逆轉 MIT學生可談論捷運票卡漏洞了

ZDNet新聞專區：Jim Kerstetter 2008/08/20 13:47:02 三名發現麻州捷運系統票卡漏洞的麻省理工學院（MIT）學生，終於可以自由談論他們的研究成果。
 
美國聯邦地方法院法官George O'Toole Jr.，19日拒絕麻州海灣交通局（MBTA）發出初步禁止令的要求，讓期效10天的暫時禁止令自動失效。這三名MIT學生原本計畫在Defcon駭客會議上，發表如何破解麻州交通當局的電子票卡系統，但遭到另一名聯邦法官以暫時禁止令阻止。

 
O'Toole法官表示，他不贊成MBTA主張的前提，也就是學生的報告可能違法1986年制訂的聯邦法「Computer Fraud and Abuse Act」（電腦詐欺與濫用法）。該法主要是為了防範蠕蟲和病毒等惡意攻擊。外界原本預期，19日聽證的焦點會是言論自由權和電腦安全研究員的責任，但法官僅根據是否違反電腦詐欺法就作出判決。
 
據此，法官認為MBTA的律師在兩個重點上無法說服他，首先，學生的報告是針對現場聽眾，不是電腦對電腦的「傳輸」：第二，MBTA無法證明被告學生已經造成捷運系統5,000美元以上的損失。若無法私下達成和解，MBTA仍可向美國第一巡迴上訴法院提出上訴。
 
MBTA總經理Daniel Grabauskas在19日下午發表的聲明中，暗示有意與學生私下接觸。Grabauskas表示，這10天的法律程序讓當局得到更多資訊，而這也是他們的主要目的。現在MBTA願意與學生坐下來談。他說：「基於對封存資訊的尊重，我相當期盼（三名）學生未來將根據責任保密的原則行動。」
 
代表學生的電子前線基金會（EFF）律師表示，兩方交戰，不殺信使，「這是一件射殺信使的案子。」但MBTA的代表律師Ieuan Mahony堅稱，當局無意打擊電腦安全研究界，而是要確保大規模的逃票方法不會散播出去。

 
MBTA的安全研究員已開始分析學生提供的30頁未公開的資料。當局在法庭文件中指出，補救電子票卡的安全漏洞需時5個月，而被告學生有能力在這段時間內對票卡系統造成重大傷害。
 
Mahony表示，這30頁分析是「非常有用的文件」，但仍有其他資料讓他們極度擔憂。當局特別指明，需要被告與Defcon主辦單位的通訊記錄，和被告與MIT教授Ron Rivest（知名密碼學專家）的上課內容。
僅管此案涉及美國憲法中的言論自由權，O'Toole法官顯然有意迴避這項爭議。一般而言，若能在現行的法律規範內解決，聯邦法官都會選擇迴避可能的憲法爭議。

 
禁令解除後，只要願意，被告學生可在其他會議或論壇，發表被禁的Defcon報告。Cohn說她尚未與三名正在放暑假的學生聯絡上。
 
其中一名被告學生Zack Anderson，在波士頓環球報（The Boston Globe）18日刊出的專訪中表示，這件官司了結後，他將加入一家民間公司，從事將汽車避震器的熱能轉變成引擎動能的事業。他再次強調，從未有意對交通系統造成任何傷害。

 
Anderson說：「那不是要讓其他人免費搭車，或造成任何混亂。那只是要證明這個系統有多大的問題，而世界各地許多其他的系統，也可能有相同的問題。」

 
有一件事可以確定：他們從不打算公開那含有入侵電子票卡系統詳細資料的30頁文件。（陳智文譯）