Машина для электронного голосования Sequoia поддалась хитроумной атаке

Машина для электронного голосования Sequoia поддалась хитроумной атаке

Примененный специалистами метод, известный как возвратно-ориентированное программирование, уже использовался для преодоления мер защиты, встроенных в операционные системы Linux и OpenBSD. На этот раз ученые воспользовались им против машин для голосования AVC Advantage производства компании Sequoia, которые практически повсеместно осуществляют подсчет голосов в штате Нью-Джерси, а кроме того помогают проводить голосование в Луизиане, Пенсильвании, Висконсине, Колорадо и Виржинии.

Машина запрограммирована таким образом, что может выполнять код лишь с доступных только для чтения чипов памяти, которые очень трудно устанавливать и снимать. Полностью запретив выполнение кода из RAM, разработчики надеялись предотвратить возможность инъекции вредоносного кода, способного исказить результаты голосования или нарушить его тайну.

При возвратно-ориентированном программировании вредоносный код не пишется с нуля, вместо этого атакующие используют программные выражения, уже найденные в программном обеспечении, ставшем мишенью атаки таким образом, что в итоге получают полный контроль над системой. Это напоминает ситуацию, при которой похитители составляют текст письма близким жертвы, используя буквы, вырезанные из газет.

Команда исследователей из Принстонского университета, Калифорнийского университета в Сан-Диего и Мичиганского университета провела атаку на легально приобретенную через Интернет машину для голосования Sequoia AVC Advantage. Без доступа к исходным кодам ученым удалось осуществить сначала реинжиниринг аппаратного обеспечения, а затем проделать то же самое и с программным обеспечением, проанализировав ROM устройства.

Представитель Sequoia в ответ на просьбу прокомментировать результаты исследования ответила, что ничего не знает об этой работе и предложила заинтересованным сторонам ознакомиться с комментариями фирмы относительно предыдущего исследования, проведенного профессором Принстонского университета Эндрю Аппелем, известным своим критическим отношением к этой машине для голосования.

Источник: xakep.ru
www.xakep.ru