删除报告后，有投票功能的应用程序说它是安全的，但是专家们有疑问

星期四，麻省理工学院的研究人员在名为Voatz的“基于区块链的”投票应用程序中发布了有关漏洞的有害研究。他们发现恶意攻击者可以入侵该应用程序，然后查看，破坏传输甚至改变选民的选择。

尽管该应用程序的利基性质（面向海外和残疾选民）和研究的技术性，《纽约时报》还是抓住了这一消息。在爱荷华州核心小组中糟糕地拙劣使用投票应用程序后，每个人都想到了电子投票的完整性。

在《泰晤士报》上播出令人不安的调查结果，已经引发了互联网上对该应用程序的公开批评，并引起了公共官员对在选举中使用该应用程序的担忧：一个打算使用该应用程序的县已经在报告发布后决定不这样做。 。

Voatz强烈反对这项研究的结果，指出研究方法的严重缺陷。也就是说，它说研究人员使用的是过时的，经过反向工程的，部分理论化的应用程序及其服务器基础结构版本，而不是真实的版本。 Voatz说，如果他们利用Voatz的漏洞赏金计划对产品进行访问，研究人员将发现比他们遇到的安全得多的系统。

安全专家不确定。即使存在该研究的所谓缺陷，专家们仍将其视为对理解具有极高风险的新民主和技术方面的宝贵贡献。

民主与技术中心副主任莫里斯·特纳（Maurice Turner）对Mashable表示：“这绝非完美，但它很好地宣称我们需要对沃茨进行更多审查。” “对于Voatz来说，这是个很好的机会，可以让他们再看看并分享他们已经完成的安全研究。”

Voatz成立于5年前，其宗旨是增加选民投票率，并协助海外公民（如军事人员）进行投票。在2018年，当西弗吉尼亚州将其签约为第一个“基于区块链的”投票应用程序或小型试点程序时，它成为头条新闻（包括在Mashable上）。

它对世界的介绍并不完全顺利。有人批评它缺乏功能透明性，区块链审计系统的结构缺陷，第三方软件的使用以及专家说区块链实际上根本不适合投票系统的事实。此外，在密歇根大学的安全研究员向联邦调查局报告“恶意行为者”之后，它与安全界建立了战斗性关系。

电子前沿基金会资深技术人员雅各布·霍夫曼·安德鲁斯（Jacob Hoffman-Andrews）对Mashable表示：“我们已经了解到，沃茨对试图证实其安全要求的公共研究反应不佳。” “ Voatz的第三方安全测试方法提出了一个严峻的问题，那就是，除了任何电子投票方案的基本安全性外，是否还应该信任它们。”

所有这些，导致麻省理工学院计算机科学与人工智能实验室的研究人员更深入地研究了沃茨，而无需公司的知识或合作。在论文的引言中，研究人员特别提到了密歇根州的冲突，因为他们没有与公司打交道。

尽管特纳对研究人员既不利用漏洞赏金计划也不利用Voatz，也没有与Voatz进行合作感到“惊讶”，但他也理解其推动力。

特纳说：“我很清楚，沃茨在安全研究人员中享有盛誉。” “我明白为什么与沃茨交往可能会有些恐惧。”但是，他还补充说：“他们似乎没有采取额外的参与步骤，这似乎很不寻常。”

北欧创新实验室的安全研究员兼联合创始人Harri Hursti坦率地说。首先，赫斯提（Hursti）指出，漏洞赏金计划存在技术限制，使其无法完全用于分析；研究人员还在论文的讨论中解释了他们决定不访问该程序本身的决定。

“仅选择评估该赏金应用程序将对有效性造成其他威胁，并且由于该版本与已发布的版本之间的差异尚不清楚……至关重要的是，赏金并不能为Voatz的服务器基础架构提供任何其他有用的见解，也不会提供任何源或二进制文件供API服务器进行测试。”

考虑到Voatz过去对研究人员的举止和态度以及错误赏金计划的技术局限性，Hursti认为研究人员采取的策略（对应用程序进行反向工程和模拟服务器通信）是最佳做法，其发现是合法的。 。

赫斯提说：“沃兹对安全研究非常敌视。” “我认为麻省理工学院的研究是合法的。在这种情况下，当研究的主题不合作时，他们做得很好。”

EFF的Hoffman-Andrews同意MIT的研究成立。

霍夫曼·安德鲁斯说：“报告是正确的。” “它依赖于常见的安全最佳实践，并揭示了有关Voatz应用程序的一些非常令人担忧的事情。”

尽管最近主流人士担心投票应用程序，并且担心电子投票的噩梦会给安全带来麻烦，但沃茨和其他公司仍在坚持。由于存在这种现实，特纳将故事的两面（应用程序和研究）视为当务之急。

特纳说：“绝对需要持续的投资和发展，因为如果没有这一点，我们将无法回答’是否足以在大选中使用这一问题。” “安全研究人员是学习和共享过程中的关键部分，这就是为什么总体上我感谢MIT致力于发布报告的研究，所以像Voatz这样的供应商可以整合这些发现并改善他们的产品。”

一个人只能希望。