Le MIT n'était T le ONE à auditer Voatz : la Sécurité intérieure l'a fait aussi, avec moins de préoccupations.

CORRECTION (21 février, 21h50 UTC) :En raison d'informations inexactes fournies par le bureau du secrétaire d'État de Virginie-Occidentale, une version antérieure de cet article présentait à tort le document en question comme un rapport déclassifié du DHS. Il s'agit en fait d'un résumé publié par Voatz d'un rapport du DHS toujours classifié.

Le Département de la sécurité intérieure (DHS) a découvert un certain nombre de vulnérabilités de sécurité dans l'infrastructure technique de Voatz lors d'un audit de cybersécurité du siège social de Boston du fournisseur d'applications de vote mobile, selon un rapport récemment déclassifié obtenu par CoinDesk.

Cependant,le DHSUn rapport, réalisé par une équipe de recherche et d'intervention en cas d'incident en collaboration avec l'Agence de cybersécurité et de sécurité des infrastructures (CISA) du ministère, a également déterminé que Voatz n'avait subi aucune menace active sur son réseau pendant l'opération d'une semaine menée en septembre. Il a élaboré une série de recommandations pour renforcer la sécurité de Voatz, que Voatz a depuis appliquées.

Le rapport de la CISA a été partagé avec CoinDesk quelques heures après qu'un article technique rédigé par des chercheurs du MIT ait affirmé pour détailler un certain nombre de vulnérabilités majeures dans le Soutenu par les MédicisL’application de Voatz, y compris les allégations selon lesquelles l’application laisse l’identité des électeurs ouverte aux adversaires et que les bulletins de vote peuvent être modifiés.

Le Rapport du MIT, publié jeudi par les étudiants diplômés Michael Specter et James Koppel et le chercheur principal Daniel Weitzner, allègue en outre que l'application a une transparence limitée, une affirmation également soulevée par un certain nombre de chercheurs en sécurité.

« Nos résultats servent d’illustration concrète de l’opinion commune contre le vote par Internet et de l’importance de la transparence pour la légitimité des élections », ont déclaré les chercheurs du MIT dans le rapport.

Cependant, l'audit de la CISA, qui se concentre moins sur l'application elle-même que sur le réseau interne et les serveurs de Voatz, tire une conclusion différente. Les enquêteurs du DHS ont indiqué que, bien qu'ils aient découvert des problèmes susceptibles de poser des problèmes futurs aux réseaux de Voatz, l'équipe « félicite globalement Voatz pour ses mesures proactives » de surveillance des menaces potentielles.

Les deux rapports dressent un tableau contrasté de la manière dont l'entreprise, dont l'application a été utilisée dans le cadre de programmes pilotes et d'élections en direct en Virginie-Occidentale, au Colorado et dans l'Utah, aborde la sécurité du vote. De plus, au moins un responsable électoral supervisant le déploiement de l'application Voatz estime que l'étude du MIT manque de données dans son évaluation.

Les chercheurs du MIT n'ont pas répondu à une Request de commentaire au moment de la mise sous presse.

Les conclusions du MIT

Le rapport du MIT s'appuie sur une rétro-ingénierie de l'application Voatz et sur un serveur « salle blanche » réimplémenté, selon les chercheurs, qui n'ont pas interagi avec les serveurs en direct de Voatz ou son prétendu back-end blockchain.

Ils ont découvert des failles de Politique de confidentialité et de nombreuses voies d'attaque potentielles dans l'application. Les pirates pourraient déduire le vote des utilisateurs, corrompre la piste d'audit et même modifier le contenu du bulletin de vote, ont indiqué les chercheurs.

Les conclusions et les erreurs des chercheurs ne portaient pas sur l'utilisation d'une blockchain par Voatz, notamment parce qu'ils n'avaient pas accès à la blockchain autorisée sur laquelle Voatz est censé stocker et authentifier les votes. Ils indiquent plutôt que l'application Voatz ne transmet jamais les informations de vote à un « système de type blockchain ».

Critiquant le manque de transparence de Voatz, les chercheurs ont également soutenu que l’approche « boîte noire » de l’entreprise en matière de documentation publique pourrait, en tandem avec les bugs, éroder la confiance du public.

« La légitimité du gouvernement repose sur le contrôle et la transparence du processus démocratique afin de garantir qu’aucun parti ou acteur extérieur ne puisse modifier indûment le résultat », indique le rapport.

En fin de compte, les chercheurs ont recommandé aux élus d’« abandonner » purement et simplement l’application.

« Il n’est pas encore certain qu’un système de vote électronique, mobile ou par Internet, puisse concrètement surmonter les exigences de sécurité strictes imposées aux systèmes électoraux », ont-ils déclaré.

Mais Amelia Powers Gardner, une vérificatrice électorale du comté d'Utah, dans l'Utah, qui la supervisaitdéploiement du comté du système Voatz pour les électeurs handicapés et les militaires déployés à l'étranger, a déclaré à CoinDesk qu'au moins certains des bugs trouvés par les chercheurs ne peuvent pas être exploités dans la pratique.

« [Les chercheurs] n'ont T pu étayer ces affirmations, car ils n'ont jamais pu se connecter au serveur Voatz », a déclaré Powers Gardner. « En théorie, ils affirment donc avoir pu réaliser ces opérations, et uniquement sur la version Android, et non sur la version Apple. »

Elle a déclaré que l'effort des chercheurs du MIT provenait de « et si, et peut-être, et de peut-être qui, franchement, n'ont tout simplement T fonctionné », et que l'application avait depuis été corrigée.

Pour Powers Gardner, les avantages de Voatz dépassent largement les risques de sécurité. Elle affirme que le logiciel constitue une bien meilleure alternative que la solution technologique actuelle : le courrier électronique, pour les groupes votants autrement privés de leurs droits.

« Bien que ces inquiétudes concernant le chargement mobile puissent être valables, elles T un niveau de sécurité qui me pousse à remettre en question l'utilisation de l'application mobile », a-t-elle déclaré.

John Sebes, cofondateur et directeur Technologies de l'Open Source Election Technologies Institute, a déclaré qu'un certain nombre de préoccupations des chercheurs demeurent, malgré les affirmations de Powers Gardner.

Les responsables électoraux et les informaticiens vivent dans des univers très différents et peuvent donc avoir des points de vue divergents, a-t-il déclaré. Cependant, a-t-il ajouté, les chercheurs en informatique n'ont pas besoin de comprendre l'univers d'un responsable électoral pour évaluer les affirmations d'un éditeur de logiciels.

« Nous ne pouvons T valider les affirmations de Voatz selon lesquelles les versions plus récentes étaient meilleures, mais il n'en reste pas moins que la version inspectée présentait des problèmes assez basiques », a déclaré Sebes.

En réponse aux affirmations de Powers Gardner selon lesquelles les chercheurs affirmaient qu’il s’agissait de spéculations, ou de « et si », Sebes a déclaré que cela reflétait une mauvaise compréhension de la valeur de ce type d’évaluation de sécurité.

L'objectif est de trouver des vulnérabilités dans le logiciel qui pourraient permettre aux adversaires de mener une cyberopération réussie, plutôt que de prétendre qu'une véritable attaque a eu lieu, a déclaré Sebes.

Toujours voter électroniquement

Voatz lui-même a contesté le rapport du MIT, insinuantdans une déclarationque les chercheurs se lançaient dans une campagne de peur.

« Il est clair, compte tenu de la nature théorique de l’approche des chercheurs… que le véritable objectif des chercheurs est de perturber délibérément le processus électoral, de semer le doute dans la sécurité de notre infrastructure électorale et de répandre la peur et la confusion », indique le communiqué.

La réponse de l'entreprise au rapport du DHS a été plus mesurée ; bien qu'il n'y ait pas eu de déclaration écrite - et qu'un porte-parole n'ait pas répondu à une Request de commentaire - les enquêteurs du gouvernement ont déclaré que Voatz avait pris des mesures sur la plupart de leurs recommandations.

Cependant, le rapport du DHS reste peu concluant sur l’application Voatz elle-même.

La Virginie-Occidentale, ONEun des États qui a utilisé l’application, affirme n’avoir rencontré aucun problème jusqu’à présent.

Mike Queen, porte-parole du secrétaire d'État de Virginie-Occidentale, Mac Warner, a déclaré quePilote 2018pour les électeurs militaires d'outre-mer s'est déroulé sans accroc. Cependant,il était évasifquant à savoir si l’État continuerait à utiliser Voatz.

« Le secrétaire Warner et son équipe prendront une décision avant le 1er mars concernant la Technologies que nous préconiserons pour les élections primaires de mai 2020 », a-t-il déclaré. « Comme nous l'avons toujours fait, notre décision se basera sur les meilleures informations disponibles, en mettant l'accent sur la sécurité et l'accessibilité. »

Comme Powers Gardner de l’Utah, Queen a déclaré que tout handicap physique potentiel ou situation géographique ne devrait pas empêcher les électeurs de participer au processus démocratique.

« Je T aucune obligation envers un chercheur étranger qui ne comprend T le fonctionnement des élections », a déclaré Powers Gardner. « J'ai le devoir de défendre les droits constitutionnels des électeurs handicapés de ma communauté, et je vais garantir leur droit constitutionnel de vote de la manière la plus sûre que je connaisse. »

Lisez le rapport complet du DHS ci-dessous :