В американском штате Джорджия есть веб-сайт для отмены регистрации избирателей, и его старт был неровным.
Сайт был создан для упрощения процесса добровольной отмены регистрации избирателей. Он предназначен для бывших жителей Джорджии, которые переезжают в другой штат, или для лиц, связанных с гражданами, которые умерли. Теоретически он должен сделать выборы в Персиковом штате более безопасными и менее подверженными фальсификации результатов голосования, что является чувствительной темой в Джорджии после президентских выборов 2020 года.
Один исследователь кибербезопасности на этой неделе сказал, что практически любой может отменить чью-либо регистрацию избирателя через веб-сайт, и все благодаря тому, что, по-видимому, является простым, но эффективным эксплойтом. В видеодемонстрации, о которой сообщили Atlanta News First и ProPublica, бывший житель Джорджии Джейсон Паркер показал, как он отменил свою собственную регистрацию, указав только свое полное имя, дату рождения и округ проживания.
Форма отмены на сайте запрашивает все эти данные, а также номер водительских прав или удостоверения личности штата или последние четыре цифры вашего номера социального страхования. Эти цифры явно помечены как обязательная информация, хотя Паркер сказал, что обнаружил, что просто открыв инструмент «проверить элемент» в своем браузере и удалив HTML для поля с веб-страницы, он смог продолжить запрос на отмену без этого обязательного номера и успешно отправил его. Весь процесс занял полторы минуты.
«Это так просто», сказал Паркер.
Это означало бы, что для отмены чьей-либо регистрации избирателя нужны только полное имя, дата рождения и округ проживания. Эту информацию несложно найти, просто посмотрев, например, чьи-то социальные сети, что повышает вероятность того, что избиратели не смогут пойти на выборы, если совершенно незнакомый человек решит отменить их регистрацию за них.
На самом деле, это просто визуальный баг, говорит Джорджия
Вмешательство в форму на стороне клиента не должно позволить обойти проверки безопасности. Действительно, Управление государственного секретаря Джорджии заявило, что описанное вмешательство вообще не сработает, и что запрос на отмену в конечном итоге будет отклонен.
«Ни одна неполная заявка не была передана», — сказал представитель Управления государственного секретаря The Register. «Это была проблема рабочего процесса, и она была обновлена с правильным сообщением об ошибке».
Представитель объяснил, что все, что делает портал, это заполнение заявки, которая вручную обрабатывается государственными служащими. Используя свой браузер для удаления обязательного поля, все, чего добился Паркер, — это отправка неполной формы, которая впоследствии была бы отклонена должностными лицами.
«У нас также были люди, пытавшиеся отправить поддельные номера водительских прав, и они также были немедленно отклонены», — сказал представитель. Джорджия заблокировала несколько попыток отменить регистрацию избирателей представителя Палаты представителей Марджори Тейлор Грин (республиканец от Джорджии) и госсекретаря Брэда Раффенспергера.
Если должностные лица штата правы, то единственная проблема здесь в том, что веб-сайт ошибочно сообщил, что неполная заявка была принята. Сайт правильно включил проверку на стороне клиента подачи, хотя, когда это было обойдено, должна была быть немедленная внутренняя проверка, чтобы предупредить пользователя об отсутствии информации и что запрос на отмену будет отклонен персоналом.
Нам сказали, что с тех пор было добавлено сообщение об ошибке для неполной подачи.
На этот раз пуля увернулась, но не раньше. Примерно в течение часа после запуска 29 июля веб-сайт слишком охотно предлагал конфиденциальную информацию — водительские права избирателей или номера удостоверений личности штата, или последние четыре цифры их номеров социального страхования — согласно Georgia Recorder.
После ввода чьего-либо имени, даты рождения и округа на сайте следующая страница автоматически заполняла требуемую информацию об удостоверении личности или SSN. Это означает, что если вы знали эти начальные данные, вы могли получить остальные и отправить запрос на отмену, что было бы плохо. Автоматическое заполнение полей было резко остановлено.
«Если кто-то знает дату моего рождения, вы можете войти, получить мою информацию и изменить мою регистрацию», — заявила лидер меньшинства в Сенате штата Глория Батлер (демократ).
По словам официальных лиц, в первый день было совершено 33 попытки воспользоваться порталом, 15 из которых были внутренним тестированием.
Не самый лучший запуск, но, по крайней мере, я надеюсь, он в конечном итоге предотвратит вмешательство злоумышленников в американскую демократию. ®
