DEF CON 33 Voting Village - Dominion ICX Simple Hacks Daunting Recoveries - Springall, Davis, Marks

本次DEF CON演講揭露了投票機系統中一個足以動搖選舉完整性的根本性漏洞。故事始於軟體工程師Philip Davis的無意發現——他在Florida家中瀏覽公開資訊時，意外發現喬治亞州五個縣的選舉資料庫以未加密的形式儲存在網路可訪問的位置。更令人驚駭的是，資料庫內包含了控制投票機運作的所有關鍵加密密鑰和簽名，竟然以純文本形式存放。Davis進一步發現Dominion系統採用對稱加密——這意味著任何擁有AES密鑰和HMAC密鑰的人都可以加密和解密任何內容，實質上獲得了整個系統的管理員權限。

攻擊之所以可行，根本原因在於軟體架構的設計缺陷。Dominion投票軟體對資料庫內容的依賴程度近乎完全——系統會讀取資料庫中的HTML格式顯示文本來呈現候選人名單、黨派資訊和公投問題，卻沒有任何簽名驗證或HMAC檢查機制。Davis在一小時內就掌握了修改方法：他找到choice_localized表格改變HTML內容、找到printed_text表格改變列印文本、甚至發現了禁用候選人或更改公投措辭的簡單方法。在演示中，他成功將"大麻消費應該合法化嗎？"改為"大麻消費應該非法化嗎？"，當選民看到這個反轉後的問題並投票時，他們的投票意圖與實際計票結果完全相反，而列印選票上卻只顯示"提案一，贊成/反對"，完全隱蔽了攻擊痕跡。

演示揭露了兩種互補的攻擊方法。第一種稱為"駭客投票者"——改變螢幕顯示內容誘導選民做出與原意相反的選擇。第二種稱為"駭客投票計數"——利用二維碼與列印文本的分離特性。關鍵在於，掃描儀讀取的是二維碼（這是一個位置索引而非實際名稱），而非人類可讀的列印文本。攻擊者可以在列印選票上交換候選人名稱，但保持二維碼不變，結果是選民在選票上看到自己想要的候選人，實際投出的二維碼卻是完全不同的人——系統計票時只看二維碼。這種攻擊的可怕之處在於完全隱形：列印選票在所有方面都顯示正確，選民無法察覺欺騙。

攻擊的可擴展性是最令人擔憂的方面。密鑰不是某個單一位置的祕密——它們儲存在縣級EMS中央伺服器、每張投票工作人員卡、以及現場每台ICX機器上。攻擊者只需在選舉前獲得這些密鑰和原始資料庫檔案，就可以製作修改版本。由於一切都是軟體層面的改動，一個經過修改的配置檔案可以被複製到USB隨身碟，在投票場所任何時刻被載入到多台機器——只需要幾秒鐘和一張技術人員卡。與過去的Antrim County和DeKalb County事件不同（那些是系統性的、可預測的配置錯誤，影響範圍可被追蹤和修正），這些新攻擊由攻擊者完全控制，可以精心調整難度、影響範圍、暴露風險之間的權衡，難以通過事後審計發現。

演講者強調，這些漏洞並非執行層面的疏失，而是架構決策的結果。供應商選擇使用對稱加密而非非對稱加密，選擇跨所有機器使用統一的密鑰集，選擇在螢幕顯示和列印文本之間分離資料庫欄位，這些決策雖然可能出於成本或工程便利考慮，但從安全角度都是有問題的。研究者呼籲即將到來的VBSG 2.0投票系統認證標準應推動更好的設計決策，並提出了簡單而有效的解決方案：回歸手寫紙質選票、由掃描儀進行無網路連接的本地計數、加上風險限制審計來驗證最終結果的正確性。