arXiv
电磁泄漏可隔墙读取投票屏幕
私密的投票屏幕并不足以保护无记名投票的秘密，前提是它的电子泄漏能够被读取，并与使用它的人对应起来。研究人员利用一根距离普通显示器约45厘米的天线，隔着一堵砌体墙重建了巴西官方投票界面。在投票站，如果测试证明实际部署的机器存在这种漏洞，而工作人员又改变投票顺序，那么同时进入的选民可能会让这种对应失去作用。
投票亭可以把屏幕挡起来，让房间里的其他人看不到。可是，它本身无法隐藏屏幕向空中发出的电子信号。如果这些信号能从附近被读取，房间外的人就可能在完全看不到选票的情况下还原屏幕上显示的内容。这样一来，选票的秘密不仅取决于遮挡隐私的屏障，还取决于机器是否会泄漏信号，以及能否把某张选票与投下它的选民对应起来。
信号能泄露什么
这类攻击称为 TEMPEST 攻击。视频电子设备及其线缆会产生非预期的电磁辐射，有点像一种本来不该被广播出去的无线电信号。接收器有时可以利用这些辐射推断屏幕上的画面。
结果取决于具体的显示器、线缆、外壳、信号格式、距离、建筑材料以及周围的无线电噪声。从一个屏幕上能读取的信号，换到另一个屏幕上可能就毫无用处。因此，仅凭屏幕所在的位置，无法证明投票受到了保护。
选票保密还不只是把投票选择藏起来。观察者不能把记录下来的选择与已确认身份的选民联系起来。如果一个人观察谁进入投票亭，另一个人在同一时间记录屏幕内容，那么时间就可能成为连接某个人和某张选票的线索。
隔墙读取屏幕
研究人员用运行巴西官方投票界面的普通 VGA 和 HDMI 显示器测试了这一想法。这些并不是官方电子投票机。他们把天线放在距离显示器约45厘米的位置，在天线与屏幕之间隔着一堵砌体墙，捕捉电磁辐射并重建显示出来的投票图像。
重建出的图像采用了常见的屏幕格式：1280×720 和 1920×1080，刷新率都为60赫兹。设备包括一台软件定义无线电和一根普通数字 HDTV 天线。在实验中，恢复出的画面可以作为实时视频显示。
论文描述的攻击需要两个人。其中一人站在投票室附近，捕捉电磁辐射；另一人观察某个特定选民何时进入或使用投票亭。如果屏幕记录在那个时间显示出一个选择，两项观察就可以结合起来。这样一来，对房间里的人看起来私密的屏幕，可能会成为一份与某名选民绑定的记录。
在一套经过测试的配置中，研究人员检查了五种可能的信号成分，每种约两秒。他们报告说，初步搜索时间约为10秒。论文称，这说明在测试条件下，该攻击是可行的。但这并不能证明巴西官方投票机发出的信号也能用同样的方式恢复。
需要改变什么
在一所被用作投票站的学校里，几名选民可以一起进入。门可以在他们身后关上，工作人员还可以改变他们到达机器的顺序。这样，观察入口的人就无法再把某个人的到达时间变成某张选票的记录。如果测试显示实际部署的机器会泄漏可读取的信号，而选举机构又采用这些程序，这一点就很重要。
这篇论文还指向了另一种设备测试方式。认证时可以询问房间外的接收器能够从机器的显示电子设备中推断出什么，而不只是检查路人是否能看到屏幕。这需要在真实的投票站条件下，对实际使用的投票硬件进行可重复的测试。
下一个尚未回答的问题，也是最重要的问题是：一台官方巴西电子投票机是否会达到与这些替代显示器相同的危险阈值。作者计划在未来的一次公开安全测试中争取接触一台这样的机器。如果这种攻击能够作用于实际部署的设备，保护选票就需要同时减少电磁辐射，并打破选民与选票之间的时间联系。硬件屏蔽、辐射测试，以及隐藏投票顺序的程序，都可能成为选举安全的一部分。