罗彻斯特理工学院（RIT）学生研究人员屡获殊荣的团队最近对ExpressVote进行了广泛的渗透测试®XL。经过10天的广泛测试，他们发现这台机器非常安全——没有任何可能改变或操纵投票人投票选择的攻击。
“我们没有任何东西可以找到 - 在任何一种情况下 - 有人可以在现实世界中改变选民的选择。”- Ian Stroszeck，第五年的RIT计算安全BS / MS学生。
ES&S投票机渗透测试，搜索可能的攻击和狗万被端吗漏洞
提供的消息罗切斯特理工学院
罗伯特·格雷(Robert Gray)是计算机安全BS/MS专业的三年级学生，他是本科生团队的一员，他们对ExpressVote XL投票机进行了渗透测试。照片由RIT提供。
罗彻斯特科技大学学院的团队获得了在美国最大的投票设备制造商的选举系统和软件（ES＆S）的ExpressVote XL投票机的独立安全测试的机会。万博mantetx下载狗万被端吗
经过几周的研究，该团队在Expressvote XL投票机上进行了10天的渗透测试。由于参与，学生研究人员发现零攻击可能会在积极投票站的现实世界条件下改变或操纵选民的选择。
ES&S高级副总裁兼首席信息安全官Chris Wlaschin表示:“这是对我们国家关键基础设施的安全以及我们国家选举实力的证明。”狗万被端吗“渗透测试的全面性质、RIT团队进行的高质量分析以及报告中提出的可行建议，为RIT和ES&S之间潜在的长期安全测试关系奠定了基础。”狗万被端吗
自2016年和2020年选举周期以来，对投票安全的公共利益增长。政府和网络专家表示，对国家安全的潜力仍然是对国家安全的巨大威胁。
“这就是为什么ES&S继续关注其投票系统的狗万被端吗安全性，并与第三方研究人员合作，以确保选举设备的弹性，”Wlaschin说。“每一个合格的选民都应该知道，他们的选票正在被计算。”
伊恩·斯特罗切克，五年级学生计算安全工商管理硕士学生也有同感。他一直对政府感兴趣，甚至选择成为门罗县的一名投票工作人员，以更好地了解选举是如何进行的。认识到去年的选举对他的研究有多么重要，他和一个计算安全学生团队想要测试电子投票硬件的安全性，为他们的本科毕业项目。
来自纽约州布莱顿郊区罗切斯特市的Stroszeck说:“这样做很重要，因为目前缺乏公共研究。”“要改变一场选举的完整性，你甚至不需要攻击这个装置——你只需要制造不确定性。这些公司需要公开，让公众知道他们真诚地努力保持这些机器尽可能的安全。”
stroszeck和Andrew Afonso一起，Andrew Afonso是马萨诸塞州哈伯德斯顿的一名五年级的学士/硕士学生;罗伯特·格雷(Robert Gray)是来自纽约州坎南代瓜市(Canandaigua)的理学士/硕士四年级学生;以及丹尼尔·蒙塔古多，他毕业于学士在计算安全中在2021年，来自斯塔伦岛，N.Y.-与Rit的工作全球网络安全研究所(GCI)与几家制造商和政府机构接触，以了解人们对投票机安全性测试的兴趣。狗万被端吗ES&S回复了电话。
“我认为这是一个独一无二的学术机构来到我们，我们看到了在纽约测试的真正机会，”Wlaschin说。“与学术界进行独立测试，我发现了巨大的价值，我发现了超越责备的质量。”
狗万被端吗ES＆S采访了学生和教师，以确保渗透测试计划是由专业和道德行为的合法，尊重和指导。Wlaschin还希望审查位于GCI的测试网站伊顿网络安全安全(安全评估和法医检查)实验室。
RIT团队开始为ExpressVote XL创建威胁模型。ExpressVote XL是一种投票标记设备和制表机，旨在为所有选民提供服务。它有一个32英寸的全面交互式触摸屏和一个扫描仪/打印机，可以产生选民可验证的纸质记录。ExpressVote XL正在等待纽约州的认证，宾夕法尼亚州、新泽西州和整个特拉华州的选民已经在使用它。
对于渗透测试，RIT的学生开发了两个可能发现投票机的场景。
在第一次攻击方案中，该团队设想设备将位于无担保存储壁橱中。在那里，攻击者可能会有几个小时的时间可以使用没有人看待它们。
在第二个场景中，团队设想设备在一个活动的投票地点。在这种环境下，攻击者只有几分钟的时间单独使用该设备，否则投票工作人员很可能会产生怀疑。设备将被打开并记录所有操作。
Stroszeck说:“在这两种情况下，我们都没有发现，在现实世界中，有人能够改变选民的选择。”
学生们邀请人们在模仿选举中投票，以便收集关于选民在机器上投票的可用性和时间的反馈。它们通过查看篡改密封件并锁在机器上的夯实密封件并锁定来源。此外，它们测试了触摸屏，存储设备，操作系统和固件。他们还试图修改纸质投票，以改变投票或改变投票的计数。
“我们真的很喜欢该设备的防御深入方法和保障措施的数量，”Stroszeck说。“所有受限制的输入点都遥不可及或用多个篡改密封件固定。”
该团队确实确定了有限数量的改进领域，并提出了关于如何将这些改进纳入ExpressVote XL的建议。这些建议没有代表在选举中实际剥削的问题，因为它们被赔偿控制所保护，解释了Wlaschin。该建议范围远离加强锁和密封，以提高软件的功能。该公司计划将学生的建议纳入下一个产品发布。
“有些人称攻击者可以轻松改变Expressvote XL机器的选举结果，”Wlaschin说。“RIT团队使这一点讨论并确认您无法在没有检测的情况下操纵机器。”
罗切斯特理工学院的航拍的计算安全部授予皇家理工学院学生年度最佳项目奖。
未来，GCI的研究人员希望与更多企业和组织合作，为投票系统提供安全测试服务。
“令人惊讶的是，在我们的研究中，我们无法通过政府机构找到一个既定的路线，为某人进行独立测试投票机，”Afonso说。“我们联系的国家代理商安排对测试进行测试的机器没有既定的处理此类请求。我希望我们可以建立GCI作为一种用于测试投票机的安全性的新型测试实验室。“