一部の投票機には10年前の脆弱性が残っている

わずか3年で、デフコン投票村は過激なハッキングプロジェクトから、投票機のセキュリティ問題を浮き彫りにする活動へと成長しました。本日午後、主催者は今年のイベントの調査結果を発表しました。その中には、現在も使用されている投票機に依然として影響を及ぼしている、10年前に発見された緊急の脆弱性も含まれています。

投票村の参加者は、これらの欠陥が過去数年にわたって存在し続け、新たな欠陥も多数確認していることを確認している。しかし、今年もこれらの欠陥が依然として存在し続けていることは、より一層憂慮すべき事態であり、脆弱な機器の交換や修理の進捗が依然として遅れていることを浮き彫りにしている。

今年のデフコンでは、参加者が数十台の投票機を精査しました。その中には、国防高等研究計画局（DARPA）のプログラムを通じて安全かつ検証済みのハードウェア上に構築されたプロトタイプモデルも含まれていました。本日の報告書では、現在使用されている6種類の投票機に関する詳細な脆弱性の発見に焦点を当てています。これには、2018年に28州で使用されたES&S社のAutoMARKと、同年に26州で使用されたPremier/Diebold社のAccuVote-OSが含まれます。

「この結果は憂慮すべきものですが、現時点では驚くべき結果ではないと認識しています」と主催者は記している。「従来の汎用プラットフォーム上で稼働するあらゆるハードウェアやソフトウェアと同様に、現在の投票システムも実際には侵害を受ける可能性があることは周知の事実です。しかし、10年以上前に報告された特定の脆弱性の多くが、今日のシステムに依然として存在していることは注目に値し、特に残念です。」

参加者が発見した脆弱性の種類には、検知されない改ざんを許す可能性のある不十分な物理的セキュリティ保護、容易に推測可能なハードコードされたシステム認証情報、オペレーティングシステムの操作の可能性、メモリや整合性チェックを侵害したりサービス拒否を引き起こしたりする可能性のあるリモート攻撃などが含まれていました。報告書は、これらの脆弱性の多くが、学術研究や州および地方自治体の監査において、何年も前、時には10年以上も前に発見されたことを指摘しています。

「これは、私たちが長年言い続けてきたことを裏付けるものです。つまり、全国でいまだに時代遅れの機器が使われており、セキュリティと信頼性の両面から、交換が必要なのです」と、ニューヨーク大学ロースクール、ブレナン・センター民主主義プログラムの副所長、ローレンス・ノルデン氏は語る。「これは誰にとっても驚くべきことではありません。ましてや選挙管理当局にとってはなおさらです。だからこそ、議会と各州は選挙セキュリティへの支出を早急に増やさなければなりません。」

2016年の米国大統領選挙以降、投票機のセキュリティ対策は一定の進展を見せている。ミシガン州、バージニア州、アーカンソー州、コロラド州、フロリダ州、ネバダ州などは、老朽化してデジタル攻撃の危険性がある投票機、あるいは安全策として紙のバックアップを残さない完全デジタル投票機の交換に着手した。しかし、ブレナン・センターが3月に31州の地方選挙管理官121人を対象に実施した調査では、2020年の選挙までにさらなる交換が依然として急務であることが明らかになった。また、回答者の約3分の2は、変更に必要な資金が不足していると回答した。

「コンピューター投票には既知のリスクと脆弱性があり、レガシーシステムが今も使用されているため、これらの脆弱性は依然として存在しています」と、選挙システムのベストプラクティスを推進する非営利団体Verified Votingの代表であるマリアン・シュナイダー氏は述べています。「各州は2020年の選挙までに脆弱な機械を交換する努力をしていますが、それを継続するには議会からの財政支援が必要です。連邦法の制定は、各州が新しい機器を購入するための十分な資金を確保するのに役立つでしょう。」

さらに、投票機のセキュリティは、米国の選挙をより強力に防御するための膨大な課題リストの中のほんの一項目に過ぎません。より多くの地区が、有権者名簿やメールといったインフラを保護するためにネットワークとクラウドの防御策を導入する必要があり、より多くの州が選挙結果を検証するためにリスク制限監査を実施する必要があります。

「投票システムのセキュリティ脆弱性の発見と再現は、投票村が重要な役割を果たす重要な任務ですが、私たちの見解では、それが投票村の主な貢献ではありません」と、村の主催者は記しています。「2019年の投票村の明確な結論は、独立したセキュリティ専門家とハッカーが、他のほとんどが提供できない専門知識、回答、そしてソリューションを選挙管理者、政策立案者、そして一般市民に提供し、その脆弱性に介入しているということです。」

選挙セキュリティに関する情報ギャップを埋め、正確で独立した選挙を実施するために必要なリソースと情報を関係者に提供することが喫緊の課題であることは、長年にわたり明らかでした。そしてついに、研究コミュニティやDefcon Voting Villageのような取り組みのおかげで、この課題は主流の認識を得始めています。かつてはハッカーに対して公然と敵対的だった投票機メーカーも、脆弱性の開示を容易にするためにバグ報奨金プログラムの導入を検討しています。これは、ほんの数年前には考えられなかった連携です。

それは、この選挙に関わる利害関係の重さも関係している。「我々が直面する最大の課題は、選挙制度の完全性を確実に維持することだ」と、ジョセフ・マグワイア国家情報長官代行は木曜日、下院情報委員会で述べた。「我々は今、我々の選挙の有効性について疑問を抱かせようとしている外国勢力が存在することを認識している」

すべての写真はRoger Kisby/Redux Picturesによるものです。

WIREDのその他の素晴らしい記事