Cada vez que hay elecciones en los EE. UU., surgen preguntas sobre las vulnerabilidades de seguridad y la piratería / manipulación de las máquinas de votación (estoy seguro de que tampoco es un fenómeno exclusivo de los EE. UU.).
Obviamente, la prevención de hacks a nivel de hardware es un hervidor de peces completamente diferente, pero si asumimos que la máquina está físicamente segura, si no por otra razón, porque hay tantas , en todo EE. UU., por lo que es casi imposible manipular una cantidad lo suficientemente significativa, incluso si solo se cuentan los estados de oscilación ), el siguiente enfoque sería una forma razonablemente confiable de evitar la manipulación / pirateo no físico de una votación. máquina?
-
Tenga un real ROM (no grabable) que almacena el código de comprobación
-
El código de verificación verifica que el software de la máquina de votación es válido (presumiblemente, calculando la suma de verificación y verificando la suma de verificación contra valores válidos conocidos, por ejemplo, almacenados en un sitio web de la oficina electoral federal).
- Use el cifrado de clave pública para garantizar que las sumas de verificación recuperadas se obtengan correctamente (utilizando la clave pública de la oficina federal de elecciones).
-
Si la suma de comprobación falla, use un hardware separado NO controlado por el resto de los componentes electrónicos en la máquina de votación, al menos para indicar un mal funcionamiento, o incluso bloquear la funcionalidad de votación.
Dado que el código de verificación es 100% en la ROM, se requeriría acceso físico a la máquina (y si está lo suficientemente bien protegido, por ejemplo, dentro de un compartimento soldado, sería más difícil de atornillar).
ACTUALIZACIÓN : para ser claros, las suposiciones aquí son:
-
Cualquier ataque es externo para el proveedor de la máquina y, por lo tanto, el software escrito para él hace exactamente lo que se supone que debe hacer, salvo que se explique adecuadamente por la estupidez .
No hay troyanos inteligentes en el código, no hay un vector de ataque en el compilador utilizado por el proveedor. El contexto de la pregunta es defenderse contra un ataque de un tercero en una máquina que funciona perfectamente válida .
Motivos: porque el contexto en el que hice la pregunta fueron los ataques de terceros en la vida real (y no en troyanos). Además, porque de lo contrario, la pregunta se vuelve trivial de responder y poco interesante. Por supuesto, puede sobornar al proveedor con suficientes recursos, duh.
-
También puede suponer que puede confiar en las firmas de suma de comprobación en el sitio web federal, por qué es irrelevante, pero, diablos, es tan simple como tener pasantes de todas las partes interesadas que se encuentran allí todos los días de las elecciones con impresión. de la suma de comprobación original y verificar que el sitio web aún coincida con la impresión.
-
Se plantearon objeciones al supuesto de que la seguridad física a través de la "oscuridad" (o volumen total) es lo suficientemente efectiva porque solo hay muy pocos precintos de swing. Esto es realmente una suposición válida para hacer.
Motivo: en la política práctica de los EE. UU., dado el margen de error de la encuesta (testigo de las elecciones de 2016), es casi imposible saber cuáles serían los estados / recintos de swing. No importa que en las elecciones de cambio más amplio, como 2008 o 2016 o 1992, la cantidad de máquinas que necesita manipular para afectar el resultado del colegio electoral (en lugar de cambiar ligeramente su margen de voto) requiere TONELADAS de estados / precintos para cambiar. La elección del 2000 con los precintos específicos de la Florida fue un valor atípico, no una regla, e incluso en esa elección, predecir que Florida sería un estado cambiante con esos precintos específicos no fue fácil.