Хотите прибавить голосов вашему кандидату?

Хотите прибавить голосов вашему кандидату?

Для этого больше не нужно подбрасывать в урны пачки ложных бюллетеней - достаточно воспользоваться новой системой для Интернет-голосования в Вашингтоне. Исследователи из университета Мичигана обнаружили в ней критические уязвимости и смогли их проэксплуатировать; в результате весь объем данных на сервере оказался в их полном распоряжении.



На разработку этой системы американское правительство выделило грант в 300 тыс. долларов; имелись и другие источники финансирования. Так как в следующем месяце пройдут выборы, чиновники избирательного ведомства приступили к открытому тестированию продукта; однако не прошло и тридцати шести часов, как ученые уже подобрали к нему "отмычку" - чтобы продемонстрировать принципиальную небезопасность онлайн-голосований.


"Экспертов в области Интернет-безопасности выявленные нами факты нисколько не удивят, так как крупные ресурсы подвергаются подобным нападениям ежедневно", - написал в блоге один из исследователей, Дж. А. Хэлдерман. - "Возможно, когда-нибудь безопасный метод подачи и учета избирательных бюллетеней через Интернет и появится, но в настоящее время защитные технологии не позволяют обеспечить таким системам полную неуязвимость".


Пилотный запуск нового продукта, построенного на программном обеспечении с открытым кодом, состоялся на в прошлый вторник, и команде ученых потребовалось не более полутора суток, чтобы получить над ним полный контроль. Несмотря на то, что итог взлома был очевиден - исследователи заставили систему подачи голосов воспроизводить композицию, исполняемую группой поддержки их университета на различных соревнованиях, - госслужащие остановили работу сайта лишь в пятницу. Затем ресурс вновь стал доступен, но подача голосов через Интернет уже оказалась блокирована - избиратели могут теперь лишь загружать файлы бюллетеней, выводить их на печать, заполнять и посылать по назначению обычной, физической почтой.


Сообщается, что система онлайн-голосования была создана при помощи среды разработки Ruby on Rails и функционировала на серверной связке Apache + MySQL. Ученым удалось взломать систему после того, как они обнаружили возможность загружать на сервер файлы бюллетеней с именами, содержащими любую строку по их усмотрению. Г-н Хэлдерман пояснил, что уязвимость позволила им включать в имена файлов Unix-команды; программное обеспечение сервера незамедлительно их выполняло. К примеру, загрузив файл "ballot.$(sleep 10)pdf", исследователи приостановили работу сервера на 10 секунд.


Неудивительно, что благодаря столь обширной пробоине в системе безопасности команда смогла успешно управлять программным обеспечением ресурса; помимо прочего, они получили возможность и редактировать количество голосов, поданных за ту или иную партию либо кандидата, и извлекать поданные избирателями бюллетени вместе со всеми данными, в них содержащимися. Но и на этом проблемы нового продукта не закончились: эксплуатируя уязвимость, ученые установили в систему бэкдор и добились уже тотального контроля над всем сервером в целом.


По информации The Washington Post, чиновников избирательного ведомства уже предупреждали о неоправданном риске, с которым связано внедрение подобных систем. Против онлайн-голосований высказывались и исследователи, работающие в сфере информационных технологий, и эксперты по избирательному праву. Однако госслужащие явно не озаботились проблемами безопасности: например, в сообщении г-на Хэлдермана указано, что прямо на сервере хранилась секретная информация - такая, как аутентификационные сведения для подключения к базе данных.


The Register

Xiaomi навяжет криптокошелёк пользователям своих смартфонов

Xiaomi без лишнего шума подписала соглашение о предустановке новых приложений на свои смартфоны. Начиная с 2026 года компания будет выпускать устройства с криптокошельком и приложением от Sei Labs. Формально — это «глобальное партнёрство по продвижению блокчейна», по факту — ещё один нежелательный софт (bloatware) на новых смартфонах.

Приложение связано с Sei — блокчейном первого уровня, заточенным под торговлю цифровыми активами.

Оно будет предустанавливаться на все новые смартфоны Xiaomi, продаваемые за пределами материкового Китая и США. А это огромный объём: Xiaomi занимает третье место на мировом рынке смартфонов после Apple и Samsung, контролируя более 13% рынка — около 160 млн устройств в год.

Само приложение позиционируется как криптокошелёк и «входная точка» в Web3. По задумке Sei, пользователи смогут отправлять переводы, работать с децентрализованными приложениями и пользоваться другими блокчейн-сервисами без установки дополнительного софта.

На этом планы не заканчиваются. Sei Labs хочет расширить сотрудничество и на розничную инфраструктуру Xiaomi. Компания рассчитывает запустить приём стейблкоинов в более чем 20 тысячах фирменных магазинов — сначала в Гонконге и ряде стран ЕС. В перспективе покупатели смогут расплачиваться за устройства Xiaomi, например, в USDC, а транзакции будут проходить через блокчейн Sei.

В официальном комментарии для CoinDesk Sei заявила, что партнёрство откроет криптовалюты для миллионов людей, особенно в регионах, где Xiaomi доминирует. Например, в Греции компания занимает почти 37% рынка смартфонов, а в Индии — около 24%.

Но если посмотреть на ситуацию глазами обычного пользователя, всё выглядит куда менее вдохновляюще. Для большинства это просто ещё одно предустановленное приложение, которое никто не просил.

Блоатвар давно остаётся болезненной темой для владельцев смартфонов Xiaomi. Несколько лет назад ситуация была особенно тяжёлой: устройства поставлялись с массой лишних приложений, которыми юзеры никогда не пользовались. Со временем компания стала действовать осторожнее и прозрачнее, но новая инициатива с криптокошельком выглядит шагом назад.

Предустанавливать криптоприложения, о которых пользователь может даже не знать и которыми не собирается пользоваться, — решение, мягко говоря, спорное. Особенно на фоне того, что далеко не все готовы видеть Web3 и блокчейн прямо «из коробки» на своём смартфоне.

RSS: Новости на портале Anti-Malware.ru