corporation(방산 싱크탱크)까지 이어짐. CIA 건물에서 1마일 거리
• Mitre 내부 추적 불가: Mitre 네트워크는 단일 이더넷 공유선 방식이라 패킷 주소 분석 없이 출처 추적 불가 — 기술적 한계
• 스탠퍼드의 Dan Kolkowitz: 스탠퍼드도 같은 해커 또는 동일 그룹에 피해 중. 해커 한 명이 자기 수학 숙제를 업로드해 실명 Knute Sears와 교사 Mr. Maher 노출 → 고등학생?
• Jeannie(Cliff 여동생) 수사: McLean 고등학교 현장 방문. 교사 명단 확인했지만 Knute Sears는 등록 없음. 수포로 돌아감
• 시간대 차이 단서: 해커가 서부 시간 오전 8–10시에 주로 접속 → 유럽 시간 오후 4–6시와 일치. 동부 해안 고등학생이 아닐 가능성 높아짐

Part 6 | 독일 연결 확인 (Ch. 25–30)

• 위성 경유 확인: Tymnet의 Ron Vivier가 해커 패킷이 "ITT IRC" 경유임을 확인. 국제 위성 링크 → 해커가 해외에 있다
• Steve White(Tymnet 국제 전문가): DNIC 주소 2624-542104214 해독 → 독일 Datex 네트워크에서 연결. Tymnet-ITT-Westar-3 위성 경로 설명
• 독일 Bundespost 접촉: 독일 우편·통신 공사 Wolfgang Hoffman에게 연락. 독일 법률 문제 — 당시 독일에서는 해킹이 범죄가 아님
• Chaos Computer Club 정보: 캐나다 토론토 대학 피해 정보 수집. CERN·Fermilab도 피해. 독일 해커 그룹 Hagbard, Pengo 이름 등장 — 하지만 Cliff의 해커와 동일인 아님(OS 스타일 차이: VMS vs Unix)
• Bremen 대학 추적: 해커가 Bremen 대학 컴퓨터를 경유해 Hannover 전화망으로 연결됨 확인. "학생인가, 아니면 Hannover 거주자?"

Part 7 | SDINET 허니팟 작전 (Ch. 31–36)

• FBI 수사 포기 선언: "기밀 유출 없고 금전 손실 미미"라는 이유로 FBI 알렉산드리아 사무소가 수사 종료 통보
• LBL 폐쇄 위기: 상사 Roy Kerth도 "이제 그만하자"는 압력. FBI가 직접 Kerth에게 전화해 "계속해달라"고 설득해 위기 모면
• Martha의 아이디어 — SDINET 허니팟: Martha가 제안. 가짜 "SDI 컴퓨터 네트워크" 파일 생성. 파일명: SDI-computers, SDI-networks, SDINET-proposal 등 → 해커가 탐독하도록 유도
• Barbara Sherwin 계정: 가짜 문서에 "더 많은 정보를 원하면 Barbara Sherwin에게 편지로 연락하라" 삽입. LBL 실제 주소 기재
• 해커가 미끼를 물다: 해커가 45분간 가짜 SDINET 파일 전체를 다운로드. SDI 포털 입구를 10분 동안 검색. "hook, line, and sinker"(완전히 속았음)
• 피츠버그에서 편지 도착: Laszlo Balogh라는 인물이 Barbara Sherwin 앞으로 편지 발송 → KGB 중간 연락책이 정보를 검증하고 있음을 증명

Part 8 | 독일 법적 추적과 체포 (Ch. 37–48)

• Air Force Space Command 침투 (1987년 1월 4일): 해커가 FIELD/SERVICE 기본 계정으로 공군 우주사령부(El Segundo, CA) VaxVMS에 완전 접근. 시스템 권한 + 보안 감사 실행 권한까지 획득. 파일 목록 출력 중 비밀번호 만료로 스스로 잠금
• Bevatron 입자가속기 침투: 암 치료용 입자가속기 제어 컴퓨터 침입. 운영체제 조작 → 환자 생명 위협 가능성. 도덕적 분기점
• Ramstein & Seckenheim 침투: 독일 내 미군 기지 2곳 침투(Ramstein 공군기지, Seckenheim 육군물자사령부). Cliff가 열쇠로 통신선을 일시 방해해 데이터 유출 차단
• Fort Stewart (Georgia) 침투: FIELD/SERVICE 기본계정으로 또 다시 입장. 休면 계정 Rita에 시스템 권한 부여 후 비밀번호 "Ulfmerbold"(독일어) 설정 → 독일인 확신 강화
• Navy Coastal Systems Center (Panama City) 침투: Ingres 데이터베이스 기본 계정 ingres/ingres로 침입. 암호화된 비밀번호 파일 반복 복사 (목적: 사전 공격용)
• Fort Buckner (오키나와) 침투: guest 계정으로 무비밀번호 입장. Hannover→Bremen→Tymnet→Berkeley→Milnet→Okinawa 연결 경로. 지구를 한 바퀴 도는 해킹
• Bundespost 전화 추적 완성 (1987년 1월 17일): Wolfgang Hoffman 팀이 Hannover 내 특정 전화번호를 추적 완료. 개인 자택 또는 사업장의 컴퓨터 확인

Part 9 | 체포 · 재판 · 에필로그

• 1987년 6월 29일 Markus Hess 체포: BKA(독일 연방범죄수사청)가 하노버 Hess 아파트를 급습. 플로피 100장, 컴퓨터 장비, Milnet 문서 압수. 당시 나이: 약 25세, 수학·물리 중퇴생
• Karl Koch(Hagbard) 사망: 1989년 5월 23일, 하노버 인근 숲에서 분신 사망. 유서 없음. 코카인 중독으로 불안정한 상태였음. 자살 또는 제3자 개입 여전히 불확실
• 1989년 3월 2일 기소: Markus Hess, Pengo(Hans Huebner), Hagbard(Karl Koch), Peter Carl, Dirk Bresinsky 등 5인 간첩죄 기소
• KGB 거래 구조 확인:
• Hess가 군사 네트워크 데이터·비밀번호를 출력해 KGB에 전달
• KGB가 약 30,000 DM($18,000) 현금·코카인으로 지불
• KGB 추가 구매 희망: DEC VMS 소스코드(250,000 DM 제시), Unix 소스코드, 반도체 설계도면
• Cliff의 의회 청문회 증언: 1988년, 미국 상원에서 인터넷 보안 취약성 증언. "75센트짜리 오차가 전국 군사 네트워크를 위협했다"
• 에필로그 교훈:
• 인터넷 개방성과 군사 보안의 구조적 모순 처음으로 공론화
• 당시 대부분의 군사 컴퓨터가 기본 비밀번호(field/service, guest/guest) 무방비 상태
• 국제 사이버 범죄에 대한 법적 공조 체계 부재 문제 제기

핵심 인물 등장 순서