Voatz: уязвимостите на мобилното блокчейн гласуване в САЩ

Основни открития на изследователите

Изследователите Майкъл Спектър и Джеймс Копъл, ръководени от Даниел Уайцнер, установяват, че компрометиране на сървъра би могло лесно да позволи промяна на гласове, а мрежов наблюдател — например доставчик на интернет услуги — може да засече модела на гласуване на потребителя.

Спектър предупреждава конкретно: „пасивен мрежов противник... би могъл да разкрие как сте гласували при определени конфигурации“ — пряка заплаха за тайната на вота, основен принцип на демократичните избори.^[2]

a passive network adversary...could detect which way you voted in some configurations^[2]

Реакция и по-нататъшна употреба

Приложението вече е било използвано на изборите за конгрес в Уест Върджиния през 2018 г., в Денвър, Орегон и Юта, както и на партийни конвенции в Масачузетс и Юта през 2016 г., но не е използвано на кокусите в Айова през 2020 г.

Изследователите координират разкритието с Агенцията за киберсигурност и инфраструктурна сигурност на Министерството на вътрешната сигурност на САЩ, а Уайцнер обобщава изводите: „трябва да се уверим, че системите за гласуване отговарят на високи технически и оперативни стандарти за сигурност, преди да бъдат внедрени“.^[3]

we must assure that voting systems meet high technical and operation security standards before deployment

Отказът на Западна Вирджиния

Приложението е мобилно гласуване предимно за военнослужещи в чужбина, а на изборите в Западна Вирджиния през 2018 г. с него са отчетени по-малко от 200 бюлетини.^[4] Седмици след доклада на MIT щатът решава да не използва Voatz на предстоящите първични избори през май: според главния юрисконсулт на държавния секретар Доналд Кърси анализът „ги кара да се замислят достатъчно“.^[5] Вместо това Западна Вирджиния избира системата на Democracy Live, с която избирателите попълват бюлетината онлайн или я разпечатват и изпращат по пощата.^[6]

Voatz оспорва методите на изследователите и ги обвинява, че действат „недобросъвестно“, като изтъква, че в девет пилотни избора приложението не е имало проблеми.^[7] Изследователите от своя страна обясняват, че е трябвало да анализират приложението чрез обратно инженерство, защото компанията не допуска прозрачни тестове от трети страни.^[8]

Доказателства към твърденията

1. MIT researchers identify security vulnerabilities in voting app
   дата на публикуване

   дата на изследването

   Отвори източника
2. MIT researchers identify security vulnerabilities in voting app
   заплаха за тайната на вота

   цитат на Майкъл Спектър

   Отвори източника
3. MIT researchers identify security vulnerabilities in voting app
   препоръка на изследователите

   цитат на Даниел Уайцнер

   Отвори източника
4. After damaging report, W.Va. moves away from voting app
   употреба през 2018

   по думите на щатските власти

   Отвори източника
5. After release of MIT security report, West Virginia will no longer use voting app Voatz
   решението

   Доналд Кърси

   Отвори източника
6. After release of MIT security report, West Virginia will no longer use voting app Voatz
   заместваща система

   Democracy Live

   Отвори източника
7. After damaging report, W.Va. moves away from voting app
   отговор на Voatz

   и „no reported issues over nine pilot elections“

   Отвори източника
8. After damaging report, W.Va. moves away from voting app
   метод на изследването

   изследователите от MIT

   Отвори източника