На DEF CON американские терминалы для голосования взломали за 90 минут

Электронное голосование — хорошая вещь. Никаких бумажек, которые часами проверяет специальная комиссия, ни урн для голосования, ничего такого. Современные технологии позволяют избавиться от неразберихи, которая обычно царит на избирательных участках и более-менее упорядочить процесс голосования. Но раз здесь используются электронные терминалы, которые подключены к сети, то существует далеко ненулевая вероятность взлома этих устройств.

И это не просто предположение. На DEF CON ^[1] специалисты по информационной безопасности, которая проходила в Лас-Вегасе, смогли взломать эти терминалы всего за полтора часа, операция заняла даже немного меньше времени. Эти системы использовались во время недавней избирательной президентской кампании, в ходе которой победил Дональд Трамп.

Терминал был взломан удаленно, по беспроводной связи. По словам экспертов по кибербезопасности, все это однозначно указывает на уязвимость такого рода устройств. «Можно не сомневаться — наши системы для голосования слабы и уязвимы. Благодаря усилиям нашего хакерского сообщества мы узнали много нового», — сообщил ^[2] один из участников проекта, предложивший идею взлома терминалов основателю DEFCON Джеффу Моссу в прошлом году.

Насколько можно понять, специалисты не испытывали никаких проблем при взломе системы. После того, как результаты работы были продемонстрированы, один из взломщиков заявил следующее: «Самое пугающее то, что наши зарубежные оппоненты, включая Россию, Северную Корею и Иран, вполне в состоянии взломать такие терминалы…»

Устройства для голосования, которые использовались для проверки уязвимостей были куплены на eBay и различных правительственных аукционах. В некоторых из систем используется устаревшее программное обеспечение, вроде непропатченного OpenSSL, операционок Windows XP и CE. В части систем есть возможность установки стороннего программного обеспечения.

Еще одна проблема заключается в том, что почти все такие терминалы оснащены модулями беспроводной связи, включая WiFi. И как раз WiFi в этом случае плохо защищен от постороннего вмешательства, поскольку кроме WEP здесь больше нет никакой защиты. Исследователи обнаружили открытую уязвимость MS03-026 ^[8] в некоторых из них. Благодаря ее наличию один из взломщиков с DEFCON смог получить доступ к терминалу со своего ноутбука с использованием RDP. Другая система была также взломана удаленно, поскольку ее ПО, OpenSSL, содержало незакрытую уязвимость CVE-2011-4109.

По словам хакеров, сейчас в США используются не все терминалы из проверенных на DEFCON. Некоторые модели уже не входят в список актуальных устройств, так что паниковать не стоит. Но все же к следующим выборам, которые пройдут через 3 с лишним года, стоит подготовиться более серьезно, учитывая возможность взлома.

Напомню, что в январе этого года избранный президент США Дональд Трамп подписал распоряжение о создании специальной комиссии, которая должна изучить ход избирательной кампании 2016 года. Максимум внимания эта комиссия должна уделить возможному вмешательству сторонних сил в ход выборов в стране. Возглавляет комиссию вице-президент Майк Пенс. Он уже заявил, что ожидает многого от «изучения процедур регистрации избирателей и самого голосования, которые использовались в ходе выборов».

Сам Трамп ранее заявлял, что вмешательство в ход выборов в США весьма вероятно. Он также сообщил, что в будущем эту вероятность необходимо исключить, чтобы выборы проходили открыто и прозрачно: «Нам нужна более качественная система, с которой это (вмешательство третьих сил — прим. ред.) не может случиться».

В целом, системы электронного голосования должны быть максимально защищены от взлома, включая как доступ по беспроводной сети, так и возможность подключения каких-либо аппаратных модулей с дальнейшей установкой постороннего программного обеспечения. Если говорить о бумажном голосовании, то это не самый надежный процесс, в таком случае сложно что-либо контролировать. А вот электронное голосование действительно можно сделать более надежным.

Автор: marks

Источник ^[11]