QQ在線
企業(yè)微信
資訊
384麻省理工學(xué)院工程師團(tuán)隊(duì)的最新研究發(fā)現(xiàn)，在名為Voatz的區(qū)塊鏈投票系統(tǒng)中存在一系列令人震驚的漏洞。對(duì)Voatz的Android應(yīng)用程序進(jìn)行反向工程后，研究人員得出結(jié)論稱，通過(guò)入侵選民手機(jī)，攻擊者幾乎可以隨意觀察、壓制和更改選票。該論文稱，網(wǎng)絡(luò)攻擊還可能揭示給定用戶在哪里投票，并可能在此過(guò)程中壓制投票。
研究人員說(shuō)，最令人不安的是，破壞了管理Voatz API的服務(wù)器的攻擊者甚至可以在投票到來(lái)時(shí)更改選票，這在理論上應(yīng)該可以防止分布式分類賬的威脅。
研究人員得出結(jié)論稱：“鑒于本文所討論的失敗的嚴(yán)重性，缺乏透明度，選民隱私的風(fēng)險(xiǎn)以及攻擊的瑣碎性質(zhì)，我們建議放棄將這個(gè)應(yīng)用程序用于高風(fēng)險(xiǎn)選舉的任何近期計(jì)劃。”
Voatz的基于區(qū)塊鏈的投票項(xiàng)目旨在替代缺席選票，安全研究人員對(duì)此表示懷疑，但許多科技界人士表示了濃厚興趣，其獲得了超過(guò)900萬(wàn)美元的風(fēng)險(xiǎn)投資。在Voatz系統(tǒng)下，用戶將通過(guò)應(yīng)用程序遠(yuǎn)程投票，并通過(guò)手機(jī)的面部識(shí)別系統(tǒng)驗(yàn)證身份。
Voatz已經(jīng)在美國(guó)的一些次要選舉中使用，在2018年西弗吉尼亞選舉中收集了150多張選票。
Voatz 在博客文章中對(duì)MIT的發(fā)現(xiàn)提出了質(zhì)疑，稱該研究方法存在“錯(cuò)誤”。該公司的主要抱怨是，研究人員正在測(cè)試Voatz客戶端軟件的過(guò)時(shí)版本，并且沒(méi)有嘗試連接到Voatz服務(wù)器本身。博客文章寫(xiě)道：“這種有缺陷的方法使關(guān)于其破壞整個(gè)系統(tǒng)能力的任何主張無(wú)效?！?/span>
Voatz的高管在與記者的電話中辯稱，服務(wù)器端保護(hù)將阻止受感染的設(shè)備通過(guò)身份驗(yàn)證進(jìn)入更廣泛的系統(tǒng)。Voatz首席執(zhí)行官Nimit Sawhney說(shuō)道：“他們的所有主張都基于這樣的想法，因?yàn)樗麄兡軌蚱茐脑O(shè)備，因此能夠破壞服務(wù)器。而這個(gè)假設(shè)是完全錯(cuò)誤的。”
Voatz還強(qiáng)調(diào)了允許選民和選舉官員事后核實(shí)選票的措施。該公司產(chǎn)品負(fù)責(zé)人Hilary Braseth說(shuō)道：“使用Voatz提交的每張選票都會(huì)產(chǎn)生紙質(zhì)選票，使用Voatz的每位選民一旦提交，都會(huì)收到一張選票?！?/span>
到目前為止，這些解釋并沒(méi)有使安全專家印象深刻。約翰·霍普金斯密碼學(xué)家Matthew Green在Twitter上指出：“設(shè)備只是將票發(fā)送到服務(wù)器。服務(wù)器可能會(huì)將它們放在區(qū)塊鏈上，但是如果設(shè)備或服務(wù)器受到威脅，這將無(wú)濟(jì)于事。Voatz需要解釋他們?nèi)绾翁幚磉@個(gè)問(wèn)題?！?/span>
Voatz還在博文中指出了其正在進(jìn)行的漏洞賞金計(jì)劃和定期的代碼審查，以證明該應(yīng)用程序具有強(qiáng)大的安全性-但有些研究人員可能不同意。去年10月，該公司因FBI轉(zhuǎn)介事件而備受抨擊，消息人士告訴CNN該事件起源于密歇根大學(xué)的選舉安全課程。其他人則批評(píng)了Voatz的賞金計(jì)劃對(duì)研究人員來(lái)說(shuō)是繁重且敵對(duì)的，這可能解釋了為什么麻省理工學(xué)院的研究人員沒(méi)有參加其中。
總體而言，這仍然不是第一次提出有關(guān)Voatz或區(qū)塊鏈投票的安全問(wèn)題。11月，參議員Ron Wyden（D-OR）寫(xiě)信給五角大樓，提出對(duì)Voatz安全性的擔(dān)憂，并要求對(duì)該應(yīng)用程序進(jìn)行全面審核。該請(qǐng)求最終被推遲。Wyden在一份聲明中說(shuō)道：“網(wǎng)絡(luò)安全專家已經(jīng)明確表明，互聯(lián)網(wǎng)投票是不安全的?，F(xiàn)在距離共和黨人結(jié)束選舉安全禁令和讓國(guó)會(huì)通過(guò)整個(gè)選舉系統(tǒng)的強(qiáng)制性安全標(biāo)準(zhǔn)已經(jīng)過(guò)去了很長(zhǎng)時(shí)間?！?/span>
