Исследователи нашли в американских системах для голосования не одну и не две проблемы, а как минимум 12 уязвимостей высокой и критической опасности. Однако главное открытие оказалось политически неудобным. Специалисты Mojave Research не обнаружили доказательств взлома машин Dominion или изменения голосов. Вскоре после этого федеральные власти прекратили финансирование дальнейших работ.
Mojave Research около шести недель изучала оборудование Dominion, которое использовали на выборах 2024 года в Пуэрто-Рико. Исследование проводилось по заказу Управления директора национальной разведки США, ODNI. Специалисты получили доступ к реальной системе, работавшей во время выборов, и провели технический анализ без участия производителя.
Результаты оказались тревожными. Исследователи обнаружили повторно используемые и встроенные в ПО пароли, отключенные межсетевые экраны, открытые порты и слабую реализацию криптографической защиты. Дополнительный риск создавали активные сотовые модемы, через которые потенциальный атакующий мог получить еще один путь к компонентам системы, считавшимся изолированными.
Всего Mojave Research выявила не менее 12 серьезных уязвимостей в коммерческом программном обеспечении и смогла успешно применить пять из них. Речь не шла о ранее неизвестных 0-day. Исправления для найденных проблем уже существовали, причем некоторые патчи появились задолго до выборов. Технический директор Mojave Манбир Гулати назвал исследованную систему «крайне небезопасной» и заявил, что уровень защиты не соответствовал требованиям, которые можно ожидать даже от обычного приложения с невысоким риском.
При этом исследователи не нашли признаков реального использования обнаруженных уязвимостей. Mojave Research также не обнаружила доказательств того, что кто-либо менял результаты голосования. Компания подготовила предварительный отчет примерно на 100 страниц и хотела продолжить анализ еще от шести месяцев до года, чтобы проверить данные глубже.
Сначала федеральные власти, по словам руководителей Mojave, собирались значительно расширить проект. Численность команды планировали увеличить примерно с 10 до 60 человек, компания начала нанимать специалистов и получила финансирование на закупку оборудования для проверки других систем перед промежуточными выборами в ноябре. Затем проект внезапно остановили.
Генеральный директор Mojave Джейсон Уэрхэм связал прекращение работ с давлением со стороны людей, близких к Белому дому, которых не устроило отсутствие доказательств манипуляций на выборах. По словам Уэрхэма, советник Дональда Трампа Курт Олсен добивался расширения исследования в поисках подтверждений подобных версий, а после неудачи выступил за прекращение сотрудничества с Mojave. ODNI придерживается другой версии и заявляет, что контракт закончился после завершения анализа машин для голосования. Белый дом, ODNI и Олсен не ответили Nextgov/FCW на запрос о комментарии.
Исследование оставило неприятный для обеих сторон вывод. Системы для голосования содержали серьезные и давно исправленные производителями уязвимости, которые не были своевременно устранены, но технических подтверждений вмешательства в подсчет голосов Mojave Research не нашла. Теперь компания добивается публикации полного отчета и создает независимый Machine Assurance Institute, который должен объединить специалистов по кибербезопасности и производителей избирательного оборудования для проверки подобных систем.