Bezpieczeństwo amerykańskiego systemu wyborczego budzi obawy dotyczące maszyn do głosowania, liczenia głosów i wpływu na wyborców. Według analizy źródłowej, nie ma dowodów na to, że manipulacje maszynami zmieniły wynik jakichkolwiek wyborów w USA, choć systemu nie można uznać za bezpieczny w ścisłym znaczeniu cyberbezpieczeństwa.
Certyfikowane maszyny, ale rzadko aktualizowane
Głosowanie jest organizowane przez stany, z procedurami różniącymi się w zależności od stanu i hrabstwa. W lokalach wyborczych wyborca wskazuje swój wybór na maszynie certyfikowanej przez Election Assistance Commission (EAC) i odizolowanej od sieci, zgodnie z zasadą tzw. « air gap ». Maszyna następnie drukuje papierowy kupon, zawierający czytelny tekst oraz kod kreskowy lub QR, który jest skanowany i następnie liczony.
Shai Bargil, współzałożyciel i CEO firmy Sequent, kwestionuje zakres tej certyfikacji. Podkreśla, że nie jest ona powiązana z czteroletnim cyklem wyborczym i że maszyna może pozostać niezmieniona przez dwa lata lub dłużej. « To dość absurdalne. Oprogramowanie musi być stale aktualizowane i poprawiane », twierdzi, dodając, że ta certyfikacja jest « prawie bez znaczenia ».
Maszyny są również przekazywane do Voting Village, laboratorium bezpieczeństwa wyborczego organizowanego podczas konferencji DEF CON, gdzie badacze i urzędnicy mogą je testować. Według Shai Bargila, każda maszyna dostarczona do tego laboratorium została pomyślnie zhakowana, gdy tylko atakujący mogli ją obsłużyć. Christiaan Beek, wiceprezes ds. cyberwywiadu w Rapid7, zaleca z kolei, aby nie traktować maszyn jako « ostatecznego źródła prawdy », ale jako element szerszego systemu.
Sposoby na wzmocnienie zaufania
Shai Bargil proponuje, aby całe używane oprogramowanie było open source, co pozwoliłoby naukowcom i ekspertom na jego analizę. Sugeruje również, aby zaszyfrowany zapis każdego głosu był przesyłany bezpośrednio do systemu liczenia, jako uzupełnienie papierowego kuponu. Projekt ElectionGuard firmy Microsoft proponuje homomorficzne szyfrowanie głosów, ale nie zaleca otwierania kodu.
Dave Gerry, CEO Bugcrowd, uważa, że najtrudniejsze do rozwiązania podatności znajdują się na obrzeżach systemu, w tym bazy rejestracji wyborców, strony hrabstw i poczta e-mail zespołów kampanii. Casey Erikson, dyrektor ds. testów penetracyjnych w NRLabs, podkreśla, że celem nie jest wyeliminowanie ryzyka, ale jego ograniczenie: « Chodzi o kontrolę dostępu. Weryfikowalne kopie zapasowe są kluczowe. »
Wpływ i dezinformacja
Adam Marrè, były agent specjalny FBI, a obecnie CISO w Arctic Wolf, zauważa, że większość działań związanych z wyborami ma mniej na celu zmianę głosów, a bardziej wpływ na postrzeganie wyborów, poprzez kampanie dezinformacyjne lub manipulacje w mediach społecznościowych. Kilka źródeł twierdziło, że Rosja prowadziła kampanię wpływania na korzyść Donalda Trumpa przed wyborami w 2016 roku, co potwierdziły amerykańskie służby wywiadowcze w 2017 roku. W 2024 roku amerykańskie agencje przypisały Iranowi operację hakowania i wycieku danych wymierzoną w kampanię Trumpa.
W 2024 roku w New Hampshire rozesłano zautomatyzowane połączenie wykorzystujące głos Joe Bidena wygenerowany przez deepfake, czyli syntetyczną imitację. Namawiało ono demokratów do pozostania w domu. Według źródła próba ta się nie powiodła, a jej autor stwierdził, że nie była to poważna atak, lecz sposób na podniesienie świadomości o możliwościach AI.
