1.新闻网址︰
※ 网址超过一行 请缩网址 ※
https://tinyurl.com/y666mr9c
2.新闻来源︰
大纪元
3.完整新闻标题
※ 请完整转载标题 请勿修改与编排 ※
专家曝光Dominion投票系统多项安全漏洞
4.完整新闻内容︰
※ 请完整转载原文 请勿修改内文与编排 ※
【大纪元2020年11月13日讯】(英文大纪元定期撰稿人Jeff Carlson撰文/陈霆编译)
本月的总统大选中使用Dominion Voting Systems软件和设备,一直是许多争议的源头。
今年稍早,一名曾在乔治亚州全州初选担任投票观察员的电子投票安全专家,做出了一
项法律声明,更凸显出该系统有许多的重大安全问题。
2019年7月,乔治亚州州务卿布拉德‧拉芬斯珀格(Brad Raffensperger)宣布,该州将
于从Dominion Voting Systems公司购买价值1.06亿美元的选举系统。然而,在一项从2
017年开始的诉讼中,批评者认为,Dominion系统与它所取代的旧系统,有着许多相同的
安全漏洞。
就在总统大选前几周,美国地区法官艾米·托滕伯格(Amy Totenberg)在10月11日的法
庭命令中,承认Dominion投票系统存在着相关隐忧。
她写道,该案件提出了“严重的系统安全漏洞和操作问题,可能会使原告和其他选民被
剥夺投出有效选票,并加以准确计算的基本权利。”
“法院的命令已深入研究了新的BMD投票系统(ballot-marking device,简称BMD)及其
实施方式所带来的真实风险。在目前的情况下,这些风险既不是假设的,也不是遥远的
。”托滕伯格法官在命令中写道。
(译注:BMD投票系统又称填票机,选民可在触摸屏幕上勾画,然后打印出可以扫描的选
票,对残障人士尤为重要。)
尽管法院有疑虑,但托滕伯格还是反对在总统大选前更换Dominion系统,并指出:“在
这种情况下,实施这样一个突然的系统性变化,势必引起选民的混乱,并在某种程度上
干扰大选。”
选举系统异常 引发的诸多担忧
在8月24日的一份声明中,知名的电子投票安全专家哈里·赫斯蒂(Harri Hursti)描述
了他在6月9日乔治亚州全州初选和8月11日复选(runoff election)期间,亲身所见的
问题。
赫斯蒂是“根据‘善治联盟’(Coalition for Good Governance,乔州关注于选举权的
组织)的第34条要求,被授权以专家身分,在某些投票站和富尔顿县选举准备中心进行
检查和观察”。
赫斯蒂将他的发现总结如下:
1. 目前采用的扫描和制表软件设置,在判读手工标记的选票时,很可能致使某些选票,
有意地不被计算。
2. 富尔顿县投票系统的运行方式,让安全风险提升到了极高的水平。
3. 选民没有检查填票机打印的选票,然而经过统计,填票机打印出的结果并不可靠,这
将导致选票无法采计。
在乔治亚州亚特兰大市的桃树基督教堂观察时,赫斯蒂指出,“扫描仪接受或拒绝一张
选票的时间会改变。”
赫斯蒂表示,任何专用系统都不应出现可变延迟(variable delays)。他指出:“我们
总是对任何意外的可变延迟持怀疑态度,因为这是许多问题的常见征兆,包括执行了未
经授权代码的可能性。”
赫斯蒂在不同地点观察到不同的处理时间,进一步引起了人们的担忧,因为相同的设备
“在执行相同的扫描选票任务时,不应有不同的表现”。
赫斯蒂在其宣誓声明(sworn statement)中表示,他是在Fanplex投票点的两位投票监
督员要求下到场,他们观察到了某些无法解释的异常现象。赫斯蒂到场后观察到,“不
知出于什么原因,在多台机器上,当选民试图投票时,填票机有时会打印出‘测试用’
的选票”。
正如赫斯蒂所指出的,“在选举日期间,除选民正在投票的选票外,填票机不应处理或
打印任何其它选票。”他表示,这说明填票机系统的“组态设定错误”(wrong config
uration)。
这个问题也引起了他心中的其它疑问:
1. 为什么设备打印了测试选票?
2. 设备为何在选举日之中改变行为?
3. 错误的组态设定,是否源于电子投票簿系统?
4. 对打印出来的选票和QR码的可靠性有何影响?
投票设备的操作全盘外包
在2020年8月11日复选(runoff election)期间,赫斯蒂在富尔顿县选举准备中心,观
察“从各选区存储设备,上传到Dominion选举管理系统(EMS)服务器”的情况。在这次
观察中,赫斯蒂注意到,“系统问题反复出现,操作系统的Dominion技术人员在上传过
程中相当吃力”。
赫斯蒂还指出,似乎只有Dominion公司的人员了解并能进入Dominion的服务器。正如赫
斯蒂在声明中所说:“在我与吉尔斯翠普(Derrick Gilstrap)和其他富尔顿县选举部
的电子程控(EPC)人员的谈话中,他们自称对EMS服务器的操作了解并不多。”
赫斯蒂指出,这种将投票设备的操作全盘外包给供应商的做法,“在我的经验中是极不
寻常的,从安全和利益冲突的角度来看,是令人严重担忧的”。赫斯蒂表示,Dominion
的现场操作和访问权限是一个“高风险因素”。
他还指出,运行Dominion服务器的戴尔(Dell)电脑,似乎没有进行“系统强化”(ha
rdened),即“通过减少表面的漏洞,来确保系统安全”的过程。赫斯蒂说,他认为“
EMS服务器在安装前没有经过强化处理,是不可接受的”。
一个重大缺陷:未删除电脑游戏等无关软件
除了缺乏系统强化,赫斯蒂还注意到,乔治亚州投票系统中使用的电脑上,似乎有“家
庭或小企业的套装软件”。这引起了赫斯蒂的严重关切。
他说:“系统强化的首要步骤之一,是删除所有不需要的软件。删除游戏图标、游戏软
件、安装程序,以及所有其它在选举过程中非必要软件等,这是系统强化过程中的第一
步,也是最基本的步骤之一。”
“以我的专业意见,应立即对所有159个县进行独立调查,以确定全州的Dominion系统是
否也存在这一重大缺陷。”
除了上述套装软件外,赫斯蒂还发现其中一台电脑里的图标,来自2017年一款名为《梦
幻家园》(Homescapes)的电玩。赫斯蒂指出,这让人怀疑“乔治亚州Dominion系统的
电脑是否都有相同的操作系统版本,或者说这款游戏是如何在富尔顿县的Dominion投票
系统中出现的”。
赫斯蒂还发现混合使用的新旧设备,由于缺乏更新也令人不安,可能带有额外的安全风
险。
他说:“虽然这个Dominion投票系统是乔治亚州的新系统,但机架上电脑的Windows 10
操作系统已有4年没有更新了,并且携带了大量众所周知的公开漏洞。”
赫斯蒂指出,缺乏“系统强化”,即使是没有连接到互联网的电脑也会产生安全风险。
他观察到,当记忆卡连接到服务器时,“是由操作系统自动装载的。自动装载时操作系
统会自动启动,并与设备进行相互作用。”
赫斯蒂指出,富尔顿县的EMS服务器的管理,似乎是一个“没有正式流程的临时性操作站
”。这一点在整个晚上从各个区域传入存储资讯的过程,显得尤为明显。
“这种操作自然容易出现人为错误”,赫斯蒂说,“我观察到,工作人员在现场打电话
询问是否所有储存选票的记忆卡,都已从提前投票机送来进行处理,随后又发现有更多
记忆卡,因明显的人为错误而被忽略。”
他说:“后来,我又听到一名技术员在现场打电话,询问是否所有的卡都已送达。这清
楚地表明缺乏库存管理,而良好的库存管理,才可确保不会有恶意存储设备,被插入电
脑之中。”
“作为回应,有人又交付了3张记忆卡。不到5分钟后,我听到一位县工作人员说找到了
另外一张卡片,并将其交付进行处理。所有这些设备仅依凭印刷标签来辨认,没有与任
何形式的库存清单进行比对。”
Dominion技术人员 拥有完整的系统访问权限
更令人关切的是,Dominion公司人员似乎拥有“完整权限”进入电脑系统。赫斯蒂观察
到Dominion的技术人员以“试误”的方式排除错误,其中包括进入“电脑管理”(Comp
uter Management)应用程序,赫斯蒂认为,这表明其拥有完整的权限。
正如他在声明中所说:“这意味着,没有任何有意义的访问分离和角色控制,来保护县
的主要选举服务器。这也大大放大了灾难性的人为错误,和执行恶意程序的风险。”
在试图解决各种现场问题的过程中,赫斯蒂指出,Dominion工作人员似乎从现场尝试补
救,转向了远程故障排除。
“Dominion公司的工作人员走到服务器机架后面,进行手动操作,从我的位置无法观察
到。之后,他们带着个人笔记本电脑搬到了离选举系统较远的桌子上,并且停止尝试用
不同的方法,来解决服务器的问题,也不再通过电话与他们的远程工程师继续交谈。”
“在接下来的电话中,我无意间听到,他们要求电话另一端的人检查不同的东西,他们
到了一台电脑前,似乎在进行测试什么,随后用手机拍下电脑屏幕的照片,显然是将其
发送到远程位置。”
赫斯蒂表示,这“给人留下了深刻的印象,即故障排除工作的关键步骤,是通过远程访
问系统进行的。”
赫斯蒂还注意到,在他监控的Wi-Fi列表中,出现了一个“隐藏名称的无线网络接点”。
这些对赫斯蒂来说,都是实质性的警讯。他指出:“如果事实上安排并允许远程访问服
务器,这对Dominion系统的安全性,将有严重影响。”
“远程访问,无论如何保护和组织,始终是一种安全风险,而且它是将控制权转移到物
理边界之外,并剥夺了任何监管活动的能力。”
乔治亚州宣布重新计票
2020年11月11日,乔治亚州州务卿拉芬斯珀格宣布,将对总统大选中该州的所有选票,
进行全面重新计票和审核。
“由于差距如此接近,这将需要在每个县进行全面的人工重新计票。这将有助于建立信
心。这将是一次审计、重新清点和重新计票。”拉芬斯珀格说。
Dominion投票系统公司没有回应置评请求。
作者简介:
杰夫·卡尔森(Jeff Carlson)是英文《大纪元时报》的定期撰稿人,他是获得CFA认证
的特许金融分析师,曾在高收益债券市场担任分析师和投资组合经理人超过20年。他还
经营著网站TheMarketsWork.com,可以在Twitter上@themarketswork关注他。
责任编辑:叶紫微#
5.附注、心得、想法︰
※ 40字心得、备注 ※
1.将投票设备的操作全盘外包给供应商
2.系统没强化(windows没更新,里面还灌游戏
3.Dominion技术人员 拥有完整的系统访问权限
4.发现隐藏名称的无线网络接点
问题一大堆...