專家曝光Dominion投票系統多項安全漏洞

【新唐人北京時間2020年11月15日訊】本月的總統大選中使用Dominion Voting Systems軟件和設備,一直是許多爭議的源頭。今年稍早,一名曾在喬治亞州全州初選擔任投票觀察員的電子投票安全專家,做出了一項法律聲明,更凸顯出該系統有許多的重大安全問題。

2019年7月,喬治亞州州務卿布拉德‧拉芬斯珀格(Brad Raffensperger)宣布,該州將於從Dominion Voting Systems公司購買價值1.06億美元的選舉系統。然而,在一項從2017年開始的訴訟中,批評者認為,Dominion系統與它所取代的舊系統,有著許多相同的安全漏洞。

就在總統大選前幾週,美國地區法官艾米•托滕伯格(Amy Totenberg)在10月11日的法庭命令中,承認Dominion投票系統存在著相關隱憂。

她寫道,該案件提出了「嚴重的系統安全漏洞和操作問題,可能會使原告和其他選民被剝奪投出有效選票,並加以準確計算的基本權利。」

「法院的命令已深入研究了新的BMD投票系統(ballot-marking device,簡稱BMD)及其實施方式所帶來的真實風險。在目前的情況下,這些風險既不是假設的,也不是遙遠的。」托滕伯格法官在命令中寫道。

(譯註:BMD投票系統又稱填票機,選民可在觸摸屏幕上勾畫,然後列印出可以掃描的選票,對殘障人士尤為重要。)

儘管法院有疑慮,但托滕伯格還是反對在總統大選前更換Dominion系統,並指出:「在這種情況下,實施這樣一個突然的系統性變化,勢必引起選民的混亂,並在某種程度上干擾大選。」

選舉系統異常 引發的諸多擔憂

在8月24日的一份聲明中,知名的電子投票安全專家哈里•赫斯蒂(Harri Hursti)描述了他在6月9日喬治亞州全州初選和8月11日復選(runoff election)期間,親身所見的問題。

赫斯蒂是「根據『善治聯盟』(Coalition for Good Governance,喬州關注於選舉權的組織)的第34條要求,被授權以專家身份,在某些投票站和富爾頓縣選舉準備中心進行檢查和觀察。」

赫斯蒂將他的發現總結如下:

1. 目前採用的掃描和制表軟件設置,在判讀手工標記的選票時,很可能致使某些選票,有意的不被計算。

2. 富爾頓縣投票系統的運行方式,讓安全風險提升到了極高的水平。

3. 選民沒有檢查填票機打印的選票,然而經過統計,填票機打印出的結果並不可靠,這將導致選票無法採計。

在喬治亞州亞特蘭大市的桃樹基督教堂觀察時,赫斯蒂指出,「掃描儀接受或拒絕一張選票的時間會改變。」

赫斯蒂表示,任何專用系統都不應出現可變延遲(variable delays)。他指出:「我們總是對任何意外的可變延遲持懷疑態度,因為這是許多問題的常見徵兆,包括執行了未經授權代碼的可能性。」

赫斯蒂在不同地點觀察到不同的處理時間,進一步引起了人們的擔憂,因為相同的設備「在執行相同的掃描選票任務時,不應有不同的表現」。

赫斯蒂在其宣誓聲明(sworn statement)中表示,他是在Fanplex投票點的兩位投票監督員要求下到場,他們觀察到了某些無法解釋的異常現象。赫斯蒂到場後觀察到,「不知出於什麼原因,在多台機器上,當選民試圖投票時,填票機有時會打印出『測試用』的選票。」

正如赫斯蒂所指出的,「在選舉日期間,除選民正在投票的選票外,填票機不應處理或打印任何其它選票。」他表示,這說明填票機系統的「組態設定錯誤」(wrong configuration)。

這個問題也引起了他心中的其它疑問:

1. 為什麼設備打印了測試選票?
2. 設備為何在選舉日之中改變行為?
3. 錯誤的組態設定,是否源於電子投票簿系統?
4. 對打印出來的選票和QR碼的可靠性有何影響?

投票設備的操作全盤外包

在2020年8月11日復選(runoff election)期間,赫斯蒂在富爾頓縣選舉準備中心,觀察「從各選區存儲設備,上傳到Dominion選舉管理系統(EMS)服務器」的情況。在這次觀察中,赫斯蒂注意到,「系統問題反復出現,操作系統的Dominion技術人員在上傳過程中相當吃力。」

赫斯蒂還指出,似乎只有Dominion公司的人員了解並能進入Dominion的服務器。正如赫斯蒂在聲明中所說:「在我與吉爾斯翠普(Derrick Gilstrap)和其他富爾頓縣選舉部的電子程式控制(EPC)人員的談話中,他們自稱對EMS服務器的操作了解並不多。」

赫斯蒂指出,這種將投票設備的操作全盤外包給供應商的做法,「在我的經驗中是極不尋常的,從安全和利益衝突的角度來看,是令人嚴重擔憂的。」赫斯蒂表示,Dominion的現場操作和訪問權限是一個「高風險因素」。

他還指出,運行Dominion服務器的戴爾(Dell)電腦,似乎沒有進行「系統強化」(hardened),即「通過減少表面的漏洞,來確保系統安全」的過程。赫斯蒂說,他認為「EMS服務器在安裝前沒有經過強化處理,是不可接受的。」

一個重大缺陷:未刪除電腦遊戲等無關軟件

除了缺乏系統強化,赫斯蒂還注意到,喬治亞州投票系統中使用的電腦上,似乎有「家庭或小企業的套裝軟件」。這引起了赫斯蒂的嚴重關切。

他說:「系統強化的首要步驟之一,是刪除所有不需要的軟件。刪除遊戲圖標、遊戲軟件、安裝程序,以及所有其它在選舉過程中非必要軟件等,這是系統強化過程中的第一步,也是最基本的步驟之一。」

「以我的專業意見,應立即對所有159個縣進行獨立調查,以確定全州的Dominion系統是否也存在這一重大缺陷。」

除了上述套裝軟件外,赫斯蒂還發現其中一台電腦裏的圖標,來自2017年一款名為《夢幻家園》(Homescapes)的電玩。赫斯蒂指出,這讓人懷疑「喬治亞州Dominion系統的電腦是否都有相同的操作系統版本,或者說這款遊戲是如何在富爾頓縣的Dominion投票系統中出現的。」

赫斯蒂還發現混合使用的新舊設備,由於缺乏更新也令人不安,可能帶有額外的安全風險。

他說:「雖然這個Dominion投票系統是喬治亞州的新系統,但機架上電腦的Windows 10操作系統已有4年沒有更新了,並且攜帶了大量眾所周知的公開漏洞。」

赫斯蒂指出,缺乏「系統強化」,即使是沒有連接到互聯網的電腦也會產生安全風險。他觀察到,當記憶卡連接到服務器時,「是由操作系統自動裝載的。自動裝載時操作系統會自動啟動,並與設備進行相互作用。」

赫斯蒂指出,富爾頓縣的EMS服務器的管理,似乎是一個「沒有正式流程的臨時性操作站」。這一點在整個晚上從各個區域傳入存儲資訊的過程,顯得尤為明顯。

「這種操作自然容易出現人為錯誤」,赫斯蒂說,「我觀察到,工作人員在現場打電話詢問是否所有儲存選票的記憶卡,都已從提前投票機送來進行處理,隨後又發現有更多記憶卡,因明顯的人為錯誤而被忽略。」

他說:「後來,我又聽到一名技術員在現場打電話,詢問是否所有的卡都已送達。這清楚的表明缺乏庫存管理,而良好的庫存管理,才可確保不會有惡意存儲設備,被插入電腦之中。」

「作為回應,有人又交付了3張記憶卡。不到5分鐘後,我聽到一位縣工作人員說找到了另外一張卡片,並將其交付進行處理。所有這些設備僅依憑印刷標籤來辨認,沒有與任何形式的庫存清單進行比對。」

Dominion技術人員 擁有完整的系統訪問權限

更令人關切的是,Dominion公司人員似乎擁有「完整權限」進入電腦系統。赫斯蒂觀察到Dominion的技術人員以「試誤」的方式排除錯誤,其中包括進入「電腦管理」(Computer Management)應用程序,赫斯蒂認為,這表明其擁有完整的權限。

正如他在聲明中所說:「這意味著,沒有任何有意義的訪問分離和角色控制,來保護縣的主要選舉服務器。這也大大放大了災難性的人為錯誤,和執行惡意程序的風險。」

在試圖解決各種現場問題的過程中,赫斯蒂指出,Dominion工作人員似乎從現場嘗試補救,轉向了遠程故障排除。

「Dominion公司的工作人員走到服務器機架後面,進行手動操作,從我的位置無法觀察到。之後,他們帶著個人筆記本電腦搬到了離選舉系統較遠的桌子上,並且停止嘗試用不同的方法,來解決服務器的問題,也不再通過電話與他們的遠程工程師繼續交談。」

「在接下來的電話中,我無意間聽到,他們要求電話另一端的人檢查不同的東西,他們到了一台電腦前,似乎在進行測試什麼,隨後用手機拍下電腦屏幕的照片,顯然是將其發送到遠程位置。」

赫斯蒂表示,這「給人留下了深刻的印象,即故障排除工作的關鍵步驟,是通過遠程訪問系統進行的。」

赫斯蒂還注意到,在他監控的Wi-Fi列表中,出現了一個「隱藏名稱的無線網路接點」。

這些對赫斯蒂來說,都是實質性的警訊。他指出:「如果事實上安排並允許遠程訪問服務器,這對Dominion系統的安全性,將有嚴重影響。」

「遠程訪問,無論如何保護和組織,始終是一種安全風險,而且它是將控制權轉移到物理邊界之外,並剝奪了任何監管活動的能力。」

喬治亞州宣布重新計票

2020年11月11日,喬治亞州州務卿拉芬斯珀格宣布,將對總統大選中該州的所有選票,進行全面重新計票和審核。

「由於差距如此接近,這將需要在每個縣進行全面的人工重新計票。這將有助於建立信心。這將是一次審計、重新清點和重新計票。」拉芬斯珀格說。

Dominion投票系統公司沒有回應置評請求。

作者簡介:

傑夫•卡爾森(Jeff Carlson)是英文《大紀元時報》的定期撰稿人,他是獲得CFA認證的特許金融分析師,曾在高收益債券市場擔任分析師和投資組合經理人超過20年。他還經營著網站TheMarketsWork.com,可以在Twitter上@themarketswork關注他。

(轉自大紀元/責任編輯:蕭靜)

相關文章
評論