NIST 타원곡선 뒤의 미스터리 시드는 해시가 아니었으며, 클로드는 30분도 안 되어 이를 밝혀냈다

TL;DR. NIST P-192, P-224, P-256, P-384 및 P-521 곡선과 함께 공개된 시드는 해시 출력이 아니었다. 유닉스 타임스탬프로 시드가 부여된 C 라이브러리의 lrand48 생성기에서 나온 것이었다...

핵심 요약

유도된 것처럼 보였던 계수와 아무도 설명하지 못한 시드. ECDSA는 2000년 NIST에 의해 FIPS 186-2 디지털 서명 표준의 일부로 채택되었다.
30분, 힌트 없음, 그리고 해시가 아니었던 결과. 2026년 10월, 호기심을 느낀 앤트로픽의 한 직원이 단서를 전혀 주지 않은 채 내부 연구 모델에게 그 시드들이 어떻게 생성되었는지 알아낼 수 있는지 물었다.
스캐너가 1990년대 생성기의 지문을 찾아낸 방법. 이 방법은 다른 사람들이 재사용할 수 있는 부분이므로 주목할 가치가 있다.
시계를 읽기 위해 생성기를 역방향으로 돌리기. 상태를 복원하면 시드가 어떻게 만들어졌는지는 알 수 있다.

답을 알고 있었을지 모를 유일한 인물이 2023년에 사망한 뒤 미해결로 남았던 질문의 답은 평범했다. 시계로 초기화된 1990년대 난수 생성기였다. 저자들은 이 답이 곡선들이 정직하게 선택되었다는 확신을 줄이는 것이 아니라 오히려 높여준다고 말한다.

경영진 요약

타원곡선 디지털 서명 알고리즘(ECDSA)은 2000년 미국 국립표준기술연구소(NIST)에 의해 FIPS 186-2 디지털 서명 표준의 일부로 채택되었다. 명세서는 곡선 계수 b를 정의하기 위한 해시값의 원천으로 "시드" 매개변수를 공개했다. 미국 국가안보국(NSA)은 아무런 설명이나 정당화 없이 이 시드들을 제공했다.

2026년 10월, 앤트로픽의 한 직원이 단서를 가리키지 않은 채 내부 연구 모델에게 이 시드들이 어떻게 생성되었는지 알아내도록 요청했다. 클로드는 30분도 안 되어 어떤 시드도 해시 출력이 아님을 발견했다. 시계로 초기화된 흔한 의사난수 생성기인 lrand48의 출력이었다.

이 발견은 ECDSA 곡선에 대한 암호학적 파훼나 새로운 공격, 혹은 취약점이 아니다. 저자들은 오히려 백도어나 의도적인 취약점 없이 곡선이 선택되었다는 확신이 더 커졌다고 말한다.

또한 클로드는 1997년 5월에 생성된 여섯 개 곡선의 기준점이 아르옌 렌스트라의 긴 정수 연산 패키지인 FreeLIP의 난수 생성기에서 나왔음을 설명했다. 저자들이 아는 한 NIST 기준점이 설명된 적은 이전에 없었다.

미해결 질문은 남아 있다. P-224, P-256, P-384 및 P-521의 기준점이 어떻게 선택되었는지, 그리고 건너뛴 후보 곡선들 뒤에 어떤 기준이 있었는지는 밝혀지지 않았다.

유도된 것처럼 보였던 계수와 아무도 설명하지 못한 시드 #

ECDSA는 2000년 NIST에 의해 FIPS 186-2 디지털 서명 표준의 일부로 채택되었다. 그 곡선들의 명세서에는 곡선의 계수 b를 정의하는 데 해시값이 사용되는 "시드" 매개변수가 포함되어 있었다. 문서상으로 이는 안심을 주는 설계이다. 공개된 시드의 해시에서 계수가 나온다면 아무도 수작업으로 곡선을 조작할 수 없었을 것이라는 논리이다.

그 논리는 시드가 투명할 때만 유효하다. 시드는 아무런 설명이나 정당화 없이 NSA에 의해 제공되었고, 그 공백이 문제의 전부였다. 해시는 단방향 문이다. 시드로부터 계수가 도출되었음은 증명하지만, 시드 자체가 어디서 왔는지에 대해서는 아무것도 말해주지 않는다. 수년 동안 시드는 설명되지 않은 상수로 표준 안에 자리 잡고 있었다.

그 공백을 메우는 이야기가 하나 있었다. 가장 잘 알려진 버전은 오랜 NSA 직원이었던 제리 솔리나스가 유머러스한 패스프레이즈의 해시로부터 시드를 생성했다는 이야기였다. 원문은 나중에 이것이 사실이 아닌 것으로 밝혀졌다고 전한다. 그런 이야기는 구체적이고 약간의 매력이 있으며 아무도 반박할 수 없기 때문에 믿기 쉽다. 하지만 증거로는 부족하다. 실질적인 결과는 아무도 그 주장을 검증할 수 없었다는 것이며, 소문을 바탕으로 그 문구를 찾으려던 시도들은 모두 빈손으로 끝났다.

물어볼 만한 가장 명백한 인물은 솔리나스였다. 그러나 제리는 2023년에 사망했고, 당시의 다른 동료들은 응답하지 않았다. 이로 인해 시드가 원래 어떻게 유도되었는지에 대한 질문은 미해결 상태로 남았다.

나는 이것이 상황을 바라보는 올바른 시각이라고 본다. 서명 체계를 뒷받침하는 표준의 출처 문제가 몇 사람의 기억에 의존한다는 것은 취약한 구조이다. 그다음에 일어난 일에서 흥미로운 점은 그러한 기억이 필요하지 않았다는 것이다. 답은 이미 공개된 시드 안에 앉아 누군가 올바른 가설을 시험해 주기를 기다리고 있었다.

30분, 힌트 없음, 그리고 해시가 아니었던 결과 #

2026년 10월, 호기심을 느낀 앤트로픽의 한 직원이 단서를 전혀 주지 않은 채 내부 연구 모델에게 그 시드들이 어떻게 생성되었는지 알아낼 수 있는지 물었다. 질문 방식이 중요하다. 모델은 무엇을 찾아야 하는지 듣지 못했고, 확인해야 할 정답을 미리 건네받지도 않았다.

30분도 채 되지 않아 클로드는 NIST P-192, P-224, P-256, P-384 및 P-521 시드의 기원을 밝혀냈다. 결과는 단도직입적이다. 어느 시드도 해시 알고리즘의 결과가 아니었다. C 라이브러리의 lrand48 난수 생성기의 출력이었다.

따라서 패스프레이즈 이야기는 영원히 찾을 수 없었을 것이다. 애초에 찾아야 할 패스프레이즈가 존재하지 않았기 때문이다. 시드는 시계로 초기화된 흔한 의사난수 생성기에 의해 만들어졌다. 화려하지 않은 설명이지만 바로 그 점이 매력이다. 비밀도, 특별한 지식도, 설명되지 않는 상수도 필요하지 않다.

메커니즘은 설명하기 간단하다. 알고리즘의 각 반복은 생성기에서 후보 시드로 20바이트를 추출한다. 반복 횟수가 흥미로운 세부 사항인데, 이 과정이 단 한 번의 추출이 아니라 탐색이었음을 보여주기 때문이다. 예를 들어 P-256은 표준화된 시드를 출력하기까지 1842번의 반복이 필요했다. 이 프로그램을 실행한 사람은 요구사항을 충족하는 곡선이 나올 때까지 후보들을 계속 돌렸던 것이다.

저자들은 이것이 의미하는 바와 의미하지 않는 바에 대해 신중을 기하며, 그들의 설명 방식은 되풀이할 가치가 있다. 이는 ECDSA 곡선에 대한 암호학적 파훼나 새로운 공격, 혹은 취약점이 아니다. 취해야 할 조치도 없다. 그들은 한 걸음 더 나아가 백도어나 의도적인 취약점 없이 곡선이 선택되었다는 확신이 더 커졌다고 말한다. 이는 신중하게 유보된 결론이며 그대로 유지되어야 한다. 원문은 이를 곡선의 결백함에 대한 증명이 아니라 저자들의 확신으로 틀 지운다. 이 발견이 주는 것은 검증 불가능한 이야기 대신 누구나 확인할 수 있는 평범한 설명이다.

스캐너가 1990년대 생성기의 지문을 찾아낸 방법 #

이 방법은 다른 사람들이 재사용할 수 있는 부분이므로 주목할 가치가 있다.

클로드는 곡선을 생성한 소프트웨어가 1990년대 C 라이브러리에 기본 탑재된 의사난수 생성기(PRNG)를 사용했을 것이라고 추측했다. 원문은 이를 추측으로 다루며, 훌륭한 추측이었다. 끝없는 탐색 범위를 한 시대의 짧은 후보 목록으로 좁혔기 때문이다.

그런 다음 클로드는 스캐너를 작성했다. 공개된 각 시드를 한 번에 한 비트씩 이동하면서 인접한 덩어리들이 1990년대 생성기의 연속적인 출력인지 시험했다. 스캔은 생성기와 출력 조각의 34가지 조합을 다루었다. 적중은 상위 비트들의 패턴으로 나타났는데, 우연히 발생할 확률이 1/5810인 패턴이었다.

그 패턴은 48비트 상태 중 상위 31비트만 반환하는 선형 합동 생성기 lrand48의 서명이었다. 여기서 생성기의 설계가 단서를 흘린다. lrand48은 매 호출마다 48비트 상태 중 17비트를 숨기기 때문에, 그 출력은 무작위 문자열에서는 보이지 않을 규칙성을 가지며, 그 규칙성을 찾도록 만들어진 스캐너는 이를 포착할 수 있다.

상태를 복원하기 위해 클로드는 첫 번째 워드를 가져와 숨겨진 17비트의 모든 2^17개 값을 시도했다. 생성기가 워낙 단순하기 때문에 이는 작고 저렴한 탐색이다. 각 후보 상태를 시드의 다음 덩어리와 대조할 수 있었고, 올바른 상태가 전체 시퀀스를 정확히 정렬시켰다.

소수 곡선 시드는 조금 더 어려웠지만 아주 약간일 뿐이었다. 동일한 lrand48 생성기에서 나왔으나 각 출력에서 더 적은 비트를 유지했다. 보이는 비트가 적다는 것은 추측을 고정할 단서가 적다는 뜻이므로 무차별 대입 기법이 깔끔하게 적용되지 않는다. 이에 대한 원문의 답은 절단된 선형 합동 생성기의 상태를 복원하는 것은 교과서적인 격자 문제이며, 렌스트라-렌스트라-로바스(LLL) 기저 축소 알고리즘으로 풀린다는 것이다. 모델은 이를 인식하고 유별난 기법 없이 표준 도구를 적용할 수 있었다.

다섯 개의 NIST 소수 곡선 시드와 ANSI X9.62 표준의 다섯 개 시드는 모두 동일한 패턴인 lrand48() >> 23을 가지고 있었다. 열 개의 시드가 하나의 추출 규칙을 공유한다는 것은 그 뒤에 단일한 프로세스가 있었음을 보여주는 강력한 증거이다.

그런 다음 우연한 일치와 진짜 일치를 구분하는 검증이 이어진다. 복원된 각 48비트 상태는 해당 시드의 160비트 전체를 재생성하며, 이는 우연히 일어나지 않는다. 부분적인 일치는 우연일 수 있다. 그러나 모든 비트의 완전한 재생성은 우연으로 치부하기 훨씬 어려운 일이며, 결과를 평이하게 단언할 수 있는 이유이다.

시계를 읽기 위해 생성기를 역방향으로 돌리기 #

상태를 복원하면 시드가 어떻게 만들어졌는지는 알 수 있다. 하지만 언제 만들어졌는지는 아직 알려주지 않는다. 이를 위해 클로드는 생성기가 순방향만큼이나 쉽게 역방향으로도 작동한다는 특성을 이용했다. 각 시드에 대해 클로드는 하위 16비트가 0x330E와 같아지는 srand48 초기화 형태에 도달할 때까지 상태를 역으로 되돌렸다.

그 형태 자체가 하나의 지문이다. 복원된 상태를 되감아 하위 16비트가 0x330E인 상태에 도달할 수 있다면, 생성기는 srand48에 전달된 시드 값으로부터 표준적인 방식으로 시작된 것이다. 그리고 이 경우 그 시드 값은 시간이었다. 시드들은 유닉스 타임스탬프로 시드가 부여된 약한 의사난수 생성기를 사용해 생성되었다.

당시 클로드의 내부 사고 기록은 이를 인식한 순간을 담고 있다. 상위 20비트가 모두 0이었으며 우연일 확률은 1e-6이었다. 작은 세부 사항이지만, 사후에 짜맞춘 이야기가 아니라 나타난 숫자들 위에서 추론이 작동했음을 보여준다.

날짜들이 모두 깔끔했던 것은 아니다. 네 개의 이진 곡선 초기화 값은 1984년 2월로 읽혔는데, 이는 1990년대 후반에 사용 중이던 생성기에서 누구도 예상하지 않을 날짜이다. 타임스탬프를 두 배로 늘리자 이진 곡선 초기화 값들은 P-224 실행으로부터 2주 뒤인 1998년 4월 17일에 대응되었다. 원문은 프로그램이 시계 값을 절반으로 나누었을 수도 있다고 결론짓는다. 이는 조건부 서술이며 마땅히 그래야 한다. 원시 값이 왜 1984년으로 읽히는지에 대해 제안된 설명이며, 두 배로 했을 때 다른 실행의 2주 뒤로 떨어진다는 점은 프로그램 내부 구조에 대한 확증은 아니더라도 시사하는 바가 크다.

나는 암호학과는 무관한 이유로 이 부분이 전체 설명 중 가장 설득력 있는 대목이라고 생각한다. 지어낸 이야기였다면 깔끔한 날짜들을 만들어냈을 것이다. 그러나 이 결과는 어색한 날짜를 먼저 내놓았고, 이어서 이진 곡선들을 P-224 실행과 일관된 순서에 놓는 보정을 제시했다. 단순한 가설 아래에서 풀리는 지저분한 데이터야말로 실제 출처가 보여주는 모습이다.

기준점에도 제조법이 있었다 #

시드는 곡선을 정의한다. 기준점은 별개의 문제이며, 원문도 이를 별도로 다룬다.

1997년 5월에 생성된 여섯 개 곡선(P-192 및 다섯 개의 ANSI X9.62 예제 곡선인 prime192v2, prime192v3, prime239v1부터 v3까지)의 기준점은 아르옌 렌스트라의 긴 정수 연산 패키지인 FreeLIP의 난수 생성기에서 나왔다. 빅터 웁의 NTL 라이브러리 초기 버전도 동일한 코드를 탑재했다. 이 두 번째 사실은 검증에 중요하다. 생성기가 비공개 도구가 아니라 다른 사람들이 읽을 수 있는 공개된 코드로 존재하기 때문이다.

제조법은 짧다. 작은 정수로 생성기에 시드를 준다. 일곱 개의 출력을 버린다. mod p로 축소된 26비트 출력으로부터 후보 x좌표를 생성한다. x가 곡선 위에 놓일 때까지 그 후보 생성을 반복한다.

클로드는 생성기 시드를 찾아냈다. P-192는 20000, prime239v1부터 v3까지는 20420, 20507, 20509, 그리고 prime192v2와 v3는 20512와 20517이었다. 이들은 사람이 프로그램에 직접 입력할 법한 작은 정수들로, 제조법의 첫 번째 단계가 요구하는 바로 그 형태이다.

여기서 저자들은 겸손하면서도 그 취지를 인용할 만한 주장을 한다. 그들이 아는 한, 이전에 설명된 NIST 기준점은 하나도 없었다는 것이다. 유보적인 표현은 저자들의 것이며 적절하다. 그들은 지금까지 작성된 모든 문서를 조사했다고 단언하는 것이 아니라 자신들이 아는 지식의 한계를 밝히고 있을 뿐이다.

그러다 이 제조법이 작동을 멈춘다. P-224, P-256, P-384 및 P-521의 기준점은 이 제조법에 들어맞지 않으며, 저자들은 그것들이 어떻게 선택되었는지 설명할 수 없었다. 이를 얼버무리고 넘어간 보고서였다면 더 깔끔해 보였겠지만 저자들은 이를 그대로 남겨두었다. 이 설명은 1997년 5월의 여섯 개 곡선을 다루며, 네 개의 NIST 소수 곡선의 기준점은 미해결 상태로 남겨둔다.

선택받지 못하고 넘어간 후보들 #

마지막 발견은 논쟁을 불러일으킬 가능성이 가장 큰 부분이므로 정확하게 읽을 가치가 있다.

P-256의 경우 공개된 시드는 1842번째 후보이다. 그러나 동일한 실행의 876번째 후보 역시 공개된 곡선과 동일한 방식으로 선택된 매개변수를 가진 적절한 크기의 소수 위수 곡선을 제공한다. 다시 말해, 이 프로세스는 겉보기에 충분히 수용 가능했을 곡선을 그냥 지나쳤다.

이는 일회성 사례가 아니다. P-224의 실행은 그러한 곡선 세 개를 지나쳤고, ANSI X9.62 예제 곡선들 뒤의 두 번의 실행은 일곱 개를 더 지나쳤다.

저자들은 자신들이 모르는 것에 대해 솔직하다. 그들은 곡선을 건너뛰는 데 어떤 기준이 사용되었는지, 혹은 그것이 의도치 않은 부산물이었는지 알지 못한다. 이는 한계점으로 명시되어 있으며, "의도치 않은 부산물"에 대한 유보적 태도는 정직한 입장이다. 데이터는 후보들이 건너뛰어졌음을 보여줄 뿐 그 이유는 보여주지 않는다.

이어서 저자들은 판단을 제시한다. 건너뛴 후보의 수가 적기 때문에 약화된 곡선이 선택되었을 가능성은 희박하다고 본다. 이는 타당성에 대한 신중한 추론이며 개수에 근거하고 있다. 프로세스가 전체적으로 단지 몇 개의 후보만을 건너뛴다면 취약점을 탐색할 여지는 거의 없다.

단 하나의 단서가 남아 있으며, 원문은 이를 발견이 아닌 가능성으로 기술한다. 난수 생성기에 들어가는 타임스탬프를 탐색함으로써 원칙적으로 특정 속성을 갖도록 이 곡선들이 선택되었을 가능성은 여전히 상상해 볼 수 있다. 이는 추측이며 그렇게 표시되어 있다. 어떤 것의 증거로 읽혀서도 안 되고 조용히 누락되어서도 안 된다. 공정한 설명은 저자들이 약화된 곡선의 가능성을 낮게 본다는 점을 명시하면서 동시에 이를 배제되지 않은 경로로 테이블 위에 올려둔다.

이 결과가 바꾸는 것과 열어두는 것 #

바꾸지 않는 것부터 시작하자. 곡선들은 깨지지 않았다. 원문은 다른 표현으로 두 번이나 그렇게 말하며, 취해야 할 조치도 없다. 이를 P-256을 걷어내야 할 이유로 읽는 사람은 글을 잘못 읽은 것이다.

이 결과가 바꾸는 것은 오래된 의심의 지위이다. 시드가 설명되지 않는 동안 "아무런 설명 없이 NSA가 제공함"이라는 문구는 표준 위에 드리워진 상시적인 물음표였다. 그 물음표는 이제 구체적인 답을 얻었다. 시드는 비밀 문구의 불가해한 해시가 아니었다. 시계로 시드가 부여된 프로그램에서 나온 lrand48 출력이었으며, 복원된 상태로부터 각 시드의 모든 비트를 재생성한다. 공개된 시드를 가진 사람이라면 누구나 시험해 볼 수 있는 설명은 아무도 확인할 수 없는 소문을 이긴다.

암호화 표준 위에 시스템을 구축하는 창업자와 엔지니어들에게 시사하는 바가 여기에 있다. 출처에 대한 주장은 만들기는 저렴하고 검증하기는 비싸지만, 여기서 설명된 검증은 올바른 질문이 던져지자 30분도 걸리지 않았다. 스캐너, 2^17 탐색, 격자 기저 축소는 모두 표준적인 수단이다. 수년 동안 빠져 있었던 것은 공개된 숫자들을 상대로 그것들을 직접 시도해 보는 화려하지 않은 작업을 수행할 사람이었다.

나는 또한 이 방법을 과대포장하려는 유혹을 경계하고 싶다. 원문은 특정 시드 집합에 대한 한 팀의 결과를 보고한다. 동일한 접근법이 모든 표준의 모든 미해결 상수를 풀어낼 것이라고 주장하지 않으며, 나 역시 그들을 대신해 그렇게 주장하지 않을 것이다. 이 결과가 입증하는 바는 더 좁고, 내 생각에는 더 유용하다. 매개변수의 기원이 미스터리일 때, 당대의 도구에 대해 그럴듯한 추측을 가진 세심한 모델은 그 추측을 빠르게 시험하고 작업 과정을 보여줄 수 있다는 것이다.

미완성으로 남은 과제는 연구 의제가 되기에 충분히 명확하다. P-224, P-256, P-384 및 P-521의 네 기준점은 여전히 설명이 없다. P-256에서 공개된 1842번 이전에 나온 876번 같은 건너뛴 후보들에는 명시된 기준이 없으며, 그 건너뜀이 의도적인지 부산물인지 아직 아무도 모른다. 그 답들이 오래된 소스 코드에 남아 있는지, 생존한 동료들의 기억에 있는지, 아니면 시드를 풀어낸 것과 같은 종류의 패턴 사냥에 있는지는 열린 질문이다. 시드는 30분이 걸렸지만, 기준점들은 이미 이 접근법을 한 번 물리쳤다.

자주 묻는 질문 #

이번 발견으로 P-256이나 P-384 같은 NIST ECDSA 곡선이 깨지나요?

아니요. 곡선 시드가 패스프레이즈 해시가 아니라 lrand48에 의해 생성되었다는 발견은 ECDSA 곡선에 어떠한 암호학적 파훼, 새로운 공격 또는 수학적 취약점도 도입하지 않으며, 이번 발견으로 인해 보완이나 이전 조치를 취할 필요는 없습니다.

NIST 소수 곡선 시드는 실제로 어떻게 생성되었나요?

각 160비트 시드는 유닉스 타임스탬프로 srand48을 통해 초기화된 C 표준 라이브러리의 lrand48 선형 합동 생성기를 호출하여 생성되었습니다(구체적으로 다섯 개의 NIST 소수 곡선과 다섯 개의 ANSI X9.62 곡선에 대해 lrand48() >> 23). 렌스트라-렌스트라-로바스(LLL) 격자 기저 축소를 통해 48비트 내부 상태를 복원하면 공개된 각 시드의 160비트 전체가 재생성됩니다.

NIST 타원곡선 매개변수에 대해 아직 설명되지 않은 부분은 무엇인가요?

P-192와 다섯 개의 ANSI X9.62 곡선의 기준점은 작은 정수로 시드가 부여된 아르옌 렌스트라의 FreeLIP 패키지 내 난수 생성기로 추적되었지만, P-224, P-256, P-384 및 P-521의 기준점은 그 공식과 일치하지 않으며, 앞서 나온 소수 위수 후보 곡선들(예: P-256에서 1842번 후보 이전의 876번 후보)을 건너뛴 기준은 여전히 알려져 있지 않습니다.

참고문헌 #

Anthropic Frontier Red Team, (2026). Claude reveals ECDSA curve origins ⧉. Anthropic.
National Institute of Standards and Technology, (2000). FIPS PUB 186-2: Digital Signature Standard (DSS) ⧉. NIST.
Victor Shoup, (2024). NTL: A Library for doing Number Theory ⧉. libntl.org.

최종 검토 2026-11-01.

이 기사 재게시

NIST 타원곡선 뒤의 미스터리 시드는 해시가 아니었으며, 클로드는 30분도 안 되어 이를 밝혀냈다 — Sebastien Rousseau

NIST P-192, P-224, P-256, P-384 및 P-521 곡선과 함께 공개된 시드는 해시 출력이 아니었다. 유닉스 타임스탬프로 시드가 부여된 C 라이브러리의 lrand48 생성기에서 나온 것이었다...

이 기사의 라이선스는 Creative Commons Attribution 4.0 International. 재게시 시 정규 URL 출처 표시가 필요합니다.

NIST 타원곡선 뒤의 미스터리 시드는 해시가 아니었으며, 클로드는 30분도 안 되어 이를 밝혀냈다 — Sebastien Rousseau

NIST P-192, P-224, P-256, P-384 및 P-521 곡선과 함께 공개된 시드는 해시 출력이 아니었다. 유닉스 타임스탬프로 시드가 부여된 C 라이브러리의 lrand48 생성기에서 나온 것이었다...

Originally published at https://sebastienrousseau.com/ko/2026-10-26-nist-tawongokseon-dwiui-miseuteori-sideuneun-haesiga/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER