Acabo de terminar de ver el documental Hacking Democracy de HBO. En el mismo, un grupo de ciudadanos asistidos por dos expertos en seguridad de computadoras demuestran que es posible alterar los resultados de unas elecciones que dependen de la tecnología y software que vende la compañía Diebold para esos eventos.
El especialista en seguridad sólo hizo un cambio en la tarjeta de memoria que usan las máquinas que registran el voto electrónico, antes de entregarla en la comisión electoral que hizo la prueba. Se simuló un pequeñas elecciones con una pregunta que se respondía con sí o no con 8 personas. Por acuerdo previo, seis (6) votaron que NO y dos (2) que SI.
Cuando sus papeletas marcadas pasaron por el escáner de Diebold sus votos se almacenaron el tarjeta de memoria adulterada y la máquina registro 7 votos SI y un sólo voto NO. Para verificar si el software de Diebold detectaría la alteración inicial de la tarjeta, conectaron el lector de tarjetas a una computadora, sin remover la tarjeta, tal y como lo hubiese hecho un funcionario electoral. El software seguí registrando 7 votos SI y un sólo voto NO. Es decir, basta con que las tarjetas lleguen alteradas para viciar los resultados de unas elecciones. Diebold por su cuenta podría decidir las elecciones presidenciales de los Estados Unidos.
También se demostró que otra forma de alterar el conteo de voto era accediendo la máquina en donde finalmente se descarga el contenido de todas las tarjetas de un precinto. Si observan la demostración que hacen verán que los archivos que genera el software de Diebold son bases de datos de Microsoft Access, aparentemente sin encriptar, aunque la encripción de Access es débil de todas maneras.
La demostración consistió en acceder los archivos de Access con un programa que parecía escrito en algún lenguaje de .NET y que utilizaba simples consultas (”queries”) en SQL. Pudieron alterar los totales, sin usar el software oficial de Diebold. Lo peor de todo es que, como nunca tuvieron que hacer el “login” al software, no se registró el cambio en los datos y no había forma de saber quién o cuándo se hizo. Este agujero de seguridad se hubiera evitado utilizando un servidor de bases de datos como MySQL o MS SLQ Server en lugar de simples archivos de Access. He trabajado con esos archivos y son tremendamente convenientes para proyectos no críticos, pero no para algo tan importante como las elecciones generales de un país.
¿Quieren escuchar algo más increíble todavía? A pesar de estas vulnerabilidades y otras más identificadas por la Universidad de Berkeley y otros grupos, la compañía Diebold continúa siendo premiada con contratos de millones para instalar estas máquinas.
Estos problemas de seguridad son agravados por el hecho de que el código del sofware de Diebold es cerrado. Tiene sentido que lo sea; ellos temen que alguien mirando el código identifique formas de cómo vencer su seguridad. ¡Pero aún siendo cerrado se pudo hacer! El que el código sea cerrado o abierto no tiene nada que ver con su grado de seguridad. Es la calidad del código lo que cuenta, cuán buenas sean las técnicas de seguridad implementadas. Pero si el código es cerrado, el público no puede saber qué realmente hace y depende de la palabra del vendedor y del gobierno que hace la compra. Si el código fuera abierto, los expertos podrían detectar debilidades más rápidamente, reportarlas y arreglarlas.
Hay varios artículos relacionados en The Register, busquen al final de cada página.
Más artículos como este en:
Algunos artículos relacionados:
(Lecturas: 4) 
