Інтернет-вибори фундаментально небезпечні
“Голосування через Інтернет є небезпечним”, – категорично заявили ще у квітні 2020 більше 80 керівників та провідних співробітників науково-дослідницьких організацій США, працівники наукових установ та провідних експертів, у тому числі такі всесвітньо відомі «зірки» як Брюс Шнаєр та Мартін Хеллман. Від титулів, нагород та регалій підписантів аж тьмяніє в очах. Чого тільки вартий Вінтон Серф (Vinton Cerf) – один із батьків-засновників Інтернету та один з розробників протоколу TCP/IP.
Усі ці авторитетні особи та організації звернулися з відкритим листом до губернаторів, держсекретарів штатів та керівників виборчих комісій США:
«Ми закликаємо утриматися від дозволу використовувати будь-яких систем Інтернет-голосування та розглянути можливість розширення доступу до раннього голосування та голосування поштою, щоб краще забезпечити безпеку, точність і захист виборців, необхідних для американських виборів перед обличчям безпрецедентної кризи громадського здоров’я».
Жирним шрифтом виділено:
«Наразі Інтернет-голосування не є безпечним рішенням для голосування в США і також воно не буде безпечним у найближчому майбутньому».
Окремо прошу показати ось цю фразу вітчизняним жижиталізаторам та їхнім політичним босам, які «технічно готові до Інтернет-голосування», «..якщо буде розроблений і прийнятий відповідний закон»:
«Інтернет-голосування, яке включає email, факс та веб-голосування, а також голосування через мобільні додатки (такі як Voatz), залишаються фундаментально небезпечними».
Фундаментально. Небезпечним. Це коли кількість та тяжкість ризиків не мають реальної перспективи їх мінімізації до прийнятного рівня.
І наведу ще одне твердження патріархів американської спільноти:
«Вчені та експерти з безпеки виражають занепокоєність стосовно великої кількості потенційних вразливостей, з якими стикаються платформи Інтернет-голосування, у тому числі шкідливе ПЗ та DDoS, автентифікація виборця, захищеність та анонімізація бюлетеня, та яким чином оброблятимуться спірні бюлетені. Важливо, що не існує способів провести належний аудит результатів через брак значимих паперових записів, підтверджених виборцем. Не існує наукових та технічних підтверджень, що будь-яка Інтернет-система голосування вирішує або може вирішити ці проблеми».
А наступна фраза ще краща:
«Блокчейн-системи не вирішують фундаментальних проблем з Інтернет-голосуванням».
Сучасні українські чиновники та політики полюбляють вставляти слово «блокчейн» де попало, переважно недоречно.
Окремо зверну увагу, що американські фахівці думають про голосування через тамтешній додаток Voatz:
«Сервери Voatz вразливі до маніпуляцій, які «таємно порушують конфіденційність користувачів, змінюють голоси користувача та контролюють результат виборів».
Тут треба пояснити трохи про цей додаток.
Voatz був розроблений однойменною приватною (!) американською компанією та використовувався у кількох містах та штатах під час загальнодержавних і місцевих виборів 2018-2020 років. Додаток застосовувався у 82 е-виборах та обслужив близько 2 мільйонів виборців у Канаді, США та Венесуелі (посміхнувся з приводу останньої країни).
Але.
До 2020 року Voatz отримував суттєву критику за непрозорість процесу аудиту додатку. Хоча Voatz стверджував, що незалежні технологічні фірми провели аудит безпеки, його результатів не було надано. А коли журналісти звернулися до аудиторів, то відповіді просто не отримали, а Voatz пояснив, що ці компанії підписали угоди про нерозголошення.
Нічого не нагадує?
Підказка: в Україні додаток Дія розробили державні установи (EPAM Ukraine розробила лише першу версію), а усі ми з дитинства глибоко довіряємо державним установам. Фахова спільнота вже майже два роки вимагає від розробників Дії доступ до коду, до документації, до звітів про аудити безпеки – мороз. Десь промайнуло посилання когось з вискубів на компанії ISSP та FSGroup, які начебто проводили аудити безпеки додатку Дія. Але чомусь мені здається, що ці компанії також не захочуть спілкуватися з журналістами. Та я практично в цьому впевнений.
Але це ще не кінець історії з Voatz.
У 2020 році у звіті дослідників Массачусетського технологічного інституту було виявлено ряд серйозних вразливостей в архітектурі Voatz, які розробник категорично заперечив, назвавши дослідження «недостатнім».
Аудиторська компанія Trail of Bits оприлюднила подальшу оцінку безпеки, яка підтвердила результати дослідників Массачусетського технологічного інституту, і було повідомлено про ще 48 технічних проблем (плюс 31 «знахідка» у моделі загроз із 79 знахідок), третина з яких була “високої тяжкості” (high severity).
Думаю, у тому числі проти ділків з Voatz і обурилася американська кібербезпекова спільнота. А ще проти постійних спроб влади просувати можливість Інтернет-голосування, яке наразі не може вважатися достатньо безпечним і надає організаторам широкі можливості для маніпуляцій з голосами.
Що ж до українських перспектив проведення онлайн-голосування – тут перспектив майже ніяких. Україна, яка технологічно (та і взагалі) сильно відстає від США, до Інтернет-голосування не буде готова щонайменше років 10-15 (якщо розпочати підготовку прямо зараз). Ані юридично, ані технологічно, ані з міркувань довіри до результатів таких «виборів». Це якщо говорити про чесні та прозорі вибори, з дотриманням міжнародних норм та під ефективним контролем спостерігачів від політичних партій та міжнародних організацій. І щоб США та ЄС визнали ці вибори чесними та легітимними.
Але поки що жодна країна Світу (крім Естонії) не готова до онлайн-голосування, у тому числі Сполучені Штати Америки, кращі фахівці яких консолідовано заявляють про неприпустимість такої практики.
Звісно, «дієві» та їхні боси можуть свавільно пропхнути якийсь лівий закон та внагляк провести вибори через Дію. Перший заступник міністра МЦТ вже озвучив такий намір.
Але як відреагує на це українське суспільство? Знов проковтне?
Кому більше повірять прихильники Дії щодо безпеки цього сумнівного додатку: технічним фахівцям чи популістським заявам брехливих чиновників?
Чи зможе (і чи захоче) кібербезпекова спільнота України об’єднатися задля недопущення такого сценарію, за прикладом колег в США? Або продовжить підбирати принизливі крихти зі столу «дієвих» та всяких юсейдів?
Чи готова українська влада враховувати об’єктивні оцінки технічних фахівців, у тому числі зі світовим ім’ям?
Поки що ці питання залишають без відповіді. Але у мене погані передчуття.
