Riesgos de seguridad de la aplicación de votación estadounidense basada en blockchain bajo presión

La empresa con sede en Massachusetts, Voatz, ha revelado recientemente los riesgos de seguridad de la aplicación de votación estadounidense basada en blockchain, generando críticas desde todos los frentes.

Voatz ha estado promoviendo una aplicación móvil de votación basada en blockchain que ha sido investigada por presentar numerosas vulnerabilidades de seguridad, lo que le ha generado una fuerte crítica pública; estas vulnerabilidades son particularmente graves en cuanto a la seguridad de los datos.

La importancia de controlar estos problemas de seguridad es aún mayor a medida que se acerca la semana electoral en Estados Unidos. El informe sobre la seguridad de la aplicación electoral estadounidense incluye una revisión de seguridad de 122 páginas, con otras 78 páginas adicionales que destacan consideraciones sobre el modelado de amenazas.

Riesgos de seguridad de las aplicaciones de elecciones en EE. UU.: ¿Necesita Voatz blockchain?

La blockchain que utiliza Voatz no se extiende al cliente móvil, generando así riesgos de seguridad en las aplicaciones de elecciones en EE. UU.

El atractivo de esta aplicación blockchain es que no requiere que los votantes confíen en nadie, ya que es un sistema descentralizado; sin embargo, Voatz no extiende esto al público. Voatz utiliza una cadena de bloques Hyperledger como registro de auditoría. Esta no es tecnología blockchain de vanguardia, ya que esto se puede hacer fácilmente con una base de datos que tenga un registro de auditoría.

El informe de auditoría estableció que el sistema Voatz no tiene ninguna mitigación para desanonimizar a los votantes basándose en el período en que emitieron su voto en la aplicación. Voatz afirma que existe una "red de mezcla" (mixnet) que envía la información a la cadena de bloques después de ser anonimizada.

Riesgos de seguridad de las aplicaciones de elecciones en EE. UU.: Los hallazgos del MIT confirman 

Investigadores del Instituto Tecnológico de Massachusetts – MIT publicaron un informe el 13 de febrero que afirmaba que la cadena de bloques de Voatz tenía graves problemas de seguridad, a lo que Voatz respondió más tarde ese mismo día y refutó las afirmaciones del MIT.

Resulta que la respuesta de Voatz fue redactada tres días después de que Trail of Bits verificara ante el MIT la existencia generalizada de vulnerabilidades de seguridad, tras recibir un resumen de los problemas por parte del Departamento de Seguridad Nacional de Estados Unidos.

¿No estaban completos los proyectos anteriores sobre riesgos de seguridad de las aplicaciones de elecciones en EE. UU.?

Este fue el primer informe que realizó una investigación de caja blanca que condujo a estos hallazgos; antes de esto, se realizaron muchos informes, pero no fueron lo suficientemente exhaustivos. Trail of Bits resumió los informes anteriores de la siguiente manera.

Una revisión de seguridad se llevó a cabo en 2019 por NCC, pero como fue privada, no hubo participación de expertos técnicos en seguridad.

En octubre de 2018, ShiftState realizó una amplia revisión de higiene de la arquitectura blockchain, el flujo de datos y las decisiones de mitigación de amenazas; sin embargo, esta revisión no incluyó la búsqueda de errores en la propia aplicación.

La última revisión de seguridad se realizó en octubre de 2019, la cual solo evaluó los recursos en la nube y si la aplicación era vulnerable o no. Los informes anteriores no incluyeron evaluaciones de problemas de seguridad del servidor y del back-end, lo que hizo que los informes previos fueran incompletos.

Por un lado, diferentes estados de EE. UU. están considerando la votación basada en blockchain. Mientras que, por otro lado, el informe de Trail of Bits indica que estos documentos eran meramente técnicos, y el haber pasado por alto estas brechas de evaluación plantea la pregunta de si los funcionarios electos están suficientemente capacitados para leer dichos documentos.