arXiv
電磁漏洩で壁越しに投票画面を読み取る
投票画面を他人から隠しても、電子的な漏洩を読み取り、それを利用者と結び付けられるなら、秘密投票を守るには不十分である。研究者らは、通常のディスプレイから約45センチメートル離れたアンテナを使い、れんが造りの壁越しにブラジル公式の投票インターフェースを再現した。投票所で複数の有権者が一緒に入場し、職員が投票順を変えれば、導入された機械に脆弱性があっても、その結び付けを無効にできる可能性がある。
投票ブースは、同じ部屋にいる他の人々から画面を隠せる。しかし、それだけでは、画面が空中に送り出す電子信号まで隠せない。近くからその信号を読み取れるなら、部屋の外にいる人物が、投票画面を直接見なくても表示内容を復元できる可能性がある。その場合、投票の秘密はプライバシー用の仕切りだけでなく、機械が信号を漏らすかどうか、そして投票を行った有権者と票を結び付けられるかどうかにも左右される。
信号から分かること
この種の攻撃はTEMPEST攻撃と呼ばれる。映像機器やそのケーブルは、意図せず電磁波を放出する。これは、放送されるはずのなかった無線信号に少し似ている。受信機は、その放出を使って画面上の画像を推測できる場合がある。
結果は、ディスプレイ、ケーブル、筐体、信号形式、距離、建材、周囲の無線ノイズによって変わる。ある画面から読み取れる信号が、別の画面では役に立たない可能性もある。だから、画面がどこにあるかだけでは、投票が守られていることの証明にはならない。
投票の秘密を守るには、選択を隠すだけでは足りない。観察者が、記録された選択と身元を特定された有権者を結び付けられないことも必要である。1人が誰が投票ブースに入るかを見張り、別の1人が同じ瞬間に画面を記録すれば、タイミングが人物と投票用紙を結ぶ手掛かりになる可能性がある。
壁越しに画面を読み取る
研究者らは、ブラジル公式の投票インターフェースを動かした通常のVGAおよびHDMIディスプレイを使って、この考えを検証した。これらは公式の電子投票機ではない。ディスプレイから約45センチメートル離れたアンテナと画面の間にれんが造りの壁を置き、電磁波の放出を捉えて、表示された投票画像を再現した。
再現された画像は、一般的な画面形式である1280×720と1920×1080を使い、どちらも60ヘルツで表示された。機器には、ソフトウェア無線と通常のデジタルHDTVアンテナが含まれていた。実験では、復元されたフレームをリアルタイム動画として表示できた。
論文で説明されている攻撃には2人が関わる。1人は投票室の近くに立ち、放出された電磁波を捉える。もう1人は、特定の有権者が投票ブースに入る、またはブースを使うタイミングを見張る。その時刻に画面の記録が選択を示していれば、2つの観察結果を結び付けられる。部屋の中にいる人々からはプライベートに見える画面が、名前の分かる有権者と結び付いた記録の一部になり得る。
ある検証構成では、研究者らは5つの信号成分をそれぞれ約2秒間調べた。初期探索時間は約10秒だったと報告している。論文は、これが試験条件下での攻撃の実行可能性を裏付けるとしている。これは、ブラジルの公式投票機が同じ方法で復元できる信号を発することを示すものではない。
何を変える必要があるか
投票所として使われる学校では、複数の有権者が一緒に入場する可能性がある。ドアを閉めてから、投票職員が機械に向かう順番を変えることもできる。入口を見張る人物は、1人の到着時刻を1票の記録に結び付けられなくなる。導入された機械が読み取り可能な信号を漏らすことが検査で示され、選挙当局がこうした手順を採用するなら、これは重要になる。
論文は、別の種類の機器検査も示唆している。認証では、通行人が画面を見られるかどうかだけを確認するのではなく、部屋の外にいる受信機が機械の表示用電子機器から何を推測できるかを問える。これには、実際の投票機器を、現実的な投票所の条件で再現性のある方法で検査する必要がある。
次に答えが出ていない、そして最も重要な問いは、公式のブラジル製電子投票機が代替として使われたディスプレイと同じ境界を越えるかどうかである。著者らは、今後の公開セキュリティー試験で実機を使う許可を求める計画だ。攻撃が導入済みの機器で機能するなら、投票を守るには電磁波の放出を減らすことと、有権者と投票の間にあるタイミングの結び付きを断つことの両方が必要になる。ハードウェアのシールド、放出試験、投票順を隠す手順が、すべて選挙の安全保障の一部になる可能性がある。