Una di questi informatici è Sarah Jamie Lewis, ex addetta alla sicurezza informatica di Amazon dopo aver lavorato per l’agenzia di intelligence britannica GCHQ e ora executive director della Open Privacy Research Society, a Vancouver, in Canada.
In una serie di tweet impietosi e in un’intervista a Motherboard, Sarah Jamie Lewis ha messo in luce alcune carenze del codice sorgente del software di voto elettronico, che deve essere accessibile agli esperti, come da Ordinanza della Cancelleria Federale, ma è stato invece reso disponibile a tutti su Internet da ignoti. Questo è in violazione delle disposizioni di utilizzo, ma ha consentito a molti più esperti di esaminare il software e di criticarlo senza le restrizioni previste dagli accordi di partecipazione al test.
Il risultato non è incoraggiante. Ecco alcuni stralci dalla serie di tweet:
So, I took a look at swiss online voting system code that someone leaked, and having written, deployed and audited large enterprise java code...that thing triggers every flag.— Sarah Jamie Lewis (@SarahJamieLewis) February 17, 2019
The core reencryption mixnet code is spread across dozens of different files, not included the auxiliary/utility/deployment packages.— Sarah Jamie Lewis (@SarahJamieLewis) February 17, 2019
Also this work in progress is reassuring pic.twitter.com/v93km0T41E
oh ffs, how about some basic defense in depth people. This is not how you start a function designed to verify a proof as being correct.— Sarah Jamie Lewis (@SarahJamieLewis) February 17, 2019
*headdesk* pic.twitter.com/NRtIWGdwZR
There is an entire javascript package dedicated to collecting entropy in that codebase.— Sarah Jamie Lewis (@SarahJamieLewis) 18 febbraio 2019
Hope that was well audited. pic.twitter.com/7xIhJapLrR
Definitely want to make sure that clients using a browser that has been out of extended support for 5 years are generating secure random numbers too. pic.twitter.com/HZGx5PEzSQ— Sarah Jamie Lewis (@SarahJamieLewis) 18 febbraio 2019
La sua non è l’unica voce che esprime dubbi:
I'm dying :D pic.twitter.com/IPBQqJdGj2— Malapropismus (@malapropismus) 18 febbraio 2019
Il suo thread di commenti su Twitter, troppo lungo e articolato da riportare integralmente qui, si conclude così:
Anyway, I wish the swiss election team the best of luck in ensuring that the thousands of new, highly configurable, ZKP code, written in Java, decomposed over hundreds of files, is up to the standard of securing national elections.— Sarah Jamie Lewis (@SarahJamieLewis) February 18, 2019
Il problema di fondo del software di voto, sviluppato dalle Poste Svizzere e dalla società Scytl di Barcellona, è che non è software open source, ma è proprietario, per cui non è liberamente ispezionabile in piena trasparenza.
Le condizioni di accesso infatti ribadiscono che “The published code, including the source code, is the intellectual property of the companies Scytl and Post CH Ltd. The code in question is proprietary and not subject to a free and open source software (FOSS) licence” e che “Post CH Ltd must be consulted before any findings may be published”, per cui i ricercatori devono avere il permesso delle Poste per pubblicare i propri risultati. Questo limita fortemente l’ispezionabilità del codice e non aiuta a raggiungere l’obiettivo di “creare
fiducia nell’opinione pubblica”.
Dal canto loro, le Poste Svizzere hanno risposto, tramite la portavoce Nathalie Dérobert, che il test d’intrusione non è concepito per validare il codice o dimostrare la sicurezza del sistema, ma solo per aiutare gli sviluppatori a capire quali migliorie devono fare. A giudicare dalle critiche fatte online, le migliorie da mettere in cantiere saranno tante.
Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
