マサチューセッツ湾交通局対アンダーソン事件

マサチューセッツ湾交通局対アンダーソン事件
裁判所	マサチューセッツ州連邦地方裁判所
完全なケース名	マサチューセッツ湾交通局対ザック・アンダーソン、RJ・ライアン、アレッサンドロ・キエーザ、マサチューセッツ工科大学
決めた	2008年8月19日 ( 2008-08-19 )
症例歴
事前の措置	2008年8月9日、民事訴訟番号08-11364-GAOにより差止命令が下された ( 2008-08-09 )
裁判所の会員
裁判官が着席	ジョージ・A・オトゥール・ジュニア[1]
判例意見
裁判官はMBTAの差し止め命令延長の要求を却下した
キーワード
セキュリティの脆弱性 憲法修正第一条 コンピュータ詐欺および悪用防止法

マサチューセッツ湾交通局対アンダーソン他、民事訴訟番号08-11364は、マサチューセッツ湾交通局（MBTA）が、マサチューセッツ工科大学（MIT）の学生3人がMBTAのチャーリーカード自動料金徴収システムで発見したセキュリティ上の脆弱性を公表するのを阻止するために起こした訴訟である。この訴訟は、コンピュータセキュリティ上の欠陥の開示が、米国憲法修正第1条で保護されている言論の自由の一形態かどうかに関するもので。

MBTA は、MIT の学生がコンピューター詐欺および濫用防止法(CFAA) に違反したと主張し、2008 年 8 月 9 日に、 MBTA から交通費を詐取するために使用されていた可能性のある情報をDEFCON会議の出席者に提示することを禁止する一時的な差し止め命令(TRO) を学生に対して下した。MIT の学生は、研究を発表前に政府機関に提出して審査と承認を得ることは違憲の事前抑制であると主張した。

この事件は、差し止め命令が意図せずストライサンド効果の犠牲となり、学生のプレゼンテーションの機密情報の拡散が進んだことで、一般の人々やマスコミからかなりの注目を集めた。差し止め命令の数週間前にスライドが会議の主催者に配布されていただけでなく、MBTAの当初の訴状の証拠として地方裁判所の公開ウェブサイトにうっかり掲載されていたためである。

8月19日、裁判官はMBTAの拘束命令延長の要求を却下し、TROも同様に失効し、学生たちに議論し、調査結果を発表する権利を与えた。^[2]

2007年12月、Karsten Nohl ^[3]とHenryk Plotzによって、 NXPのMIFAREチップセットと非接触型電子カードシステムに実装されている特定のセキュリティスキームの弱い暗号化とその他の脆弱性に関する警告が別々に発表されました。 ^{[4] [5]} 2008年3月、新聞やコンピュータ業界誌に脆弱性に関する記事が掲載されました。^{[6] [7]} MIFARE Classicチップに焦点を当てた同様の独立した暗号解読が、ナイメーヘン・ラドバウド大学で行われました。 3月7日、科学者は高価な機器を使用せずにRFIDカードから暗号キーを回復することができました。 ^[8]責任ある開示に関して、ナイメーヘン・ラドバウド大学は6か月後に記事を発表しました^[9] 。NXPは、仮差し止め命令により2番目の記事の発表を差し止めようとしました。オランダでは、裁判官は7月18日に、この科学論文の発表は表現の自由の原則に該当し、民主主義社会においては科学研究の成果を公表できることは非常に重要であるとの判決を下した。^[10]

2008年5月、MITの学生であるザック・アンダーソン、^{[11] [12]}ラッセル・J・ライアン、^[13]アレッサンドロ・キエーザ、^[14]サミュエル・G・マクヴィーティは、ロン・リベスト教授の6.857: コンピュータとネットワークセキュリティの授業で、MBTAの自動運賃徴収システムの弱点を指摘する最終論文を発表しました。レポートでは、4つの問題が指摘されました。金額は安全なデータベースではなくカードに保存されていること、カードのデータは簡単に読み取ったり上書きしたりできること、偽造を防ぐための暗号署名アルゴリズムがないこと、カードの中央検証システムがないことです。^[15]アンダーソン、ライアン、キエサは、DEF CON ハッカーコンベンションに「地下鉄ハッキングの解剖：暗号RFIDと発券システムの磁気ストライプの破り」と題したプレゼンテーションを提出し、磁気ストライプカードのデータをリバースエンジニアリングする方法、MIFAREベースのチャーリーカードを破るいくつかの攻撃、FPGAを使用したブルートフォース攻撃をレビューして実演したと主張した。^[16]

2008年8月に苦情が提出される前に、ブルース・シュナイアーはこの件について「この攻撃の公表はNXPとその顧客にとって高くつくかもしれないが、全体的なセキュリティにとっては良いことだ。企業は顧客が求めるセキュリティだけを設計するだろう」と書いている。^[17]

2008 年 8 月 8 日、MBTA は、ベンダーが十分な時間をとって欠陥を修正し、金銭的損害賠償を求めるまで、学生による発表や調査結果の議論を禁止する一時的な差し止め命令を求める訴訟を起こしました。この申し立ては 8 月 9 日にダグラス P. ウッドロック判事によって認められました^[18]。学生たちは予定どおりに出席しましたが、大会でスピーチや発表はしませんでした。^{[19] [20]}しかし、この差し止め命令によって、この事件の人気が高まり、マスコミの注目が集まっただけでなく、学生の発表内容の機密情報は、差し止め命令の数週間前に大会主催者に配布され、MBTA の当初の訴状の証拠として地方裁判所の公開 Web サイトに誤って掲載されたため、その後さらに広く流布されました (いわゆるストライサンド効果による)。 ^{[21] [22]}

MBTAは、 Holland & Knightを代理人として雇い、責任ある開示の規範の下では、学生たちはプレゼンテーションの前にMBTAが欠陥を修正するのに十分な情報や時間を提供しなかったと主張し、さらに、学生たちがコンピュータ詐欺および悪用防止法の下で5,000ドルを超える金額でMBTAのコンピュータに損害を与える（または送信して損害を与えようとした）プログラムを送信したと主張した。さらに、この損害は公衆衛生と安全に対する脅威を構成し、学生たちのプレゼンテーションが許可されればMBTAは回復不能な損害を被るだろう、学生たちはMBTAの財産を転向して不法に侵入した、学生たちはその活動から違法に利益を得た、そしてMIT自体が学部生の監督とMBTAへの通知に怠慢であったと主張した。^[23]

MITの学生たちは、電子フロンティア財団とフィッシュ・アンド・リチャードソンを代理人として雇い、CFAAの「送信」という用語がいかなる形態の通信としても広く解釈されることはできない、また、この差し止め命令は、学術研究に関する言論の自由を守る憲法修正第1条の権利を侵害する事前の差し止めであると主張した。 ^{[24] [25] 8月11日に11人の著名なコンピュータ科学者が発表した手紙は、被告らの主張を支持し、この}口止め命令の前例は「研究努力を抑制し、学術的なコンピューティング研究プログラムを弱めるだろう。その結果、私たちは、この法律の曖昧さの影が、情報インフラの中核であるセキュリティ技術の産業研究への貢献能力を低下させるのではないかと懸念している」と主張した。^[26]

8月19日、裁判官はMBTAの拘束命令延長の要求を却下し、TROも同様に失効し、学生たちに議論し、調査結果を発表する権利を与えた。^[2]

• 隠蔽によるセキュリティ

• グリーンバーグ、アンディ（2023年8月10日）。「十代の若者がボストンの地下鉄カードをハッキングして無制限の無料乗車を手に入れたが、今回は誰も訴えられなかった」。Wired 。 2023年8月10日閲覧。
• McGraw-Herdeg, Michael; Vogt, Marissa (2008 年 8 月 25 日)。「MBTA が地下鉄の脆弱性に関するスピーチを中止するよう 3 人の学生を訴える」。The Tech。MIT。2008年 9 月 18 日時点のオリジナルからアーカイブ。

• 訴状：MBTA vs. Anderson 他
• 一時的差し止め命令：8月9日の差し止め命令
• 回答：MIT学生の回答と修正動議
• 展示：コンピュータサイエンスの教授とコンピュータ科学者からの手紙

• 電子フロンティア財団のケースホームページ
• 法律トークネットワークの議論