¿Qué tan seguro es el voto electrónico en el panorama digital actual?
A medida que el año electoral se acerca a la recta final, la cobertura de noticias no estaría completa sin otra mención de una violación de datos o un incidente de ciberseguridad por motivos políticos. Por supuesto, hace varios meses, los correos electrónicos del DNC fueron comprometidos por piratas informáticos, lo que resultó en el robo y la exposición de 19,000 correos electrónicos pirateados y documentos relacionados. Sin embargo, esto palidece en comparación con el reciente anuncio del FBI de violaciones de datos que involucran las bases de datos de registro de votantes de Illinois y Arizona. Si los controles críticos para asegurar los sistemas electorales continúan fallando, ¿cómo pueden los participantes en el proceso democrático estar seguros de que sus votos no serán secuestrados?
Resulta que los astutos métodos de ataque y las sofisticadas herramientas de sombrero negro apenas son necesarios para comprometer los sistemas electorales críticos. El uso de métodos nefastos para influir en los votos es una ciencia engorrosa e inexacta: ¿no sería más fácil alterar directamente el conteo de votos? Entonces, la pregunta es: ¿qué tan seguros están los sistemas de votación electrónica de ser secuestrados por ciberatacantes?
Se utilizan diferentes soluciones de votación en las elecciones en todo el país, en todos los niveles (ciudad, estatal y federal), por lo que la respuesta varía según el proveedor. Además, estos sistemas propietarios suelen ser exclusivos de las instituciones gubernamentales, por razones obvias. Sin embargo, como medida de la idoneidad de la seguridad y la resiliencia de la empresa, las calificaciones de RSC de estos fabricantes pueden traducirse en última instancia en la seguridad (o la falta de ella) de los productos que fabrican y venden.
La Comisión de Asistencia Electoral (EAC, por sus siglas en inglés) es la agencia del gobierno de los Estados Unidos responsable de acreditar los laboratorios de pruebas de sistemas de votación y certificar el equipo de votación. Los siguientes proveedores líderes fueron seleccionados de una lista de 15 fabricantes de sistemas de votación registrados con la agencia y que cumplen con los requisitos del Capítulo 2 del Manual del Programa de Pruebas y Certificación de la EAC.
Proveedores de sistemas de votación
1. ES&S - 143 de 950
Election Systems and Software (ES&S) es el mayor fabricante de máquinas de votación en los Estados Unidos, con clientes en 4,500 localidades en 42 estados y dos territorios de los Estados Unidos. Rhode Island, Washington, D.C., Maryland y Colorado son algunos de los estados que utilizan sus sistemas.
Desafortunadamente, la compañía obtuvo una puntuación de RSC alarmantemente baja debido a una gran cantidad de fallas de seguridad perimetral. Por ejemplo, la falta de SSL en todo el sitio hace que su sitio web sea vulnerable a los ataques de intermediario (MITM), mientras que la exposición de los puertos normalmente asignados a los servicios de intercambio de archivos y las comunicaciones de bases de datos proporciona a los atacantes vectores de ataque potenciales adicionales. La falta de DMARC y DNSSEC también contribuye a la baja puntuación de ES&S.
2. Soluciones de votación Unisyn - 219 de 950
El sistema de votación por escaneo digital de Unisyn está certificado por la EAC para cumplir con los Estándares y Pautas de Votantes Voluntarios (VVSG), un conjunto de especificaciones/requisitos para determinar si los sistemas de votación cumplen con los estándares requeridos. La compañía proporciona "los únicos sistemas con niveles de seguridad de varios niveles que residen en una plataforma Linux y Java reforzada y optimizada", con todo su código fuente "disponible para su revisión por parte de funcionarios de jurisdicciones confiables como parte de un proceso de adquisición".
Cuando la evaluación de la seguridad del sitio web del proveedor se convierta en una parte estándar del proceso de adquisición, Unisyn sin duda estará en problemas. Su mísera puntuación de RSC de 219 cuantifica una gran cantidad de fallos de seguridad: falta de SSL en todo el sitio, fuga de información del servidor, puertos expuestos y más.
3. Smartmatic - 808 de 950
Las autoridades electorales del condado de Los Ángeles, el más poblado de Estados Unidos, realizaron una prueba piloto con Smartmatic para agilizar y agilizar los informes electorales durante las elecciones presidenciales primarias de California del 7 de junio. En las elecciones presidenciales de Filipinas de 2010 y 2016 también se utilizaron las soluciones de Smartmatic para la transmisión y el conteo de votos.
En términos relativos, la postura de seguridad de Smartmatic es decente, dicho esto, un puñado de fallas de seguridad como HTTP Strict Transport Security deshabilitado, la falta de cookies seguras y DMARC deshabilitado hacen que su postura de seguridad no sea la ideal.
4. Votación del Dominio: 342 de 950
Dominion es una empresa centenaria con una profunda experiencia en el desarrollo de sistemas de votación. Curiosamente, las raíces de la empresa se remontan a 1895 con la invención de la primera máquina de palanca de registro directo, la predecesora original de la máquina de votación moderna. Las máquinas de votación de la compañía se utilizan actualmente en 600 jurisdicciones en 22 estados de EE. UU.
En 2015, la compañía fue elegida como el único proveedor del Sistema de Votación Uniforme de Colorado, parte de los esfuerzos de modernización del estado para mejorar el proceso electoral y la experiencia de los votantes.
A pesar de su larga herencia y pedigrí, la empresa obtuvo una pésima puntuación de RSC de 342. Fallas similares plagan los controles de seguridad perimetral del sitio web de la compañía. Falta de SSL en todo el sitio, fuga de información del servidor y SPF y DMARC deshabilitados
5. Fundación OSET - 390 de 950
La Fundación OSET tiene como objetivo poner a disposición del público la tecnología de software electoral para permitir la verificación, precisión, seguridad, transparencia e integridad en las elecciones. Su ElectOS es un marco emergente de código abierto de tecnología de elecciones públicas disponible de forma gratuita para que cualquier jurisdicción lo adopte/adapte e implemente.
A pesar de los esfuerzos altruistas en el lanzamiento de esta iniciativa, el sitio web del Instituto OSET obtiene una pésima calificación de RSC de 390. Junto con las deficiencias de seguridad habituales, como la falta de SSL, SPF y DMARC en todo el sitio, el sitio web del Instituto OSET carece de seguridad de transporte estricta HTTP y cookies HttpOnly, mecanismos que evitan el secuestro de credenciales y los ataques de scripts del lado del cliente, respectivamente.
6. Boleta clara - 561 de 950
Clear Ballot, con sede en Boston, desarrolla soluciones de vanguardia para la gestión de votos, la consolidación/presentación de informes y la auditoría. Varios condados de Oregón, Florida y Colorado están utilizando sus sistemas de votación para impulsar sus elecciones.
La empresa obtiene una puntuación media de RSC de 561 por su postura de seguridad perimetral semireforzada del sitio web. No se exponen puertos vulnerables, pero fallas comunes como la falta de SSL, HTTP Strict Transport Security, DMARC y DNSSEC plagan su presencia web.
Conclusión
La existencia de sistemas de datos electorales altamente vulnerables en Estados Unidos solo valida lo que hemos sabido todo el tiempo: que la democracia es tan frágil como los mecanismos que la respaldan, electrónicos o de otro tipo. Pero a diferencia del escándalo Watergate que puso fin a la presidencia de Nixon hace más de cuatro décadas, los robos de hoy en día son llevados a cabo por perpetradores en lugares remotos, armados con herramientas altamente sofisticadas para el allanamiento de morada digital. Del mismo modo, las soluciones de última generación, como la plataforma de resiliencia digital de UpGuard, están disponibles para evitar que las vulnerabilidades y los fallos de seguridad que, de otro modo, no se detectarían, provoquen que las votaciones se vean comprometidas.