Хотите прибавить голосов вашему кандидату?

Для этого больше не нужно подбрасывать в урны пачки ложных бюллетеней - достаточно воспользоваться новой системой для Интернет-голосования в Вашингтоне. Исследователи из университета Мичигана обнаружили в ней критические уязвимости и смогли их проэксплуатировать; в результате весь объем данных на сервере оказался в их полном распоряжении.



На разработку этой системы американское правительство выделило грант в 300 тыс. долларов; имелись и другие источники финансирования. Так как в следующем месяце пройдут выборы, чиновники избирательного ведомства приступили к открытому тестированию продукта; однако не прошло и тридцати шести часов, как ученые уже подобрали к нему "отмычку" - чтобы продемонстрировать принципиальную небезопасность онлайн-голосований.


"Экспертов в области Интернет-безопасности выявленные нами факты нисколько не удивят, так как крупные ресурсы подвергаются подобным нападениям ежедневно", - написал в блоге один из исследователей, Дж. А. Хэлдерман. - "Возможно, когда-нибудь безопасный метод подачи и учета избирательных бюллетеней через Интернет и появится, но в настоящее время защитные технологии не позволяют обеспечить таким системам полную неуязвимость".


Пилотный запуск нового продукта, построенного на программном обеспечении с открытым кодом, состоялся на в прошлый вторник, и команде ученых потребовалось не более полутора суток, чтобы получить над ним полный контроль. Несмотря на то, что итог взлома был очевиден - исследователи заставили систему подачи голосов воспроизводить композицию, исполняемую группой поддержки их университета на различных соревнованиях, - госслужащие остановили работу сайта лишь в пятницу. Затем ресурс вновь стал доступен, но подача голосов через Интернет уже оказалась блокирована - избиратели могут теперь лишь загружать файлы бюллетеней, выводить их на печать, заполнять и посылать по назначению обычной, физической почтой.


Сообщается, что система онлайн-голосования была создана при помощи среды разработки Ruby on Rails и функционировала на серверной связке Apache + MySQL. Ученым удалось взломать систему после того, как они обнаружили возможность загружать на сервер файлы бюллетеней с именами, содержащими любую строку по их усмотрению. Г-н Хэлдерман пояснил, что уязвимость позволила им включать в имена файлов Unix-команды; программное обеспечение сервера незамедлительно их выполняло. К примеру, загрузив файл "ballot.$(sleep 10)pdf", исследователи приостановили работу сервера на 10 секунд.


Неудивительно, что благодаря столь обширной пробоине в системе безопасности команда смогла успешно управлять программным обеспечением ресурса; помимо прочего, они получили возможность и редактировать количество голосов, поданных за ту или иную партию либо кандидата, и извлекать поданные избирателями бюллетени вместе со всеми данными, в них содержащимися. Но и на этом проблемы нового продукта не закончились: эксплуатируя уязвимость, ученые установили в систему бэкдор и добились уже тотального контроля над всем сервером в целом.


По информации The Washington Post, чиновников избирательного ведомства уже предупреждали о неоправданном риске, с которым связано внедрение подобных систем. Против онлайн-голосований высказывались и исследователи, работающие в сфере информационных технологий, и эксперты по избирательному праву. Однако госслужащие явно не озаботились проблемами безопасности: например, в сообщении г-на Хэлдермана указано, что прямо на сервере хранилась секретная информация - такая, как аутентификационные сведения для подключения к базе данных.


The Register

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Билл Гейтс рассказал о ключевых отличиях Илона Маска и Стива Джобса

На днях Билл Гейтс дал интервью изданию Bloomberg. Помимо прочего, один из создателей Microsoft сравнил Стива Джобса, которого считают главным идейным вдохновителем Apple, и Илона Маска, одного из главных современных новаторов.

Bloomberg спросил Гейтса, можно ли сегодняшнего Илона Маска расценивать как «следующего Стива Джобса», учитывая прорыв его компаний Tesla и SpaceX по части создания электромобилей и многократного использования ракет.

«Есть некоторые ключевые отличия в способе управления Джобса и Маска. Илон — больше практический инженер, Стив — гений дизайна и маркетинга. Кроме того, Джобс очень хорошо умел мотивировать людей», — ответил американский предприниматель и филантроп.

«Другими словами, войдя в одну комнату с ними, вы не перепутаете Маска и Джобса».

Стоит признать, что Гейтс дал очень точную характеристику Илону Маску, поскольку последний, например, в 2017 году проводил всё время на фабрике Tesla. Даже спал на полу и не всегда успевал помыться, чтобы успеть с разработкой Tesla 3.

Что касается Стива Джобса, о его обаянии и силе убеждения рассказывал ещё нынешний глава Apple Тим Кук. В 1998 году Джобс уговорил Кука присоединиться с техногиганту, хотя Тим до последнего сомневался.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru