[论文解读] The New South Wales iVote System: Security Failures and Verification Flaws in a Live Online Election

J. Alex Halderman, Vanessa Teague|arXiv (Cornell University)|Apr 22, 2015

Internet Traffic Analysis and Secure E-voting参考文献 11被引用 4

一句话总结

本文揭示了2015年新南威尔士州州选举期间使用的iVote在线投票系统中的关键安全漏洞，表明网络攻击者可因第三方分析代码不安全及验证机制存在缺陷，而破坏选票的隐私性和完整性。尽管选举前已进行审查，该系统在五天内仍处于漏洞状态，期间超过66,000张选票被投出，其中一席位的胜负差距小于暴露于攻击的票数。

ABSTRACT

In the world's largest-ever deployment of online voting, the iVote Internet voting system was trusted for the return of 280,000 ballots in the 2015 state election in New South Wales, Australia. During the election, we performed an independent security analysis of parts of the live iVote system and uncovered severe vulnerabilities that could be leveraged to manipulate votes, violate ballot privacy, and subvert the verification mechanism. These vulnerabilities do not seem to have been detected by the election authorities before we disclosed them, despite a pre-election security review and despite the system having run in a live state election for five days. One vulnerability, the result of including analytics software from an insecure external server, exposed some votes to complete compromise of privacy and integrity. At least one parliamentary seat was decided by a margin much smaller than the number of votes taken while the system was vulnerable. We also found protocol flaws, including vote verification that was itself susceptible to manipulation. This incident underscores the difficulty of conducting secure elections online and carries lessons for voters, election officials, and the e-voting research community.

研究动机与目标

• 调查2015年新南威尔士州州选举中部署的iVote在线投票系统的安全性和可验证性。
• 识别并分析系统设计与实现中的关键漏洞，这些漏洞可能危及选票保密性与完整性。
• 评估iVote验证机制在提供正确选举结果可验证证据方面的有效性。
• 强调在高风险选举中依赖专有、闭源系统而缺乏公开审查所存在的风险。
• 倡导在大规模在线投票推广之前，对电子投票的安全性与透明度进行根本性改进。

提出的方法

• 在2015年选举期间，对生产环境中公开可访问的iVote系统组件进行了独立且未受邀的安全分析。
• 识别并利用了通过托管在外部服务器上的不安全第三方分析代码实现的降级至出口级加密攻击向量。
• 演示了攻击者如何在投票过程中向选民浏览器注入恶意JavaScript代码。
• 分析了iVote验证协议，表明其易受操纵，包括重放攻击和伪造收据编号攻击。
• 评估了系统声称的端到端可验证性，发现其缺乏密码学严谨性与同行评审的设计。
• 将发现报告给新南威尔士州选举委员会（NSWEC），导致在系统实际使用五天后修补了网络层漏洞。

实验结果

研究问题

• RQ1 外部攻击者在实际选举期间，能在多大程度上破坏iVote系统中的选票隐私性和完整性？
• RQ2 iVote验证机制在确保选票被正确记录和计票方面的有效性如何？
• RQ3 在像iVote这样的关键选举系统中使用第三方分析代码会产生什么影响？
• RQ4 为何尽管进行了广泛评估，选举前的安全审查仍未能发现这些漏洞？
• RQ5 一个声称可验证的系统是否仍可能因协议设计缺陷和缺乏公开审查而本质上不安全？

主要发现

• 源自第三方分析代码的关键漏洞使攻击者能够向选民浏览器注入恶意JavaScript代码，从而完全破坏选票隐私性和完整性。
• iVote系统易受降级至出口级加密攻击，使攻击者可绕过TLS保护，拦截或修改传输中的选票。
• 该系统的验证机制依赖电话收据查询，易受重放攻击和伪造攻击影响，严重削弱了其提供有效保障的能力。
• 在漏洞修补前的五天内，超过66,000张选票在该脆弱的iVote系统上被投出，导致大量选票面临潜在操纵风险。
• 最终的立法理事会席位由3,177票的微弱差距决定——该差距小于系统处于漏洞状态期间投出的票数，凸显了选举干预的现实风险。
• 尽管经过多次选举前安全审查，这些漏洞仍未被发现，凸显了闭源系统的局限性，强调了公开、同行评审审查的必要性。