Ведущий разработчик ПО для выборов в США годами допускал удалённый доступ к своим системам

Используя удалённый доступ, хакер теоретически мог рассылать вредоносное ПО через систему

Один из крупнейших производителей машин для голосования, Election Systems & Software, сообщил в письме сенатору США, что он устанавливал программное обеспечение, обеспечивавшее удалённый доступ к его аппаратам в течение 6 лет. Об этом рассказали The Verge, ссылаясь на Motherboard.

ES&S признался в письме, направленном в апреле сенатоу Рону Уайдену, что он предосталял ПО для критикуемого удалённого соединения под названием pcAnywhere для «небольшого числа клиентов в период с 2000 по 2006 годы». В те годы ES&S был одним из ведущих производителей машин для голосования в Соединенных Штатах. Компания производила системы, использовавшиеся для управления кабинами для голосования и подсчёта окончательных результатов голосов с этих кабинок. В 2006 году по меньшей мере 60 % бюллетеней, брошенных в урны в США, учитывались в системах ES&S.

ПО для удалённого доступа, подобное pcAnywhere, может использоваться системными администраторами для дистанционных обновления и модификации программного обеспечения. Но системы управления выборами должны быть изолированными, без каких-либо подключений к интернету или другим системам. Ведь такими соединениями могли бы злоупотребить хакеры, и теоретически это могло бы привести к вмешательству в результаты выборов. Учитывая удалённый доступ, злоумышленник мог эксплуатировать уязвимости в безопасности pcAnywhere и рассылать вредоносное ПО через систему.

По факту, уязвимости в безопасности pcAnywhere были хорошо задокументированы в прошлом. В 2006 году хакеры похитили исходный код pcAnywhere, а затем затихли до 2012 года, пока один хакер не опубликовал в интернете часть кода. Компания Symantec, являвшаяся дистрибьютором pcAnywhere, подозревала о краже данных ещё в 2006 году, но заговорила об этом публично только после утечки кода, параллельно с предупреждением о том, что пользователи должны отключить или удалить данное ПО. В то же самое время исследователи безопасности изучили код pcAnywhere и обнаружили уязвимость, которая могла позволить хакеру взять контроль над всей системой и обойти необходимость вводить пароль.

Компания ES&S сообщила сенатору Уайдену, что к декабрю 2007 года она прекратила установку pcAnywhere на данные системы после выхода новых стандартов для федеральной системы голосования. Новые стандарты ограничили избирательные системы исключительно программным обеспечением для голосования и подсчёта голосов, исключив любое другое избыточное ПО. ES&S также сказала в защиту своего использования pcAnywhere, что это «общепринятая практика у целого ряда технологических компаний».

В настоящее время, после получения письма, Уайден сообщил Motherboard, что ожидает услышать ответ от ES&S, а именно, какие ими были приняты надлежащие защитные меры, чтобы гарантировать безопасное использование pcAnywhere.

ES&S сообщили The Verge:

В период с 2000 по 2006 годы ES&S предоставляла ПО для удалённого подключения pcAnywhere небольшому числу клиентов для целей технической поддержки на рабочих станциях округа, но данное ПО не было разработано для машин для голосования и не контактировало с какими-либо из этих машин. Чтобы прояснить ситуацию, скажем, что, в соответствии с директивами EAC (Election Assistance Commission), введёнными в 2007 году, ES&S прекратила предоставление pcAnywhere более десяти лет назад, и ни один клиент ES&S не использует данное ПО сегодня.

Подписывайтесь на «Код Дурова» в Telegram и во «ВКонтакте», чтобы всегда быть в курсе интересных новостей!