Les résultats donnent à réfléchir. C’est la troisième année qu’ils se concentrent sur les systèmes électoraux, et la sécurité est toujours catastrophique.
Les organisateurs du Voting Village se sont récemment rendus à Capitol Hill pour rendre publiques leurs découvertes, lors d’un événement auquel ont assisté le sénateur Ron Wyden, fortement impliqué dans l’augmentation du financement de la sécurité électorale, et la représentante Jackie Speier.
En résumé : en août dernier, des hackers ont facilement compromis chacune des plus de 100 machines auxquelles ils avaient eu accès, en utilisant, dans la plupart des cas, des “attaques triviales” qui ne nécessitaient “aucune sophistication ni aucune connaissance particulière de la part de l’attaquant”. Ils n’ont pas pu tester tous les types de système de vote utilisés dans le pays, mais chacune des machines compromises était actuellement certifiée pour une utilisation dans au moins une circonscription électorale, y compris les machines de vote de type Direct-Recording Electronic (DRE), des registres de vote électroniques, des systèmes basés sur des Ballot Marking Devices (BMD), des scanners optiques et des systèmes hybrides.
Voici un extrait du communiqué de presse de Voting Village :
Dans de trop nombreux cas, les ports physiques étaient non protégés, les mots de passe non définis ou bien laissés dans les configurations par défaut et les fonctionnalités de sécurité du matériel commercial sous-jacent étaient inutilisées, voire désactivées.
La même rengaine, toujours et encore
Pendant les trois années durant lesquelles le Voting Village a testé la sécurité des systèmes de vote, les avertissements sur la possibilité d’une manipulation de tout système électoral connecté à Internet ou à n’importe quel autre réseau n’ont pas manqué. L’état de non-sécurité électorale est suffisamment sérieux pour que la DARPA (Defense Advanced Research Projects Agency) ait décidé d’y travailler : elle espère créer un système de vote électronique qui, selon lui, empêchera d’altérer les machines électorales au niveau des bureaux de vote.
En 2017, en moins de deux minutes, Carsten Schürmann, chercheur spécialisé dans les démocraties-technologiques, a utilisé une nouvelle vulnérabilité pour obtenir un accès à distance à une machine WinVote dans le Voting Village. En 2018, un adolescent de 11 ans a modifié les résultats des élections sur une réplique du site web de l’État de Floride… en moins de 10 minutes.
Enfin en 2019, les participants du Voting Village ont à nouveau trouvé de nouveaux moyens, ou reproduit des techniques déjà connues, afin de compromettre les machines de manière à modifier les compteurs de votes, les scrutins affichés aux électeurs ou encore le logiciel interne des machines.
Ils ont pu mener à bien leurs tests avec très peu de moyens et de connaissance. Ils ne disposaient pas des ressources d’un laboratoire professionnel et la plupart des participants testaient des systèmes qu’ils ne connaissaient pas bien et utilisaient tous les outils qu’ils pouvaient trouver.
Comme l’a noté Matt Blaze, cofondateur du projet de test électoral et professeur en cryptographie à l’Université de Georgetown, les maigres ressources du Voting Village, une pièce minuscule et eBay, sont facilement accessibles à de potentiels adversaires étrangers ou à ceux qui cherchent à saboter des élections :
We bought a bunch of surplus voting machines on eBay and put them in a room. I believe many of our foreign adversaries already have eBay capability, so perhaps it would be prudent to use election equipment that can withstand eBay-based threats. https://t.co/SYsVEH2etX
— matt blaze (@mattblaze) August 27, 2018
Avec des ressources limitées, les participants ont constaté que, dans la plupart des cas, les vulnérabilités pouvaient être exploitées furtivement via des interfaces externes accessibles aux électeurs, le personnel des bureaux de vote des circonscriptions électorales ou via quiconque disposant d’un bref accès physique aux machines.
De nombreuses machines présentaient également des vulnérabilités qui les exposaient en permanence à des menaces sur le long terme : En particulier, de nombreux vecteurs d’attaque de type “APT” (Advanced Persistent Threat) continuent à être trouvés ou répliqués. Cela signifie qu’une attaque pouvant compromettre une circonscription entière pourrait être injectée à plusieurs endroits au cours de la vie du système en question.
Pas étonnant, mais plutôt décevant !
Le rapport du Voting Village souligne le fait que rien de tout cela n’est surprenant, mais les résultats sont décevants, étant donné que nous connaissons la plupart des vulnérabilités spécifiques depuis plus de 10 ans.
Comme le rapporte le Washington Post, les législateurs qui réclament une législation pour obtenir davantage de fonds pour la sécurité des élections ont pleinement adhéré aux résultats, promettant de les utiliser afin d’en faire un combat personnel pour chacun des députés siégeant au Congrès. Le journal a cité la représentante Speier :
Le meilleur moyen de faire valoir notre point de vue, c’est de faire peur à tous les membres du Congrès en leur expliquant que le système pourrait se retourner contre eux.
Le sénateur Wyden, un acteur majeur pour l’augmentation du financement de la sécurité électorale et législateur qui s’occupe de toutes les thématiques liées à la cybersécurité, a déclaré que les résultats prouvaient qu’il s’agissait “d’un jeu d’enfants pour un pirate, relativement avisé, de compromettre une élection et de modifier les votes”.
Comment traiter ce problème à présent ?
Les experts en sécurité du système électoral ont déclaré que la seule réelle solution était le bulletin de vote version papier. Ou, pour être plus précis, il est urgent de veiller à ce qu’il y ait toujours une trace écrite pour chaque vote. Avec les seules machines de vote électroniques, il n’y aura aucun moyen de vérifier les résultats.
Mais comme Blaze l’a souligné à plusieurs reprises, les bulletins de vote en papier ne peuvent pas résoudre ce problème seuls. Ils doivent être complétés par des audits post-électoraux rigoureux :
Why? Because even the most rigorously voter-verified paper ballots don’t help if the process that uses them is compromised. Risk Limiting Audits can confirm that the election outcome is correct, but only if we actually conduct them.
— matt blaze (@mattblaze) September 27, 2019
De nombreux projets de loi visant à sécuriser les élections ont été bloqués par le chef de la majorité au Sénat, Mitch McConnell. Certains des projets de loi imposeraient les solutions recommandées par Blaze ainsi que par d’autres experts en sécurité … moyennant un financement.
Comme le rapporte The Post, McConnell a récemment décidé de verser 250 millions de dollars (environ 227 millions d’euros) supplémentaires, d’origine fédérale, aux autorités électorales des États, mais c’est bien moins que les 600 millions de dollars (à peu près 546 millions d’euros) que les démocrates recherchent et sa proposition manque de directives claires quant à la manière dont les États doivent dépenser cet argent.
Billet inspiré de Hacking 2020 voting systems is a ‘piece of cake’, sur Sophos nakedsecurity.
