El truco de la máquina de votación cuesta menos de $ 100,000

¿Por qué gastar millones de dólares en campañas cuando puede piratear una elección por menos de 100 mil? Esa es una pregunta planteada por investigadores universitarios que recientemente compraron una máquina de votación Sequoia AVC Advantage y luego utilizaron una nueva técnica de pirateo para eludir su seguridad.

Aunque se han pirateado antes, las máquinas AVC de Sequoia se consideran un objetivo bastante difícil porque tienen un mecanismo especial de protección de memoria que les permite ejecutar solo software que están cableados para ejecutarse en la ROM de la máquina (memoria de solo lectura))

[Lectura adicional: cómo eliminar el malware de su PC con Windows]

Pero utilizando una nueva técnica de piratería, llamada ataque de programación orientado al retorno, los investigadores lograron engañar a la máquina para cambiar los resultados de una elección, ac Según Alex Halderman, uno de los investigadores universitarios detrás del trabajo. Halderman trabaja en la Universidad de Michigan, pero también participaron en el proyecto investigadores de la Universidad de California, San Diego y la Universidad de Princeton. Presentaron sus resultados en el Taller electrónico de votación Usenix 2009, celebrado en Montreal esta semana.

Los investigadores probaron sus resultados en una máquina comprada en un sitio de subastas del gobierno después de que el condado de Buncombe, Carolina del Norte, dejó de usar las máquinas de votación en 2007.

El truco no fue fácil, Halderman calcula que le tomó cerca de 16 meses de trabajo para llevarlo a cabo, pero los salarios universitarios serían aún más baratos que la mayoría de las campañas electorales de Estados Unidos, dijo. "El costo de ese tiempo fue menos de $ 100,000", dijo.

El trabajo se realizó sin acceso al código fuente ni a ninguna documentación más allá de lo que está disponible en el sitio web de Sequoia.

Para llevar a cabo el ataque, los investigadores instaló un microcontrolador hecho en casa que se conectó al puerto diseñado para el cartucho de resultados de votación y envió resultados falsos a la máquina de votación utilizando esta técnica de programación orientada a la devolución. "Puede usar fragmentos del programa existente para formar un conjunto de instrucciones completamente nuevo", dijo Halderman.

La máquina AVC Advantage 5.0 que probaron tenía entre 10 y 15 años, pero este tipo de máquina todavía se usa en Louisiana y Nueva Jersey (donde los críticos del voto electrónico han demandado para eliminarlo del uso activo).

Los investigadores han revelado previamente otras formas de piratear los sistemas, incluida la alteración del firmware de la máquina al reemplazar un chip ROM por otro.

E -Los fabricantes de máquinas de votación argumentan que estos ataques serían difíciles de llevar a cabo en situaciones del mundo real porque alguien tendría que manipular físicamente la máquina de votación. Los investigadores dicen que pueden realizar sus ataques en cuestión de minutos.

Sequoia no respondió a una solicitud de comentario sobre el pirateo.