Rischi per la sicurezza dell'app per le elezioni USA sotto pressione

L'azienda del Massachusetts, Voatz, i rischi per la sicurezza dell'app per le elezioni USA basata su blockchain, sono stati recentemente portati alla luce e stanno ricevendo critiche da ogni lato.

Voatz ha promosso un'app di voto mobile basata su blockchain che è stata indagata e trovata con molte vulnerabilità di sicurezza, ottenendo così molte critiche pubbliche; le vulnerabilità di sicurezza sono particolarmente gravi per quanto riguarda la sicurezza dei dati.

L'importanza di controllare questi problemi di sicurezza è ancora più importante poiché la settimana delle elezioni si avvicina negli Stati Uniti. Il rapporto sulla sicurezza dell'app di elezione degli Stati Uniti include una revisione di sicurezza di 122 pagine con altre 78 pagine che evidenziano le considerazioni sulla modellazione delle minacce.

Rischi per la sicurezza dell'app per le elezioni USA: Voatz ha bisogno di blockchain?

La blockchain utilizzata da Voatz non si estende al client mobile, creando di conseguenza rischi per la sicurezza dell'app per le elezioni USA.

L'attrazione di questa app blockchain è che non richiede agli elettori di fidarsi di nessuno poiché è un sistema decentralizzato; tuttavia, Voatz non estende questo al pubblico. Voatz utilizza una blockchain Hyperledger come registro di audit. Questa non è tecnologia blockchain all'avanguardia poiché può essere facilmente fatta da un database con un registro di audit.

Il rapporto di audit ha fondato che il sistema Voatz non ha alcun alleviamento per la deanonimizzazione degli elettori basata sul periodo in cui il voto è stato espresso nell'app. Voatz afferma che c'è una “mixnet” che deposita le informazioni sulla blockchain dopo che sono state deanonimizzate.

Rischi per la sicurezza dell'app per le elezioni USA: le conclusioni del MIT confermate 

Il Massachusetts Institute of Technology – ricercatori hanno pubblicato un rapporto il 13 febbraio affermando che la blockchain di Voatz aveva gravi problemi di sicurezza a cui Voatz ha risposto più tardi lo stesso giorno e ha confutato le affermazioni del MIT.

A quanto pare, la risposta di Voatz è stata scritta tre giorni dopo che Trail of Bits ha verificato le vulnerabilità di sicurezza ubiquitarie presso il MIT, dopo aver ricevuto un riepilogo dei problemi dal Dipartimento della Sicurezza Interna degli Stati Uniti.

I precedenti progetti sui rischi per la sicurezza dell'app per le elezioni USA non erano completi?

Questo è stato il primo rapporto a condurre un'indagine white box che ha portato a queste conclusioni; in precedenza, sono stati condotti molti rapporti, ma non erano sufficientemente completi. Trail of Bits ha riassunto i rapporti precedenti come segue.

Una revisione di sicurezza è stata condotta nel 2019 da NCC, ma poiché era privata, non è stato coinvolto alcun esperto tecnico di sicurezza.

Nell'ottobre 2018, ShiftState ha condotto un'ampia revisione dell'igiene dell'architettura blockchain, del flusso dei dati e delle decisioni di attenuazione delle minacce; tuttavia, questa revisione non ha previsto la ricerca di bug nell'applicazione stessa.

L'ultima revisione di sicurezza è stata condotta nell'ottobre 2019, che ha semplicemente valutato le risorse cloud e se l'app fosse vulnerabile o meno. I rapporti precedenti non includevano valutazioni di problemi di sicurezza del server e del back-end, il che ha reso i rapporti precedenti incompleti.

Da un lato, diversi stati degli Stati Uniti stanno prendendo in considerazione il voto basato su blockchain. Dall'altro lato, il rapporto di Trail of Bits afferma che questi rapporti erano meramente documenti tecnici e che la trascuratezza di queste lacune di valutazione solleva la domanda se i funzionari eletti siano sufficientemente qualificati per leggere questi documenti.