Хотите прибавить голосов вашему кандидату?

Хотите прибавить голосов вашему кандидату?

Для этого больше не нужно подбрасывать в урны пачки ложных бюллетеней - достаточно воспользоваться новой системой для Интернет-голосования в Вашингтоне. Исследователи из университета Мичигана обнаружили в ней критические уязвимости и смогли их проэксплуатировать; в результате весь объем данных на сервере оказался в их полном распоряжении.



На разработку этой системы американское правительство выделило грант в 300 тыс. долларов; имелись и другие источники финансирования. Так как в следующем месяце пройдут выборы, чиновники избирательного ведомства приступили к открытому тестированию продукта; однако не прошло и тридцати шести часов, как ученые уже подобрали к нему "отмычку" - чтобы продемонстрировать принципиальную небезопасность онлайн-голосований.


"Экспертов в области Интернет-безопасности выявленные нами факты нисколько не удивят, так как крупные ресурсы подвергаются подобным нападениям ежедневно", - написал в блоге один из исследователей, Дж. А. Хэлдерман. - "Возможно, когда-нибудь безопасный метод подачи и учета избирательных бюллетеней через Интернет и появится, но в настоящее время защитные технологии не позволяют обеспечить таким системам полную неуязвимость".


Пилотный запуск нового продукта, построенного на программном обеспечении с открытым кодом, состоялся на в прошлый вторник, и команде ученых потребовалось не более полутора суток, чтобы получить над ним полный контроль. Несмотря на то, что итог взлома был очевиден - исследователи заставили систему подачи голосов воспроизводить композицию, исполняемую группой поддержки их университета на различных соревнованиях, - госслужащие остановили работу сайта лишь в пятницу. Затем ресурс вновь стал доступен, но подача голосов через Интернет уже оказалась блокирована - избиратели могут теперь лишь загружать файлы бюллетеней, выводить их на печать, заполнять и посылать по назначению обычной, физической почтой.


Сообщается, что система онлайн-голосования была создана при помощи среды разработки Ruby on Rails и функционировала на серверной связке Apache + MySQL. Ученым удалось взломать систему после того, как они обнаружили возможность загружать на сервер файлы бюллетеней с именами, содержащими любую строку по их усмотрению. Г-н Хэлдерман пояснил, что уязвимость позволила им включать в имена файлов Unix-команды; программное обеспечение сервера незамедлительно их выполняло. К примеру, загрузив файл "ballot.$(sleep 10)pdf", исследователи приостановили работу сервера на 10 секунд.


Неудивительно, что благодаря столь обширной пробоине в системе безопасности команда смогла успешно управлять программным обеспечением ресурса; помимо прочего, они получили возможность и редактировать количество голосов, поданных за ту или иную партию либо кандидата, и извлекать поданные избирателями бюллетени вместе со всеми данными, в них содержащимися. Но и на этом проблемы нового продукта не закончились: эксплуатируя уязвимость, ученые установили в систему бэкдор и добились уже тотального контроля над всем сервером в целом.


По информации The Washington Post, чиновников избирательного ведомства уже предупреждали о неоправданном риске, с которым связано внедрение подобных систем. Против онлайн-голосований высказывались и исследователи, работающие в сфере информационных технологий, и эксперты по избирательному праву. Однако госслужащие явно не озаботились проблемами безопасности: например, в сообщении г-на Хэлдермана указано, что прямо на сервере хранилась секретная информация - такая, как аутентификационные сведения для подключения к базе данных.


The Register

На Open Conf 2026 UserGate представил новую стратегию развития

На конференции UserGate Open Conf 2026, которая прошла 25 марта в московском кластере «Ломоносов», компания UserGate представила обновлённое видение своего развития. Если коротко, вендор решил говорить о себе уже не просто как о разработчике ИБ-решений, а как о компании, которая хочет стать опорной точкой для построения доверенной сетевой среды.

Как отмечалось на UserGate Open Conf 2026, речь идёт о смене акцента: раньше UserGate воспринимался прежде всего как производитель конкретных продуктов, а теперь в компании делают ставку на более широкую роль — не только поставлять решения, но и выстраивать вокруг них долгосрочное доверие со стороны заказчиков.

В UserGate связывают этот поворот с тем, что сам рынок меняется. Если ещё недавно главным драйвером было импортозамещение как таковое, то теперь, по оценке компании, заказчики всё чаще смотрят не просто на факт «отечественного происхождения», а на то, насколько продукт стабилен, предсказуем и пригоден для долгой эксплуатации в реальной инфраструктуре.

Иначе говоря, бизнесу уже мало просто заменить иностранное решение на российское. Теперь важнее, можно ли на этого поставщика действительно опереться через несколько лет — с точки зрения развития продуктов, поддержки, сервисов и общего качества работы.

В UserGate говорят, что новая стратегия рассчитана на пять лет. За это время компания собирается заметно расширить свой продуктовый портфель, нарастить набор сервисов и подтвердить уровень процессов через сертификацию РБПО ФСТЭК. Отдельный акцент делают на безопасной разработке и на том, что такие изменения требуют перестройки не только продуктовой линейки, но и внутренних процессов.

На конференции также напомнили, что UserGate уже давно работает на рынке сетевой безопасности и за последние годы заметно усилил позиции именно в аппаратном сегменте. По данным самой компании, только за последний год было продано около 4 тысяч аппаратных платформ, а суммарные продажи за всё время превысили 20 тысяч устройств.

Кроме того, UserGate является востребованным производителем NGFW уровня Enterprise. Вендор утверждает, что его решения уже используются примерно в каждой третьей компании из списка РБК-500. Это внутренняя оценка компании, но она хорошо показывает, что хочет закрепиться на рынке не как нишевой игрок, а как поставщик более широкого класса решений и услуг, в том числе созданных для высокопроизводительных систем.

RSS: Новости на портале Anti-Malware.ru