MIT發(fā)現(xiàn)美國選舉漏洞：投票軟件可被黑客修改結(jié)果，隱私也會(huì)暴露
郭一璞 發(fā)自 云凹非寺
量子位 報(bào)道 | 公眾號 QbitAI
一款美國選舉用的投票軟件，被發(fā)現(xiàn)了驚天漏洞，引發(fā)全美上下高度關(guān)注，幾乎所有媒體都在報(bào)道。
這款軟件名叫Voatz，用在2018年西弗吉尼亞州的中期選舉上，另外丹佛、俄勒岡州和猶他州的選舉，選民們也用的是這款軟件。
此外2016年馬薩諸塞州民主黨代表大會(huì)和同年猶他州共和黨代表大會(huì)上上，投票也是用的Voatz。
而MIT CSAIL的研究人員發(fā)現(xiàn)，這款軟件不僅會(huì)泄露投票內(nèi)容，甚至?xí)倏v選民賬戶，投給其他人。
監(jiān)視、中斷、修改投票
MIT的研究人員用逆向工程的方式創(chuàng)建了Voatz軟件的服務(wù)器模型，之后遠(yuǎn)程訪問服務(wù)器，發(fā)現(xiàn)一切都看的清清楚楚，想操縱選舉的黑客可以借助這個(gè)不安全的軟件實(shí)現(xiàn)三件事：
1、看到用戶具體投給了哪位候選人；
2、甚至可以中斷用戶的投票過程；
3、修改用戶的投票，讓這些被控制的用戶成為利益相關(guān)者的“水軍”，投給他們想要的候選人。
因此，一旦有人在互聯(lián)網(wǎng)提供商或未加密的WiFi上做手腳，用戶的軟件就會(huì)中招，而投票結(jié)果，可能就是被操縱的。
開發(fā)Voatz的軟件公司說，為了保證安全性，他們用上了區(qū)塊鏈、生物識(shí)別、基于硬件的網(wǎng)絡(luò)飛地（enclaves）和Mixnets。
雖然提到了區(qū)塊鏈，但研究人員說，Voatz沒有公布任何關(guān)于這個(gè)區(qū)塊鏈如何運(yùn)行的信息，也沒有公開任何源代碼或文檔。
甚至，除了投票漏洞，這款投票軟件還有隱私問題。軟件中的ID驗(yàn)證問題是從外部供應(yīng)商接入的，因此，一旦外部供應(yīng)商出現(xiàn)問題，用戶的照片和駕照等身份數(shù)據(jù)就會(huì)泄露。
發(fā)現(xiàn)漏洞之后，MIT的研究人員迅速通告了美國國土安全部的網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施局（CISA），并和相關(guān)候選人溝通善后。
這樣看來，借助互聯(lián)網(wǎng)做選舉這樣重要的事情，目前還無法保證完全安全。
作者建議此類軟件開源
這項(xiàng)發(fā)現(xiàn)的三位作者，均來自MIT CSAIL。
一作和二作都是在讀博士生。一作Mike Specter，研究系統(tǒng)安全、密碼學(xué)和公共策略的交集，也是谷歌的研究員，在Android安全和隱私團(tuán)隊(duì)工作。
二作James Koppel，目前在CSAIL下面的計(jì)算機(jī)輔助編程團(tuán)隊(duì)，一路從CMU本科讀到MIT碩士再到博士，曾獲無數(shù)獎(jiǎng)金，還開了兩家公司，也曾是一名ACM-ICPC總決賽選手。
對于這項(xiàng)關(guān)于投票軟件的研究，Koppel建議，像Voatz這樣的選舉投票軟件，其代碼和架構(gòu)應(yīng)該是開源的，這樣才能保證選舉的高度透明性。
三作是MIT CSAIL首席科學(xué)家、互聯(lián)網(wǎng)政策研究項(xiàng)目主任Daniel Weitzner，他在MIT教互聯(lián)網(wǎng)公共政策等課程，是互聯(lián)網(wǎng)政策領(lǐng)域影響力巨大的專家。奧巴馬當(dāng)政時(shí)期，他也曾在白宮擔(dān)任美國副CTO，這個(gè)職位也是總統(tǒng)幕僚之一。
傳送門
如果想了解研究細(xì)節(jié)，歡迎查看三位研究者的論文：
The Ballot is Busted Before the Blockchain: A Security Analysis of Voatz, the First Internet Voting Application Used in U.S. Federal Elections
https://internetpolicy.mit.edu/wp-content/uploads/2020/02/SecurityAnalysisOfVoatz_Public.pdf
相關(guān)閱讀
意-2077702592798654487.jpeg)
3個(gè)MIT物理博士沖刺AI制藥第一股，9年融資53億估值143億，輝瑞強(qiáng)生都是客戶
合作項(xiàng)目超500個(gè)，客戶留存率50以上
