14:55
19/6/2010

Nasz czytelnik, Ktos, podesłał nam linka zawierającego torchę przerażającą wypowiedź wiceprzewodniczącego jednej z Okręgowych Komisji Wyborczych:

Hackowanie OKW?

Post jednego z członków OKW

Gdby wątek zniknął, przepisuję go poniżej:

Tak się składa, że zapisałem się do OKW, na której wiceprzewodniczącego następnie zostałem powołany. Dało mi to możliwość legalnego skorzystania z przygotowanego na tę okazję systemu informatycznego i muszę zaalarmować, bo jest on pełen dziur.

  1. Przy odbieraniu loginu i hasła OKW do Platformy Wyborczej nikt nie sprawdzał mojej tożsamości. Spytano mnie jedynie o numer komisji i o imię i nazwisko (z tego co wiem to skład komisji jest publikowany — więc nie jest problemem uzyskanie tych danych).
  2. Następnym krokiem jest wygenerowanie klucza RSA i pobranie certyfikatu ze wspomnianej Platformy Wyborczej. Tu dość istotnym niedociągnięciem jest to, że sam certyfikat główny nie jest rozpowszechniony ani certyfikowany przez inny powszechnie zaufany CA.

Skontaktowałem się w tej sprawie z łącznikiem informatycznym, lecz nie uzyskałem od niego informacji umożliwiającej jego potwierdzenie (prosiłem o podyktowanie odcisku palca), a jedynie polecenie bym nie przejmował się ostrzeżeniami.

Z tego co wiem to jeszcze nie wszystkie komisje odebrały swoje dane do logowania — ciekawe czy znajdzie się jakiś haker, który pokaże ile jest wart obecny system.

Według dalszych informacji autora powyższego posta, aplikacja tzw. kalkulatora wyborczego też nie jest podpisana.

Nie wiemy jak dokładnie wyglądają procedury pracy OKW, ale nie wydaje nam się, żeby na pewnym ich etapie nie następowała weryfikacja tego co jest na papierze, z tym co zostało przesłane elektronicznie — także w naszej opinii, dzisiejszej i jutrzejszej nocy można spać spokojnie. Niezależnie od tego, brak możliwości weryfikacji certyfikatu zdecydowanie kłuje w oczy…

Aktualizacja 23:25
Jeden z naszych czytelników zasiadających w komisji wyborczej potwierdził, że raporty elektroniczne są weryfikowane z papierowymi raportami. Trochę więcej informacji Sebo.PL zdradził w tym wątku. Tam też pojawiły się podejrzenia co do wiarygodności jego wypowiedzi.


Dowiedz się, jak zabezpieczyć swoje dane i pieniądze przed cyberprzestępcami. Wpadnij na nasz kultowy ~3 godzinny wykład pt. "Jak nie dać się zhackować?" i poznaj kilkadziesiąt praktycznych i przede wszystkim prostych do zastosowania porad, które skutecznie podniosą Twoje bezpieczeństwo i pomogą ochronić przed atakami Twoich najbliższych. Uczestnicy tego wykładu oceniają go na: 9,34/10!

Na ten wykład powinien przyjść każdy, kto korzysta z internetu na smartfonie lub komputerze, prywatnie albo służbowo. Wykład prowadzimy prostym językiem, wiec zrozumie go każdy, także osoby spoza branży IT. Dlatego na wykład możesz spokojnie przyjść ze swoimi rodzicami lub mniej technicznymih znajomych. W najbliższych tygodniach będziemy w poniższych miastach:

Zobacz pełen opis wykładu klikając tutaj lub kup bilet na wykład klikając tu.

21 komentarzy

Dodaj komentarz
  1. Dobrze, że przynajmniej wyniki wysyłamy SSLem :)

  2. Co do pobierania certyfikatow, odemnie chciano login i haslo, ktory dostalem w kopercie wiec jakas tam procedura bezpieczenstwa jest

  3. W innym wątku http://hack.pl/forum/off-topic/7803-bezpieczenstwo-informatyczne-wyborow.html (za Wykop.pl http://www.wykop.pl/link/387774/nie-bezpieczenstwo-informatyczne-wyborow-prezydenckich-2010/) jest to dość dobrze wyjaśnione.
    kolega “Sebo” chyba nie został “informatykiem na wyborach” i szuka sensacji.

  4. Tylko czekać aż za parę lat prezydentem zostanie jakiś niestartujący w wyborach aktor albo ktoś kto podpisze się 1337 h4x0r.

    Tak czy owak mam nadzieję(wiem, matka głupich), że już za 5 lat doczekam się głosowania również przez internet.

  5. Proponuję wpierw przeczytać komentarz użytkownika haton na forum innego portalu (niestety akurat forum ma przerwę techniczną), zatem kopia z webcache: http://webcache.googleusercontent.com/search?q=cache:http://hack.pl/forum/off-topic/7803-bezpieczenstwo-informatyczne-wyborow.html

  6. “ale nie wydaje nam się, żeby na pewnym ich etapie nie następowała weryfikacja tego co jest na papierze”

    Tak się składa, że sam jestem w Komisji wyborczej oraz nie raz zdarzało mi się wklepywać dane do kalkulatora wyborczego, a także przewozić wydrukowane z kalkulatora dane i mogę powiedzieć, że zawsze jest weryfikowane na wyższych szczeblach, to co jest przesyłane kalkulatorem z tym co się przywozi do Delegatury Biura Wyborczego w formie papierowej. Następnie Delegatura grupuje w kalkulatorze dane wszystkich gmin i przesyłane wyżej.

  7. W 2005 roku najważniejsze i tak były papierowe protokoły ze wszystkich komisji. Nie wiem czy dane z systemu informatycznego były porównywalne z papierami, ale przewodniczący komisji mogli zakończyć pracę dopiero w momencie, gdy tzw. sędzia wyborczy zatwierdził protokół, jaki składało się w biurze wyborczym. Oficjalne wyniki wyborów też były podawane jedynie na podstawie informacji z dokumentów papierowych. Zakładam, że przez 5 lat nic się w tym temacie nie zmieniło, więc ewentualny atak spowodowałby jedynie rozbieżności między wynikami oczekiwanymi a rzeczywistymi i prawdopodobnie zarządzono by ponowne przeliczenie głosów.

  8. Na http://www.ktos.info/ jest napisane “W Internecie znany od ponad 6 lat pod pseudonimem sieciowym (nickiem) Ktos. Tak, bez “ś” na końcu.” ;)

  9. W USA juz pare lat temu pokazali mozliwosci hakowania elektronicznej maszyny do głosowania firmy Diebold (tej od bankomatów) http://www.google.com/search?hl=pl&q=hack%20voting%20machine&um=1&ie=UTF-8&tbo=u&tbs=vid:1&source=og&sa=N&tab=wv. Jeszcze wcześniej przy okazji wyborów Busha juniora był cyrk z mechanicznymi maszynami do głosowania (nieźle się wtedy uśmiałem biorąc pod uwagę, że rzecz działa się w kolebce komputerów).

  10. Witam

    Dorzucę jeszcze moje 3 grosze do tematu :-)
    Strony Platformy Wyborczej (strony internetowe do których mają dostęp koordynatorzy od gminy wzwyż) są chronione certyfikatami Unizeto Technologies – czyli kwalifikowalnymi i sprawdzalnymi.

    Kalkulator nie musi mieć podpisu kwalifikowalnego przy przesłać dane z jednego programu do drugiego – nawet jak Sebo.Pl wygeneruje sobie żądanie certyfikacji to ktoś je musi mu podpisać ? Po prostu kalkulator odrzuci nieważny certyfikat, a tym bardziej serwer podczas wysyłki.

    Na serwerkach są zainstalowane zaawansowane IPS/IDS/UTMy oraz parę honeypotów (gdzie niegdzie grasuje nawet SNORT :-)

    Jedyną ważną formą jest protokół papierowy a wersja elektroniczna służy przede wszystkim wizualizacji wyborów na http://prezydent2010.pkw.gov.pl.

    Dane wysłane z kalkulatorów są agregowane w firmie Pixel i przesyłane do Mikrobitu. Na ich podstawie są generowane STATYCZNE (by nikt nie kombinował z sql injection) strony i wysyłane na serwer.

    Od dłuższego czasu prowadzone są 24h/dobę dyżury w firmach obsługującyh wybory – to nie tak, że ktoś to uruchomi 2 dni przed wyborami i nie zauważy manipulacji.

    Sam jestem certyfikowanym inżynierem bezpieczeństwa i audytorem wg norm PN-ISO/IEC 27001 i jakoś nie panikuję, chociaż ryzyka nigdy się nie wyeliminuje, ale poważnie da się ograniczyć.

    Sebo.PL przeleciało 170PLN za 15 min pracy (tyle u mnie dostają operatorzy kalkulatora)

    pozdrawiam
    Haton

  11. 1) wyciek loginu i hasła jest bardzo prosty do wykrycia – prawdziwy przewodniczący nie wygeneruje certyfikatu (możliwość jednokrotnego wykorzystania przekazanego loginu i hasła)
    2) dane wprowadzane do kalkulatora wyborczego są drukowane, weryfikowane przez komisję i podpisywane ręcznie. Na protokole drukowany jest kod kreskowy z sumą kontrolną – wersja papierowa musi zgadzać się z wersją elektroniczną przesłaną do KBW.
    Jak dla mnie to tylko tania sensacja, aż żal o tym czytać na Waszych stronach, chyba za bardzo pospieszyliście się z publikacją beż wcześniejszego zweryfikowania informacji.

    • @anon: nie wiem, czy tania, czy droga sensacja, ale na pewno wątek warty rozważenia. W poście nikogo nie piętnowano i wyraźnie podkreślono, że papierowa weryfikacja wychwyci błąd, więc pretensje sebo są trochę na wyrost. Post właśnie zaktualizowałem o linka do wątku na hacku, do którego wcześniej nie dotarliśmy.

  12. “Niezależnie od tego, brak możliwości weryfikacji certyfikatu zdecydowanie kłuje w oczy…”
    To rozmijanie się z prawdą. Na https://wybory.kbw.gov.pl/certyfikaty/ wiszą certyfikaty nadrzędne.
    Problem jest postawiony na głowie: certyfikat musi być sprawdzony nie przez użytkownika tylko przez serwer wyborczy.

  13. imho największym failem jest fakt, że głosowanie jest niejawne… co to za problem przy zliczaniu głosów machnąć na karcie dodatkowy krzyżyk/cokolwiek – głos wtedy traci ważność

  14. Dziura jest, ale trochę innego typu. Chodzi o Polaków na stałe mieszkających za granicą. AFAIK mogą pojawić się w dowolnej OKW, przedstawić do wglądu dokumenty, z których wynika, że mieszkają na stałe i… zostaną dopisani do spisu wyborców (żadnego papiera nie zostawiając). A przecież mogą pójść potem do innej komisji (nawet w innym województwie, wtedy nawet telefon z komisji do centrali dla danego rejonu nie pomoże) i znowu będą dopisani.

    Szczerze mówiąc zdziwiłem się, gdy zobaczyłem info o tym trybie dopisywania (wiem, że kiedyś był, ale wydawało mi się, że zostało zmienione). Czy ktoś się orientuje, czy jest to w jakiś sposób weryfikowane? Teoretycznie trzebaby wprowadzać ręcznie wszystkich dopisanych ręcznie we wszystkich OKW i sprawdzać pod kątem duplikatów, ale wątpię by to było robione (nawet jeśli, to co, stwierdzamy, że 300 ludzi głosowało po kilka(naście) razy i co wtedy? anulowanie wyników?), nie wspominając o tym, żeby było robione online.

  15. @rozie: Osoby te powinny legitymować sie ważnym polskim paszportem. Komisja, po wydaniu karty takiej osobie, powinna wbić do tego paszportu swoją pieczątke z datą. Na tej podstawie, osoba ta nie powinna już dostać karty w następnym OKW.

  16. Wszystko fajnie, dyskusja dyskusją, ale użycie słowa “przerażającą” na początku tego zdania to jak dla mnie co najmniej nadużycie.
    Nie ma nic przerażającego w tym artykule, ot taka dyskusja patrzących z boku :P

    • @r. Prośba o przesłanie hasła e-mailem lub odmowa podania fingerprintu trochę przerazajaca jest ;) o ile oczywiście ufać oświadczeniu sebo.pl, co jest sprawa na osobna dyskusje ;>

  17. […] opisywaliśmy wątpliwości związane z informatyczną obsługą wyborów, a dziś napisał do Marcin Grzybek, któremu udało się zaobserwować pewną nieprawidłowość w […]

  18. @radziu: Z tego co wiem, w przypadku krajów UE wystarcza dowód osobisty, który jest plastikowy i nie ma gdzie wbijać pieczątek…
    Można poszperać dokładniej jak ktoś ma wtyki w komisjach (albo czas i chęć na studiowanie ordynacji). To, co czytam na portalach (choćby http://wiadomosci.wp.pl/kat,0,wid,12271286,martykul.html?ticaid=1a617) potwierdza, że paszport nie jest wymagany (“Natomiast, aby zostać dopisanym do spisu wyborców w którymś z lokali wyborczych w kraju, trzeba będzie mieć przy sobie polski paszport albo dokument potwierdzający stałe zamieszkanie za granicą: kartę stałego pobytu, dokument o zatrudnieniu za granicą lub uprawniający do korzystania ze świadczeń ubezpieczenia społecznego za granicą.”).

Odpowiadasz na komentarz R.

Kliknij tu, aby anulować

Zamieszczając komentarz akceptujesz regulamin dodawania komentarzy. Przez moderację nie przejdą: wycieczki osobiste, komentarze nie na temat, wulgaryzmy.

RSS dla komentarzy: