Lue uutinen mobiilisivustolla

Asiantuntijat kauhistelevat Harri Hurstin löytämiä äänestysaukkoja

Hurstin raportti esittelee äänestyspäätteen sisuksia.

15.5.2006 10:45 It-asiantuntija Harri Hursti julkaisi BlackBoxVoting-järjestön kanssa viime viikolla raporttinsa Dieboldin äänestysjärjestelmän haavoittuvuuksista. Yhdysvaltalaiset tutkijat ja asiantuntijat pitävät aukkoja vakavimpina, mitä sähköisen äänestyksen järjestelmistä on ikinä löydetty. Pennsylvaniassa on jo määrätty äänetyspäätteet päivitettäviksi.

Hurstin raportti käsittelee tietoturvaongelmia Dieboldin kosketusnäytöillä varustetuissa TSx- ja TS6-äänestyspäätteissä, jotka ovat yleisesti käytössä Yhdysvalloissa ja Kanadassa. Julkaisu ajoittui keskelle Yhdysvaltain osavaltioiden esivaalikautta.

Vakavin aukoista antaa hyökkääjälle mahdollisuuden asentaa haittaohjelman äänestyspäätteeseen käytännössä jälkiä jättämättä, jos hyökkääjällä on fyysinen pääsy laitteen luo, raportissa todetaan.

Hurstin mukaan ohjelman voi ujuttaa laitteeseen jopa vuosia ennen sen aktivoitumista. Päätteeseen ladattu haittaohjelma voisi vääristää äänestystuloksia.

- Julkisesti saatavilla olevan dokumentaation, lähdekoodin palasten ja testauksen perusteella näyttää, että järjestelmään on useita takaovia, joita turvallisuuden näkökulmasta ei voi hyväksyä.

Aiemmat löydöt kalpenevat

Princetonin yliopiston professori Ed Felten ja Johns Hopkinsin yliopiston professori Aviel Rubin analysoivat Hurstin löytöjä Freedom-to-Tinker-blogissa.

- Tämä ei ole ensimmäinen kerta, kun Dieboldilla on vakavia tietoturvaongelmia - tämä tosin vaikuttaa pahimmalta niistä kaikista, tutkijat kirjottavat.

Aviel Rubin on analysoinut Dieboldin äänestyspäätteiden lähdekoodia ja julkaisi vuonna 2003 ensimmäisenä tietoja lähdekoodista löytyneistä tietoturva-aukoista.

- Tämä saa meidän löytämämme aukot näyttämään triviaaleilta, hän kommentoi SecurityFocus-verkkolehdelle.

Pennsylvania määräsi päivityksen

New York Timesin haastattelema tietotekniikan professori Michael I. Shamos Carnegie Mellonin yliopistosta arvioi myös, että haavoittuvuus on vakavin, mitä äänestysjärjestelmistä on koskaan löydetty.

Shamos toimii Pennsylvanian osavaltion esivaaleissa. Äänestyspäivä on huomenna tiistaina. Vaaleissa käytetään Dieboldin haavoittuvia päätteitä, joita on käytössä myös useissa muissa esivaaleissa Yhdysvalloissa tulevina viikkoina.

SecuryFocus kertoo Pennsylvanian vaaliviranomaiset lähettäneen viime viikolla Hurstin raportin vuoksi vaalivirkailijoille varoituksen ja toimintaohjeet. Määräyksen mukaan äänestyspäätteiden ohjelmisto pitää päivittää ja sen jälkeen päätteet siirtää lukkojen taakse säilöön vaalipäivään asti.

Päivittäminen ei välttämättä auta

Feltenin ja Rubinin toteavat, että järjestelmän joutumista hyökkääjän hallintaan olisi erittäin vaikea havaita, koska hyökkääjä voi väärentää myös ohjelmistopäivitysten asennuksen onnistumisesta kertovia järjestelmäviestejä.

- Tällä hetkellä ei ole mahdollista selvittää kaikkia tapoja, joilla järjestelmä voi olla haavoittuva, ja täman suuruusluokan ongelman löytyminen keskellä esivaalikautta on skenaario, jota me olemme koko ajan pelänneet.

- Uskomme, että vaaliviranomaisten ja hallituksen olisi syytä vakavasti harkita, pitäisikö kaupallisiin tuotteisiin perustuvaa laitteistoa ja käyttöjärjestelmää ylipäätään käyttää vaaleissa, Rubin ja Felten kirjoittavat.

Dieboldin äänestyspäätteissä on käytössä muokattu Windows CE -käyttöjärjestelmä.

Yksityiskohtia vain viranomaisille

Hursti ja sähköiseen äänestämiseen kriittisesti suhtautuva BlackBoxVoting-järjestö jakoivat tutkijoille ja viranomaisille täydellisen version raportista ja julkaisivat järjestön nettisivuilla karsitun version.

Hursti on luvannut lisätietoja päätteiden haavoittuvuuksista tämän päivän aikana.

Harri Hursti toimi 90-luvun lopulla internet-operaattori Eunet Finland Oy:n toimitusjohtajana ennen yhtiön myyntiä KPNQwestille. Hursti on myös F-Securen vuonna 2005 ostaman Rommon-tietoturvayhtiön perustajia ja toimi aiemmin yhtiön hallituksen puheenjohtajana.

http://www.blackboxvoting.org/BBVtsxstudy.pdf 327 KB

Jaakko Kuivalainen toimitus@digitoday.fi

Kirjoita kommentti

Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!
Lue koko keskusteluetiketti

Bottivarmistus: mitä on kaksi ynnä viisi?

Viesti Nimi

Uutiset

Hyvinkään epäilty ampuja poistui kesken illanvieton hakemaan aseita

• Hyvinkään ampumisista epäiltyä luonnehditaan ujoksi ja hiljaiseksi
• Epäilty ampuja yöllä Facebookissa: "Oli kivaa toverit"
• Ruotsin Loreen Euroviisujen ylivoimaiseen voittoon
• Nuori mies hyppäsi mereen Naantalissa ja katosi