联邦调查局本月早些时候披露了外国黑客渗入了伊利诺斯州和亚利桑那州的选民登记系统对某些网络安全专家来说毫不奇怪。
“Given where cybercrime has gone, it’s not too surprising to think about how information risks might manifest themselves during the election season to cause some level of either potential disruption, change in voting, or even just political fodder to add the hype cycle,” says Malcolm Harkins, chief security and trust officer at network security firm Cylance.
越来越关注俄罗斯或其他国家的黑客可能是企图扰乱总统选举鉴于最近的情况肯定是不是很远民主国家委员会总部的数据泄露。事实上，根据关键基础设施技术研究所的一份报告，骚扰选举令人震惊的容易，网络安全智库。
在大多数情况下，电子投票系统“只不过是裸骨，十年旧计算机系统缺乏甚至是基本的终点安全性，”根据该报告。安全漏洞每四年讨论一次，但对问题的注意力很少。报告结束，“这是在选举过程”网络，技术和物理安全“中完整大修的时候了。
本月早些时候，联邦调查局向全国各地的选举官员报告了最新的调查结果，并敦促他们采取新的措施来加强计算机系统的安全。
伊利诺伊州选举委员会官员报告说，从6月23日开始攻击近20万名选民的信息。两周后发现了违规行为。官员表示，没有删除或修改任何文件，也没有投票历史信息或数字签名图像。但是，黑客确实可以访问选民的司机牌照号码和社会安全号码的最后四位数字。在亚利桑那州，攻击影响了更少的选民文件，官员上周表示，攻击中没有删除任何数据。
虽然选民数据库与投票系统是分开的，但网络安全专家说，选民数据库遭黑客攻击暴露了一个更大的漏洞。Gigamon首席执行官保罗·胡珀(Paul Hooper)表示:“对州选举系统的黑客攻击增加了这场战斗的风险，这是一个危险的信号，表明传统的防御手段无法解决问题。”“这些系统必须是无法被黑客攻破的，这样我们才能在今年秋天获得完全的信任。”
选举系统仍然易受攻击，部分原因是该系统取决于联邦，州和地方当局，每个当局都拥有自己的系统，软件，硬件和安全协议。
找到漏洞
FBI报告称，黑客发现了一个SQL注入漏洞，并利用SQLmap攻击了伊利诺伊州选民登记网站并获得了数据。黑客使用了七个可疑的IP地址，选举委员会被要求检查他们的日志中是否有类似的活动。
“在这些情况下，他们是通过旧的Web应用程序漏洞受到攻击的，”安全记分卡的首席研究官Alex Heid说。“在2000年代早期到中期编写的Web应用程序现在仍然在网上，而且通常仍然存在那个时代遗留下来的漏洞。那些为任何类型的注册提供在线门户的州都希望确保他们的网络应用符合当前的(安全)标准。”
RedSeal的首席执行官雷·罗斯罗克(Ray Rothrock)建议，这些脆弱的资产应该离线。“没人说市政厅的电脑需要上网，”他说。正如过时的国税局系统已经被破坏了一样，“你不能为了安全一直给旧系统打补丁，你实际上必须构建一些东西，并从战略上考虑它，”罗斯罗克说。
政府提出帮助各国通过分散联邦网络安全专家可以通过分散来保护其选民数据库和选举制度可以扫描投票系统中的漏洞，并提供其他资源以帮助保护它们。
“我认为这不一定有助于事情，Heid说。“如果政府对自己进行评估 - 甚至在该计划中一小组个人的风险，即使是合法的意图，也会导致问题。”
两害相权取其轻:保密性或完整性/可用性
哈金斯认为，选举安全风险远远超出了最近的选民数据库攻击和终端安全解决方案。
“你投票的保密性很重要，但这不会改变选举。然而，诚信和可用性风险可能会改变选举的结果，”哈金斯说，不是通过操纵选票，而是通过影响能力去投票。他说，例如，在拥有选民数据库、没有纸质备份的城市，网络窃贼可能会用比特币赎金加密文件并持有投票权。
Harkins补充说，在选举日的高度时，有更简单的方法来扰乱投票。在发生电子投票的学校削减电力，没有纸张备份，可以停止投票数小时，许多选民将转身离开。
电子投票机本身也有被篡改的危险。调查报告显示，乔治亚州、特拉华州、路易斯安那州、南卡罗莱纳州和新泽西州都使用了电子投票机，因此无法对投票结果进行事后审计。摇摆州，如宾夕法尼亚和弗吉尼亚，不依赖产生书面记录的机器。据支持投票机透明化的“验证投票”(Verified Voting)称，宾夕法尼亚州67个县中有47个县使用电子投票机，没有可验证的书面审计记录。
Harkins说:“你必须加固这些系统，防止影响系统可用性的入侵或攻击，然后你必须考虑这些系统的冗余性。”
还必须检查投票的完整性。选民在投票上选择的名称是否与纸张打印出来？它是否与存储在投票机中的电子版本匹配？Harkins说，即使是2000年佛罗里达州选举中的投票争议也叙述了2000年的规则，流程和监督。还记得悬挂的乍得吗？“用于数字投票的逻辑相当于什么是什么？”
光学与现实
Dimitri Sirota表示，选民数据库泄露的光学系统可能比黑客自己更糟糕。他说：“今天，外国人不能完全改变选举，因为投票数目如何在各国和民意调查中分散，”他说。然而，“他们肯定会颠覆对选举的信心。”事实上，发现可能是故意试图被发现的，他补充道。
伊利诺伊州也许是最简单的解决方案，即转移未来选举黑客。在电视采访中，州立选举委员会的一般法律顾问，州的投票机没有与互联网联系在一起。“通过保持该系统离开互联网，您可以从互联网黑客保护它。”
这个故事，“网络安全可以拯救11月的选举？”最初是发表的方案 。