Autoridad de Transporte de la Bahía de Massachusetts contra Anderson

Autoridad de Transporte de la Bahía de Massachusetts contra Anderson
Corte	Tribunal de Distrito de los Estados Unidos para el Distrito de Massachusetts
Nombre completo del caso	Autoridad de Transporte de la Bahía de Massachusetts contra Zack Anderson, RJ Ryan, Alessandro Chiesa y el Instituto Tecnológico de Massachusetts
Decidido	19 de agosto de 2008 ( 19-08-2008 )
Historia del caso
Acción previa	Orden judicial concedida el 9 de agosto de 2008 Acción Civil No. 08-11364-GAO ( 09-08-2008 )
Membresía de la corte
Juez sentado	George A. O'Toole, Jr. [1]
Opiniones de casos
Juez rechazó solicitud de MBTA de extender medida cautelar
Palabras clave
Vulnerabilidad de seguridad Primera enmienda Ley contra el fraude y el abuso informático

Massachusetts Bay Transportation Authority v. Anderson, et al. , Civil Action No. 08-11364, fue una demanda interpuesta por la Massachusetts Bay Transportation Authority (MBTA) para impedir que tres estudiantes del Massachusetts Institute of Technology (MIT) presentaran públicamente una vulnerabilidad de seguridad que descubrieron en el sistema de cobro automático de tarifas CharlieCard de la MBTA . El caso trata sobre hasta qué punto la divulgación de una falla de seguridad informática es una forma de libertad de expresión protegida por la Primera Enmienda de la Constitución de los Estados Unidos .

La MBTA alegó que los estudiantes del MIT violaron la Ley de Abuso y Fraude Informático (CFAA, por sus siglas en inglés) y el 9 de agosto de 2008 se les concedió una orden de restricción temporal (TRO, por sus siglas en inglés) para impedirles que presentaran información a los asistentes a la conferencia DEFCON que podría haber sido utilizada para defraudar a la MBTA en el pago de tarifas de transporte. Los estudiantes del MIT sostuvieron que presentar su investigación para su revisión y aprobación por parte de una agencia gubernamental antes de su publicación es una restricción previa inconstitucional .

El caso obtuvo considerable atención popular y de la prensa cuando la orden judicial se convirtió involuntariamente en víctima del efecto Streisand , aumentando la difusión de la información sensible de la presentación de los estudiantes porque las diapositivas habían sido distribuidas a los organizadores de la conferencia en las semanas anteriores a la orden judicial y también publicadas inadvertidamente en el sitio web público del tribunal de distrito como anexos a la denuncia original de la MBTA.

El 19 de agosto, el juez rechazó la solicitud de la MBTA de extender la orden de restricción y la TRO también expiró, otorgando así a los estudiantes el derecho a discutir y presentar sus hallazgos. ^[2]

^{En diciembre de 2007, Karsten Nohl [3]} y Henryk Plotz publicaron advertencias por separado sobre el cifrado débil y otras vulnerabilidades del esquema de seguridad particular implementado en el conjunto de chips MIFARE y el sistema de tarjeta electrónica sin contacto de NXP . ^{[4] [5]} En marzo de 2008, aparecieron artículos sobre las vulnerabilidades en periódicos y revistas comerciales de computadoras. ^{[6] [7] Un} criptoanálisis independiente comparable , centrado en el chip MIFARE Classic, se realizó en la Universidad Radboud de Nimega . El 7 de marzo, los científicos pudieron recuperar una clave criptográfica de la tarjeta RFID sin utilizar equipos costosos. ^[8] Con respecto a la divulgación responsable, la Universidad Radboud de Nimega publicó el artículo ^[9] seis meses después. NXP intentó detener la publicación del segundo artículo mediante una orden judicial preliminar. En los Países Bajos , el juez dictaminó el 18 de julio que la publicación de este artículo científico entra dentro del principio de libertad de expresión y que en una sociedad democrática es de gran importancia que los resultados de la investigación científica puedan publicarse. ^[10]

En mayo de 2008, los estudiantes del MIT Zack Anderson, ^{[11] [12]} Russell J. Ryan, ^[13] Alessandro Chiesa, ^[14] y Samuel G. McVeety presentaron un trabajo final en la clase 6.857: Seguridad informática y de redes del profesor Ron Rivest que demostraba las debilidades del sistema automatizado de cobro de tarifas de la MBTA. El informe identificó cuatro problemas: el valor se almacena en la tarjeta y no en una base de datos segura, los datos de la tarjeta se pueden leer y sobrescribir fácilmente, no hay un algoritmo de firma criptográfica para evitar falsificaciones y no hay un sistema centralizado de verificación de tarjetas. ^[15] Anderson, Ryan y Chiesa presentaron una presentación titulada "Anatomía de un hackeo del metro: rompiendo los RFID criptográficos y las bandas magnéticas de los sistemas de emisión de billetes" en la convención de hackers DEF CON que afirmaba revisar y demostrar cómo aplicar ingeniería inversa a los datos de la tarjeta de banda magnética , varios ataques para romper la tarjeta Charlie basada en MIFARE y ataques de fuerza bruta utilizando FPGAs . ^[16]

Antes de que se presentara la denuncia en agosto de 2008, Bruce Schneier escribió sobre el asunto que "la publicación de este ataque puede resultar costosa para NXP y sus clientes, pero es buena para la seguridad en general. Las empresas sólo diseñarán una seguridad tan buena como sus clientes sepan pedir". ^[17]

El 8 de agosto de 2008, la MBTA presentó una demanda solicitando una orden de restricción temporal, tanto para impedir que los estudiantes presentaran o discutieran de otro modo sus hallazgos hasta que sus proveedores tuvieran tiempo suficiente para corregir los defectos como para solicitar daños monetarios. La moción fue concedida el 9 de agosto por el juez Douglas P. Woodlock ^[18] y, aunque los estudiantes se presentaron según lo programado, no hablaron ni realizaron presentaciones en la convención. ^{[19] [20]} Sin embargo, la orden judicial no solo generó más popularidad y atención de la prensa al caso, sino que la información confidencial en la presentación de los estudiantes se difundió aún más ampliamente después (por lo que se llama el efecto Streisand ) ya que se había distribuido a los organizadores de la conferencia en las semanas anteriores a la orden judicial y se había publicado inadvertidamente en el sitio web público del tribunal de distrito como anexos a la demanda original de la MBTA. ^{[21] [22]}

La MBTA contrató a Holland & Knight para que los representara y sostuvo que, según la norma de divulgación responsable , los estudiantes no proporcionaron suficiente información ni tiempo antes de la presentación para que la MBTA corrigiera la falla y, además, alegó que los estudiantes transmitieron programas para causar daños a (o intentaron transmitir y dañar) las computadoras de la MBTA por una cantidad superior a $5000 según la Ley de Fraude y Abuso Informático . Además, se sostuvo que este daño constituía una amenaza para la salud y la seguridad públicas y que la MBTA sufriría un daño irreparable si se permitía a los estudiantes realizar la presentación; que los estudiantes se convirtieron y entraron sin permiso en la propiedad de la MBTA; que los estudiantes se beneficiaron ilegalmente de sus actividades; y que el propio MIT fue negligente al supervisar a los estudiantes y notificar a la MBTA. ^[23]

Los estudiantes del MIT contrataron a la Electronic Frontier Foundation y a Fish & Richardson para que los representaran y afirmaron que el término "transmisión" en la CFAA no puede interpretarse en sentido amplio como cualquier forma de comunicación y que la orden de restricción es una restricción previa que infringe su derecho a la libertad de expresión protegida sobre la investigación académica, según la Primera Enmienda . ^{[24] [25]} Una carta publicada por 11 científicos informáticos destacados el 11 de agosto apoyó las afirmaciones de los acusados ​​y afirmó que el precedente de la orden de censura "sofocará los esfuerzos de investigación y debilitará los programas de investigación informática académica. A su vez, tememos que la sombra de las ambigüedades de la ley reduzca nuestra capacidad de contribuir a la investigación industrial en tecnologías de seguridad en el corazón de nuestra infraestructura de información". ^[26]

El 19 de agosto, el juez rechazó la solicitud de la MBTA de extender la orden de restricción y la TRO también expiró, otorgando así a los estudiantes el derecho a discutir y presentar sus hallazgos. ^[2]

• Seguridad a través de la oscuridad

• Greenberg, Andy (10 de agosto de 2023). "Adolescentes piratearon tarjetas del metro de Boston para obtener viajes gratis infinitos y, esta vez, nadie fue demandado". Wired . Consultado el 10 de agosto de 2023 .
• McGraw-Herdeg, Michael; Vogt, Marissa (25 de agosto de 2008). "MBTA demanda a tres estudiantes para que dejen de hablar sobre las vulnerabilidades del metro". The Tech . MIT. Archivado desde el original el 18 de septiembre de 2008.

• Queja : MBTA vs. Anderson, et al.
• Orden de restricción temporal : Orden de restricción del 9 de agosto
• Respuesta : Respuesta de los estudiantes del MIT y moción para modificar
• Exposición : Cartas de profesores de informática y científicos informáticos

• Página de inicio del caso de la Electronic Frontier Foundation
• Discusión en la red Legal Talk