Die bei US-Wahlen verwendete Voatz-Blockchain-App weist laut Bericht zahlreiche Sicherheitsprobleme auf

Voatz, das in Massachusetts ansässige Unternehmen, das für eine Blockchain-fähige mobile Abstimmungs-App wirbt, wurde in der Öffentlichkeit kritisiert, unter anderem wegen mangelnder Transparenz, insbesondere im Hinblick auf die Datensicherheit. Und mit der Gefahr von Wahlmanipulationen steht so viel auf dem Spiel wie nie zuvor.

Voatz wurde bei Wahlen in West Virginia eingesetzt; Jackson County, Oregon; Umatilla County, Oregon; Kommunalwahlen in Utah County, Utah; sowie bei Stichwahlen und Kommunalwahlen in Denver, Colorado.

Die von Experten geforderte Prüfung der öffentlichen Sicherheit durch ein seriöses Drittunternehmen ist hier endlich. Im Dezember 2019 beauftragten Voatz und Tusk Philanthropies, die die meisten mobilen Abstimmungspiloten von Voatz finanzierten, die Sicherheitsfirma Trail of Bits mit der Durchführung eines umfassenden White-Box-Audits.

Obwohl Voatz kein Backend für Live-Test-Vektoren für böswillige Angriffe bereitstellte, hatte Trail of Bits Zugriff auf den gesamten Quellcode, einschließlich des Kernservers, des Android-Clients, des iOS-Clients und der Administrator-Weboberfläche.

Der Auditbericht ist umfassend und enthält eine 122-seitige Sicherheitsüberprüfung und ein 78-seitiges Dokument zu Überlegungen zur Bedrohungsmodellierung. Hier ein kurzer Überblick über die Hauptteile.

Voatz benötigt keine Blockchain

Der Reiz der Blockchain-Abstimmung besteht darin, dass es sich um ein dezentrales System handelt, bei dem die Wähler niemandem vertrauen müssen. Die von Voatz verwendete Blockchain erstreckt sich jedoch nicht auf den mobilen Client. Stattdessen hat Voatz die Stimmen auf eine Hyperledger Fabric-Blockchain angewendet, die als Überwachungsprotokoll verwendet wird. Dies ist genauso einfach, wenn eine Datenbank mit einem Überwachungsprotokoll verwendet wird.

Obwohl ein Voatz-Sprecher behauptete, Hyperledger biete “verschiedene Sicherheitsfunktionen wie die Sicherung der Gesamtstimme, die Ermöglichung der Prüfung nach den Wahlen und die Bereitstellung einer Sorgerechtskette für die digitalen Stimmzettel, die das Ökosystem durchlaufen”, ist unklar, wie dies geschehen würde Diese Funktion ist im Bericht nicht ersichtlich.

Der Code Trail of Bits verwendete keinen benutzerdefinierten Kettencode oder intelligente Verträge. In der Tat lautet der Bericht:

„Alle Datenvalidierungen und Geschäftslogiken werden außerhalb der Kette in der Scala-Codebasis des Voatz Core Servers ausgeführt. Mehrere Ergebnisse mit hohem Risiko waren das Ergebnis von Datenvalidierungsproblemen und verwirrten Abgeordneten auf dem Kernserver, die es einem Wähler ermöglichen konnten, sich als ein anderer auszugeben, bevor er die Blockchain überhaupt berührte. “

Da sich die Wähler nicht direkt mit der Blockchain verbinden, können sie nicht unabhängig überprüfen, ob die Stimmen ihre Absicht widerspiegeln. Jeder, der Administratorzugriff auf die Back-End-Server von Voatz hat, kann “Stimmen dekanonymisieren, Stimmen verweigern, Stimmen ändern und Prüfpfade ungültig machen”.

In dem Bericht wurde festgestellt, dass das Voatz-System keine Abschwächung für die Dekanonymisierung von Wählern bietet, basierend auf dem Zeitpunkt, zu dem ihr Stimmzettel in der Blockchain aufgezeichnet wurde. In einer Erklärung sagte ein Sprecher von Voatz, es habe ein experimentelles Mixnet auf der Edge-Infrastruktur, die für Experimente auf Netzwerkebene verwendet wurde, jedoch ohne Quellcode, und Voatz ‘FAQ Ansprüche “Alle Informationen werden nach der Übermittlung anonymisiert, über ein” Mixnet “weitergeleitet und in die Blockchain gestellt.” Aber das war es namens in Frage gestellt in einem MIT-Bericht – und jetzt wieder in diesem Audit.

“In dem Code, der Trail of Bits zur Verfügung gestellt wird, scheint es kein Mixnet zu geben, und es wird auch kein Mixnet erwähnt”, heißt es im Audit. “Der Kernserver kann den gesamten Datenverkehr einschließlich der Stimmzettel dekanonymisieren.”

Trail of Bits bestätigte die Ergebnisse des MIT – Voatz bestritt sie

Am 13. Februar veröffentlichten MIT-Forscher den oben genannten Bericht „Der Stimmzettel wird vor der Blockchain gesprengt: Eine Sicherheitsanalyse von Voatz, der ersten Internet-Abstimmungsanwendung, die bei US-Bundestagswahlen verwendet wird“, zu dem Voatz antwortete mit einem Blog-Beitrag am selben Tag, um einen so genannten „fehlerhaften Bericht“ zu widerlegen, der die MIT-Forscher dazu veranlasste Post eine FAQ mit Erläuterungen.

Es stellt sich heraus, dass Voatz ‘Widerlegung drei Tage, nachdem Trail of Bits das Vorhandensein der beschriebenen Sicherheitslücken gegenüber dem MIT bestätigt hatte, geschrieben wurde, nachdem er vom US-amerikanischen Heimatschutzministerium einen anonymisierten zusammenfassenden Bericht über die Probleme erhalten hatte. Dies deutet darauf hin, dass Voatz wusste, dass der Bericht korrekt war, bevor er öffentlich diskontiert wurde.

Das Audit bestreitet auch einige Einwände von Voatz gegen die Berichte der MIT-Forscher. Voatz gab an, dass die analysierte Android-App 27 Versionen alt war, Trail of Bits schrieb jedoch, dass zwischen der Version der App vom September 2019, die von den MIT-Forschern verwendet wurde und die ihre Behauptungen erheblich beeinträchtigen würde, „keine sicherheitsrelevanten Änderungen in der Codebasis festgestellt wurden“.

Voatz hatte auch Probleme mit den Forschern, die einen Mock-Server entwickelten, und nannte ihn einen „fehlerhaften Ansatz“, der „alle Behauptungen über ihre Fähigkeit, das Gesamtsystem zu gefährden, ungültig macht“. Voatz schrieb sogar, dass diese Praxis “jegliche Glaubwürdigkeit im Namen der Forscher negiert”.

Trail of Bits behauptet jedoch, dass „die Entwicklung eines Mock-Servers in Fällen, in denen die Verbindung zu einem Produktionsserver zu rechtlichen Schritten führen kann, eine Standardpraxis in der Schwachstellenforschung ist. Dies ist auch eine Standardpraxis beim Testen von Software. “ Darüber hinaus weist der Bericht darauf hin, dass sich die Ergebnisse auf den Android-Client konzentrierten, sich jedoch nicht auf fundierte Kenntnisse der Voatz-Server stützten.

Ein Voatz-Sprecher sagt, Voatz “widerspricht der Methodik und dem Ansatz der MIT-Forscher” und es gibt “mehrere Fehler im Bericht”.

„Wenn unsere Methodik falsch wäre, wäre die Theorie, dass wir zu falschen Schlussfolgerungen kommen würden. Alle gefundenen Sicherheitslücken wurden jedoch durch eine eigene Sicherheitsüberprüfung bestätigt. Außerdem scheint es nicht so zu sein, dass sie einen von ihnen bestreiten “, sagte Michael Specter, einer der MIT-Forscher, der den Bericht verfasst hat.

Vorherige Prüfungen waren nicht umfassend

Obwohl Voatz mehrere Sicherheitsüberprüfungen ankündigt, wurde zum ersten Mal eine White-Box-Bewertung durchgeführt, bei der der Kernserver und das Backend analysiert wurden. Obwohl nicht alle vorherigen Audits öffentlich sind, hat Trail of Bits alle zusammengefasst.

Eine vorherige Sicherheitsüberprüfung war geführt im August 2019 von NCC, einer unabhängigen, privaten gemeinnützigen Organisation, die keine Experten für technische Sicherheit beschäftigt. Die Prüfung konzentrierte sich eher auf Benutzerfreundlichkeit als auf Sicherheit. Im Juli 2018 führte ein nicht genannter Anbieter ein Black-Box-Audit der mobilen Kunden von Voatz durch.

Im Oktober 2018 führte TLDR Security, jetzt bekannt als ShiftState, eine umfassende Überprüfung der Sicherheitshygiene durch, die die Systemarchitektur, Benutzer- und Datenworkflows sowie die Planung der Bedrohungsminderung umfasste, jedoch weder im System noch in der tatsächlichen Anwendung nach Fehlern suchte. ShiftState führte dann im Dezember 2018 ein weiteres Audit durch, um zu prüfen, ob das System wie beabsichtigt funktioniert und Best Practices befolgt.

Obwohl ShiftState CEO Andre McGregor hat vorher gesagt Voatz “hat es sehr gut gemacht”. Die Überprüfung der ShiftState-Prüfung durch Trail of Bits zeigt Probleme mit eingeschränkter Protokollierung, nicht verwalteten Servern und einer Zimperium-Anti-Mobile-Malware-Lösung, die während des Pilotprojekts nicht aktiviert wurde.

Da alle Manipulationsschutzmaßnahmen von Voatz für mobile Geräte auf Zimperium basieren, bedeutet dies, dass die Anwendung möglicherweise inaktiv manipuliert wurde, da Voatz keinen zusätzlichen Schutz vor böswilligen Anwendungen bietet, die auf vertrauliche Informationen zugreifen können.

Ein Voatz-Sprecher sagte, dass Zimperium erst 2019 vollständig integriert sei und dass einige Forscher die Deaktivierung zu Testzwecken beantragen, was sie von Fall zu Fall tun. “Trail of Bits konnte nicht unabhängig überprüfen, ob die proprietären Manipulationsschutzprüfungen von Zimperium den Android-Sicherheitsanbieter explizit überprüfen”, heißt es in dem Bericht und empfiehlt eine zusätzliche Überprüfung, falls Zimperium jemals absichtlich oder absichtlich deaktiviert wird.

Bei der abschließenden Prüfung durch das DHS im Oktober 2019 wurden lediglich die Cloud-Ressourcen und nicht die Anwendung untersucht – ob es Hinweise auf Hacking gibt oder ob es erkannt werden könnte, wenn es stattfindet.

Abgesehen von den Einschränkungen früherer Sicherheitsbewertungen, die Voatz angepriesen hat, ohne sie zu veröffentlichen, wie beispielsweise der Tatsache, dass keine der Prüfungen Server- und Back-End-Schwachstellen enthielt, heißt es in dem Bericht von Trail of Bits, dass die Aufzeichnungen der anderen durchgeführten Sicherheitsbewertungen technische Dokumente waren . Dies stellt in Frage, ob gewählte Beamte Entscheidungen auf der Grundlage von Dokumenten treffen, für deren Lektüre sie nicht qualifiziert sind.

Voatz wirkt wild unorganisiert

Die Bewertung von Trail of Bits dauerte eine ganze Woche länger als ursprünglich geplant, “aufgrund einer Kombination aus Verzögerungen beim Empfang von Code und Assets, der unerwarteten Komplexität und Größe des Systems und dem damit verbundenen Berichtsaufwand”.

Trail of Bits erhielt nie eine Arbeitskopie des Codes, was dem Unternehmen das Live-Testen untersagte, was bedeutete, dass sich die Forscher fast ausschließlich auf statische Tests beschränkten, bei denen sie eine große Menge Code lesen mussten. Laut dem Bericht verfügt Voatz über so viel Code, dass „jeder Ingenieur durchschnittlich fast 3.000 reine Codezeilen in 35 Dateien pro Tag der Bewertung analysieren musste, um eine minimale Abdeckung zu erreichen“.

Obwohl Trail of Bits einen Tag vor dem geplanten Ende des Assessments Zugriff auf das Backend für Live-Tests erhielt, was laut einem Voatz-Sprecher auf gleichzeitige Audits, Verzögerungen bei Audits und parallelen Aktivitäten sowie eine begrenzte Anzahl von Testplattformen zurückzuführen war. Die Sicherheitsfirma wurde gebeten, die Instanz nicht so anzugreifen oder zu ändern, dass der Service für gleichzeitige Audits verweigert wird.

Voatz hat Anfängerfehler gemacht – und scheint Korrekturen nicht ernst zu nehmen

Trail of Bits beschrieb mehrere Fehler, die dazu führen könnten, dass Stimmen beobachtet, manipuliert oder dekanonymisiert werden oder die Integrität einer Wahl in Frage stellen könnten.

Abgesehen von der Tatsache, dass die Wähler nicht unabhängig überprüfen können, ob ihr Stimmzettel gültig ist oder ob die Stimmen korrekt ausgewertet wurden, könnte ein Voatz-Mitarbeiter einen Benutzer theoretisch zwingen, zweimal abzustimmen, zweimal abzustimmen oder seine Stimme ohne ihr Wissen im Backend zu duplizieren . Außerdem verwendet Voatz eine achtstellige PIN, um alle lokalen Daten zu verschlüsseln – etwas, das innerhalb von 15 Minuten geknackt werden könnte.

Darüber hinaus stellte der Bericht fest, dass die App keine Sicherheitskontrollen enthält, um zu verhindern, dass unbeaufsichtigte Android-Geräte kompromittiert werden. Vertrauliche API-Anmeldeinformationen wurden in Git-Repositorys gespeichert. Dies bedeutet, dass jeder im Unternehmen, der Zugriff auf den Code hat – möglicherweise sogar Subunternehmer – geheime Schlüssel verwenden oder missbrauchen kann, die in den Repositorys verfügbar gemacht werden.

Voatz-Mitarbeiter mit Administratorzugriff können die Stimmzettel bestimmter Wähler nachschlagen. Voatz verwendet ein kryptografisches Ad-hoc-Handshake-Protokoll, das im Allgemeinen nicht empfohlen wird, da hausgemachte Kryptografie fehleranfällig ist. Verwenden Sie am besten Verschlüsselungsschemata, die von Forschern untersucht und in der Praxis getestet wurden. Das SSL (Secure Sockets Layer) wurde nicht vollständig sicher konfiguriert, da eine wichtige Funktion fehlt, mit der Clients erkennen können, wann ein TLS-Zertifikat (Transport Layer Security) widerrufen wird.

In einem Fall hat Voatz sogar einen Schlüssel und einen Initialisierungsvektor aus einer Stapelüberlaufantwort ausgeschnitten und eingefügt. Das Ausschneiden und Einfügen von Code wird im Allgemeinen selbst in Computersicherheitskursen auf College-Ebene nicht empfohlen, da die Qualität der Informationen zum Stapelüberlauf unterschiedlich ist und selbst guter Code in einer bestimmten Umgebung möglicherweise nicht funktioniert. Das Ausschneiden und Einfügen eines Schlüssels und einer IV ist jedoch noch schlimmer, da der Schlüssel und die IV, die zum Verschlüsseln der Daten verwendet werden, mit denen im Internet identisch sind, obwohl sie nicht öffentlich sein sollen. Ein Voatz-Sprecher sagte in einer E-Mail, dass dies ein Testcode für eine In-App-Demo sei und „in keinem Fall oder bei keiner Transaktion tatsächlich verwendet wurde“.

Selbst zusammengefasst sind die Empfehlungen von Trail of Bits acht Seiten lang. Voatz scheint acht Sicherheitsrisiken angesprochen zu haben, teilweise sechs weitere angesprochen zu haben und 34 nicht behoben zu haben. In der Regel haben Unternehmen einen umfassenden Plan zur Behebung hoher und mittlerer Risiken. In der Tat sagte ein Sprecher von Voatz: „Wir nehmen jeden Befund ernst, analysieren jeden Befund aus praktischer Sicht, weisen die Risikowahrscheinlichkeit zu und bestimmen dann den weiteren Verlauf“, sagte ein Voatz-Sprecher in einer E-Mail.

“Wenn der Fehler oder das Problem in einem realen Szenario, das den von uns durchgeführten kleinen Piloten entspricht, praktisch ausgenutzt werden kann, werden sie sofort behoben, andernfalls fließen sie in unsere normalen Entwicklungspipelines, die Prioritäten unterliegen.”

Erschreckenderweise entschied Voatz, dass er das Risiko vieler dieser Fehler „akzeptiert“ und im Wesentlichen das Risiko im Namen der Wähler akzeptiert, anstatt die von der von ihm beauftragten Firma vorgeschlagenen Korrekturen vorzunehmen.

Tusk Philanthropies, Voatz und Trail of Bits verwiesen Cointelegraph auf ihre trennen Blog Beiträge über das Audit und Trail of Bits verwiesen auf den Bericht selbst.

Dieser Artikel wurde mit Kommentaren eines Voatz-Sprechers aktualisiert.

Verwandte: Safe Harbor oder Thrown to the Sharks von Voatz?

Mike Owergreen Administrator
Sorry! The Author has not filled his profile.
follow me
Like this post? Please share to your friends:
map