Riscos de segurança do aplicativo de eleição dos EUA na blockchain sob escrutínio

A empresa sediada em Massachusetts, Voatz, os riscos de segurança do aplicativo de eleição dos EUA na blockchain, foram recentemente revelados e estão gerando controvérsia de todos os lados.

A Voatz tem promovido um aplicativo de votação móvel baseado em blockchain que foi investigado por ter muitas falhas de segurança, gerando muitas críticas públicas, e as falhas de segurança são particularmente graves no que diz respeito à segurança dos dados.

A importância de controlar estes problemas de segurança é ainda mais importante à medida que a semana eleitoral se aproxima nos EUA. O relatório de auditoria sobre a segurança da aplicação eleitoral dos EUA inclui uma revisão de segurança de 122 páginas com mais 78 páginas destacando considerações de modelação de ameaças.

Riscos de segurança do aplicativo de eleição dos EUA: A Voatz não precisa de blockchain?

A blockchain que a Voatz usa não se estende ao cliente móvel, criando, por sua vez, riscos de segurança no aplicativo de eleição dos EUA.

O atrativo desta aplicação blockchain é que não requer que os eleitores confiem em ninguém, pois é um sistema descentralizado; no entanto, a Voatz não estende isso ao público. A Voatz usa uma blockchain Hyperledger como um registro de auditoria. Esta não é uma tecnologia blockchain de ponta, pois isso pode ser facilmente feito por um banco de dados com um registro de auditoria.

O relatório de auditoria fundou que o sistema Voatz não tem qualquer atenuação para desanonimizar eleitores com base no período em que o seu voto foi emitido na aplicação. A Voatz afirma que existe uma “mixnet” que coloca as informações na blockchain após serem anonimizadas.

Riscos de segurança do aplicativo de eleição dos EUA: As descobertas do MIT confirmadas 

Pesquisadores do Instituto de Tecnologia de Massachusetts – MIT publicaram um relatório em 13 de fevereiro alegando que a blockchain da Voatz tinha sérios problemas de segurança, aos quais a Voatz respondeu no mesmo dia e refutou as alegações do MIT.

Como se viu, a resposta da Voatz foi escrita três dias depois que a Trail of Bits verificou as vulnerabilidades de segurança onipresentes no MIT, após receber um resumo dos problemas pelo Departamento de Segurança Interna dos Estados Unidos.

Projetos anteriores de riscos de segurança do aplicativo de eleição dos EUA não estavam completos?

Este foi o primeiro relatório que realizou uma investigação de caixa branca que levou a estas descobertas; antes disso, muitos relatórios foram conduzidos, mas não foram suficientemente abrangentes. A Trail of Bits resumiu os relatórios anteriores da seguinte forma.

Uma revisão de segurança foi conduzida em 2019 pela NCC, mas como foi privada, não houve qualquer emprego de especialistas em segurança técnica.

Em outubro de 2018, a ShiftState conduziu uma revisão ampla de higiene da arquitetura blockchain, o fluxo de dados e as decisões de atenuação de ameaças; no entanto, esta revisão não contou para a procura de bugs na própria aplicação.

A última revisão de segurança foi realizada em outubro de 2019, que apenas avaliou os recursos em nuvem e se o aplicativo era hackeável ou não. Os relatórios anteriores não incluíram avaliações de problemas de segurança do servidor e do back-end, o que tornou os relatórios anteriores incompletos.

Por um lado, diferentes estados dos EUA estão considerando a votação baseada em blockchain. Enquanto, por outro lado, o relatório da Trail of Bits afirma que esses relatórios eram apenas documentos técnicos, e a negligência dessas lacunas de avaliação levanta a questão de se os funcionários eleitos são qualificados o suficiente para ler esses documentos.