arXiv
電磁洩漏隔牆讀取測試中的投票畫面
如果電子洩漏能被讀取，並與使用者身分配對，那麼私密的投票螢幕仍不足以保護不記名投票。研究人員隔著磚牆重建了巴西官方投票介面，使用的天線距離傳統顯示器約 45 公分。在投票所，如果選民一起進入，而部署的機器也被證實存在漏洞，並且工作人員改變投票順序，就可能使這種連結失效。
投票亭可以把螢幕藏起來，不讓房間裡的其他人看見。但投票亭本身無法隱藏螢幕向空氣中發出的電子訊號。如果這些訊號能從附近被讀取，房間外的人可能在完全看不到選票的情況下，還原螢幕上顯示的內容。這樣一來，投票秘密不只取決於隱私隔板，也取決於機器是否會洩漏訊號，以及能否把一張選票與投下它的選民配對。
訊號能揭露什麼
這種攻擊稱為 TEMPEST 攻擊。影像電子設備及其纜線會產生非預期的電磁放射，有點像一個從未打算廣播的無線電訊號。接收器有時可以利用這些放射推測螢幕上的畫面。
結果取決於特定的顯示器、纜線、外殼、訊號格式、距離、建築材料，以及周遭的無線電雜訊。從一個螢幕讀得到的訊號，可能對另一個螢幕毫無用處。這就是為什麼僅憑螢幕的位置，無法證明投票受到保護。
選票秘密也不只是把選擇藏起來。觀察者不能把記錄下來的選擇與已確認身分的選民連結起來。如果一個人觀察誰進入投票亭，另一個人同時記錄螢幕內容，時間就可能成為連結某個人與某張選票的線索。
隔著牆讀取螢幕
研究人員使用執行巴西官方投票介面的傳統 VGA 和 HDMI 顯示器測試了這個想法。這些不是官方電子投票機。他們讓天線距離顯示器約 45 公分，天線與螢幕之間隔著磚牆，擷取電磁放射，並重建顯示出的投票畫面。
重建的影像使用常見的螢幕格式：1280×720 和 1920×1080，兩者都是 60 赫茲。設備包括軟體定義無線電和傳統數位 HDTV 天線。在實驗中，還原的畫格可以顯示為即時影片。
論文描述的攻擊需要兩個人。一個人站在投票室附近，擷取電磁放射；另一個人觀察特定選民何時進入或使用投票亭。如果螢幕錄影在那個時間顯示出一個選擇，就能把兩項觀察連結起來。對房間裡的人來說看似私密的螢幕，因此可能成為一份與具名選民連結的紀錄。
在一種受測設定中，研究人員檢查了五個可能的訊號成分，每個約兩秒。他們報告初步搜尋時間約為 10 秒。論文表示，這支持了該攻擊在測試條件下的可行性。但這並未證明巴西官方投票機會以相同方式發出可被還原的訊號。
必須做出哪些改變
在被用作投票所的學校裡，可能會有多名選民一起進入。門可以在他們身後關上，投票工作人員也可以改變他們到達機器的順序。觀察入口的人將無法再把某個人的抵達時間轉換成某張選票的紀錄。如果測試顯示部署中的機器會洩漏可讀取的訊號，而選舉主管機關採用這些程序，這一點就很重要。
論文也指向另一種設備測試。認證工作可以詢問房間外的接收器能從機器的顯示電子設備推斷出什麼，而不只是檢查路人是否能看見螢幕。這需要在實際投票硬體上、以符合現實的投票場所條件進行可重複的測試。
下一個尚未解答的問題，也是最重要的問題是：官方巴西電子投票機是否跨過與替代顯示器相同的門檻。作者計畫在未來的公共安全測試中，尋求使用一台實際機器的機會。如果這種攻擊能在部署中的設備上奏效，保護選票就需要同時減少電磁放射，並打破選民與選票之間的時間連結。硬體遮蔽、放射測試，以及隱藏投票順序的程序，都可能成為選舉安全的一部分。