Массачусетское предприятие Voatz, риски безопасности блокчейн-приложения для выборов в США, недавно были раскрыты и вызывают жаркие дискуссии со всех сторон.
Voatz продвигает мобильное приложение для голосования на блокчейне, которое, как было установлено, имеет множество уязвимостей безопасности, что вызвало много общественной критики, причем уязвимости особенно серьезны в отношении безопасности данных.
Важность контроля этих проблем безопасности становится еще более актуальной, поскольку в США приближается неделя выборов. Отчет аудита безопасности приложения для выборов в США включает 122-страничный обзор безопасности и дополнительные 78 страниц, посвященных соображениям моделирования угроз.
Риски безопасности приложения для выборов в США: нужен ли Voatz блокчейн?
Блокчейн, который использует Voatz, не распространяется на мобильный клиент, что, в свою очередь, создает риски безопасности приложения для выборов в США.
Привлекательность этого блокчейн-приложения заключается в том, что оно не требует от избирателей доверия кому-либо, так как это децентрализованная система; однако Voatz не распространяет это на публику. Voatz использует блокчейн Hyperledger в качестве журнала аудита. Это не передовая технология блокчейна, так как это можно легко сделать с помощью базы данных с журналом аудита.
В отчете аудита было обнаружено, что система Voatz не имеет никаких средств смягчения риска деанонимизации избирателей на основе периода, в течение которого они голосовали в приложении. Voatz утверждает, что существует «микснет», который помещает информацию в блокчейн после ее анонимизации.
Риски безопасности приложения для выборов в США: выводы MIT подтверждены
Исследователи Массачусетского технологического института (MIT) опубликовали отчет 13 февраля, в котором утверждалось, что блокчейн Voatz имеет серьезные проблемы безопасности, на что Voatz ответил позже в тот же день и опроверг утверждения MIT.
Как оказалось, ответ от Voatz был написан через три дня после того, как Trail of Bits подтвердила MIT повсеместные уязвимости безопасности после получения сводки проблем от Министерства внутренней безопасности США.
Предыдущие проекты по рискам безопасности приложения для выборов в США были неполными?
Это был первый отчет, в котором проводилось расследование с белым ящиком, приведшее к таким выводам; до этого было проведено множество отчетов, но они не были достаточно всеобъемлющими. Trail of Bits обобщила предыдущие отчеты следующим образом.
Аудит безопасности был проведен в 2019 году компанией NCC, но поскольку он был закрытым, не было привлечено технических экспертов по безопасности.
В октябре 2018 года ShiftState провела всеобъемлющий обзор гигиены архитектуры блокчейна, потока данных и решений по смягчению угроз; однако этот обзор не включал поиск ошибок в самом приложении.
Последний аудит безопасности был проведен в октябре 2019 года, который лишь оценивал облачные ресурсы и то, можно ли взломать приложение или нет. Предыдущие отчеты не включали оценку проблем безопасности серверов и бэкенда, что сделало предыдущие отчеты неполными.
С одной стороны, различные штаты США рассматривают голосование на основе блокчейна. С другой стороны, в отчете Trail of Bits утверждается, что эти отчеты были лишь техническими документами, и упущение этих пробелов в оценке ставит под вопрос, достаточно ли квалифицированы избранные должностные лица для чтения этих документов.
Если вы читаете это, вы уже впереди. Оставайтесь с нами, подписавшись на нашу рассылку.
Джонсон Го
Энтузиаст блокчейна, специалист по управлению проектами, писатель и криптоинвестор. JG занимается проблемами и решениями криптопроектов, а также предоставляет рыночные прогнозы для инвестиций. Он применяет свои аналитические навыки в различных проектах.
