Wie man eine Wahl kontrolliert, indem man eine Wählerregistrierungsdatenbank hackt

Im September 2017 warnte das Department of Homeland Security (DHS) mindestens 21 Staaten zum ersten Mal, dass ihre Wählerregistrierungsdatenbanken vor einem Jahr von Hackern der russischen Regierung angegriffen wurden.

Ende Februar 2017, weit über ein Jahr nach der Wahl, gab es einen Bericht, dem das DHS schnell widersprach, dass die Wählerregistrierungsdatenbanken von sieben Staaten tatsächlich durchdrungen waren.

Warum allerdings? Wie kann das Hacken einer Wählerregistrierungsdatenbank Teil des Hackens einer Wahl sein?
 
Die naheliegendste Antwort ist die Entrechtung. Wenn die Wähler gelöscht werden oder wenn ihre Adresse oder Identifizierungsinformationen so geändert werden, dass sie bei ihrem Wahlversuch nicht in den Wahlbüchern erscheinen, können sie einen vorläufigen Stimmzettel abgeben oder einfach verwirrt davongehen, ohne zu wirken eine Stimme.
 
Ein Artikel im Christian Science Monitor zeigt diese potenzielle Gefahr auf.

Aber der Artikel geht weiter. Es gibt noch eine weitere, noch bedrohlichere Möglichkeit, dass eine gehackte Registrierungsdatenbank zu Wahlkampagnen beiträgt.

Wenn die meisten Menschen an „Wahlhacken“ denken, denken sie daran, dass sich die Gesamtstimmenzahl ändert. Aber wie bei jedem hoch entwickelten Verbrechen gibt es einen zweiten Teil. Die Vertuschung.
 
Jeder, der die Gesamtstimmenzahl ändert, muss uns auch denken lassen, dass nichts wirklich passiert ist. Sie müssen das Gefühl haben, dass es einen Grund für die Ergebnisse gibt. Verärgerte Wähler? Demografische Veränderungen? Eine schlechte Kampagne? Es gibt hier nichts zu sehen. Bitte gehen Sie mit.
 
Jede halb plausible Erklärung, die uns davon abhält, unsere Wahlsysteme zu überdenken und das Spiel endgültig zu beenden, wird ausreichen.
 
Wir stützen uns auf die Registrierungsdaten der Wähler, um Informationen über die Wähler zu erhalten. Wir verwenden diese Daten, um Fragen zu beantworten wie:

  • Wie viele sind in jedem Bezirk registriert?
  • Sind sie Demokraten? Republikaner? Keine der großen Parteien angeschlossen
  • Wie viele Wähler haben an den Wahlen teilgenommen?
  • Gab es in einigen Gebieten eine geringe Wahlbeteiligung? Höhere Wahlbeteiligung bei anderen?

Die Antworten auf diese Fragen liefern Erklärungen für die Wahlergebnisse, insbesondere wenn ein Ergebnis überraschend ist. Bei den Präsidentschaftswahlen 2016 wandten sich Forscher und Journalisten an Registrierungsdaten, um das unerwartete Ergebnis zu verstehen.
 
Was aber, wenn die Wählerregistrierungsdaten selbst geändert wurden? Was ist, wenn die Daten, die eine sich verändernde politische Landschaft anzeigen, falsch sind? Was wäre, wenn den Wählerlisten „Zombiewähler“ hinzugefügt würden, um die scheinbare Bevölkerungszahl zu ändern? Um ein Ergebnis zu erklären, das fast unglaublich war?

Kontrollieren Sie das Registrierungssystem. Kontrollieren Sie die Wähler, kontrollieren Sie die Stimmen, kontrollieren Sie die Erzählung.

Die Schwachstellen, über die niemand spricht
Was bedeutet es, wenn wir über das Hacken einer Wählerregistrierungsdatenbank sprechen? Auf den Punkt gebracht bedeutet dies, Zugriff auf die Daten zu erhalten und diese zu stehlen.

Oder schlimmer. Ändern Sie es.

Dies kann auf verschiedene Arten geschehen. Es gibt beispielsweise eine SQL-Injection, bei der ein Hacker Code-Schwachstellen ausnutzt, um eine Datenbank zu ändern, indem er Code über eine Formulareingabe oder sogar über die URL sendet.

Während der Kampagnensaison 2016 wurde der Zugriff auf das Illinois-Registrierungssystem über SQL Injection ermöglicht. Mindestens ein Bericht gibt an, dass einige Registrierungsdatensätze während des Verstoßes geändert wurden.

Der Angriff in Illinois wurde ziemlich gut dokumentiert und untersucht. Eine vom Staat zur Verfügung gestellte Zeitleiste enthält umfangreiche Informationen über den Angriff und die Reaktion darauf. Der Angriff wurde verwendet, um den Datenbankzugriff zu gefährden und möglicherweise eine unbekannte Anzahl von Datensätzen zu ändern. In einem nach dem DHS-Bericht verfassten Antwortnotiz stellte Wisconsin fest, dass entweder dieselbe oder eine ähnliche SQL-Injection-Sicherheitsanfälligkeit in ihren Systemen vorhanden war, die jedoch während der im Januar 2016 durchgeführten Upgrades behoben wurde.

Es gibt jedoch auch andere Möglichkeiten, in diese Systeme einzudringen, die über einen offensichtlichen „Hack“ hinausgehen, wie er von DHS erkannt wird.

Beispielsweise könnte ein Wählerregistrierungssystem durch einen Mitarbeiter oder Auftragnehmer, der an einem dieser Systeme arbeitet, über eine im Code integrierte „Hintertür“ kompromittiert werden. In den Systemen, die privilegierten Benutzern das Hinzufügen, Aktualisieren oder Zugreifen auf Daten in diesen Datenbanken ermöglichen, ist möglicherweise ein kleiner Ausschnitt bösartigen Codes verborgen. Dieser Code kann verwendet werden, um Kennwörter zu stehlen oder um ausgewählten externen Benutzern den Fernzugriff auf die Datenbank zu ermöglichen.

Schließlich kann eine Wählerregistrierungsdatenbank von jedem Mitglied der Öffentlichkeit in böswilliger Absicht über das Formular "Registrierung ändern" auf den Websites vieler Bundesstaaten geändert werden. Eine im September von Harvard-Forschern veröffentlichte Studie zeigt, wie einfach es wäre, Wählerdaten mit diesen Formularen zu manipulieren.

Die Forscher stellten fest, dass in vielen Bundesstaaten genügend Informationen über Wähler erworben werden können, damit sich jeder als Wähler ausgeben und die Informationen - Adresse, Parteipräferenz oder sogar Name - mithilfe dieser Online-Formulare ändern kann.

Wir fanden schnell mindestens einen Staat, in dem wir die Wählerdaten auf diese Weise leicht manipulieren konnten. Wir haben keine wirklichen Änderungen vorgenommen, denn das wäre eine Straftat. Der Bundesstaat, den wir uns angesehen haben, war Pennsylvania, wo Trump Clinton mit weniger als 45.000 von 6,2 Millionen Stimmen oder 0,73% verdrängte. Wobei der kleinste Schluckauf im Wahlprozess diesen dünnen Spielraum beeinflusst haben könnte.

Wir haben einen Schnappschuss der Wählerregistrierungsdaten von Pennsylvania für 20 US-Dollar gekauft. Über 8,5 Millionen Datensätze. Namen, Anschriften, Geburtsdaten, politische Zugehörigkeit, Abstimmungsgeschichte. Eine Fülle von Daten. Diese Datensätze sind hier öffentlich zugänglich
.
Mit diesen Informationen haben wir die Seite „Change your Registration“ (Registrierung ändern) auf der Website des Pennsylvania Department of State aufgerufen. Die mit rot gekennzeichneten Angaben sind Pflichtangaben. Alles andere ist optional. Unsere Investition von 20 US-Dollar gibt uns alles, was wir brauchen, um uns als Wähler auszugeben, oder als viele Wähler.

Gemäß den Anweisungen kann dieses Formular verwendet werden, um die Partei eines Wählers zu ändern. Oder sein oder ihr Name oder Adresse.

Mit diesem Formular könnten wir eine Reihe von Wählern an verschiedene Wahllokale bringen. Wir könnten diese Wähler davon abhalten, ihre Stimme abzugeben, indem wir sie von ihren örtlichen Bezirken entfernen. Oder wir könnten die Daten nach Wählern durchsuchen, die in der jüngsten Vergangenheit noch nicht gewählt haben, vielleicht nach sehr alten Menschen. Durch eine Änderung der Adressen und möglicherweise der politischen Parteien von Wählern, von denen es unwahrscheinlich ist, dass sie tatsächlich bei den Wahlen auftauchen, könnten wir die scheinbare Demografie eines Bezirks ändern, ohne jemals entdeckt zu werden.

In diesem Artikel dokumentiert Jonathan Albright einige Python-Skripte, die von einem Mitarbeiter von Cambridge Analytica auf der Code-Sharing-Website github veröffentlicht wurden. Eines der Skripte findet die geografischen Koordinaten für eine bestimmte Adresse. Seltsamerweise erwähnt dieses Skript speziell "VoterID".

Dieses Skript kann gültige neue Adressen erstellen, denen unsere Wähler zugewiesen werden sollen. Mithilfe dieses Skripts und der Informationen in unserem gekauften Datensatz konnten die Wähler elektronisch in neue Bezirke versetzt werden. Dies könnte sogar automatisch über ein Browser-Plugin erfolgen, das eine Liste der Wähler und der gewünschten Adressen lesen und das Pennsylvania-Formular „Änderung der Registrierung“ automatisch ausfüllen kann.

Aber wie ermitteln wir, welche Adressen welchen Wahllokalen zugeordnet sind? Wir verwenden einfach diese raffinierte Online-Schnittstelle zum Auffinden von Wahllokalen, die Ihnen vom stets hilfreichen Bundesstaat Pennsylvania zur Verfügung gestellt wird:

Diese bequeme öffentlich zugängliche API zum Hacken von Wählerregistrierungen ist sehr gut dokumentiert. Sogar ein Nicht-Russe könnte es wahrscheinlich herausfinden!

Schließlich, und vielleicht am verheerendsten, könnte eine Phishing-E-Mail an einen Verwaltungsangestellten oder einen Wahlsystemverkäufer gesendet werden, um die Anmeldeinformationen einer Person zu stehlen, die Zugriff auf eine oder mehrere staatliche Datenbanken hat. Mindestens ein solcher Cyber-Angriff ist gut dokumentiert - gegen Mitarbeiter und Kunden des Wahltechnikunternehmens VR Systems.

Wenn Logins bei einem solchen Angriff kompromittiert worden wären, wäre die gesamte Datenbank eines Staates, der von diesem Anbieter bedient wird, für schändliche Spieler geöffnet worden, die auf einfache Weise Wähler hinzugefügt, gelöscht und geändert hätten.

Journalisten, Politiker und sogar das Department of Homeland Security bestehen darauf, dass trotz dieser offensichtlichen Sicherheitslücken die Wählerregistrierungen nicht geändert wurden. Aber woher wissen sie das mit Sicherheit?

- Mike Farb

www.unhackthevote.com

Bitte folgen Sie uns auf Facebook unter

https://www.facebook.com/unhackthevote.orgwww.unhackthevote.com

Mitwirkende:
@saill
@kottipillar
Shawn Eib - CSEC-Sicherheit