שעון האבטחה: לתקן לנו טכנולוגיות בחירות זה קל יותר - וקשה יותר - ממה שהייתם חושבים

כשטסתי לסן פרנסיסקו לוועידת RSA (RSAC) בתחילת מרץ, תכננתי להשתתף בכל שיחות הביטחון בבחירות שיכולתי להתאים ללוח הזמנים שלי. זו בחירה מובנת מאליה. אמנם אמצעי האמצע של 2018 הסתיימו ללא מחלוקת רבה, אך אנו עדיין נלחמים על הבחירות לנשיאות 2016 ואנחנו באמצע הדרך הבאה. זה בנוסף לכך שמערכת ההצבעה וספירת הקולות בארה"ב היא, במקרה הטוב, רטט בקושי.

ציפיתי לאבדון הרגיל של אבטחת בחירות, כאשר חוקרים מתעוררים על המצב העגום של מכונות ההצבעה בארצות הברית. אפילו ציפיתי לזה, כי אתה צריך להיות קצת מזוכיסטי כדי להיות בענף הזה. היה קצת מהסבל הרגיל, אבל לא הייתי מוכן לחיבול כפול של אופטימיות וייאוש. השארתי משוכנע שבעצם מינו את הבעיות הטכנולוגיות ביותר בהצבעה. מה שגרם לנו זה שאר הדברים.

וזה המון דברים.

יש פיתרון נמוך-טק לאבטחת הצבעות

כל הדוברים שראיתי היו מסכימים: באופן כללי, אנחנו יודעים מה הבעיות בהצבעה באמריקה. מערכות הצבעה אלקטרוניות גרידא, המכונות מכונות הצבעה ישירות להקלטה אלקטרונית (DRE), נסתרות בדרך כלל מחוקרים, אולם אלה שנחקרו הוכיחו את עצלן רפיון נפש מבחינת הביטחון. מכונת WinVote, שכונתה מכונת ההצבעה הגרועה ביותר בעולם, הייתה כמעט בכל דגל אדום שאתה יכול לדמיין עבור חתיכת חומרה כה חשובה. מערכת זו מתחננת למעשה להיפרץ.

מקרוב עם WinVote, לכאורה מכונת ההצבעה הגרועה ביותר בעולם. # BlackHat2018 pic.twitter.com/jRuBt5mieK

- מריר, עייף ומיוזע (@wmaxeddy) 9 באוגוסט 2018

שום דבר מזה לא מפתיע במיוחד, אך התומך הטכנולוגי שלי התחיל להתפתל כשדיונים פנו לאימות הבחירות. זה נושא זה שנים, אבל זה מתחיל להתקדם לקדמת הדיונים מכיוון שאבטחת הבחירות הופכת לנושא גדול יותר. מערכות הצבעה אלקטרוניות רבות (ואפילו מכונות מכניות ישנות בעלות מנוף) חסרות דרך לאמת את תוצאות הבחירות. או אפילו לקבוע אם מישהו התמודד עם המכונה.

יש קונצנזוס בקרב מומחים: בכל מה שקשור לביטחון ההצבעה, הנייר הוא המלך. להצביע על נייר אין תוכנה ואין בו חלקים נעים. פתק נייר הוא מסלול נייר משלו, כזה שאומץ על ידי הבוחר וניתן לספר אותו פעמים רבות ככל שיידרש. אמנם בהחלט ישנם פגמים פוטנציאליים במכונות לציון פתק אלקטרוני (שמדפיסים פתק סיום הצבעה) וסורקי הצבעות, אבל פתקי הנייר עצמם הם השיטה הבטוחה ביותר שיש לנו לא רק להצביע, אלא גם כדי לאמת שהתוצאה של הבחירות נכונות.

מה שהפתיע אותי ב- RSAC הוא שנראה שהאנשים האחראים מקבלים את ההודעה. קיי סטימסון, יו"ר המועצה לתיאום מגזרי בחירות לביטחון פנים בארה"ב, אמר ב- RSAC כי "יש מגמה ברחבי ארצות הברית לבניית חוסן, זה אומר רשומות נייר וביקורת."

מבט חטוף במפות שנקבעו מההצבעה המאומתת מראים עלייה כללית בזמינות ההצבעות בנייר במהלך מחזורי הבחירות האחרונים. עם זאת, עדיין יש לעשות עוד עבודה. אותה מפת בוחרים מאומתת מציגה ארבע מדינות המציעות רק מכונות DRE ללא עקבות נייר. מדינות רבות מציעות שילוב של פתקי נייר ומכונות DRE, אך לעיתים עם מחוזות רבים יותר המשתמשים ב- DRE מאשר בהצבעות נייר. מסלולי נייר, אפילו כאלה שאומתו על ידי מצביעים, עדיין נחשבים לקויים בהשוואה להצבעה על נייר בפועל.

אפילו DARPA סורק את הבעיה, ביוזמה ליצור התקני סימון פתק מקורות פתוחים וקוראי פתקי הצבעה. הפרויקט כבר עוקב אחר כמה מהרעיונות הטובים ביותר לתיקון מכונות הצבעה. זה נשען על פתקי נייר, ויהיה נגיש לחוקרים באופן מלא כדי למצוא פגמים. פיתול מסודר הוא קבלה עם ערך קריפטוגרפי שהבוחרים יכולים להשתמש בהם כדי לוודא שההצבעה שלהם הועמרה ונמנה לאחר הבחירות.

מושג שקיבלו אישורים מחוקרים מבצע ביקורת מגבילה בסיכון לאחר בחירות. מבקרים אלה דורשים רק חלק קטן מהקולות בכדי להשיג אמון סטטיסטי בתוצאה. זה רעיון כל כך פשוט ומובן מאליו שלעולם לא הייתי מצפה שהוא יאומץ בפועל. אך על פי הוועידה הארצית לחקיקת המדינה, 31 מדינות דורשות ביקורת מסורתית של התוצאות לאחר בחירות, ושלוש מדינות מבצעות ביקורת מגבילה בסיכון המומלצת על ידי מומחים. יש לציין כי עשר מדינות קיבלו חוקים הנוגעים לביקורות שלאחר הבחירות מאז 2016.

וביקורת עובדת. רק תסתכל על צפון קרוליינה, שם ביקורות עזרו להפוך את בחירתו של מארק האריס לקונגרס.

זה כל דבר אחר שנשבר

האתגר הגדול ביותר בהנחותיי לגבי ביטחון בחירות הוא ההבנה שלוקח יותר ממכונות הצבעה מאובטחות ומתמטיקה חכמה כדי לאמת את התוצאות. דובר אחר הנאום ב- RSAC הדגיש כי בחירות הן רשת של אירועים, טכנולוגיה, מדיניות, ארגונים ואנשים קשורים זה בזה, וכישלון באחת מהן יכול להשפיע על התוצאה. בזמן שאנחנו מתחילים להצדיק דרך בטוחה ואמתית להצביע, אנו עדיין נאבקים עם… ובכן, כל השאר.

ההצבעה היא פשוט קשה מכדי לעשות זאת באמריקה וההצבעות הבודדות אינן נושאות את אותו משקל. מאמץ להפוך את יום הבחירות לחג נקרא תפיסת כוח פרטיזנית. התרגול של גרימנדריינג ראה כמה תבוסות בשנים האחרונות, אבל זה יוצא הדופן ולא הנורמה. אנו נאחזים במכללת הבחירות, למרות שקיימנו שתי בחירות בעשרים השנים האחרונות בהן המועמד המנצח איבד את ההצבעה העממית.

אלה בעיות שקיימות במדינה שלנו במשך דורות, והטכנולוגיה יכולה רק לשחק תפקיד קטן בפתרון. אפילו התערבות הרוסית מ 2016 הייתה פשוט טוויסט היי-טק בנושא מידע מוטעה ותעמולה. ראינו את הבעיה הזו בעבר. רמאים כבר מזמן יודעים שהרבה יותר קל פשוט להתקשר למישהו ולבקש מידע אישי, או להציג בפניו דף אינטרנט של דיוג, במקום לנסות לפרוץ יעדים על הסף. אנו קוראים לזה "הנדסה חברתית", אבל אתה יכול לקרוא לזה חבלה שהופכו הוראות בסדר יעיל יותר על ידי טכנולוגיות חדשות. הפיתרון הטוב ביותר שיש לנו הוא הכשרה וחינוך, לא מגן חכם המופעל על ידי AI.

באופן דומה, למרות שהחרדה גברה בגלל איומים טכנולוגיים חדשים על הדמוקרטיה, ייתכן שההגנה הטכנולוגית אינה אפשרית. ג'יימס פוסטר, מנכ"ל ZeroFOX, פירק זאת בפשטות: הכוונה לקבוצות ספציפיות של מצביעים אמריקאים לקמפיין דיס-אינפורמציה מתמשך המשתמשת בפלטפורמות שיווק קיימות, בדומה לאלה שאתה רואה הצגת מודעות באתר זה, נמוכה להפליא. עלות השימוש במערכות אוטומטיות לבחינת טקסט, תמונות ווידיאו לחסימה של מידע אינפורמציה גבוהה משמעותית.

נראה כי ממשלות משקיעות רבות בטכנולוגיה כדי לתקוף זו את זו, והן רואות בבחירות הזדמנות מצוינת לעשות זאת. קנת 'גרס, מדען המחקר הראשי בקומודו, הראה כיצד בחירות במדינה כלשהי מביאות לזינוק עצום בזיהוי תוכנות זדוניות.

• האם רוסיה מהווה איום לבחירות בארה"ב? "כן, בהחלט", אומר מנהל ה- FBI האם רוסיה מהווה סכנה לבחירות בארה"ב? "כן, בהחלט", אומר מנהל ה- FBI
• כיצד להגן על הבחירות בארה"ב לפני שיהיה מאוחר מדי. כיצד להגן על הבחירות בארה"ב לפני שיהיה מאוחר מדי
• קמפיינים להשפעה על בחירות: זול מדי מכדי שרמאים יוכלו להעביר את קמפיין ההשפעות על בחירות: זול מדי מכדי שתרמאים יוכלו לעבור

חלק מזה, הודה גייסר, עשוי להיות רמאים שמשתמשים באירועים חוטפים כותרות, אך הוא שיער כי מדובר בעיקר בסוכנויות מודיעין ואולי גם במפלגות פוליטיות. בנפרד, ועדה שלמה הסכימה שאין דרך קונקרטית למנוע מדינות לבצע פעילויות מסוג זה.

שיחה אחרונה בתא ההצבעה

ביליתי בשבועות האחרונים בעיכול כל מה ששמעתי וראיתי בכנס. הנחתי שברגע שמכונות ההצבעה יינעלו, זה יהיה זה. הרעים היו מוכים. זה לא המקרה.

בכל דרך, אבטח את ההצבעה שלנו ובחן את התוצאות באמצעות ניתוח סטטיסטי, אך לא ניתן יהיה להבטיח בחירות לחלוטין עם שום כמות טכנולוגית בלבד. אין מוצר מדף לחיתוך מידע שגוי ממוקד יתר, אין תיקון תוכנה לעובדות אלטרנטיביות ואין אנטי-וירוס לחוות טרולים במדינות הלאום. כדי להבטיח שהדמוקרטיה שלנו תעמוד בסכנות החדשות הללו, עלינו לבצע עבודה קשה בחברה כדי לחנך מצביעים ועבודה פוליטית כואבת כדי להבטיח שהקולות יהיו חשובים. לא שמעתי אף אחד מבין האנשים החכמים ביותר ב- RSAC שיש להם פיתרון לכל זה.