We weten allemaal heel goed dat technologie de wereld kan veranderen. Dit is een waarheid die verschillende impliciete betekenissen heeft, aangezien de technologie zelf kan worden gepirateerd. Daarom hebben de DEF CON-hackers onlangs in slechts 90 minuten ingebroken in Amerikaanse stemmachines.
DEF CON-hackers hebben in slechts 90 minuten ingebroken op stemmachines in de VS
Technologie kan de wereld veranderen. Dit is een waarheid die verschillende impliciete betekenissen heeft, de technologie zelf kan worden gepirateerd en een elektronische stembus kan worden aangevallen, wat de overwinning oplevert voor de kandidaat die uiteindelijk heeft verloren.
De wereld leeft met een aantal grimmige realiteiten van het gebrek aan democratie, de stem is het wapen van het volk, maar wanneer het volk stemt, wordt het ontwapend. Op DEF CON, op de beroemde hackerconferentie, duurde het 90 minuten om een stemmachine die in de Verenigde Staten wordt gebruikt, te ‘hacken’.
De Verenigde Staten zijn altijd een land geweest waar de democratie “autoritaire opluchting” heeft gehad, ook al is het stemsysteem voor gewone mensen enigszins “vreemd”. Na het mislukken van de telling van de presidentsverkiezingen van 2000 hebben de VS zwaar geïnvesteerd in elektronische stemsystemen, maar ze hebben in alle opzichten niet zoveel geïnvesteerd in een beveiligingssysteem voor dit stemsysteem.
Dit jaar, op de DEF CON-hackerconferentie in Las Vegas, werden 30 geautomatiseerde stembussen die bij de Amerikaanse verkiezingen in de race voor het Witte Huis werden gebruikt, eerst fysiek “gehackt” om toegang te krijgen tot de binnenkant ervan, om later te laten zien wat ze hadden verborgen binnen.
Op het eerste stemdorp ooit in #DEFCON, sleutelen aanwezigen aan verkiezingssystemen om kwetsbaarheden te vinden. Ik heb gehoord dat ze een aantal nieuwe gebreken hebben gevonden pic.twitter.com/VpYPXANUMT
— Bradley Barth (@BBB1216BBB) 28 juli 2017
In minder dan 90 minuten begonnen de eerste scheuren in de verdediging van het systeem te verschijnen, wat een laag niveau van gênante beveiliging aan het licht bracht. Vervolgens werd een machine gehackt via wifi.
“Ongetwijfeld zijn onze stemsystemen zwak en kwetsbaar. Dankzij de bijdragen van de hacking-community van vandaag hebben we nog meer ontdekt over hoe zwak systemen zijn”.
Zei Jake Braun, die eerder dit jaar de oprichter DEF CON Jeff Moss het idee verkocht.
“Het enge is dat we ook weten dat onze buitenlandse tegenstanders – waaronder Rusland, Noord-Korea en Iran – het vermogen hebben om ook te ‘hacken’ terwijl ze de principes van democratie ondermijnen en onze nationale veiligheid bedreigen.”
De Diebolds-machines voor Sequoia- en Winvote-apparatuur werden gekocht op eBay of op overheidsveilingen en een analyse door “hackers” bij DEF CON, deze stemmachines onthulden een ongelukkige situatie. Sommige gebruikten zeer verouderde en exploiteerbare software – met niet-gecorrigeerde versies van OpenSSL, Windows XP en CE. Sommige van deze machines hadden fysieke USB-poorten die konden worden gebruikt om kwaadaardige software te installeren om stemmen te vervalsen.
Het is één ding om de doos fysiek voor ons te hebben en te proberen iets op die machine te doen. Natuurlijk zouden de functionarissen die het verkiezingsproces valideren en volgen, de aanval detecteren en stoppen. Een ander ding is in luchtvorm, via wifi, van een afstand kunnen we toegang krijgen tot de machine en deze manipuleren.
Blijkbaar bevatten sommige dozen een slecht beveiligde wifi-verbinding. Een WinVote-systeem dat bij eerdere verkiezingen werd gebruikt, lijkt “gehackt” via wifi en de MS03-026-kwetsbaarheid van WinXP stelde INFOSEC-academicus Carsten Schurmann in staat om vanaf zijn laptop via RDP toegang te krijgen tot de machine. Een ander systeem kan mogelijk op afstand worden aangevallen via OpenSSL door gebruik te maken van bug CVE-2011-4109.
Groeten uit het Defcon-stemdorp waar het 1:40 duurde voordat Carsten Schurmann op afstand toegang kreeg tot deze WinVote-machine. pic.twitter.com/1Xk3baWdxv
— Robert McMillan (@bobmcmillan) 28 juli 2017
Voorkomen is beter dan genezen
Degenen die verantwoordelijk waren voor deze “beveiligingstest” zeiden dat de WinVote-machine niet volledig veilig was en dat de inbraak zou zijn gedetecteerd en geregistreerd, dus er is geen reden tot paniek. En niet alle aangevallen apparatuur wordt gebruikt bij de huidige verkiezingen, er zijn al verschillende modellen stopgezet.
De “beveiliging” van deze WINvote-machines is zo slecht. Met WinXP, autorun ingeschakeld en hardgecodeerd WEP wifi-wachtwoord. pic.twitter.com/AlOiAPcRra
— Victor Gevers (@0xDUDE) 28 juli 2017
Deze aanvallen laten echter zien dat er mogelijk toegang op afstand tot apparatuur is en dat lokale verkiezingsfunctionarissen helemaal niet bereid zijn om deze inbraak op afstand te detecteren, vooral nu de Amerikaans-Russische betrekkingen in een onvriendelijke staat verkeren. De verantwoordelijken voor deze test willen dat de resultaten worden gezien als een wake-up call.
Dus, wat vindt u van deze kwetsbaarheid? Deel eenvoudig uw mening en gedachten in het commentaargedeelte hieronder.