EFF erhebt Einspruch gegen Maulkorb für MIT-Studenten
Ein US-amerikanisches Gericht verhinderte per einstweiliger Verfügung einen Vortrag von drei Studenten der renommierten US-Universität Massachussetts Institute of Technology auf der IT-Sicherheitskonferenz Defconf in Las Vegas. Anwälte der gemeinnützigen Electronic Frontier Foundation (EFF) wollen nun Einspruch einlegen.
Die Präsentation der Studenten beschäftigt sich mit dem Ticketsystem der Verkehrsbetriebe der Stadt Boston und zeigt Sicherheitslücken bei den Magnetstreifen und im Bezahlsystem der elektronischen Fahrkarten. Geplant war der Vortrag mit dem Titel „The Anatomy of a Subway Hack Breaking Crypto RFIDs & Magstripes of Ticketing Systems“ für vergangenen Sonntag, 10. August 2008, auf der Defcon in Las Vegas. Am Freitag vor der Veranstaltung reichten die Verkehrsbetriebe "Massachusetts Bay Transportation Authority" (MBTA) Klage ein mit der Begründung, dass der Vortrag „signifikanten Schaden am MBTA-Verkehrssystem“ verursachen würde, wie es in der Klageschrift (PDF) heißt. Als Beklagte nennt der Schriftsatz neben den drei Programmierern auch die traditionsreiche Technikuniversität MIT. Hier hatten die Studenten Zack Anderson, Russell "RJ" Ryan und Allessandro Chiesa für die Projektarbeit zu dem Thema die Bestnote „A“ erhalten. Der Richter am Bezirksgericht in Massachussetts verhinderte den Vortrag per einstweiliger Verfügung und beruft sich in der Begründung auf ein ein amerikanisches Gesetz zum Einbruch in Computersysteme. Außer diesem ersten Erfolg der Bostoner Verkehrsbetriebe ist noch eine formelle Klage auf Bundesebene anhängig.
Die Klage traf die Studenten völlig unvorbereitet. Laut einem Interview mit dem Boston Herald versuchten diese zunächst, dem Verkehrsbetrieb mit ihren Erkenntnissen zu helfen. „Wir machten den ersten Kontakt,“ sagte Zack Anderson, der Computerwissenschaften und Elektrotechnik studiert. „Wir wollten sie wissen lassen, was wir herausgefunden haben und wir wollten ihnen einige unserer Ideen mitteilen, wie man das System verbessern könnte“, berichtet Anderson. „Wir hatten das Gefühl, das Thema war gelöst, und das wurde mündlich in einem Treffen am Montag bestätigt. Und am Freitag stellen wir fest, dass es eine Klage auf Bundesebene gegen uns gibt.“
Obwohl die Studenten zehn Tage lang keine Informationen zu dem Vortragsthema herausgeben dürfen, konnte der Beschluss nicht verhindern, dass die Konferenz-CD mit den Präsentationsunterlagen des strittigen Vortrags an rund 7.000 Teilnehmer verteilt wurde. Die Juristenplattform Groklaw berichtet über den Fall und weist darauf hin, dass der Verkehrsbetrieb selbst die umfassendsten Informationen veröffentlicht hat:Das MBTA reichte den Bericht der Studenten bei Gericht ein und sandte die vertraulichen Informationen als Anhang mit, die die Studenten freiwillig aus ihrer Präsentation herausgehalten hatten. Laut US-amerikanischen Regelungen wurden diese Informationen nun öffentlich zugänglich. Erst auf den dringenden Hinweis der EFF-Anwältin (PDF) Jennifer Gralnik entfernte das MBTA die brisanten Inhalte.
Die Anwälte der gemeinnützigen Stiftung EFF halten die Begründung des Gerichts nicht für schlüssig, und argumentieren, dass die öffentliche Diskussion von Sicherheitslücken nicht mit der „Übertragung“ eine Computerprogramms gleichzusetzen sei. Für ihren Einspruch wollen sie sich auf den ersten Zusatz zur amerikanischen Verfassung berufen, betreffend die Meinungs- und Redefreiheit. Jennifer Granick, Director Civil Liberties beim EFF, meint hierzu: „Der Gerichtsbeschluss ist eine widerrechtliche Einschränkung von legitimer akademischer Forschung und verletzt den ersten Verfassungszusatz.“ Sie glaubt, die Interpretation des Gerichts sei verfassungswidrig und führt aus: „Sicherheit und das öffentliche Interesse profitieren enorm vom freien Fluss der Ideen und Informationen über Sicherheitslücken.“ Die Unterdrückung der Berichterstattung hierüber würde nicht die Angreifer aufhalten, hätte jedoch einen anderen Effekt: „Es wird nur verhindern, dass die Öffentlichkeit erfährt, dass diese Syteme verwundbar sind und dass diese Druck auf die Unternehmen ausübt (..), die Sicherheitslöcher zu schließen.“ Das EFF betrachtet diesen Fall als Teil des "Coders Rights" Projekts, dass das EFF ins Leben gerufen hat. Im Rahmen dieser Initiative will die Stiftung sicherstellen, dass Entwickler ihre Forschung unbehindert von juristischen Angriffen vorantreiben können.





