El distrito estadounidense de Columbia ha estado desarrollando un programa piloto que permitiría votar mediante Internet a los votantes ausentes, y las autoridades de la ciudad llevaron a cabo una prueba en la que invitaban a los ciudadanos a evaluar la seguridad del sistema.

Alex Halderman describió en su blog la forma en la que él y un grupo de estudiantes de doctorado de la Universidad de Michigan, fueron capaces de encontrar una serie de fallos en el sistema de votación de la ciudad. "En menos de 36 horas, encontramos una vulnerabilidad que nos dio casi el control total del software del servidor, incluyendo la capacidad de cambiar los votos y revelar los votos de los ciudadanos".

Los votantes ausentes tienen dos formas para votar: ya sea que descarguen un PDF y lo devuelvan por correo tradicional o que envíen un archivo completamente digital. Las vulnerabilidades del sistema fueron encontradas en el mecanismo con el que el sistema procesa los archivos digitales. "Hemos confirmado el problema utilizando nuestra propia instalación de prueba de la aplicación del sitio", dice Halderman, "y encontramos que podíamos tener el mismo acceso que en el propio servidor".

Otras vulnerabilidades que se encontraron son:

• La capacidad de recolectar datos secretos almacenados en el servidor, incluyendo los nombres de usuario y contraseña.
• Papeletas que ya habían sido enviadas podían ser modificadas
• Los investigadores instalaron, durante el ataque inicial, un 'back-door' para poder ver los lanzamientos de papeletas .
• Para demostrar que tenían el control del servidor, dejaron una "tarjeta de presentación" en la página de confirmación que los usuarios ven después de votar. Después de 15 segundos la página reproduce el himno de la Universidad de Michigan

Es un reto muy importante hacer de este mecanismo un sistema seguro. Como señala Haldeman "Hemos encontrado otros problemas en el sistema, y todo lo que hemos visto nos hace pensar que el diseño es quebradizo: cualquier pequeño error puede poner en riesgo sus seguridad".

Fuente