Контакты
Подписка 2024

Information Security №1/2018: Главные риски в онлайн-голосовании: мнение охотника за киберугрозами

Ekaterina Danilina, 03.05.18

emm

 

Дэвид Эмм, ведущий антивирусный эксперт, центр глобальных исследований и анализа угроз “Лаборатория Касперского”

 

 

В конце прошлого года NASA проводило онлайн-голосование, чтобы выбрать имя для космического объекта -- небольшого обледенелого астероида, бороздящего далекие просторы нашей Солнечной системы. Его фотографию еще только предстоит сделать станции New Horizons, но уже сейчас тысячи людей узнали о существовании нового космического тела. Образование, вовлеченность, осведомленность -- все это стало реальным из-за одной только возможности нажать кнопку и выбрать понравившийся вариант имени астероида. Добро пожаловать в мир электронного голосования!

В основе этого фундаментального процесса -- предоставление людям возможности выражать свое мнение и делать выбор. И это неотъемлемое и крайне важное право, даже если речь идет о присвоении имени каменным глыбам в космосе. Голосование, вне зависимости от сферы или целей, всегда было сопряжено с ошибками, манипуляциями и саботажем. С переносом процесса в онлайн-пространство появляются новые угрозы и в то же время -- предпосылки для нового, более высокого уровня защиты. Когда "Лаборатория Касперского" только начинала разработку платформы Polys для электронного голосования на базе блокчейна, то авторы идеи в первую очередь обратились к нашим антивирусным экспертам, чтобы выявить потенциальные киберугрозы и уязвимости, связанные с процедурой онлайн-голосования, и определить методы борьбы с ними. И вот к каким выводам мы пришли.

Дивный новый мир

Электронное голосование в силу своей сущности предполагает использование онлайн-платформы и цифровых устройств для выражения мнения. Этот вариант волеизъявления обладает целым набором преимуществ. Среди них -- возможность участия большего количества людей, удобство процедуры для участников, большая надежность и автоматизированный подсчет результатов.

Но, как и в случае с любым процессом, происходящим онлайн, электронное голосование потенциально может быть связано с определенными рисками. Многие из них аналогичны тем, которые случаются офлайн, к примеру продажа голосов. Другие же, напротив, присущи лишь цифровой среде. Сюда входят хакерские и DoS-атаки. Кроме того, поскольку голосование происходит без непосредственного наблюдения, возрастает и риск принуждения к участию в нем.

Исследовав эту относительно новую сферу, мы обнаружили ряд проблем, которые необходимо решить, прежде чем запускать в открытое использование любую платформу для электронного голосования. Безусловно, приоритет номер один в данном случае -- обеспечить безопасную процедуру аутентификации.

Угрозы для самого процесса онлайн-голосования

Неэффективная процедура идентификации голосующего может крайне негативно сказаться на надежности всей системы электронного голосования.  На примере банковских операций и онлайн-платежей мы знаем, что взлом системы идентификации может обернуться мошенничеством и воровством данных. Участники онлайн-голосования могут подвергнуться риску в случае, если их устройства будут заражены вредоносными программами, крадущими учетные данные, или если они столкнутся с фишинговыми документами, имитирующими регистрацию или форму для голосования. Все эти сценарии могут закончиться кражей голосов. Вне зависимости от того, какой подход используется для идентификации и аутентификации, в нем должны применяться надежные защитные решения.

Кроме того, существует риск слежки. Электронное голосование может предоставить дополнительные возможности для определения участников через их устройства или IP-адреса, и это ставит под угрозу анонимность людей. Проблема должна быть решена в рамках любой платформы для электронного голосования, поскольку при определенных обстоятельствах вероятность раскрытия личности может даже нести угрозу жизни человека.

Другой проблемой может стать голосование по принуждению. Сложно понять истинные намерения человека, если он участвует в голосовании дистанционно с помощью мобильного телефона. Решением в данном случае могла бы стать система электронного голосования, в которой пользователям разрешалось бы неоднократно менять сделанный выбор по собственному усмотрению. При этом учитывался бы окончательный, последний вариант. Такой подход также смог бы предотвратить продажу голосов. Когда процесс изменения выбора становится проще для человека, экономическая подоплека потенциальной продажи его голоса исчезает.

В условиях, когда сведения о голосах хранятся онлайн (возможно, в облаке), существует риск того, что преступники завладеют промежуточными результатами и смогут использовать их для манипулирования исходом голосования. Сквозное шифрование всех данных позволит предотвратить такое развитие событий при условии, что ключи дешифровки хранятся у нескольких человек или определенной организации.

В свою очередь, взломанный сервер может быть настроен на отклонение голосов в пользу определенного выбора или кандидата как в процессе голосования, так и во время подведения результатов. В качестве меры противодействия в этом случае могут использоваться бюллетени по типу черного ящика, которые передают зашифрованную информацию о голосах таким образом, что никто не может узнать содержимое сообщений. Примечательно, что подведение итоговых результатов эта мера никак не затрудняет.

Среди других опасностей, связанных с проведением электронного голосования, можно назвать подделку сертификатов, используемых для аутентификации пользователей и регистрации их голосов, а также взлом пользовательских ключей с целью хищения голосов отдельных участников или целых групп. Шифрование и продуманный подход к защите, которая охватит все используемые в процессе механизмы и системы, будут иметь крайне важное значение для предотвращения таких проблем.

Угрозы для устройств, используемых при голосовании

Устройства, которые используются для голосования, к примеру смартфоны или компьютеры, сами по себе уязвимы для целого ряда угроз, включая заражение вредоносным ПО, физическое повреждение и кражу. Организаторы электронного голосования должны применять систему безопасности, которая могла бы учитывать, что не все пользователи должным образом защищают свои устройства, а также хранящуюся на них информацию с помощью надежных паролей или специальных решений. Другими словами, организаторы голосования должны позаботиться о защите устройств всех участников этого процесса.

Угрозы для платформ онлайн-голосования

Атаки, целью которых являются сами площадки для голосования или поддерживающие их работоспособность интернет- и телеком-провайдеры, вероятно, самые опасные и разрушительные из всех возможных угроз. 

Возьмем для примера DoS-атаку (хотя в некоторых случаях она может произойти случайно), которая ставит под угрозу доступность площадки для голосования. Так, если процесс подачи голосов становится слишком медленным, сбой, связанный с появившимся отставанием, может дать о себе знать уже во время идентификации и входа пользователей в систему. А значит, они не смогут проголосовать.

Неизбежное будущее

Мир меняется, и все больше людей выходит в Интернет, предпочитая решать любые свои дела онлайн. Электронное голосование -- это логичное продолжение и развитие традиционного процесса волеизъявления. Оно помогает решить проблему низкой явки и обеспечить учет голосов тех, кто по каким-то причинам не может присутствовать на офлайн-голосовании. Электронное голосование способствует сплочению сообществ, университетов, компаний и участников конференций. Нам лишь нужно обеспечить защиту этого нового процесса от любых возможных угроз, чтобы мир мог воспользоваться всеми открывающимися преимуществами.

Темы:Информационная безопасностьБлокчейнБлокчейн и криптовалютаЛаборатория КасперскогоТехнологииinformation securityLK

Еще темы...