在線投票再次受到打擊
Voatz區塊鏈安全的移動投票應用程序受到了麻省理工學院研究人員的砲轟 報導 他們發現了幾個安全漏洞。
麻省理工學院的研究人員說，他們的安全分析指出了一些弱點，這些弱點將使黑客“改變，阻止或揭露個人用戶的投票方式”，給“用戶帶來潛在的隱私問題”，並且透明度有限，從而限制了安全研究人員確保能力應用程序的完整性。
他們在一篇文章中寫道：“我們的調查結果具體說明了反對互聯網投票的常識，以及透明度對選舉合法性的重要性。” 紙 描述他們對Voatz系統的分析。
為了進行分析，麻省理工學院的研究人員對應用程序進行了反向工程，並創建了Voatz服務器的模型。 他們說，該公司的“系統的最小可用文檔”阻止他們在實際投票過程中進行測試，因此他們的研究提出“從應用程序本身可見的選舉過程分析”。
在發布該論文之前，麻省理工學院的研究小組將調查結果交給了國土安全部的網絡安全和基礎設施安全局，該局的搜尋和事件響應小組（HIRT）調查了Voatz網絡環境中是否存在任何當前或先前惡意活動的證據。
根據2019年XNUMX月進行的為期一周的針對Voatz公司和云網絡的評估，CISA沒有發現主動威脅的證據。 Coindesk。 在HIRT report，調查人員說，他們發現了一些可能引起未來擔憂的問題，但總體上，他們讚揚該公司“在使用金絲雀，漏洞賞金，Shodan警報以及積極的內部掃描和紅色團隊合作方面採取了積極措施。”
HIRT並未評估應用程序本身的安全性。
在 博客文章 該公司名為“ Voatz對研究人員的有缺陷的報告的回應”，詳細介紹了該研究中的三個“基本”缺陷。
首先，公司官員說，麻省理工學院的團隊使用了Android版本的Voatz應用程序，該應用程序“在披露之時至少已有27個版本，沒有在選舉中使用。” 其次，該應用程序從未連接到託管在Amazon Web Services和Microsoft Azure雲中的Voatz服務器，從而使研究人員無法向該應用程序註冊，驗證其身份或接收或投票。 第三，該公司表示，研究人員沒有訪問Voatz服務器，而是“偽造了服務器的想像版本”，對服務器的工作方式進行了假設，並做出了“完全錯誤的假設”。
針對研究人員對公司缺乏透明度的抱怨，Voatz說，它與“合格的合作研究人員”合作。 它還強調，在使用Voatz應用程序的所有選舉中-涉及不到600名選民-尚未報告任何問題。
博客說：“現實是，與那些難以投票的人相比，繼續我們的移動投票飛行員對改善可訪問性，安全性和彈性具有最大的希望。”
Voatz應用已在西弗吉尼亞州得到最廣泛的使用。 國務卿Mac Warner首先 測試 合格的海外軍事服務人員可以在2018年2018月的縣級初選中進行缺席投票。該州144年30月的選舉中也使用了該選項，其中有XNUMX個不同國家的XNUMX名選民能夠進行投票。 XNUMX月份，該應用程序將向身體殘障的缺席選民開放。
用戶將應用程序下載到智能手機，通過提供與自拍照匹配的駕駛執照，州ID或護照的照片來驗證其身份。 一旦確認了選民的身份，他們將根據在當地選區獲得的選票進行流動投票。 分佈式分類帳技術可確保在記錄投票後就不會對其進行篡改。 該應用程序也已用於 科羅拉多州 和 猶他州.
CoinDesk聯絡的一位Voatz倡導者說，該應用程序的可訪問性優勢遠超過任何安全風險。 猶他州猶他州的選舉審核員Amelia Powers Gardner監督了她對在國外部署的殘疾選民和服務成員使用Voatz系統的情況，她說，與其他情況下被剝奪公民投票權的團體通過電子郵件投票相比，Voatz系統是更好的選擇。
她告訴Coindesk：“儘管圍繞移動負載的這些擔憂可能是正確的，但它們並沒有達到使我什至質疑移動應用程序使用的安全級別，”
關於作者
Susan Miller是GCN的執行編輯。
在科技媒體領域的職業生涯中，Miller從事編輯，印刷製作和在線工作，從IDG的ComputerWorld的複印台開始，轉為聯邦計算機週的印刷製作，後來幫助為FCW啟動網站和電子郵件通訊。 在弗吉尼亞州的創新技術中心工作之後，她致力於促進基於技術的經濟發展，之後她於1105年重新加入2004 Media，最終管理了公司所有以政府為中心的網站的內容和製作。 Miller在2012年開始與GCN合作時轉而從事社論工作。
Miller擁有西切斯特大學的文學學士和碩士學位，並擁有博士學位。 在特拉華大學以英語工作。
在以下位置與Susan聯繫 [電子郵件保護] or @sjaymiller.
資料來源：https://gcn.com/articles/2020/02/14/mit-voatz-voting-app-security.aspx
