DEF CON 33 - Voting Village - Reflections on TTBR & Everest - Bowen, Blaze, Clark, Hoke, Mulligan

美國投票系統的安全審查始於2007年加州，當時加州大學伯克利分校教授David Wagner邀請Matt Bishop領導SEOIA投票系統的源代碼審查項目。Bishop最初的擔憂是時間太短（8週）可能找不到問題，但Wagner確信會有發現。審查團隊在有限時間內確實發現了大量漏洞，但審查結束後Bishop本以為能從選舉系統工作中退休，卻被俄亥俄州州務卿邀請進行第二次審查。

在俄亥俄州的Everest項目中，研究團隊獲得了所有硬件和軟件的實驗室使用權，這是改進。然而，更大的障礙出現了。俄亥俄州州務卿要求所有科學報告必須經過完整編輯、要求科學家簽署保密協議無法披露更改內容、要求只報告有「快速徹底修復」的漏洞，同時還想保留科學家名字以維持可信度。Bishop和Candace Cho作為中間人進行了長期談判，堅持科學家發布發現的權利。Sandy Clark回憶談判導致失去12週原本用於工作的時間。

審查發現暴露了投票系統的根本問題。系統運行著Windows 2000、Windows CE甚至早期Linux等過時軟件，擁有700萬行代碼，包含管理員密碼未更改、密碼更改文檔錯誤、硬編碼密碼漏洞等問題。由於觸摸屏校準誤差，選民可能看似投給了一位候選人，但計票系統記錄的卻是另一位。研究團隊甚至成功在系統上安裝了惡意軟件，該軟件能在後續選舉中重新感染系統。更令人震驚的是，這些研究人員自稱並非頂尖黑客，他們想到的每個方法都奏效了。

根本問題在於整個生態系統的誤解。選舉官員被告知「投票機不是計算機」，計算機科學與選舉安全無關。供應商控制選舉官員培訓、認證標準和測試實驗室，導致計算機安全專業人士與選舉官員處於「兩個不同的世界」。加州2000年總統大選後，聯邦政府通過《幫助美國投票法案》，要求各州購買新投票機，但沒有相應資金用於維護和升級。由於市場規模問題，即使洛杉磯縣開發了優秀的定制系統，也無法推廣到全國其他地區。

關鍵的認知轉變是意識到軟件永遠不可能完美。過去的方法是尋找所有漏洞，但這不現實。新的思路是轉變目標：不是追求「完美安全的軟件」，而是即使軟件有漏洞甚至被惡意利用，也能實現「安全、可靠、隱私、公平、準確的選舉」。這改變了評估範圍，更強調架構而不僅是代碼。軟件獨立性架構因此成為關鍵，因為我們必須承認高度可靠系統在實踐中可能無法實現。NSF資助的研究產生了軟件獨立性、風險限制審計等成果，現已納入新的自願投票系統指南BVSG 2.0。