블록체인 미국 선거 앱 보안 위험에 불

매사추세츠 소재 기업인 Voatz의 블록체인 미국 선거 앱 보안 위험이 최근 드러나며 모든 측면에서 뜨거운 논란을 불러일으키고 있습니다.

Voatz는 많은 보안 허점이 있는 블록체인 모바일 투표 앱을 홍보해 왔으며, 이로 인해 많은 공공 비판을 받았고, 특히 데이터 보안과 관련하여 보안 허점이 심각합니다.

이러한 보안 문제를 통제하는 중요성은 미국에서 선거 주가 가까워짐에 따라 더욱 중요해집니다. 미국 선거 앱의 보안에 대한 감사 보고서에는 122페이지의 보안 검토와 추가적인 78페이지의 위협 모델링 고려 사항이 포함되어 있습니다.

미국 선거 앱 보안 위험: Voatz는 블록체인이 필요하지 않은가?

Voatz가 사용하는 블록체인은 모바일 클라이언트에 확장되지 않아, 결과적으로 미국 선거 앱 보안 위험을 생성합니다.

이 블록체인 앱의 매력은 탈중앙화된 시스템이기 때문에 유권자가 누구도 신뢰할 필요가 없다는 점이지만, Voatz는 이를 대중에게 확장하지 않습니다. Voatz는 감사 로그로 하이퍼레저(Hyperledger) 블록체인을 사용합니다. 이는 감사 로그가 있는 데이터베이스로 쉽게 수행할 수 있으므로 최첨단 블록체인 기술이 아닙니다.

감사 보고서에 따르면 Voatz 시스템은 앱에서 투표가_cast된 기간에 기반하여 유권자의 익명성을 해제하는 완화 조치가 없습니다. Voatz 는 익명화된 후 정보가 블록체인에 도달하는 "믹스넷(mixnet)"이 있다고 주장합니다.

미국 선거 앱 보안 위험: MIT의 발견 확인 

매사추세츠 공과대학교(MIT) 연구자들은 2월 13일 Voatz의 블록체인에 주요 보안 문제가 있다는 보고서를 발표했으며, Voatz는 같은 날 나중에 이에 대해 반박했습니다.

결과적으로, Voatz의 응답은 미국 국토안보부로부터 문제 요약서를 받은 후 Trail of Bits가 MIT에 보편적인 보안 취약점을 확인한 3일 후에 작성되었습니다.

이전의 미국 선거 앱 보안 위험 프로젝트는 불완전했는가?

이것은 이러한 발견으로 이어진 화이트 박스 조사를 수행한 첫 번째 보고서였으며, 그 이전에는 많은 보고서가 수행되었지만 충분히 포괄적이지 않았습니다. Trail of Bits는 이전 보고서들을 다음과 같이 요약했습니다.

2019년에 NCC에 의해 보안 검토가 수행되었지만 사적이었기 때문에 기술 보안 전문가의 고용이 없었습니다.

2018년 10월, ShiftState는 블록체인 아키텍처, 데이터 흐름 및 위협 완화 결정에 대한 광범위한 위생 검토를 수행했지만, 이 검토는 애플리케이션 자체의 버그 검색을 포함하지 않았습니다.

마지막 보안 검토는 2019년 10월에 수행되었으며, 이는 클라우드 자원과 앱이 해킹 가능한지 여부를 평가하는 데 그쳤습니다. 이전 보고서에는 서버 및 백엔드 보안 문제에 대한 평가가 포함되지 않아 이전 보고서들이 포괄적이지 않았습니다.

한편으로, 다양한 미국 주들 블록체인 기반 투표를 고려하고 있습니다. 한편으로, Trail of Bits 보고서는 이러한 보고서들이 단순히 기술 문서였으며, 이러한 평가 허점들을 간과하는 것이 선출된 공무원들이 이러한 문서를 읽을 만큼 충분히 자격이 있는지 의문을 제기한다고 말합니다.