Хотите прибавить голосов вашему кандидату?

Хотите прибавить голосов вашему кандидату?

Для этого больше не нужно подбрасывать в урны пачки ложных бюллетеней - достаточно воспользоваться новой системой для Интернет-голосования в Вашингтоне. Исследователи из университета Мичигана обнаружили в ней критические уязвимости и смогли их проэксплуатировать; в результате весь объем данных на сервере оказался в их полном распоряжении.



На разработку этой системы американское правительство выделило грант в 300 тыс. долларов; имелись и другие источники финансирования. Так как в следующем месяце пройдут выборы, чиновники избирательного ведомства приступили к открытому тестированию продукта; однако не прошло и тридцати шести часов, как ученые уже подобрали к нему "отмычку" - чтобы продемонстрировать принципиальную небезопасность онлайн-голосований.


"Экспертов в области Интернет-безопасности выявленные нами факты нисколько не удивят, так как крупные ресурсы подвергаются подобным нападениям ежедневно", - написал в блоге один из исследователей, Дж. А. Хэлдерман. - "Возможно, когда-нибудь безопасный метод подачи и учета избирательных бюллетеней через Интернет и появится, но в настоящее время защитные технологии не позволяют обеспечить таким системам полную неуязвимость".


Пилотный запуск нового продукта, построенного на программном обеспечении с открытым кодом, состоялся на в прошлый вторник, и команде ученых потребовалось не более полутора суток, чтобы получить над ним полный контроль. Несмотря на то, что итог взлома был очевиден - исследователи заставили систему подачи голосов воспроизводить композицию, исполняемую группой поддержки их университета на различных соревнованиях, - госслужащие остановили работу сайта лишь в пятницу. Затем ресурс вновь стал доступен, но подача голосов через Интернет уже оказалась блокирована - избиратели могут теперь лишь загружать файлы бюллетеней, выводить их на печать, заполнять и посылать по назначению обычной, физической почтой.


Сообщается, что система онлайн-голосования была создана при помощи среды разработки Ruby on Rails и функционировала на серверной связке Apache + MySQL. Ученым удалось взломать систему после того, как они обнаружили возможность загружать на сервер файлы бюллетеней с именами, содержащими любую строку по их усмотрению. Г-н Хэлдерман пояснил, что уязвимость позволила им включать в имена файлов Unix-команды; программное обеспечение сервера незамедлительно их выполняло. К примеру, загрузив файл "ballot.$(sleep 10)pdf", исследователи приостановили работу сервера на 10 секунд.


Неудивительно, что благодаря столь обширной пробоине в системе безопасности команда смогла успешно управлять программным обеспечением ресурса; помимо прочего, они получили возможность и редактировать количество голосов, поданных за ту или иную партию либо кандидата, и извлекать поданные избирателями бюллетени вместе со всеми данными, в них содержащимися. Но и на этом проблемы нового продукта не закончились: эксплуатируя уязвимость, ученые установили в систему бэкдор и добились уже тотального контроля над всем сервером в целом.


По информации The Washington Post, чиновников избирательного ведомства уже предупреждали о неоправданном риске, с которым связано внедрение подобных систем. Против онлайн-голосований высказывались и исследователи, работающие в сфере информационных технологий, и эксперты по избирательному праву. Однако госслужащие явно не озаботились проблемами безопасности: например, в сообщении г-на Хэлдермана указано, что прямо на сервере хранилась секретная информация - такая, как аутентификационные сведения для подключения к базе данных.


The Register

X запретила Grok «раздевать» людей на изображениях после скандала

Платформа X (прежний Twitter) Илона Маска объявила о новых ограничениях для своего ИИ-бота Grok после волны международной критики и расследований, связанных с генерированием непристойных изображений реальных людей — включая женщин и детей. Об этом компания сообщила 14 января.

Поводом стал резонанс вокруг так называемого Spicy Mode, который позволял с помощью простых текстовых запросов «раздевать» людей на фотографиях — например, «надень на неё бикини» или «убери одежду».

Эти возможности вызвали шквал жалоб, блокировки сервиса в отдельных странах и проверку со стороны регуляторов.

В X заявили, что приняли технические меры, чтобы пресечь подобные сценарии. В частности, компания начнёт блокировать по геолокации возможность создавать или редактировать изображения людей в «откровенной одежде» — бикини, нижнем белье и аналогичных образах — в тех юрисдикциях, где такие действия нарушают закон.

«Мы внедрили технологические ограничения, которые не позволяют Grok редактировать изображения реальных людей в откровенной одежде, включая бикини», — говорится в заявлении команды безопасности X.

Ограничения распространяются на всех пользователей, включая платных подписчиков.

Кроме того, в качестве «дополнительного уровня защиты» X решила оставить генерацию и редактирование изображений через Grok только для платных аккаунтов. В компании считают, что это позволит снизить риски злоупотреблений.

На ситуацию уже отреагировали европейские регуляторы. В Еврокомиссии заявили, что внимательно изучают дополнительные меры, принятые X, и проверят, действительно ли они способны защитить пользователей в ЕС. Представитель комиссии Томас Ренье отметил, что речь идёт о реакции на острую критику из-за непристойных изображений.

По данным недавнего исследования некоммерческой организации AI Forensics, более половины из 20 тысяч проанализированных изображений, созданных Grok, показывали людей в минимальном количестве одежды. Большинство из них — женщины, а около 2% персонажей выглядели как несовершеннолетние.

RSS: Новости на портале Anti-Malware.ru