MIT : les failles RFID découvertes pourront être publiées

Début août, la célèbre conférence Defcon avait connu un épisode atypique : des étudiants du MIT ( Massachussets Institute of Technology ) qui souhaitaient présenter leurs travaux sur les failles du système de paiment des transports publics de Boston, gérés par la MBTA ( Massachusetts Bay Transportation Authority ), ont été muselés par décision judiciaire.

D'un côté, la MBTA jugeait que cette présentation aurait gravement nui à la sécurité de son système, de l'autre, les étudiants affirmaient qu'ils n'auraient donné que les grandes lignes de leurs travaux, ne permettant pas un piratage direct du système.

Et le juge vient de donner plutôt raison aux étudiants en faisant lever l'interdiction qui pesait sur eux et en rejetant la demande d'une prolongation de cinq mois de silence demandée par la MBTA.  Cette dernière ne compte pas en rester là et prévoit de poursuivre le MIT et ses trois étudiants  pour violation de la loi américaine Computer Fraud & Abuse Act.


Le système est compromis ; faut-il le révéler ?
Cependant, en cassant l'interdiction de divulgation des résultats, le juge leur reconnaît le droit de parler des failles éventuelles découvertes dans le système de paiement sans contact tant qu'ils ne fournissent pas directement les outils pour y parvenir. D'autant plus qu'ils se sont pliés à la demande de la MTBA de retirer certaines informations de leur présentation.

L' Electronic Frontier Foundation, qui a fourni une assistance juridique aux étudiants, maintient la ligne de défense selon laquelle il n'était pas dans leur intention de révéler les détails cruciaux de la manipulation. Du côté de la MTBA, on cherche à gagner du temps pour corriger les failles, ce qui pourrait demander cinq mois.

Cependant, la présentation des étudiants avait déjà commencé à circuler avant l'injonction au silence et a été rapidement diffusée sur Internet.