Posté le février 14, 2020 à 8:13

DES CHERCHEURS DU MIT DÉCOUVRENT DES FAILLES DANS L’APPLICATION DE VOTE VOATZ

Des chercheurs du Massachusetts Institute of Technology (MIT) ont récemment révélé que l’application de vote Voatz de l’Oregon et de la Virginie occidentale pourrait présenter d’importantes failles qui permettrait aux hackers de modifier les résultats.

Les chercheurs du MIT ont souligné que les nouveaux bugs pourraient donner à l’attaquant la possibilité de manipuler les votes, de bloquer la soumission des votes, ou même de révéler les votes de quelqu’un.

Cette évolution récente intervient à un moment où les États-Unis sont confrontés à des problèmes de sécurité électorale et à la question de savoir si le vote mobile pourrait accroître l’accessibilité des électeurs tout en restant sûr.

Les experts en sécurité avertissent qu’il est impossible de garantir la sécurité du vote par téléphone portable, compte tenu des nombreuses possibilités de failles des applications mobiles. Toutefois, Voatz et d’autres entreprises ont fait valoir que les technologies et les systèmes d’authentification biométrique pourraient rendre le système plus sûr.

Les chercheurs affirment que Voatz manque de transparence

Les chercheurs du MIT Daniel Weitzner, James Koppel et Michael Specter ont une opinion différente. Selon eux, compte tenu des nombreux problèmes de sécurité que posent les applications pour électeurs telles que Voatz, il vaut mieux cesser de les utiliser en raison des enjeux élevés d’une élection de cette ampleur. Ils ont déclaré que les applications pour électeurs ont beaucoup de revers, notamment le risque d’attaque des électeurs et le manque de transparence.

Ils ont également souligné que les autorisations de Voatz sont toujours discutables, ce qui rend très difficile son utilisation pour les prochaines élections. Selon eux, les preuves actuelles suggèrent que le fait de permettre aux électeurs de se servir de Voatz pour voter lors des prochaines élections pourrait être fatal à la crédibilité de l’élection.

Voatz a différents problèmes de vulnérabilité

Le groupe a découvert qu’il existe différents types de vulnérabilités, qui dépendent du niveau d’accès d’un hacker aux serveurs Voatz ou de l’appareil de l’électeur.

Selon le groupe, les hackers pourraient contourner le protocole de défense de Voatz et accéder aux données des électeurs, y compris le code Pin qu’ils ont utilisé pour accéder aux serveurs. Ils auront également accès au contrôle de la façon dont les électeurs ont voté et les empêcheront d’envoyer leurs votes.

Si l’attaquant est capable d’accéder au système Voatz, il peut exposer des données destinées à ce qui était censé être bloqué par le système Blockchain de la plateforme. Cela permettra aux attaquants de manipuler les votes en faveur de ceux qu’ils soutiennent pour l’élection.

Les chercheurs ont également découvert des vulnérabilités dans la manière dont l’application Voatz transmet les votes aux serveurs. Selon eux, ces votes peuvent être exploités si l’utilisateur a voté par l’intermédiaire d’un réseau non sécurisé ou d’un réseau W-F-.

Questions soulevées sur les piètres défenses de sécurité de Voatz

Bien que seuls les chercheurs du MIT aient produit le premier élément de preuve clair contre la sécurité de Voatz, d’autres chercheurs ont déjà déposé une plainte.

Leurs plaintes sont fondées sur le fait que les méthodes de l’entreprise et son application manquent de transparence, ce qui rend très difficile de savoir si l’application est réellement sécurisée.

Le sénateur Ron Widen avait déjà soulevé une question en novembre dernier dans une lettre adressée au département de la défense de la NSA. Il a demandé à l’agence d’effectuer un audit de sécurité approfondi sur les systèmes Voatz. Il a déclaré que bien que la société ait affirmé avoir engagé des experts pour auditer ses systèmes, il n’y a eu aucune publication sur le résultat de l’audit. Il a en outre souligné que Voatz n’a même pas encore identifié ses auditeurs, ce qui signifie que la transparence du système est très peu fiable, a-t-il déclaré.

Toutefois, en réponse à la déclaration du sénateur, M. Voatz a déclaré qu’il est vrai que la société n’a pas publié les résultats de l’audit. Il a souligné qu’au moment de la divulgation, les chercheurs ont utilisé une version obsolète de l’application Voatz utilisée lors des élections. Et dans le cas de certains audits, les chercheurs ont dû créer un système de gestion de certaines parties de l’infrastructure de Voatz auxquelles ils n’avaient pas accès.

Voatz a déclaré que les découvertes des chercheurs ne reflètent pas l’infrastructure actuelle de Voatz. La société a également rappelé que les chercheurs auraient mené leurs recherches sur Voatz par le biais du programme de bugs Hackone Voatz, ce qui leur aurait donné un aperçu précis de l’infrastructure de Voatz.

Cependant, les chercheurs ont refusé d’accepter les affirmations de la société. Ils ont déclaré que leurs informations et données sur l’application Voatz ont été accessibles via Google Play en décembre. Et contrairement aux affirmations de la société, les chercheurs ont déclaré que la société n’avait effectué que 5 mises à jour au lieu des 27 qu’elle avait signalées.