ภายใต้การโจมตี: วิธีการแฮ็คการเลือกตั้งคุกคามกลางภาค

ในเดือนมีนาคมเจ้าหน้าที่จาก 38 รัฐได้รวมตัวกันในห้องประชุมในเมืองเคมบริดจ์รัฐแมสซาชูเซตส์สำหรับการฝึกจำลองการเลือกตั้งแบบสองวันที่ดำเนินการเหมือนเกมสงคราม

เจ้าหน้าที่การเลือกตั้งระดับรัฐและท้องถิ่นมากกว่า 120 คนผู้อำนวยการด้านการสื่อสารผู้จัดการฝ่ายไอทีและเลขานุการของรัฐได้ทำการฝึกซ้อมเพื่อจำลองสถานการณ์ความมั่นคงที่อาจเกิดขึ้นในวันเลือกตั้งที่เลวร้ายที่สุด

แบบฝึกหัดที่โต๊ะเริ่มขึ้นทุก ๆ เดือนจำลองก่อนการเลือกตั้งกลางภาค 6 พ.ย. เร่งระยะเวลาจนกว่ารัฐจะตอบโต้การโจมตีแบบเรียลไทม์ในขณะที่ผู้มีสิทธิเลือกตั้งไปเลือกตั้ง จัดโดยโครงการปกป้อง Digital Democracy (D3P) ที่ Harvard ซึ่งเป็นความพยายามของพรรคสองฝ่ายเพื่อปกป้องกระบวนการประชาธิปไตยจากการโจมตีทางไซเบอร์และข้อมูลผู้ฝึกซ้อมบังคับให้ผู้เข้าร่วมตอบสนองต่อสถานการณ์ฝันร้ายหนึ่งครั้งหลังจากเครื่องอื่นลงคะแนน (DDoS) โจมตีการลงเว็บไซต์, ข้อมูลที่ผิดพลาดเกี่ยวกับผู้สมัคร, ข้อมูลการสำรวจปลอมที่เผยแพร่เพื่อปราบปรามการลงคะแนน, และแคมเปญสื่อสังคมออนไลน์ที่ประสานงานโดยผู้โจมตีรัฐชาติเพื่อหว่านความไม่ไว้วางใจ

ดังที่เราเห็นในการเลือกตั้งล่าสุดทั่วโลกการโจมตีหลายครั้งมักเกิดขึ้นพร้อมกัน

"คิดเกี่ยวกับการปฏิเสธการโจมตีบริการและกลยุทธ์ฟิชชิงและมัลแวร์ประเภทปกติจะใช้ในระหว่างการเลือกตั้ง" Eric Rosenbach ผู้อำนวยการ D3P และหัวหน้าเจ้าหน้าที่ของกระทรวงกลาโหมสหรัฐ Ashton Carter กล่าวระหว่างปี 2558 ถึง 2560

"ส่วนที่ฉันกังวลมากที่สุดเกี่ยวกับ DDoS คือการโจมตีหน้าเว็บที่ประกาศผลการรวมกับระดับสูงดูสิ่งที่เกิดขึ้นในยูเครนในปี 2014 รัสเซีย DDoSed หน้าเว็บยูเครนใช้ประกาศผลการเลือกตั้ง จากนั้นก็พาทุกคนกลับไปที่รัสเซียวันนี้และเสนอผลการปลอม Ukrainians ถูกทิ้งให้สับสนว่าใครได้รับการเลือกตั้งเป็นประธานาธิบดีจริง ๆ "

การทำความเข้าใจเกี่ยวกับความปลอดภัยในการเลือกตั้งที่ทันสมัยหมายถึงการจับต้องได้กับความจริงที่น่ากลัว: โดยเฉพาะอย่างยิ่งในสหรัฐอเมริกาโครงสร้างพื้นฐานมีการแยกส่วนเกินไปล้าสมัยและเสี่ยงต่อการถูกรักษาความปลอดภัยอย่างสมบูรณ์ นอกจากนี้ยังมีการโจมตีหลายรูปแบบที่แตกต่างกันมากเกินไปในแนวการคุกคามที่จะหยุดพวกเขาทั้งหมด

PCMag ได้พูดคุยกับเจ้าหน้าที่ของรัฐหน่วยงานทางการเมืองนักวิชาการ บริษัท ด้านเทคโนโลยีและนักวิจัยด้านความปลอดภัยเกี่ยวกับความเป็นจริงของความมั่นคงด้านการเลือกตั้งในปี 2561 ทั้งสองด้านของช่องทางการเมืองในทุกระดับของรัฐบาลและทั่วอุตสาหกรรมเทคโนโลยีสหรัฐอเมริกา กำลังต่อสู้กับภัยคุกคามความมั่นคงทางไซเบอร์ขั้นพื้นฐานต่อการเลือกตั้งของเรา เรากำลังวางแผนที่จะตอบสนองเมื่อมีสิ่งผิดปกติเกิดขึ้นทั้งในระหว่างการเลือกตั้งกลางภาคที่สำคัญและในการเลือกตั้งทั่วไปปี 2020

ปกป้อง 'พื้นผิวการโจมตี'

ในระบบรักษาความปลอดภัยทางไซเบอร์ระบบและอุปกรณ์ที่ถูกเปิดเผยทั้งหมดที่สามารถถูกโจมตีได้จะเรียกว่า "พื้นผิวการโจมตี" พื้นผิวการโจมตีของการเลือกตั้งสหรัฐมีขนาดใหญ่มากและสามารถแบ่งออกเป็นสามระดับที่สำคัญ

สิ่งแรกคือโครงสร้างพื้นฐานการลงคะแนน คิดว่าเครื่องลงคะแนนฐานข้อมูลการลงทะเบียนผู้มีสิทธิเลือกตั้งและเว็บไซต์ของรัฐและท้องถิ่นที่บอกผู้คนว่าจะลงคะแนนเสียงได้ที่ไหนและอย่างไร

จากนั้นมีระดับความปลอดภัยของแคมเปญ ดังที่แสดงในปี 2559 แคมเปญเป็นเป้าหมายที่ง่ายสำหรับแฮ็กเกอร์ ข้อมูลแคมเปญที่ถูกขโมยนั้นสามารถใช้เป็นอาวุธที่มีประสิทธิภาพสำหรับการโจมตีระดับที่สามและคลุมเครือมากขึ้น: โลกที่ชั่วร้ายของการใช้ข้อมูลที่ผิดอาวุธและแคมเปญที่มีอิทธิพลต่อสังคม ในด้านหน้านี้กองทัพโทรลล์ของนักแสดงรัฐชาติยังคงดำเนินงานผ่านเว็บและบุกเข้ามาในแพลตฟอร์มโซเชียลมีเดียซึ่งกลายเป็นสนามรบของการรับรู้ของผู้มีสิทธิเลือกตั้ง

การพยายามที่จะแก้ไขปัญหาที่เป็นระบบจำนวนมหาศาลที่ทำให้เกิดปัญหาแต่ละระดับเหล่านี้มักจะนำไปสู่คำถามมากกว่าคำตอบ แต่กลยุทธ์หลายอย่างในการลดความเสี่ยงด้านความมั่นคงในการเลือกตั้งกลับกลายเป็นสามัญสำนึก: การลงคะแนนกระดาษและการตรวจสอบการลงคะแนน ให้ทรัพยากรของรัฐและรัฐบาลท้องถิ่นมากขึ้น และจัดหาเครื่องมือและการฝึกอบรมด้านความปลอดภัยสำหรับแคมเปญและเจ้าหน้าที่การเลือกตั้ง

คำถามที่ซับซ้อนและแตกแยกกันสองสามข้อสำหรับผู้ดูแลการเลือกตั้งและคนหาเสียงรวมถึงผู้ลงคะแนน: คุณเข้าใกล้กระบวนการเลือกตั้งในยุคโซเชียลมีเดียที่เต็มไปด้วยข้อมูลที่ผิดทางออนไลน์อย่างไร และเมื่อคุณมีข้อสงสัยเกี่ยวกับข้อมูลดิจิตอลทั้งหมดที่ปรากฏบนหน้าจอคุณควรเชื่ออะไร

สิ่งที่เราเรียนรู้จากปี 2559

บทสนทนาใด ๆ เกี่ยวกับความมั่นคงด้านการเลือกตั้งของสหรัฐในช่วงกลางปี ​​2018 เป็นต้นไปในที่สุดก็หาทางกลับไปสู่การเลือกตั้งประธานาธิบดีปี 2559 ก่อนหน้าการแข่งขันนั้นเราจะเห็นการโจมตีทางไซเบอร์โดยตรงที่การรณรงค์และการเลือกตั้งตั้งแต่กลางปี ​​2000 แต่ไม่เคยมีมาก่อนในระดับนั้น

“ ในเวลานั้นไม่มีใครเคยเห็นอะไรแบบนี้มาก่อนเลยมันน่าตกใจที่คิดว่ารัสเซียจะเป็นคนกล้าหาญที่จะเข้าไปยุ่งเกี่ยวกับประชาธิปไตยของเราและมีอิทธิพลต่อผู้สมัครบางคน” โรเซนบาคกล่าวยืนยันต่อสภาคองเกรส มีนาคมในการแทรกแซงของรัสเซียในการเลือกตั้งปี 2016 "ฉันทำงานด้านความมั่นคงของชาติมาเป็นเวลา 20 ปีแล้วและนี่เป็นปัญหาที่ซับซ้อนและยากที่สุดที่ฉันเคยทำ"

ณ จุดนี้ข้อเท็จจริงมีความชัดเจนพอสมควร รัสเซียหนึ่งโหลที่ถูกกล่าวหาว่าทำงานให้กับ GRU ซึ่งเป็นหน่วยสืบราชการลับทางทหารของรัสเซียถูกฟ้องข้อหาแฮ็คคณะกรรมการประชาธิปไตยแห่งชาติ (DNC) และรั่วไหลเอกสารไปยังองค์กรต่างๆรวมถึง WikiLeaks ซึ่งปล่อยอีเมลกว่า 20, 000 ฉบับ

การดำเนินงานภายใต้บุคคลออนไลน์รวมถึง Guccifer 2.0, Fancy Bear และ DCLeaks แฮกเกอร์ที่มีความผิดยังฝ่าฝืนฐานข้อมูลการลงทะเบียนผู้มีสิทธิเลือกตั้งในรัฐอิลลินอยส์และรัฐแอริโซนาในเดือนสิงหาคม 2559 และขโมยข้อมูลจากผู้ลงคะแนนมากกว่า 500, 000 คน รายงาน FBI และ NSA ที่ตามมาพบว่าแฮกเกอร์บุกรุกซอฟต์แวร์ลงคะแนนใน 39 รัฐระหว่างการเลือกตั้งประธานาธิบดีปี 2559 นายพลโรเซนสไตน์รองอัยการสูงสุดของสหรัฐอเมริกากล่าวในคำฟ้องของแฮกเกอร์รัสเซียว่า "เป้าหมายของการสมคบคิดจะมีผลกระทบต่อการเลือกตั้ง"

สิ่งเหล่านี้เป็นเพียงการโจมตีที่กระทบโครงสร้างพื้นฐานการเลือกตั้งสองระดับแรก ในโซเชียลมีเดียรัสเซียอิหร่านและคนอื่น ๆ ปล่อยบอทและโรงงานหมุนรอบรวมถึงหน่วยงานวิจัยทางอินเทอร์เน็ตที่ได้รับการสนับสนุนจากรัสเซีย (IRA) - ซึ่งแพร่กระจายข่าวปลอมและซื้อโฆษณาทางการเมืองนับพันบน Facebook และ Twitter เพื่อโน้มน้าวความคิดเห็นของผู้มีสิทธิเลือกตั้ง ในขณะที่เชื่อมโยงกับพรรคการเมืองมากกว่าแฮ็กเกอร์นอกอื้อฉาว Cambridge Analytica ของ Facebook ก็มีบทบาทในการที่แพลตฟอร์มโซเชียลมีเดียได้รับผลกระทบจากการเลือกตั้งในปี 2559

"เราไม่ตอบสนองเร็วหรือแรงพอ" Rosenbach กล่าว ในขณะที่ทำงานที่ Pentagon นั้น Rosenbach ยังดำรงตำแหน่งรองผู้ช่วยรัฐมนตรีกลาโหมไซเบอร์จาก 2011 ถึง 2014 และผู้ช่วยรัฐมนตรีกลาโหมเพื่อความปลอดภัยทั่วโลกที่ดูแลความปลอดภัยทางไซเบอร์

ตอนนี้เขาเป็นผู้อำนวยการศูนย์ Belfer ที่โรงเรียนเคนเนดี้แห่งฮาร์วาร์ดและผู้อำนวยการ D3P เขาก่อตั้งขึ้นเมื่อปีที่แล้วพร้อมกับแมตต์โรเดสผู้จัดการฝ่ายรณรงค์ของนวมรอมนีย์ในช่วงการเลือกตั้งปี 2555 และร็อบบี้มุกมุกผู้จัดการฝ่ายรณรงค์ของฮิลลารีคลินตันในปี 2559

"สิ่งสำคัญที่ต้องเข้าใจจากมุมมองด้านความปลอดภัยคือการที่แคมเปญไม่เคยถูกแฮ็ก" Mook กล่าวกับ PCMag "บัญชีอีเมลส่วนตัวถูกแฮ็คและ DNC ถูกแฮ็ก แต่ฉันคิดว่ามันเป็นคำเตือนที่สำคัญสำหรับทุกคนที่เราต้องรักษาความปลอดภัยของระบบนิเวศทั้งหมดจริง ๆ ฝ่ายตรงข้ามจะไปทุกที่ที่พวกเขาสามารถทำได้

การโจมตีแบบฟิชชิงที่ประสบความสำเร็จในการแฮ็คบัญชี Gmail ส่วนตัวของประธาน John DNesta ของ John Podesta ในปี 2559 ทำให้มุกเข้าใจว่าไม่มีกลไกใดที่จะตอบสนองต่อการโจมตีขนาดนี้ได้ ในปี 2560 เขาได้ติดต่อกับ Rhoades ผู้ซึ่งได้จัดการกับความพยายามในการแฮ็คอย่างต่อเนื่องโดยกองกำลังไซเบอร์จีนในระหว่างการดำเนินการของประธานาธิบดีรอมนีย์ แนวคิดพื้นฐานคือการสร้างรายการตรวจสอบสิ่งที่ต้องทำเพื่อป้องกันการหาประโยชน์เช่นนี้ในแคมเปญในอนาคตและเพื่อให้มีที่สำหรับแคมเปญเมื่อพวกเขาถูกแฮ็ก

ทั้งสองเชื่อมโยงกับ Rosenbach และทำงานเพื่อเผยแพร่ Playbook แคมเปญ D3P Cybersecurity พวกเขาได้ร่วมมือกันใน playbooks อีกสองเล่ม: หนึ่งเล่มสำหรับผู้ดูแลการเลือกตั้งระดับรัฐและท้องถิ่นและอีกเล่มหนึ่งที่เจ้าหน้าที่สื่อสารกำหนดวิธีการตอบโต้ข้อมูลที่ผิดทางออนไลน์ พวกเขายังช่วยจัดระเบียบและดำเนินการจำลองสถานการณ์ระหว่างรัฐ

มุกไม่ต้องการใช้เวลามากเกินไปในการพูดคุยเกี่ยวกับปี 2016 เป็นสิ่งสำคัญที่จะไม่หยุดการต่อสู้ครั้งสุดท้ายเมื่อคุณสามารถเตรียมตัวสำหรับการต่อสู้ครั้งต่อไปได้เขากล่าว

“ ความจริงก็คือคุณไม่รู้ว่าทำไมหรือใครบางคนพยายามเข้ามาคุณแค่รู้ว่ามีใครบางคนทำ” มุกกล่าว "สิ่งที่สำคัญที่สุดคือการคิดว่าอะไรจะเกิดขึ้นต่อไปภัยคุกคามที่เรายังไม่ได้พิจารณาหรือเห็นคืออะไรฉันคิดว่ามิดเทอร์มอาจมีช่องโหว่ใหม่ ๆ บ้าง แต่ฉันคิดว่ามันเป็นเรื่องของการมองระบบ ทั้งหมดและค้นหาทุกทางที่เป็นไปได้ที่ใครบางคนจะได้รับ "



ภูมิทัศน์ภัยคุกคามที่เลื่อนลอย

ในขณะที่เราเข้าใกล้กลางปี ​​2561 และเผชิญหน้ากับการเลือกตั้งประธานาธิบดีสหรัฐในปี 2563 ภูมิทัศน์การคุกคามกำลังเข้ามามีบทบาท

แม้ว่าประธานาธิบดีทรัมป์จะลดบทบาทของการแทรกแซงของรัสเซีย แต่สหรัฐฯก็โจมตีรัสเซียด้วยมาตรการคว่ำบาตรใหม่ในเดือนมีนาคม “ เรายังคงเห็นแคมเปญการส่งข้อความที่แพร่หลายโดยรัสเซียเพื่อพยายามลดและแบ่งสหรัฐอเมริกา” ผู้อำนวยการหน่วยข่าวกรองแห่งชาติของสหรัฐอเมริกา Dan Coats กล่าวในระหว่างการบรรยายสรุปในเดือนสิงหาคม

ซึ่งเกิดขึ้นหลังจาก Microsoft เมื่อเดือนกรกฎาคมที่ผ่านมาทำให้ความพยายามในการแฮ็คเกี่ยวข้องกับโดเมนปลอมที่กำหนดเป้าหมายผู้สมัครสามคนที่ทำงานเพื่อการเลือกตั้งใหม่ เมื่อไม่กี่สัปดาห์ก่อนที่เรื่องนี้จะเผยแพร่ชาวรัสเซียถูกตั้งข้อหาดูแลความพยายามที่จะจัดการกับผู้มีสิทธิเลือกตั้งผ่านทาง Facebook และ Twitter เพื่อแทรกแซงกลางภาค Elena Khusyaynova พลเมืองชาวรัสเซียที่ถูกตั้งชื่อในข้อหาถูกกล่าวหาว่าจัดการการดำเนินงานทางการเงินและสังคมในเครือกับ IRA ใช้งบประมาณกว่า 35 ล้านเหรียญสหรัฐโดยผู้มีอำนาจของรัสเซียและ Putin พันธมิตร Yevgeny Prigozhin

ผู้อำนวยการหน่วยข่าวกรองแห่งชาติกรมความมั่นคงแห่งมาตุภูมิและเอฟบีไอออกแถลงการณ์ร่วมกับคำฟ้อง มันระบุว่าในขณะที่ไม่มีหลักฐานในปัจจุบันของโครงสร้างพื้นฐานการลงคะแนนเสียงที่ถูกบุกรุกในกลางภาค "รัฐบาลของรัฐและท้องถิ่นบางแห่งได้รายงานความพยายามที่ลดลงในการเข้าถึงเครือข่ายของพวกเขา" รวมถึงฐานข้อมูลการลงทะเบียนผู้มีสิทธิเลือกตั้ง

ในสัปดาห์สุดท้ายก่อนการเลือกตั้งกลางเทอม US Cyber ​​Command มีรายงานว่าระบุผู้ปฏิบัติการรัสเซียในการควบคุมบัญชีโทรลล์และแจ้งให้พวกเขาทราบว่าสหรัฐตระหนักถึงกิจกรรมของพวกเขาในความพยายามที่จะขัดขวางการเลือกตั้ง

"เรามีความกังวลเกี่ยวกับการรณรงค์อย่างต่อเนื่องโดยรัสเซียจีนและนักแสดงต่างประเทศอื่น ๆ รวมถึงอิหร่านเพื่อบ่อนทำลายความเชื่อมั่นในสถาบันประชาธิปไตยและมีอิทธิพลต่อความเชื่อมั่นของประชาชนและนโยบายของรัฐบาล" แถลงการณ์กล่าว "กิจกรรมเหล่านี้อาจมีอิทธิพลต่อการรับรู้และการตัดสินใจของผู้มีสิทธิเลือกตั้งในการเลือกตั้งสหรัฐในปี 2561-2563"

กำลังมองหารูปแบบ

เมื่อตรวจสอบกิจกรรมจากศัตรูต่างประเทศและศัตรูทางไซเบอร์อื่น ๆ ที่มีศักยภาพผู้เชี่ยวชาญมองหารูปแบบ โทนีกิดวานิกล่าวว่ามันเหมือนกับการศึกษาอาเรย์ของหน่วยงานที่เป็นอันตรายต่าง ๆ ออกไป คุณค้นหาตัวบ่งชี้การเตือนภัยล่วงหน้าเพื่อลดความเสี่ยงและรักษาความปลอดภัยจุดอ่อนในการป้องกันของคุณ

Gidwani เป็นผู้อำนวยการฝ่ายปฏิบัติการวิจัยที่ บริษัท ThreatConnect เธอใช้เวลาสามปีที่ผ่านมาเป็นหัวหอกในการวิจัยของ ThreatConnect ในการแฮ็ค DNC และการดำเนินงานของรัสเซียที่มีอิทธิพลต่อการเลือกตั้งประธานาธิบดีสหรัฐในปี 2559 ทีมของเธอเชื่อมโยง Guccifer 2.0 กับ Fancy Bear Gidwani ใช้เวลาสิบปีแรกในอาชีพการงานของเธอที่กระทรวงซึ่งเธอได้สร้างและนำทีมวิเคราะห์ที่สำนักข่าวกรองกลาโหม

“ คุณจำเป็นต้องดึงสายอักขระต่าง ๆ ออกมามากมาย” กิดวานิกล่าว "แฟนซีแบร์กำลังทำงานหลายช่องทางต่าง ๆ เพื่อพยายามที่จะนำข้อมูล DNC ไปสู่สาธารณสมบัติ Guccifer เป็นหนึ่งในแนวหน้า DCLeaks เป็นหนึ่งในนั้นและ WikiLeaks เป็นกลุ่มที่ได้รับผลกระทบสูงสุด"

Gidwani ทำลายการหาประโยชน์รัฐชาติที่เราเคยเห็นในกิจกรรมที่แตกต่างกันสองสามอย่างที่รวมกันเป็นแคมเปญการแทรกแซงหลายขั้นตอน การละเมิดข้อมูลที่มุ่งเน้นแคมเปญนำไปสู่การรั่วไหลของข้อมูลเชิงกลยุทธ์ในช่วงเวลาที่สำคัญในรอบการเลือกตั้ง

"เรากังวลเกี่ยวกับการโจมตีแบบหอกฟิชชิงและการโจมตีแบบคนกลางตรงกลางข้อมูลนั้นมีผลกระทบอย่างมากเมื่อเข้าสู่โดเมนสาธารณะซึ่งคุณอาจไม่ต้องการมัลแวร์ที่มีความซับซ้อนเนื่องจากแคมเปญต่างๆ การไหลเข้าของอาสาสมัครเป็นเป้าหมาย "เธออธิบาย "คุณไม่จำเป็นต้องมีช่องโหว่ใด ๆ ถ้า zero-spishing ของคุณกำลังทำงานอยู่"

การโจมตีที่รุกล้ำบนกระดานเลือกตั้งของรัฐนั้นเป็นอีกวิธีหนึ่งที่จะขัดขวางห่วงโซ่อุปทานของเครื่องลงคะแนนและทำลายความเชื่อมั่นในความถูกต้องของผลการเลือกตั้ง Gidwani กล่าวว่าโครงสร้างการลงคะแนนเสียงแบบล้าสมัยและแยกส่วนจากรัฐหนึ่งสู่อีกรัฐหนึ่งเป็นการโจมตีเช่น SQL injections ซึ่ง "เราหวังว่าไม่ควรเป็นส่วนหนึ่งของ playbook การโจมตีอีกต่อไป" ไม่เพียง แต่เป็นไปได้ แต่ยังมีประสิทธิภาพ

การดำเนินการเหล่านั้นส่วนใหญ่แตกต่างจากกลุ่ม Facebook และบัญชีโทรลล์ของ Twitter ที่ถูกควบคุมโดย IRA และนักแสดงรัฐชาติอื่น ๆ รวมถึงจีนอิหร่านและเกาหลีเหนือ ในท้ายที่สุดแคมเปญเหล่านี้มีความสำคัญมากขึ้นเกี่ยวกับการปลุกเร้าความรู้สึกและการไหว้ผู้มีสิทธิเลือกตั้งทั่วสเปกตรัมทางการเมืองขยายการรั่วไหลของข้อมูลที่ประสานงานกับกลุ่มการเมือง เมื่อพูดถึงข้อมูลที่ผิดเราได้ค้นพบเพียงส่วนน้อยของภูเขาน้ำแข็ง

“ หนึ่งในสิ่งที่ทำให้การเลือกตั้งมีความท้าทายคือพวกเขาประกอบด้วยหลาย ๆ ชิ้นที่ไม่มีผู้มีส่วนได้ส่วนเสีย” Gidwani กล่าว "ความท้าทายครั้งใหญ่ที่เราต่อสู้ด้วยเป็นคำถามพื้นฐานทางการเมืองไม่ใช่เรื่องทางเทคนิคแพลตฟอร์มกำลังพยายามทำให้เนื้อหาที่ถูกกฎหมายสามารถระบุตัวตนได้ง่ายขึ้นโดยการตรวจสอบผู้สมัคร แต่ด้วยวิธีการที่เนื้อหาประเภทนี้แพร่กระจายอย่างรุนแรง เรานอกโลกแห่งความปลอดภัยของข้อมูล "



เสียบหลุมใหม่ในเครื่องเก่า

ในระดับพื้นฐานที่สุดโครงสร้างพื้นฐานการเลือกตั้งของอเมริกานั้นเป็นระบบที่ซับซ้อนไม่ว่าจะเป็นเครื่องลงคะแนนที่ล้าสมัยและไม่ปลอดภัยฐานข้อมูลผู้มีสิทธิเลือกตั้งที่เปราะบางและเว็บไซต์ของรัฐและท้องถิ่นที่บางครั้งขาดแม้แต่การเข้ารหัสและความปลอดภัยขั้นพื้นฐานที่สุด

ในทางกลับกันลักษณะที่กระจัดกระจายของโครงสร้างพื้นฐานการลงคะแนนทั่วประเทศสามารถทำให้เป็นเป้าหมายที่น่าดึงดูดน้อยกว่าการใช้ประโยชน์จากผลกระทบที่แพร่หลายมากขึ้น เนื่องจากเทคโนโลยีล้าสมัยและบางครั้งอนาล็อกในเครื่องลงคะแนนและวิธีการที่แต่ละรัฐแตกต่างจากครั้งต่อไปอย่างมากแฮกเกอร์จะต้องใช้ความพยายามอย่างมีนัยสำคัญในแต่ละกรณีเพื่อประนีประนอมระบบการแปลของแต่ละบุคคล นั่นเป็นความเข้าใจที่คลาดเคลื่อนในระดับหนึ่งเนื่องจากการแฮ็คข้อมูลโครงสร้างพื้นฐานการลงคะแนนเสียงของรัฐหรือท้องถิ่นในเขตการแกว่งที่สำคัญสามารถส่งผลกระทบต่อการเลือกตั้ง

สองรอบการเลือกตั้งที่ผ่านมา Jeff Williams ปรึกษากับผู้จำหน่ายเครื่องลงคะแนนรายใหญ่ของสหรัฐอเมริกาซึ่งเขาปฏิเสธที่จะระบุ บริษัท ของเขาทำการตรวจสอบรหัสด้วยตนเองและทดสอบความปลอดภัยของเครื่องลงคะแนนเทคโนโลยีการจัดการการเลือกตั้งและระบบการนับคะแนนและพบช่องโหว่เล็กน้อย

วิลเลียมส์เป็น CTO และเป็นผู้ร่วมก่อตั้ง Contrast Security และเป็นหนึ่งในผู้ก่อตั้ง Open Web Application Security Project (OWASP) เขากล่าวว่าเนื่องจากลักษณะโบราณของซอฟต์แวร์การเลือกตั้งซึ่งมีการจัดการในหลาย ๆ กรณีโดยเขตท้องถิ่นที่มักตัดสินใจซื้อตามงบประมาณมากกว่าความปลอดภัยเทคโนโลยีจึงไม่เปลี่ยนแปลงมากนัก

“ มันไม่ได้เป็นเพียงแค่เครื่องลงคะแนนมันเป็นซอฟต์แวร์ทั้งหมดที่คุณใช้ในการตั้งค่าการเลือกตั้งจัดการและเก็บผล” วิลเลียมส์กล่าว “ เครื่องจักรมีอายุการใช้งานค่อนข้างนานเพราะมีราคาแพงเรากำลังพูดถึงโค้ดหลายล้านเส้นและมูลค่าการทำงานหลายปีที่พยายามตรวจสอบด้วยความปลอดภัยที่ซับซ้อนในการติดตั้งและไม่ได้รับการจัดทำเป็นเอกสารที่ดี อาการของปัญหาที่ใหญ่กว่ามาก - ไม่มีใครเข้าใจถึงสิ่งที่เกิดขึ้นในซอฟต์แวร์ที่ใช้ "

วิลเลียมส์กล่าวว่าเขาไม่ได้มีความเชื่อมั่นในกระบวนการทดสอบและรับรองมากนัก รัฐบาลของรัฐและท้องถิ่นส่วนใหญ่รวบรวมทีมเล็ก ๆ ที่ทำการทดสอบการเจาะซึ่งเป็นการทดสอบแบบเดียวกับที่สร้างหัวข้อที่ Black Hat วิลเลียมส์เชื่อว่าเป็นวิธีที่ผิดเมื่อเทียบกับการทดสอบการประกันคุณภาพซอฟต์แวร์อย่างละเอียด การแฮ็กการแข่งขันเช่นเดียวกับใน Voting Village ที่ DefCon หาช่องโหว่ แต่พวกเขาไม่ได้บอกคุณทั้งหมดเกี่ยวกับการหาช่องโหว่ที่คุณไม่พบ

ปัญหาที่เป็นระบบมากขึ้นทั่วประเทศคือเครื่องลงคะแนนและซอฟต์แวร์การจัดการการเลือกตั้งแตกต่างกันอย่างมากจากรัฐสู่รัฐ มีผู้ค้ารายใหญ่เพียงไม่กี่รายเท่านั้นที่ลงทะเบียนเพื่อจัดหาเครื่องลงคะแนนและระบบการลงคะแนนที่ได้รับการรับรองซึ่งอาจเป็นระบบบัตรลงคะแนนกระดาษระบบลงคะแนนอิเล็กทรอนิกส์หรือการรวมกันของทั้งสอง

จากการโหวตขององค์กรที่ไม่หวังผลกำไรการลงคะแนน 99 เปอร์เซ็นต์ของอเมริกาถูกนับโดยคอมพิวเตอร์ในบางรูปแบบไม่ว่าจะโดยการสแกนบัตรลงคะแนนประเภทต่าง ๆ หรือผ่านทางรายการอิเล็กทรอนิกส์โดยตรง รายงานการตรวจสอบการลงคะแนนของ 2018 ที่ผ่านการตรวจสอบแล้วพบว่า 36 รัฐยังคงใช้อุปกรณ์ลงคะแนนที่พิสูจน์แล้วว่าไม่ปลอดภัยและ 31 รัฐจะใช้เครื่องลงคะแนนอิเล็กทรอนิกส์บันทึกโดยตรงสำหรับอย่างน้อยหนึ่งส่วนของผู้ลงคะแนน

ที่น่าตกใจที่สุดห้ารัฐ ได้แก่ เดลาแวร์จอร์เจียลุยเซียนานิวเจอร์ซีย์และเซ้าธ์คาโรไลน่าปัจจุบันใช้เครื่องลงคะแนนอิเล็กทรอนิกส์แบบบันทึกโดยตรงซึ่งไม่มีหลักฐานการตรวจสอบกระดาษ ดังนั้นหากการนับคะแนนมีการเปลี่ยนแปลงในระบบอิเล็กทรอนิกส์ไม่ว่าจะผ่านการแฮ็กทางกายภาพหรือระยะไกลรัฐอาจไม่มีวิธีการตรวจสอบผลลัพธ์ที่ถูกต้องในกระบวนการตรวจสอบซึ่งบ่อยครั้งเพียงต้องการการสุ่มตัวอย่างทางสถิติมากกว่าการนับใหม่ .

Joel Wallenstrom ซีอีโอของแอพส่งข้อความที่เข้ารหัสไม่มี Wickr กล่าว "ถ้ามีการอ้างสิทธิ์ในช่วงกลางภาคที่ผลลัพธ์ไม่จริงเพราะรัสเซียทำอะไรเราจะจัดการกับปัญหาข้อมูลที่ผิดได้อย่างไรผู้คนอ่านหัวข้อข่าวที่มีชีวิตชีวาและความเชื่อมั่นในระบบของพวกเขาจะลดลงไปอีก"

การอัพเกรดโครงสร้างพื้นฐานการลงคะแนนแบบรัฐต่อรัฐด้วยเทคโนโลยีและความปลอดภัยที่ทันสมัยไม่ได้เกิดขึ้นในช่วงกลางภาคและอาจไม่เกิดขึ้นก่อนปี 2020 ในขณะที่รัฐต่างๆในรัฐเวสต์เวอร์จิเนียกำลังทดสอบเทคโนโลยีใหม่ ๆ เช่น blockchain สำหรับการบันทึกเสียง บอกว่าแทนที่จะเป็นระบบที่ดีกว่าวิธีที่ปลอดภัยที่สุดในการยืนยันการโหวตคือทางกระดาษ

“ หลักฐานการตรวจสอบกระดาษเป็นสิ่งที่น่ายินดีสำหรับชุมชนความปลอดภัยมาเป็นเวลานานและในกลางภาคและอาจเป็นการเลือกตั้งประธานาธิบดีพวกเขาจะใช้เครื่องจักรจำนวนมากที่ไม่มีสิ่งนั้น” วิลเลียมส์กล่าว "มันไม่ใช่เรื่องอื้อฉาวที่จะพูดว่านี่เป็นภัยคุกคามต่อระบอบประชาธิปไตย"

หนึ่งในรัฐที่มีหลักฐานการตรวจสอบกระดาษคือนิวยอร์ก เดโบราห์สไนเดอร์เจ้าหน้าที่รักษาความปลอดภัยข้อมูลระดับสูงของรัฐกล่าวกับ PCMag ในการประชุม National Cyber ​​Security Alliance (NCSA) ที่ประชุมสุดยอดเมื่อเร็ว ๆ นี้ว่านิวยอร์กไม่ได้เป็นหนึ่งใน 19 รัฐที่มียอดผู้มีสิทธิ์ลงคะแนนเสียงประมาณ 35 ล้านคน อย่างไรก็ตามบันทึกของผู้มีสิทธิเลือกตั้งที่เปิดเผยต่อสาธารณะในรัฐนิวยอร์กนั้นมีให้บริการฟรีในฟอรัมอื่น

รัฐดำเนินการประเมินความเสี่ยงอย่างสม่ำเสมอของเครื่องลงคะแนนและโครงสร้างพื้นฐาน นิวยอร์กยังลงทุนหลายล้านคนตั้งแต่ปี 2560 ในการตรวจจับการบุกรุกในท้องถิ่นเพื่อปรับปรุงการติดตามและตอบสนองเหตุการณ์ทั้งในรัฐและประสานงานกับศูนย์แลกเปลี่ยนและวิเคราะห์ข้อมูล (ISAC) ซึ่งเป็นพันธมิตรกับรัฐอื่นและภาคเอกชน

“ เราตระหนักดีขึ้นเรื่อย ๆ ซึ่งนำไปสู่และตลอดการเลือกตั้ง” สไนเดอร์กล่าว "ฉันมีทีมงานบนดาดฟ้าตั้งแต่ 6 โมงเช้าของวันก่อนถึงเที่ยงคืนในวันเลือกตั้งเราทุกคนอยู่บนดาดฟ้าตั้งแต่ศูนย์ข่าวกรองแห่งรัฐนิวยอร์กไปจนถึง ISAC ไปจนถึงคณะกรรมการการเลือกตั้งระดับท้องถิ่นและสำนักงานของฉัน แผนกความมั่นคงแห่งมาตุภูมิและบริการฉุกเฉิน "



เว็บไซต์การเลือกตั้งท้องถิ่นกำลังนั่งเป็ด

แง่มุมสุดท้ายและที่มักถูกมองข้ามมากที่สุดของความมั่นคงในการเลือกตั้งของรัฐและท้องถิ่นคือเว็บไซต์ของรัฐบาลที่บอกให้ประชาชนทราบว่าจะลงคะแนนเสียงที่ไหนและอย่างไร ในบางรัฐมีความสอดคล้องน้อยมากระหว่างเว็บไซต์ที่เป็นทางการซึ่งหลายแห่งขาดแม้แต่ใบรับรองความปลอดภัย HTTPS ขั้นพื้นฐานที่สุดซึ่งยืนยันว่าหน้าเว็บได้รับการปกป้องด้วยการเข้ารหัส SSL

บริษัท McAfee จากไซเบอร์ซีเคียวริตี้ได้ทำการสำรวจความปลอดภัยของเว็บไซต์คณะกรรมการการเลือกตั้งใน 20 รัฐและพบว่ามีเพียง 30.7 เปอร์เซ็นต์ของเว็บไซต์ที่มี SSL ในการเข้ารหัสข้อมูลใด ๆ ที่ผู้มีสิทธิเลือกตั้งแบ่งปันกับเว็บไซต์โดยค่าเริ่มต้น ในอเมริการวมถึง Montana, Texas และ West Virginia, 10 เปอร์เซ็นต์ของเว็บไซต์หรือน้อยกว่านั้นเป็น SSL-เข้ารหัส การวิจัยของ McAfee พบว่าในเท็กซัสเพียงอย่างเดียว 217 จาก 236 เว็บไซต์การเลือกตั้งของมณฑลไม่ใช้ SSL

คุณสามารถบอกไซต์ที่เข้ารหัส SSL ได้โดยค้นหา HTTPS ใน URL เว็บไซต์ คุณอาจเห็นไอคอนล็อคหรือคีย์ในเบราว์เซอร์ของคุณซึ่งหมายความว่าคุณกำลังสื่อสารอย่างปลอดภัยกับไซต์ที่พวกเขาบอกว่าเป็น ในเดือนมิถุนายน Chrome ของ Google เริ่มตั้งค่าสถานะไซต์ HTTP ที่ไม่ได้เข้ารหัสทั้งหมดว่า "ไม่ปลอดภัย"

“ การไม่มี SSL ในปี 2018 ในการเตรียมการกลางภาคหมายถึงเว็บไซต์ของมณฑลเหล่านี้มีความเสี่ยงต่อการถูกโจมตีจาก MiTM และการดัดแปลงข้อมูลมากขึ้น "McAfee CTO Steve Grobman กล่าว "มักจะเป็นตัวแปร HTTP ที่ไม่ปลอดภัยเก่าที่ไม่ได้เปลี่ยนเส้นทางคุณไปยังเว็บไซต์ที่ปลอดภัยและในหลาย ๆ กรณีเว็บไซต์จะแบ่งปันใบรับรองสิ่งต่าง ๆ ดูดีกว่าในระดับรัฐโดยมีเพียง 11 เปอร์เซ็นต์ของไซต์ที่ไม่ได้เข้ารหัส แต่สิ่งเหล่านี้ ไซต์ท้องถิ่นไม่ปลอดภัยอย่างสมบูรณ์ "

จากรัฐที่รวมอยู่ในการวิจัยของ McAfee มีเพียงเมนเท่านั้นที่มีมากกว่า 50 เปอร์เซ็นต์ของเว็บไซต์การเลือกตั้งระดับมณฑลที่มีการเข้ารหัสขั้นพื้นฐาน นิวยอร์กมีเพียง 26.7 เปอร์เซ็นต์ในขณะที่แคลิฟอร์เนียและฟลอริดาอยู่ที่ประมาณ 37 เปอร์เซ็นต์ แต่ขาดความปลอดภัยขั้นพื้นฐานเพียงครึ่งเดียวเท่านั้น การวิจัยของ McAfee ยังพบว่าแทบจะไม่คงเส้นคงวาในโดเมนของเว็บไซต์การเลือกตั้งระดับมณฑล

เปอร์เซ็นต์ของไซต์การเลือกตั้งระดับรัฐที่น่าตกใจใช้โดเมน. gov ที่ผ่านการตรวจสอบโดยรัฐบาลแทนที่จะเลือกโดเมนระดับบนสุดทั่วไป (TLD) เช่น. com, .us, .org หรือ. net ในมินนิโซตาร้อยละ 95.4 ของเว็บไซต์การเลือกตั้งใช้โดเมนที่ไม่ใช่ภาครัฐตามด้วยเท็กซัสที่ร้อยละ 95 และมิชิแกนที่ร้อยละ 91.2 ความไม่ลงรอยกันนี้ทำให้แทบเป็นไปไม่ได้ที่ผู้มีสิทธิเลือกตั้งทั่วไปจะมองเห็นว่าเว็บไซต์การเลือกตั้งใดถูกกฎหมาย

ในเท็กซัส, 74.9 เปอร์เซ็นต์ของเว็บไซต์การลงทะเบียนผู้มีสิทธิเลือกตั้งใช้โดเมน. us, 7.7 เปอร์เซ็นต์ใช้. com, ใช้. org 11.1 เปอร์เซ็นต์, ใช้เครือข่าย 1.7 เปอร์เซ็นต์ มีเว็บไซต์เพียง 4.7 เปอร์เซ็นต์เท่านั้นที่ใช้โดเมน. gov ตัวอย่างเช่นในเท็กซัสเด็นทันของ Denton เว็บไซต์การเลือกตั้งระดับมณฑลคือ https://www.votedenton.com/ แต่ McAfee พบว่าเว็บไซต์ที่เกี่ยวข้องเช่น www.vote-denton.com นั้นพร้อมให้ซื้อ

ในสถานการณ์เช่นนี้ผู้โจมตีไม่จำเป็นต้องแฮ็กเว็บไซต์ในท้องถิ่น พวกเขาสามารถซื้อโดเมนที่คล้ายกันและส่งอีเมลฟิชชิ่งที่บอกให้ผู้ใช้ลงทะเบียนเพื่อลงคะแนนผ่านทางเว็บไซต์ที่หลอกลวง พวกเขายังสามารถให้ข้อมูลการลงคะแนนที่ผิดหรือตำแหน่งของสถานที่เลือกตั้งไม่ถูกต้อง

“ สิ่งที่เราเห็นในโลกไซเบอร์ความปลอดภัยโดยทั่วไปคือผู้โจมตีจะใช้กลไกที่ง่ายที่สุดที่มีประสิทธิภาพเพื่อให้บรรลุเป้าหมายของพวกเขา” Grobman กล่าว “ ในขณะที่มันอาจเป็นไปได้ที่จะแฮกเครื่องลงคะแนนด้วยตัวเอง แต่ก็มีความท้าทายในทางปฏิบัติมากมายมันง่ายกว่ามากที่จะไปหลังจากระบบการลงทะเบียนผู้มีสิทธิเลือกตั้งและฐานข้อมูลหรือซื้อเว็บไซต์ในบางกรณีเราพบว่ามีโดเมนที่คล้ายคลึงกัน ซื้อโดยฝ่ายอื่น ๆ มันง่ายเหมือนการค้นหาหน้าขายของ GoDaddy "



แคมเปญ: ชิ้นส่วนที่เคลื่อนไหวและเป้าหมายที่ง่าย

โดยทั่วไปแล้วจะใช้ความพยายามมากขึ้นสำหรับแฮ็กเกอร์ที่จะแทรกซึมเข้าไปในแต่ละเขตหรือระบบของรัฐมากกว่าที่จะทำผลไม้แขวนลอยต่ำเช่นแคมเปญที่พนักงานชั่วคราวหลายพันคนทำเพื่อดึงดูดเครื่องหมาย ดังที่เราเห็นในปี 2559 ผลกระทบของการละเมิดข้อมูลแคมเปญและการรั่วไหลของข้อมูลอาจเป็นความหายนะ

ผู้โจมตีสามารถบุกทะลวงแคมเปญได้หลายวิธี แต่การป้องกันที่แข็งแกร่งที่สุดคือการทำให้แน่ใจว่าพื้นฐานถูกล็อค Playbook Cybersecurity ของแคมเปญ D3P ไม่เปิดเผยกลยุทธ์ด้านความปลอดภัยที่ก้าวล้ำ เป็นรายการตรวจสอบที่พวกเขาสามารถใช้เพื่อให้แน่ใจว่าพนักงานหรืออาสาสมัครทุกคนได้รับการตรวจและทุกคนที่ทำงานกับข้อมูลแคมเปญใช้กลไกการป้องกันเช่นการตรวจสอบสิทธิ์แบบสองปัจจัย (2FA) และบริการส่งข้อความเข้ารหัสเช่น Signal หรือ Wickr พวกเขายังต้องได้รับการฝึกอบรมเกี่ยวกับสุขลักษณะข้อมูลทั่วไปด้วยความตระหนักถึงวิธีการสังเกตแผนการฟิชชิ่ง

Robby Mook พูดคุยเกี่ยวกับนิสัยง่ายๆ: พูดลบอีเมลที่คุณรู้ว่าคุณไม่ต้องการโดยอัตโนมัติเพราะมีโอกาสที่ข้อมูลจะรั่วไหลหากนั่งอยู่รอบ ๆ

"แคมเปญเป็นตัวอย่างที่น่าสนใจเพราะเรามีปัจจัยที่สองเกี่ยวกับบัญชีแคมเปญและกฎเกณฑ์ทางธุรกิจเกี่ยวกับการเก็บข้อมูลและข้อมูลภายในโดเมนของเรา" Mook อธิบาย "คนเลวพวกเราเรียนรู้ย้อนหลังมีพนักงานจำนวนมากให้คลิกผ่านลิงค์ฟิชชิ่ง แต่ความพยายามเหล่านั้นไม่ประสบความสำเร็จเพราะเรามีมาตรการป้องกันเมื่อพวกเขาไม่สามารถเข้าไปได้ บัญชีส่วนตัวของผู้คน "

ความปลอดภัยของแคมเปญนั้นยุ่งยาก: มีชิ้นส่วนที่เคลื่อนไหวนับพันชิ้นและบ่อยครั้งที่ไม่มีงบประมาณหรือความเชี่ยวชาญในการสร้างการป้องกันความปลอดภัยของข้อมูลที่ทันสมัยตั้งแต่เริ่มต้น อุตสาหกรรมเทคโนโลยีได้ก้าวขึ้นมาอยู่ข้างหน้าพร้อมกันนี้นำเสนอเครื่องมือฟรีจำนวนมากสำหรับแคมเปญที่นำไปสู่กลางภาค

จิ๊กซอว์ของตัวอักษรกำลังให้การป้องกัน DDoS ของแคมเปญผ่าน Project Shield และ Google ได้ขยายโปรแกรมรักษาความปลอดภัยบัญชีขั้นสูงเพื่อปกป้องแคมเปญทางการเมือง Microsoft กำลังเสนอฝ่ายตรวจจับภัยคุกคาม AccountGuard ฟรีใน Office 365 และในฤดูร้อนนี้ บริษัท ได้จัดการประชุมเชิงปฏิบัติการด้านความปลอดภัยทางไซเบอร์ด้วยทั้ง DNC และ RNC McAfee มอบ McAfee Cloud สำหรับการเลือกตั้งที่มีความปลอดภัยฟรีเป็นเวลาหนึ่งปีสำหรับสำนักงานการเลือกตั้งในทั้ง 50 รัฐ

บริษัท ด้านเทคโนโลยีคลาวด์และความปลอดภัยอื่น ๆ รวมถึง Symantec, Cloudflare, Centrify และ Akamai ให้บริการเครื่องมือฟรีหรือลดราคาที่คล้ายกัน ทั้งหมดนี้เป็นส่วนหนึ่งของการรณรงค์ประชาสัมพันธ์ของกลุ่มอุตสาหกรรมเทคโนโลยีซึ่งมีความพยายามร่วมกันในการปรับปรุงความปลอดภัยในการเลือกตั้งมากกว่าที่ Silicon Valley เคยมีมาในอดีต

รับแคมเปญในแอปที่เข้ารหัส

ตัวอย่างเช่น Wickr คือ (มากหรือน้อย) ที่ให้แคมเปญเข้าถึงบริการของตนได้ฟรีและทำงานโดยตรงกับแคมเปญและ DNC เพื่อฝึกอบรมพนักงานรณรงค์และสร้างเครือข่ายการสื่อสารที่ปลอดภัย

จำนวนแคมเปญที่ใช้ Wickr เพิ่มขึ้นสามเท่าตั้งแต่เดือนเมษายนและมากกว่าครึ่งของแคมเปญในวุฒิสภาและทีมให้คำปรึกษาทางการเมืองกว่า 70 รายใช้แพลตฟอร์มดังกล่าวในช่วงฤดูร้อนนี้ Audra Grassia ผู้นำทางการเมืองและรัฐบาลของ Wickr ได้มุ่งมั่นกับคณะกรรมการและการรณรงค์ทางการเมืองในกรุงวอชิงตันดีซีในปีที่ผ่านมา

“ ฉันคิดว่าผู้คนที่อยู่นอกการเมืองมีความยากลำบากในการทำความเข้าใจว่ามันยากแค่ไหนในการปรับใช้โซลูชั่นในหลาย ๆ แคมเปญในทุกระดับ” Grassia กล่าว "ทุกแคมเปญเป็นธุรกิจขนาดเล็กที่แยกจากกันโดยมีพนักงานหมุนเวียนออกมาทุก ๆ สองปี"

แคมเปญส่วนบุคคลมักจะไม่มีเงินทุนสำหรับการรักษาความปลอดภัยในโลกไซเบอร์ แต่คณะกรรมการทางการเมืองขนาดใหญ่ทำ ในช่วงปี 2559 DNC โดยเฉพาะได้ลงทุนอย่างมากในด้านความปลอดภัยทางไซเบอร์และการสร้างความสัมพันธ์เช่นนี้กับ Silicon Valley ขณะนี้คณะกรรมการมีทีมเทคโนโลยี 35 คนนำโดย CTO Raffi Krikorian ใหม่ซึ่งก่อนหน้านี้เป็น Twitter และ Uber Bob Lord หัวหน้าเจ้าหน้าที่รักษาความปลอดภัยคนใหม่ของ DNC เคยเป็นผู้บริหารระบบรักษาความปลอดภัยของ Yahoo ซึ่งคุ้นเคยกับการรับมือกับปัญหาความหายนะ

ทีมงานของ Grassia ทำงานโดยตรงกับ DNC ช่วยนำเทคโนโลยีของ Wickr ไปใช้และนำเสนอการฝึกอบรมในระดับต่างๆ Wickr เป็นหนึ่งในผู้ให้บริการเทคโนโลยีที่โดดเด่นในตลาดเทคโนโลยีของ DNC สำหรับผู้สมัคร Joel Wallenstrom ซีอีโอของ Wickr กล่าวว่าชิ้นส่วนที่เคลื่อนไหวภายในแคมเปญนั้นน่าทึ่งมาก

เขาอธิบายว่าแคมเปญไม่มีความรู้ด้านเทคโนโลยีหรือทรัพยากรในการลงทุนในการรักษาความปลอดภัยข้อมูลระดับองค์กรหรือเพื่อจ่ายค่าใช้จ่ายในราคา Silicon Valley สำหรับผู้มีความสามารถ แอปที่เข้ารหัสเป็นหลักนำเสนอโครงสร้างพื้นฐานในตัวเพื่อย้ายข้อมูลทั้งหมดของแคมเปญและการสื่อสารภายในไปสู่สภาพแวดล้อมที่ปลอดภัยโดยไม่ต้องจ้างทีมที่ปรึกษาราคาแพงเพื่อกำหนดค่าทั้งหมด มันไม่ใช่โซลูชันที่ครอบคลุมทั้งหมด แต่อย่างน้อยแอพที่เข้ารหัสสามารถทำให้ข้อมูลสำคัญเกี่ยวกับแคมเปญถูกล็อคอย่างรวดเร็ว

ในช่วงกลางภาคและการเลือกตั้งในอนาคต Robby Mook กล่าวว่ามีเวกเตอร์การโจมตีสองสามแคมเปญที่เขากังวลมากที่สุด หนึ่งคือการโจมตี DDoS ในเว็บไซต์ของแคมเปญในช่วงเวลาที่สำคัญเช่นในระหว่างการกล่าวสุนทรพจน์ในการประชุมหรือการแข่งขันหลักเมื่อผู้สมัครเป็นธนาคารในการบริจาคออนไลน์ เขายังเป็นกังวลเกี่ยวกับไซต์ปลอมว่าเป็นหนึ่งในสองที่จะขโมยเงิน

“ เราได้เห็นสิ่งนี้เล็กน้อย แต่ฉันคิดว่าสิ่งหนึ่งที่ควรระวังคือเว็บไซต์ระดมทุนปลอมที่สามารถสร้างความสับสนและสงสัยในกระบวนการบริจาค” มุกกล่าว "ฉันคิดว่ามันอาจแย่ลงไปกว่านี้เมื่อวิศวกรรมสังคมพยายามหลอกล่อให้เจ้าหน้าที่หาเงินบริจาคหรือส่งเงินบริจาคให้กับโจรการปล้นครั้งใหม่อันตรายนี้สูงมากเพราะสำหรับปฏิปักษ์ไม่เพียง แต่มีกำไร แต่มันเบี่ยงเบนความสนใจจากแคมเปญจริง ปัญหาและทำให้พวกเขามุ่งเน้นไปที่การวางอุบาย "



สงครามสารสนเทศสำหรับผู้มีสิทธิเลือกตั้ง

ด้านที่ยากที่สุดของความมั่นคงในการเลือกตั้งปัจจุบันที่ต้องทำความเข้าใจเพื่อป้องกันตัวเองคือการบิดเบือนข้อมูลและการรณรงค์ที่มีอิทธิพลต่อสังคม มันเป็นปัญหาที่มีการเล่นออนไลน์สาธารณะมากที่สุดในสภาคองเกรสและบนแพลตฟอร์มสังคมที่เป็นหัวใจของปริศนาที่คุกคามประชาธิปไตย

ข่าวปลอมและข้อมูลที่ผิดที่เผยแพร่เพื่อมีอิทธิพลต่อผู้มีสิทธิเลือกตั้งสามารถมาในหลายรูปแบบ ในปี 2559 มันมาจากโฆษณาทางการเมืองที่มีการกำหนดเป้าหมายขนาดเล็กบนโซเชียลมีเดียจากกลุ่มและบัญชีปลอมที่เผยแพร่ข้อมูลเท็จเกี่ยวกับผู้สมัครและจากการที่ข้อมูลแคมเปญรั่วไหลออกมาอย่างมีกลยุทธ์เพื่อสงครามสารสนเทศ

Mark Zuckerberg กล่าวว่าหลายวันหลังจากการเลือกตั้งว่าข่าวปลอมใน Facebook ที่มีอิทธิพลต่อการเลือกตั้งเป็น "แนวคิดที่ค่อนข้างบ้า" ต้องใช้เวลาหลายปีในการทำลายล้างข้อมูลและความนิยมของรายได้สำหรับ Facebook เพื่อให้ได้มาซึ่งตอนนี้: การกำจัดบัญชีสแปมทางการเมืองจำนวนมากตรวจสอบโฆษณาทางการเมืองและตั้งค่าการเลือกตั้งกลางภาค "ห้องสงคราม" ซึ่งเป็นส่วนหนึ่งของกลยุทธ์ การแทรกแซง

Twitter ได้ดำเนินการตามขั้นตอนที่คล้ายคลึงกันตรวจสอบผู้สมัครทางการเมืองและปราบปรามบอทและโทรลล์ แต่ข้อมูลที่ผิดยังคงอยู่ บริษัท ต่าง ๆ ได้ซื่อสัตย์เกี่ยวกับข้อเท็จจริงที่ว่าพวกเขาอยู่ในการแข่งขันอาวุธกับศัตรูไซเบอร์เพื่อค้นหาและลบบัญชีปลอมและเพื่อข่าวปลอม Facebook ปิดตัวแคมเปญโฆษณาชวนเชื่อที่เชื่อมโยงกับอิหร่านประกอบด้วย 82 หน้ากลุ่มและบัญชีเมื่อสัปดาห์ที่แล้ว

แต่อัลกอริธึมการเรียนรู้ด้วยเครื่องจักรและผู้ควบคุมมนุษย์ทำได้แค่นั้น การแพร่กระจายของข้อมูลที่ผิดผ่าน WhatsApp ในการเลือกตั้งประธานาธิบดีของบราซิลเป็นเพียงตัวอย่างหนึ่งของจำนวน บริษัท โซเชียลมีเดียที่ต้องทำงานมากขึ้น

Facebook, Twitter และยักษ์ใหญ่ด้านเทคโนโลยีเช่น Apple ได้หายไปจากการยอมรับบทบาทของแพลตฟอร์มของพวกเขาในการเลือกตั้งเพื่อยอมรับความรับผิดชอบและพยายามแก้ไขปัญหาที่ซับซ้อนมากที่พวกเขาช่วยสร้าง แต่มันก็เพียงพอแล้ว

“ อิทธิพลของการเลือกตั้งอยู่ที่นั่นมาตลอด แต่สิ่งที่เราเห็นก็คือความซับซ้อนในระดับใหม่” เทรวิสบรัวรองศาสตราจารย์ด้านวิทยาศาสตร์คอมพิวเตอร์ของ Carnegie Mellon กล่าวซึ่งงานวิจัยเกี่ยวข้องกับความเป็นส่วนตัวและความปลอดภัย

Breaux กล่าวว่าประเภทของการใช้ข้อมูลที่ผิดที่เราเห็นจากรัสเซียอิหร่านและนักรัฐชาติอื่น ๆ ไม่ใช่สิ่งที่แตกต่างจากตัวแทนจารกรรม playbook ที่ใช้มานานหลายทศวรรษ เขาชี้ไปที่หนังสือ 2526 ที่เรียกว่า The KGB และโซเวียต Disinformation เขียนโดยเจ้าหน้าที่ข่าวกรองอดีตซึ่งพูดคุยเกี่ยวกับแคมเปญข้อมูลสงครามเย็นที่ได้รับการสนับสนุนจากรัฐซึ่งออกแบบมาเพื่อทำให้เข้าใจผิดสับสนหรือทำให้โกรธความเห็นต่างประเทศ ปัจจุบันแฮกเกอร์และฟาร์มโทรลล์ของรัสเซียกำลังทำสิ่งเดียวกันในวันนี้มีเพียงความพยายามของพวกเขาเท่านั้นที่จะได้รับการเพิ่มความสามารถด้วยเครื่องมือดิจิตอลและการเข้าถึงที่พวกเขามีให้ Twitter สามารถส่งข้อความถึงคนทั้งโลกได้ในพริบตา

Breaux กล่าวว่า "มีการผสมผสานเทคนิคที่มีอยู่แล้วเช่นเดียวกับบัญชีปลอม "เราต้องเร่งความเร็วและเข้าใจว่าข้อมูลที่เชื่อถือได้ของแท้นั้นเป็นอย่างไร"

McAfee CTO Steve Grobman คิดว่ารัฐบาลควรดำเนินการบริการสาธารณะเพื่อสร้างความตระหนักเกี่ยวกับข้อมูลที่ผิดหรือถูกจัดการ เขากล่าวว่าหนึ่งในประเด็นที่ยิ่งใหญ่ที่สุดในปี 2559 คือข้อสันนิษฐานที่ชัดเจนว่าข้อมูลที่ละเมิดนั้นมีความสมบูรณ์

ในช่วงท้ายของรอบการเลือกตั้งเมื่อไม่มีเวลาที่จะตรวจสอบความถูกต้องของข้อมูลได้อย่างอิสระการทำสงครามข้อมูลอาจมีประสิทธิภาพอย่างยิ่ง

"เมื่ออีเมลของ John Podesta ถูกเผยแพร่บน WikiLeaks สื่อมวลชนได้ทำการสันนิษฐานว่าพวกเขาทั้งหมดเป็นอีเมลของ Podesta จริง ๆ " Grobman กล่าว PCMag ไม่ได้ทำการตรวจสอบโดยตรงถึงความถูกต้องของอีเมลที่รั่วไหลออกมา แต่อีเมลของ Podesta บางฉบับที่ตรวจสอบว่าเป็นเท็จยังคงเผยแพร่เมื่อไม่นานมานี้ตามรายงานของ FactCheck.org โครงการของศูนย์นโยบายสาธารณะ Annenberg แห่งมหาวิทยาลัย ของเพนซิล

"สิ่งหนึ่งที่เราจำเป็นต้องให้การศึกษาแก่สาธารณชนคือข้อมูลใด ๆ ที่ออกมาจากการฝ่าฝืนสามารถมีข้อมูลที่ประดิษฐ์ขึ้นมารวมกับข้อมูลที่ถูกกฎหมายเพื่อป้อนสิ่งที่ฝ่ายตรงข้ามที่เล่าเรื่องกำลังนำทางคุณไป

สิ่งนี้สามารถขยายไปถึงสิ่งที่คุณเห็นทางออนไลน์และในโซเชียลมีเดีย แต่ยังรวมถึงรายละเอียดด้านลอจิสติกเกี่ยวกับการลงคะแนนในพื้นที่ของคุณ เมื่อพิจารณาถึงความไม่สอดคล้องกันในบางสิ่งที่เป็นพื้นฐานของโดเมนเว็บไซต์จากเทศบาลเมืองหนึ่งไปยังอีกเมืองหนึ่งผู้มีสิทธิเลือกตั้งจำเป็นต้องมีวิธีการที่เป็นทางการในการแยกแยะว่าอะไรจริง

"ลองนึกภาพแฮกเกอร์พยายามที่จะส่งผลต่อการเลือกตั้งในพื้นที่ชนบทหรือในเมือง" โกรบแมนกล่าว "คุณส่งอีเมลฟิชชิ่งไปยังผู้มีสิทธิเลือกตั้งทุกคนที่บอกว่าเนื่องจากสภาพอากาศการเลือกตั้งถูกเลื่อนออกไปเป็นเวลา 24 ชั่วโมงหรือให้ตำแหน่งการลงคะแนนเลือกตั้งปลอมแก่พวกเขา"

ในที่สุดมันก็ขึ้นอยู่กับผู้มีสิทธิเลือกตั้งในการกรองข้อมูลที่ผิด เดโบราห์สไนเดอร์หัวหน้าเจ้าหน้าที่รักษาความปลอดภัยข้อมูลรัฐนิวยอร์กกล่าวว่า "อย่ารับข่าวสารจาก Facebook ลงคะแนนความคิดของคุณ" และตรวจสอบให้แน่ใจว่าข้อเท็จจริงของคุณมาจากแหล่งที่ได้รับการยืนยันแล้ว Joel Wallenstrom ของ Wickr เชื่อว่าผู้มีสิทธิเลือกตั้งจำเป็นต้องทำตัวเป็นเหล็กให้กับข้อเท็จจริงที่ว่าจะมี FUD จำนวนมากอันน่ากลัว (ความกลัวความไม่แน่นอนและข้อสงสัย) เขาคิดว่าคุณควรปิด Twitter ด้วย

Robby Mook กล่าวว่าไม่ว่าคุณจะจัดการกับอาชญากรรมทางอินเทอร์เน็ตหรือการดำเนินการสงครามข้อมูลเป็นเรื่องสำคัญที่ต้องจำไว้ว่าข้อมูลที่คุณเห็นนั้นได้รับการออกแบบมาเพื่อให้คุณคิดและดำเนินการในลักษณะที่แน่นอน อย่า

“ ผู้ออกเสียงลงคะแนนจำเป็นต้องถอยห่างออกไปและถามตัวเองในสิ่งที่สำคัญสำหรับพวกเขาไม่ใช่สิ่งที่พูดกับพวกเขา” มุกกล่าว "ให้ความสำคัญกับเนื้อหาของผู้สมัครการตัดสินใจของเจ้าหน้าที่สาธารณะเหล่านี้และการตัดสินใจเหล่านั้นจะส่งผลกระทบต่อชีวิตของพวกเขาอย่างไร"



โยนทุกอย่างที่เรามีได้ที่ 'Em เรียกใช้อีกครั้ง

การจำลองสถานการณ์ความมั่นคงด้านการเลือกตั้งของโครงการปกป้องประชาธิปไตยดิจิทัลเริ่มต้นขึ้นในเวลา 8.00 น. ที่เมืองเคมบริดจ์รัฐแมสซาชูเซตส์โดยเริ่มจากผู้เข้าร่วมที่ทำงานในรัฐสวมหกหรือแปดเดือนก่อนวันเลือกตั้ง 10 นาทีของการออกกำลังกาย ในตอนท้ายแต่ละนาทีก็เกิดขึ้นตามเวลาจริงในขณะที่ทุกคนนับถอยหลังถึงเวลาเลือกตั้ง

Rosenbach กล่าวว่าเขา Mook และ Rhoades เข้าสู่สถานการณ์ด้วย 70 หน้าซึ่งเขียนสคริปต์ว่าภัยพิบัติด้านความปลอดภัยจากการเลือกตั้งจะเป็นอย่างไรและพวกเขาจะโยนอีกทีหนึ่งที่เจ้าหน้าที่ของรัฐเพื่อดูว่าพวกเขาตอบสนองอย่างไร

"เราจะบอกว่านี่คือสถานการณ์เราเพิ่งได้รับรายงานข่าวเกี่ยวกับการดำเนินการข้อมูลของรัสเซียผ่านบอต Twitter" Rosenbach กล่าว “ ผลลัพธ์ยังมาจากสถานที่เลือกตั้งที่แสดงว่าปิด แต่เฉพาะผู้มีสิทธิเลือกตั้งชาวแอฟริกัน - อเมริกันจากนั้นพวกเขาจะต้องตอบสนองต่อสิ่งนั้นในขณะเดียวกันก็มีอีก 10 สิ่งที่กำลังจะลง - ข้อมูลการลงทะเบียนถูกแฮ็ก โครงสร้างพื้นฐานการลงคะแนนถูกบุกรุกสิ่งที่รั่วไหลออกไปและต่อ ๆ ไป "

โครงการปกป้องดิจิทัลประชาธิปไตยได้ทำการวิจัยใน 28 รัฐเกี่ยวกับข้อมูลประชากรและอุปกรณ์การสำรวจประเภทต่าง ๆ เพื่อเขียนสคริปต์ลงในสถานการณ์จำลองและทุกคนได้รับมอบหมายให้ทำหน้าที่ ผู้บริหารการเลือกตั้งระดับต่ำต้องเล่นเจ้าหน้าที่ระดับสูงของรัฐสมมติและในทางกลับกัน Rosenbach กล่าวว่ารัฐมนตรีต่างประเทศของ West Virginia Mac Warner ต้องการเล่นแบบสำรวจความคิดเห็น

เป้าหมายคือสำหรับเจ้าหน้าที่จาก 38 รัฐที่จะออกจากการจำลองด้วยแผนการตอบสนองในใจของพวกเขาและถามคำถามที่เหมาะสมเมื่อมันมีความสำคัญ เราเข้ารหัสลิงค์นี้หรือไม่ ฐานข้อมูลผู้ออกเสียงลงคะแนนปลอดภัยหรือไม่? เราได้ล็อคผู้ที่มีสิทธิ์เข้าถึงเครื่องเลือกตั้งก่อนวันเลือกตั้งหรือไม่?

ผลพลอยได้ที่สำคัญกว่าของการฝึกซ้อมแผนบนโต๊ะคือการสร้างเครือข่ายเจ้าหน้าที่การเลือกตั้งทั่วประเทศเพื่อแลกเปลี่ยนข้อมูลและแลกเปลี่ยนแนวปฏิบัติที่ดีที่สุด Rosenbach เรียกมันว่า "ISAC ที่ไม่เป็นทางการ" ซึ่งยังคงใช้งานได้ดีซึ่งนำไปสู่ช่วงกลางภาครัฐเพื่อแบ่งปันประเภทของการโจมตีและช่องโหว่ที่พวกเขาเห็น

รัฐกำลังฝึกอบรมเช่นนี้ด้วยตนเอง นิวยอร์กเริ่มต้นการฝึกซ้อมแผนบนโต๊ะประจำภูมิภาคในเดือนพฤษภาคมโดยความร่วมมือกับกระทรวงความมั่นคงแห่งมาตุภูมิโดยมุ่งเน้นไปที่การเตรียมความพร้อมในโลกไซเบอร์และการตอบโต้ภัยคุกคาม

NYS CISO Snyder กล่าวว่าคณะกรรมการการเลือกตั้งของรัฐให้การฝึกอบรมเฉพาะการเลือกตั้งแก่คณะกรรมการการเลือกตั้งประจำมณฑล นอกจากนี้ยังจัดให้มีการฝึกอบรมการรับรู้ไซเบอร์ฟรีให้กับคนงานของรัฐทั้งหมด 140, 000 คนพร้อมให้บริการในเขตเทศบาลท้องถิ่นทำให้พวกเขามีทั้งการฝึกอบรมเฉพาะเรื่องการเลือกตั้ง สไนเดอร์ยังกล่าวอีกว่าเธอได้ติดต่อกับรัฐอื่น ๆ ที่ได้รับความเดือดร้อนจากการรั่วไหลของข้อมูลผู้มีสิทธิเลือกตั้งเพื่อค้นหาว่าเกิดอะไรขึ้นและทำไม

“ ความร่วมมือเป็นสิ่งที่ทำให้การรักษาความปลอดภัยในโลกไซเบอร์ทำงานได้การขาดการแบ่งปันข่าวกรองเป็นสาเหตุว่าทำไมจึงล้มเหลว” สไนเดอร์กล่าว "รัฐต่างตระหนักดีว่าไซเบอร์ไม่สามารถทำได้ในไซโลและประโยชน์จากการรับรู้สถานการณ์ที่แชร์กันนั้นมีค่ามากกว่าความลำบากใจที่จะเล่าเรื่องที่คุณถูกแฮ็ก"

D3P กำลังส่งทีมไปทั่วประเทศในช่วงกลางภาคเพื่อสังเกตการณ์การเลือกตั้งในหลายสิบรัฐและรายงานกลับมาเพื่อปรับปรุง playbooks และการฝึกอบรมของโครงการก่อนปี 2563 ความเชื่อหนึ่งที่แหล่งข้อมูลจำนวนมากที่ใช้ร่วมกันคือฝ่ายตรงข้ามไซเบอร์อาจไม่โจมตีสหรัฐฯ ในช่วงกลางภาค อเมริกาถูกจับตาดูอย่างสิ้นเชิงในช่วงการเลือกตั้งปี 2559 และในปี 2018 จะแสดงแฮ็กเกอร์รัฐชาติในสิ่งที่เรามีและยังไม่ได้เรียนรู้ตั้งแต่นั้นมา

สงครามไซเบอร์ไม่ได้เกี่ยวกับการโจมตีเต็มรูปแบบเท่านั้น แคมเปญการแฮ็กและการเข้าใจผิดนั้นมีความลับมากขึ้นและพวกเขาพึ่งพาการตีคุณในสิ่งที่คุณไม่ได้คาดหวัง สำหรับรัสเซีย, อิหร่าน, จีน, เกาหลีเหนือ, และอื่น ๆ ผู้เชี่ยวชาญด้านความปลอดภัยและนโยบายต่างประเทศหลายคนกลัวว่าการโจมตีอย่างรุนแรงต่อการเลือกตั้งของสหรัฐจะเกิดขึ้นในรอบปี 2563

“ รัสเซียยังคงทำงานอยู่ แต่ฉันจะประหลาดใจถ้าชาวเกาหลีเหนือชาวจีนและชาวอิหร่านไม่ได้ดูอย่างระมัดระวังเพื่อดูสิ่งที่เราทำในช่วงกลางภาคและวางรากฐานความลับเหมือนกับการปฏิบัติการของไซเบอร์” Rosenbach

การโจมตีทางไซเบอร์ที่เราเห็นในช่วงกลางภาคและในปี 2020 อาจมาจากพาหะใหม่ทั้งหมดที่ไม่ได้อยู่ในการจำลอง ยุคใหม่ของการหาประโยชน์และเทคนิคที่ไม่มีใครคาดคิดหรือเตรียมพร้อมที่จะเผชิญ แต่อย่างน้อยเราก็รู้ว่าพวกเขากำลังมา