Хотите прибавить голосов вашему кандидату?

Хотите прибавить голосов вашему кандидату?

Для этого больше не нужно подбрасывать в урны пачки ложных бюллетеней - достаточно воспользоваться новой системой для Интернет-голосования в Вашингтоне. Исследователи из университета Мичигана обнаружили в ней критические уязвимости и смогли их проэксплуатировать; в результате весь объем данных на сервере оказался в их полном распоряжении.



На разработку этой системы американское правительство выделило грант в 300 тыс. долларов; имелись и другие источники финансирования. Так как в следующем месяце пройдут выборы, чиновники избирательного ведомства приступили к открытому тестированию продукта; однако не прошло и тридцати шести часов, как ученые уже подобрали к нему "отмычку" - чтобы продемонстрировать принципиальную небезопасность онлайн-голосований.


"Экспертов в области Интернет-безопасности выявленные нами факты нисколько не удивят, так как крупные ресурсы подвергаются подобным нападениям ежедневно", - написал в блоге один из исследователей, Дж. А. Хэлдерман. - "Возможно, когда-нибудь безопасный метод подачи и учета избирательных бюллетеней через Интернет и появится, но в настоящее время защитные технологии не позволяют обеспечить таким системам полную неуязвимость".


Пилотный запуск нового продукта, построенного на программном обеспечении с открытым кодом, состоялся на в прошлый вторник, и команде ученых потребовалось не более полутора суток, чтобы получить над ним полный контроль. Несмотря на то, что итог взлома был очевиден - исследователи заставили систему подачи голосов воспроизводить композицию, исполняемую группой поддержки их университета на различных соревнованиях, - госслужащие остановили работу сайта лишь в пятницу. Затем ресурс вновь стал доступен, но подача голосов через Интернет уже оказалась блокирована - избиратели могут теперь лишь загружать файлы бюллетеней, выводить их на печать, заполнять и посылать по назначению обычной, физической почтой.


Сообщается, что система онлайн-голосования была создана при помощи среды разработки Ruby on Rails и функционировала на серверной связке Apache + MySQL. Ученым удалось взломать систему после того, как они обнаружили возможность загружать на сервер файлы бюллетеней с именами, содержащими любую строку по их усмотрению. Г-н Хэлдерман пояснил, что уязвимость позволила им включать в имена файлов Unix-команды; программное обеспечение сервера незамедлительно их выполняло. К примеру, загрузив файл "ballot.$(sleep 10)pdf", исследователи приостановили работу сервера на 10 секунд.


Неудивительно, что благодаря столь обширной пробоине в системе безопасности команда смогла успешно управлять программным обеспечением ресурса; помимо прочего, они получили возможность и редактировать количество голосов, поданных за ту или иную партию либо кандидата, и извлекать поданные избирателями бюллетени вместе со всеми данными, в них содержащимися. Но и на этом проблемы нового продукта не закончились: эксплуатируя уязвимость, ученые установили в систему бэкдор и добились уже тотального контроля над всем сервером в целом.


По информации The Washington Post, чиновников избирательного ведомства уже предупреждали о неоправданном риске, с которым связано внедрение подобных систем. Против онлайн-голосований высказывались и исследователи, работающие в сфере информационных технологий, и эксперты по избирательному праву. Однако госслужащие явно не озаботились проблемами безопасности: например, в сообщении г-на Хэлдермана указано, что прямо на сервере хранилась секретная информация - такая, как аутентификационные сведения для подключения к базе данных.


The Register

Россиянам объяснили, почему MAX не присылает уведомления об атаках БПЛА

Губернатор Белгородской области Вячеслав Гладков рассказал, что через мессенджер MAX пока невозможно нормально организовать пуш-уведомления о ракетной опасности и атаках БПЛА. Об этом он заявил во время прямого эфира, отвечая на вопрос местной жительницы, почему в приложении нет таких оповещений.

По словам главы региона, проблема здесь не формальная, а вполне практическая: вся система оперативного информирования в приграничье завязана именно на пуш-уведомления. А это, как подчеркнул Гладков, вопрос не удобства, а безопасности.

Губернатор прямо сказал, что отсутствие своевременных уведомлений — одна из самых тяжёлых проблем для жителей приграничных районов. По его словам, от того, насколько быстро люди получают сигналы о ракетной опасности или атаке беспилотников, зависят жизни сотен тысяч человек.

При этом наладить такую систему через MAX, как следует из слов Гладкова, пока не получается. Он объяснил это тем, что пуш-уведомления в мессенджере сейчас нельзя обеспечить из-за особенностей программного обеспечения, которое, по его словам, связано с иностранными производителями. И это, как он отметил, противоречит самому подходу к работе сервиса.

Когда именно проблему удастся решить, губернатор сказать не смог. Но сообщил, что уже на этой неделе собирается в Москву, чтобы обсудить этот вопрос с федеральными властями.

Темой эфира стал не только MAX. Ещё одна жительница спросила о перебоях с мобильным интернетом. В ответ Гладков рассказал, что власти региона собираются устанавливать бесплатный Wi-Fi на новых автобусных остановках в Белгороде. В дальнейшем такие точки доступа могут появиться и в парках, и на городских площадях.

Получается, что региональные власти сейчас фактически ищут сразу два пути: с одной стороны, пытаются добиться полноценной работы MAX для экстренных оповещений, с другой — расширяют городскую инфраструктуру Wi-Fi на фоне проблем с мобильным интернетом.

RSS: Новости на портале Anti-Malware.ru