[ad_1]
Saquemos el pescado del barril. Voatz es una startup tecnológica cuya brillante idea era desestabilizar la democracia haciendo que la gente votara en su teléfono, y almacenara los votos, lo adivinaste, una cadena de bloques. ¿Esto suena como una mala idea? Welp.
Resultó que parecían terriblemente casual sobre los principios básicos de la seguridad del software, como no codificar con fuerza tus credenciales de AWS. Resultó que su blockchain era una instalación Hyperledger de ocho nodos, es decir, una cadena fenomenológica no especialmente distinguible de las bases de datos aseguradas por contraseñas. Han sido ampliamente y justamente castigados por estas cosas. Pero ellos no son lo importante.
Para su crédito, su sistema es opt-in, y aparentemente genera papeletas en papel verificadas por el votante en tiempo real, lo más importante sobre cualquier sistema de votación. Pero aún. Tenemos que dar un paso atrás y hacer una pregunta aquí: ¿por qué estamos tratando de votar a través de una aplicación y cotejar los resultados de las elecciones en cualquier tipo de sistema centralizado? Nosotros no quiero para hacer la votación más eficiente. La eficiencia no es el problema que estamos tratando de resolver con las elecciones. La ineficiencia de las boletas de papel y su manejo y clasificación y tabulación es una característica, no un error.
Simplemente pregúnteles a todos en Def Hack Village de Vote Hacking, cuyos éxitos han sido desenfrenado este fin de semana, en medio de la enemistad de la Asociación Nacional de Secretarios de Estado:
Voatz se estaba acercando al problema incorrecto de la manera incorrecta desde el principio. Incluso si su repositorio de blockchain es verificablemente de escritura única, y no lo es, solo registra los datos enviados a través de su aplicación y servidores. La votación no puede depender de aplicaciones y servidores, sin importar cuán presuntamente sean seguros. Es bueno que genere papeletas para una auditoría posterior a las elecciones, pero ya que no deberíamos ni podemos confiar en los servidores de votación y el software, y por lo tanto, tendremos que hacer un conteo de papeletas después de las elecciones cada vez, ¿qué tal si omitimos al hombre? -in-the-middle, y todo su software, y vaya directamente a esa parte?
El otro punto nos lo trae XKCD, quien respondió a Voatz con esto:
que a su vez trajo esta respuesta del CISO Alex Stamos de Facebook (que pronto será ex):
que a su vez trajo esta respuesta de CFI y del ingeniero Rob Russell, que muchos de los mejores ingenieros que conozco han compartido en las redes sociales:
Hay puntos válidos en todos los lados aquí. Stamos tiene razón en la mayoría de las esferas, p. aviación, no tienen que lidiar con la amenaza constante de adversarios inteligentes que atacan el sistema de la misma forma que lo hace el software (aunque como los eventos en SeaTac nos muestran ayer, de ninguna manera están desprovistos de tales amenazas).
Pero Russell saca a colación el punto muy válido que debido a que las personas de software están tan obsesionadas con los adversarios, con los piratas informáticos y no son hackeadas, su definición de "seguridad" a menudo está restringida a brechas, explotaciones y vulnerabilidades, en lugar de fallas sistémicas o técnicas de desarrollo descuidadas , que daña la seguridad de los usuarios incluso si no se trata de un hacker externo. Para ser justos, en los últimos años, la comunidad infosec ha sido buena para ampliar su definición de "seguro" más allá de "resistente a los hackers externos" … pero parece bastante evidente que se necesita mucho, mucho más trabajo.
[ad_2]
VendeTodito