Politico: Лучшие хакеры страны обнаружили уязвимости в машинах для голосования, но не успели их исправить

Хакерская атака, способная помешать выборам, маловероятна, однако эксперты опасаются, что любые уязвимости могут стать поводом для тех, кто захочет поставить результаты под сомнение.

Некоторые из лучших хакеров мира собрались в Лас-Вегасе на выходных, чтобы попытаться взломать машины для голосования, которые будут использоваться на выборах этого года, — все это с целью помочь должностным лицам выявить и устранить уязвимости.

Проблема в том, что их выводы, скорее всего, будут получены слишком поздно, чтобы внести какие-либо исправления до 5 ноября.

В каком-то смысле это нормальный ход событий: каждый август хакеры на конференции DEF CON находят уязвимости в системе безопасности оборудования для голосования, и каждый год длительный и сложный процесс их устранения означает, что ничего не внедряется до следующего избирательного цикла.

Однако безопасность в день выборов в 2024 году находится под особым контролем. Это связано как с растущими опасениями, что иностранные противники найдут способ взломать системы, так и с тем, что необоснованные обвинения президента Дональда Трампа в широкомасштабном мошенничестве в 2020 году подорвали доверие к голосованию среди его сторонников.

В результате многие в сообществе, занимающемся безопасностью выборов, сетуют на то, что не разработана система для более быстрого внедрения исправлений, и беспокоятся, что выявленные в этом году пробелы в безопасности дадут пищу для размышлений тем, кто захочет усомниться в результатах.

«Что касается времени, то трудно вносить какие-либо реальные, крупные, системные изменения, но особенно за 90 дней до выборов», — сказала Кэтрин Терранова, одна из организаторов хакерского мероприятия DEF CON «Voting Village». Она утверждала, что это особенно тревожно в «такой предвыборный год, как этот».

С пятницы по воскресенье хакеры Voting Village толпились вокруг столов с машинами для голосования всех форм и размеров и оборудованием для проверки личности избирателей или подсчета голосов, пытаясь обойти брандмауэры или другие меры безопасности. Неподалеку государственные секретари и другие должностные лица, отвечающие за выборы, давали лекции о дезинформации и угрозах дезинформации, с которыми сталкиваются предстоящие выборы.

Однако в отличие от большинства других мероприятий конференции, Voting Village не находился на главной выставочной площадке. Организаторы заявили, что это решение было необходимо для обеспечения безопасности после многих лет ненависти, которую те, кто считает, что хакеры подрывают демократию, выплескивали на мероприятие в сети. В последние годы лица, связанные с отрицанием выборов, появлялись в Voting Village, чтобы преследовать организаторов и спикеров.

Результаты исследования, которые порой игнорировались или встречали сопротивление со стороны производителей машин для голосования, все чаще принимаются в Вашингтоне, и это событие часто рассматривается как ключ к повышению безопасности машин.

И как и каждый год с момента начала Voting Village почти десять лет назад, участники обнаружили проблемы. Организаторы Voting Village намерены опубликовать полный отчет в ближайшие недели с подробным описанием уязвимостей, обнаруженных в ходе этого цикла, и, по словам соучредителя Voting Village Харри Хурсти, эти уязвимости занимали «несколько страниц» по состоянию на субботу днем. Хотя Хурсти не стал комментировать точные обнаруженные проблемы, их количество было примерно таким же, как и в предыдущие годы.

Эти открытия происходят на фоне продолжающегося иностранного и криминального нацеливания на выборы в США. В 2016 году российские хакеры атаковали кампанию кандидата в президенты от Демократической партии Хиллари Клинтон и взломали базы данных регистрации избирателей в нескольких штатах США. Это уже влияет на этот избирательный цикл, поскольку POLITICO впервые сообщило в субботу, что президентская кампания бывшего президента Дональда Трампа была взломана, взлом приписали Ирану.

Хотя в день выборов не было зафиксировано ни одной иностранной кибератаки, которая бы вывела из строя большое количество машин для голосования, или свидетельств взломов, повлиявших на результаты, риск всегда существует.

«Если вы не думаете, что подобное место работает круглосуточно в Китае или России, вы обманываете себя», — сказал Хурсти, обведя жестом комнату с оборудованием для голосования. «Мы здесь всего два с половиной дня, и мы находим вещи... было бы глупо предполагать, что у противников нет абсолютного доступа ко всему».

Любые неполадки, обнаруженные в этих машинах, большинство из которых используются по крайней мере в одной юрисдикции США, должны быть устранены посредством сложной процедуры, а это займет гораздо больше времени, чем два месяца до всеобщих выборов в ноябре.

Организаторы Voting Village разочарованы тем, что, несмотря на многолетние выводы о нарушениях безопасности, поставщики машин для голосования не предпринимают более оперативных мер по устранению неполадок.

«Есть так много базовых вещей, которые должны происходить, но не происходят, поэтому да, я беспокоюсь о том, что что-то не исправляется, но это не исправляется уже долгое время, и я также злюсь из-за этого», — сказал Херсти во время перерыва в течение дня.

Несмотря на то, что существует надежная система сертификации систем голосования, она длительная.

«Даже если вы обнаружите уязвимость на следующей неделе в современном оборудовании, развернутом на местах, есть проблема с получением исправления и доставкой его должностным лицам государственных и местных выборов и на оборудование до ноябрьских выборов», — сказал Скотт Алгейер, исполнительный директор Центра информационных технологий и анализа информации. Группа служит для компаний в сфере ИТ способом обмена информацией об угрозах.

Алгейер, который также руководит Группой по особым интересам в избирательной индустрии организации, сказал, что процесс включает получение одобрения от производителя машины, затем повторную сертификацию системы соответствующими органами, а затем вход и обновление каждого устройства. Эта сложная последовательность шагов еще больше усложняется тем, что большинство избирательных машин заперты за несколько недель до выборов. 

«Это не 90-дневное исправление. Это не то что Microsoft каждый вторник выпускающий свой патч, и все будет работать отлично», — сказал Алгейер. «Это довольно сложный процесс».

Есть несколько предложений по ускорению процесса, чтобы должностные лица, отвечающие за выборы, не спешили обновлять машины для голосования каждый раз, когда в год выборов проходит DEF CON. Например, некоторые утверждают, что полагаться лишь на одно ежегодное мероприятие на частной конференции — не лучший подход.

Один из вариантов ускорить процесс - это объединить поставщиков машин для голосования с хакерами в более формализованной обстановке. В прошлом году Elections Industry-SIG провела в Вашингтоне мероприятие, которое именно это и сделало, и помогло наладить связи между обычно подозрительной отраслью и исследователями безопасности.

«Мы хотим создать программу, в которой мы сможем работать в партнерстве с исследователями в области безопасности, следуя принципам скоординированного раскрытия уязвимостей», — сказал Алгейер.

А пока для тех, кто в эти выходные заполнил Voting Village и выстроился в очередях в коридорах, это мероприятие служит более высокой цели.

«Возможно, мы не сможем исправить все в нашей избирательной системе за следующие 90 дней, но мы можем начать с прояснения некоторых фактов и понимания того, как работают наши избирательные системы», — сказал Терранова.