Pwned: Studerende hacker internet-brevstemmer til USA's midtvejsvalg

Et forsøg på at modernisere brevstemmerne til midtvejsvalget i USA er gået helt galt. Studerende fik hacket websiden på kort tid, så muligheden for internet-valg bliver nu droppet.

Amerikanske soldater i udlandet og andre langt fra valgkredsen får ikke mulighed for at stemme til midtvejsvalget i november via internettet, men må brevstemme på normal vis.

Det blev resultatet af en test af et nyt valgsystem på nettet, der ellers skulle have afløst brevstemmerne. Valgmyndighederne i Washington åbnede for websiden og lancerede en konkurrence, der ville belønne dem, som kunne påvise sikkerhedsproblemer.

Testen viste sig at være en god idé, for inden for 36 timer havde it-studerende fra universitetet i Michigan fået fuld kontrol over serverne ved at udnytte en shell-injection-sårbarhed. Det skriver Wired.com.

En stemme skulle afgives ved at uploade en særlig pdf-fil til serveren, som så krypterede den og gemte resultatet. Men de studerende fandt ud af, at systemet afviklede kommandoer i filnavnet på pdf-filen og kunne på den måde tage fuld kontrol over systemet, skriver en datalogi-professor fra universitetet i en gennemgang. Angrebet gav adgang til både brugernavn og password til databasen, samt nøglen til krypteringen af filerne.

Efter det vellykkede hack kunne de studerende ikke blot se alle afgivne stemmer, men også ændre dem og installere software på serveren, der manipulerede valghandlingen løbende. For at sætte trumf på, satte de studerende valg-websiden til at afspille universitetets kampsang for de besøgende efter 15 sekunder.

Alligevel tog det flere dage for myndighederne bag testen at opdage, at systemet var under andres kontrol, hvilket får hacker-holdet fra Michigan til at konkludere, at der ikke var installeret særligt gode værktøjer til at overvåge, om der var hackere på færde.

Myndighederne har efter den pinlige episode taget test-serveren offline og afblæser nu alle intentioner om at vælgerne skal kunne aflevere brevstemmerne digitalt til midtvejsvalget. I stedet skal de nu printe pdf-filen ud, og sende dem med post eller fax, eller sende pdf-filen med en e-mail.

Den kendte it-sikkerheds-ekspert Bruce Schneier skriver i et blogindlæg, at metoden med at lægge et system ud til offentligt bombardement er farlig. Er der sikkerhedshuller i systemet, vil det blive opdaget, hvis nogen finder dem og fortæller om dem i test-perioden. Men det kan ligeså vel ske, at nogle huller ikke bliver opdaget, og så vil testen give en følelse af falsk sikkerhed.

»Bare fordi et system kan modstå en sådan test, betyder det ikke, at det er sikkert. Vi ved ikke, hvem som forsøgte. Vi ved ikke, hvad de forsøgte. Vi ved ikke, hvor længe de forsøgte. Og vi ved ikke, om nogen, som forsøger smartere, hårdere og længere, vil kunne bryde ind i systemet,« skriver han.

Læserne af bloggen kommenterer i øvrigt også det absurde i at sende hemmelige brevstemmer via e-mail og fax.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (12)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#3 Kristian Lund

Den kryptiske sætning:

"...systemet afviklede kommandoer i filnavnet på pdf-filen..." (Er filsystemet også en vitual machine, eller hvad sker der?)

Betyder:

"...the server executes the command gpg with the name of this temporary file as a parameter [and] keeps whatever file extension the voter provided"

Altså - brugeren fik lov til, via et fil-(efter)-navn at køre de kommandoer de havde lyst til på serveren.

  • 0
  • 0
#4 Morten K. Thomsen

Hej Lars

Version2 er skam et seriøst medie, og vi diskuterede da også en del frem og tilbage, hvorvidt "Pwned:" skulle med i overskriften eller ej. Vi skal nok have dit input med i baghovedet, næste gang diskussionen dukker op.

Vh Morten redaktør, Version2.

  • 0
  • 0
#5 Peter Mogensen

Hej Morten,

Overskriften rør mig skam ikke. Men jeg ville håbe at et seriøst medie ville gøre noget seriøst ved den problemstilling, der generelt er om dette emne og sætte spot på at politikere åbenbart er så ivrige efter at være fremme i "IT-skoene" at de igen og igen slår på tromme for digitale valg og komplet ignorerer at fagkundskaben påpeger at det er et utopia uden at gå på kompromis med basale demokratiske principper omkring valghandlingen.

Hvorfor er det vi aldrig hører en politiker forholde sig til de tekniske fakta på det her område?

  • 0
  • 0
#6 Torben Mogensen Blogger

Den kendte it-sikkerheds-ekspert Bruce Schneier skriver i et blogindlæg, at metoden med at lægge et system ud til offentligt bombardement er farlig. Er der sikkerhedshuller i systemet, vil det blive opdaget, hvis nogen finder dem og fortæller om dem i test-perioden. Men det kan ligeså vel ske, at nogle huller ikke bliver opdaget, og så vil testen give en følelse af falsk sikkerhed.

Et endnu værre scenario er, at nogen opdager et sikkerhedshul men i stedet for at fortælle om det, udnytter sikkerhedshullet til egen fordel. For eksempel til at give deres foretrukne kandidater en fordel i valgkampen.

  • 0
  • 0
#7 Robert Larsen

Hvis de har: <?php shell_exec("gpg $filename"); ?>

..og $filename er "vote.pdf", så går det godt. Men hvis $filename er "vote.pdt; adduser h4xor", så går det nok også godt, men gør lidt mere end forventet.

  • 0
  • 0
#9 Claus Nielsen

Jeg må indrømme at jeg ikke forstår Bruce Schneiers argument, hvis han refererer til det at lægge systemet ud til test. Systemet vil være lige så sårbart overfor et angreb, hvis det først bleve lagt ud når det skulle bruges i praksis og hullet ville derfor have kompromitteret et utal af stemmer.

Hvis han refererer til selve det at have et internetbaseret valgsystem er jeg langt mere enig med ham.

  • 0
  • 0
#10 Deleted User

@Claus

Bruce Schneier er næppe begejstret for internet-baserede valgsystemer generelt. Men lige her gik bekymringen på, om metoden med konkurrence/test blev normal og brugt til at erklære systemer for sikre.

En myndighed kunne måske føle, at alt var vel, hvis ingen vandt 'prisen' for at have held med at hacke sig igennem test-sitet. Det er bare langt fra nok, pointerer Bruce.

vh.

Jesper Version2

  • 0
  • 0
Log ind eller Opret konto for at kommentere