QQ在線
企業(yè)微信
資訊
436麻省理工學院工程師團隊的最新研究發(fā)現(xiàn)，在名為Voatz的區(qū)塊鏈投票系統(tǒng)中存在一系列令人震驚的漏洞。對Voatz的Android應(yīng)用程序進行反向工程后，研究人員得出結(jié)論稱，通過入侵選民手機，攻擊者幾乎可以隨意觀察、壓制和更改選票。該論文稱，網(wǎng)絡(luò)攻擊還可能揭示給定用戶在哪里投票，并可能在此過程中壓制投票。
研究人員說，最令人不安的是，破壞了管理Voatz API的服務(wù)器的攻擊者甚至可以在投票到來時更改選票，這在理論上應(yīng)該可以防止分布式分類賬的威脅。
研究人員得出結(jié)論稱：“鑒于本文所討論的失敗的嚴重性，缺乏透明度，選民隱私的風險以及攻擊的瑣碎性質(zhì)，我們建議放棄將這個應(yīng)用程序用于高風險選舉的任何近期計劃?！?/span>
Voatz的基于區(qū)塊鏈的投票項目旨在替代缺席選票，安全研究人員對此表示懷疑，但許多科技界人士表示了濃厚興趣，其獲得了超過900萬美元的風險投資。在Voatz系統(tǒng)下，用戶將通過應(yīng)用程序遠程投票，并通過手機的面部識別系統(tǒng)驗證身份。
Voatz已經(jīng)在美國的一些次要選舉中使用，在2018年西弗吉尼亞選舉中收集了150多張選票。
Voatz 在博客文章中對MIT的發(fā)現(xiàn)提出了質(zhì)疑，稱該研究方法存在“錯誤”。該公司的主要抱怨是，研究人員正在測試Voatz客戶端軟件的過時版本，并且沒有嘗試連接到Voatz服務(wù)器本身。博客文章寫道：“這種有缺陷的方法使關(guān)于其破壞整個系統(tǒng)能力的任何主張無效。”
Voatz的高管在與記者的電話中辯稱，服務(wù)器端保護將阻止受感染的設(shè)備通過身份驗證進入更廣泛的系統(tǒng)。Voatz首席執(zhí)行官Nimit Sawhney說道：“他們的所有主張都基于這樣的想法，因為他們能夠破壞設(shè)備，因此能夠破壞服務(wù)器。而這個假設(shè)是完全錯誤的?！?/span>
Voatz還強調(diào)了允許選民和選舉官員事后核實選票的措施。該公司產(chǎn)品負責人Hilary Braseth說道：“使用Voatz提交的每張選票都會產(chǎn)生紙質(zhì)選票，使用Voatz的每位選民一旦提交，都會收到一張選票?！?/span>
到目前為止，這些解釋并沒有使安全專家印象深刻。約翰·霍普金斯密碼學家Matthew Green在Twitter上指出：“設(shè)備只是將票發(fā)送到服務(wù)器。服務(wù)器可能會將它們放在區(qū)塊鏈上，但是如果設(shè)備或服務(wù)器受到威脅，這將無濟于事。Voatz需要解釋他們?nèi)绾翁幚磉@個問題?！?/span>
Voatz還在博文中指出了其正在進行的漏洞賞金計劃和定期的代碼審查，以證明該應(yīng)用程序具有強大的安全性-但有些研究人員可能不同意。去年10月，該公司因FBI轉(zhuǎn)介事件而備受抨擊，消息人士告訴CNN該事件起源于密歇根大學的選舉安全課程。其他人則批評了Voatz的賞金計劃對研究人員來說是繁重且敵對的，這可能解釋了為什么麻省理工學院的研究人員沒有參加其中。
總體而言，這仍然不是第一次提出有關(guān)Voatz或區(qū)塊鏈投票的安全問題。11月，參議員Ron Wyden（D-OR）寫信給五角大樓，提出對Voatz安全性的擔憂，并要求對該應(yīng)用程序進行全面審核。該請求最終被推遲。Wyden在一份聲明中說道：“網(wǎng)絡(luò)安全專家已經(jīng)明確表明，互聯(lián)網(wǎng)投票是不安全的?，F(xiàn)在距離共和黨人結(jié)束選舉安全禁令和讓國會通過整個選舉系統(tǒng)的強制性安全標準已經(jīng)過去了很長時間?！?/span>
