Trail of Bits通過訪問Voatz Core Server和後端軟件進行了對Voatz生物識別投票平台的第一個“白色框”安全評估，並評估了“確認了MIT和其他人在先前報告中標記的問題，發現了更多並發現了更多的建議，並提出了解決問題，並防止了漏洞的投票安全性。”
白盒測試是一種軟件測試的方法，可測試應用程序的內部結構或功能，而不是其功能。
在報告中Voatz安全評估II II卷：技術發現，為Tusk慈善事業和Voatz做準備，一小段痕跡說：“我們的安全審查結果是79個調查結果。三分之一的發現是高度嚴重性，另一個中等嚴重性，其餘的則是低，不確定和信息嚴重性的組合。”
Trail of Bits說：“這是“具有行業領先的區塊鏈安全性，密碼學，國防高級研究計劃局[DARPA]研究和逆向工程團隊的獨特資格，並以前評估了其他移動區塊鏈投票平台。 ”
圖斯克慈善事業和沃茲（Voatz）參與了一些痕跡，以審查2019年12月18日的移動投票平台的安全性，並進行了“對十二個人的評估，與五名voats wosh 3443f4a的voatz core core core recository的voats-weeks的評估，voatz core Repose the voats corts the hash 07d1adb of voatz和voatz of voatz and coilt comport comport coitt coilt coitt coitt coilt coitt coilt coilet，dy4 iOS客戶端，並提交Voatz管理Web界面的Hash 69D7A8B。”
“To the best of our knowledge,” the Trail of Bits report stated, “this is the first “white-box” assessment of the Voatz system, and the first assessment to include in its scope the discovery of Voatz Core Server and backend software vulnerabilities. Our report and any conclusions drawn from it are only meant to reflect the security of the Voatz solution, not mobile voting in general,” emphasizing that the “review of election proceedings, both prior and current, was不是其“評估”的範圍。
The Voatz platform allows voters to cast ballots from any geographic location on supported mobile devices, but its mobile voting platform has been “under increasing public scrutiny for security vulnerabilities that could potentially invalidate an election,” Trail of Bits said, adding that “the issues are serious enough to attract inquiries from the Department of Homeland Security [DHS] and Congress. However, there has been no comprehensive security report to provide details of the Voatz vulnerabilities and為了修復它們的建議 - 到目前為止。”
生物識別更新之前報告這是關於總部位於波士頓Voatz的區塊鏈投票應用程序的安全性的廣泛爭議，這是美國聯邦大選中使用的第一個基於互聯網的投票應用程序，特別是對於國外的軍事成員和缺席的選民，在他們的論文中，他們的論文團隊在他們的論文中受到了質疑，他們的研究受到了質疑。Voatz的安全分析，這是美國聯邦選舉中使用的第一個互聯網投票申請，他們聲稱Voatz的區塊鏈投票應用程序具有“易受不同類型的對手可以更改，停止或揭露用戶的投票，包括側向渠道攻擊，其中完全被動的網絡對手可以恢復用戶的秘密投票，”，“ Voatz源於他們的第三派對功能。
該論文的三位作者邁克爾·A·幽靈（Michael A. Specter）（電氣工程和計算機科學系候選人，CSAIL，互聯網政策研究計劃）透明度對選舉合法性的重要性。 ”
非常不尋常的是，作者指出：“鑑於圍繞選舉安全問題的敏感性提高，並且由於對潛在報復的擔憂，我們選擇提醒國土安全部，並通過網絡安全和基礎設施安全機構（CISA）（CISA）（CISA）宣布“在公開宣布我們的發現”中，我們在我們的發現方面宣布，我們的發現，我們在公開宣布的情況下，我們的發現，我們的發現，我們的發現，我們在公開宣布的情況下進行了辯護，我們的發現，我們的發現，我們的發現，我們的發現範圍是我們的訴訟，我們的發現範圍是我們的訴訟，我們的發現是我們的發現。這些問題的嚴重性似乎證實了側道漏洞的存在和……熵問題。
但是，對Voatz系統的CISA評估沒有提及側通道漏洞或PIN問題。雖然DHS和CISA均未公開評論此事，但CISA Hunt和事件響應小組（HIRT）報告卻沒有公開評論。亨特·訂婚摘要，沃茲公司，（Voatz也提供了），“總結了現場參與的[D] Hirt的活動，發現和分析，以響應書面索取技術援助（RTA）於2019年5月13日簽署，並基於Voatz於2020年1月收到的最終報告，”麻省理工學院研究人員的發現。
HIRT的目標（根據客戶的要求提供狩獵評估以確定客戶網絡環境中是否發生了入侵 - 進行狩獵是在整個客戶的關鍵，高價值網絡環境中進行搜索，以確定是否存在當前或先前有針對性的惡意活動的證據。
該文件指出：“ Hirt評估了14台服務器和21個工作站，並監視了位於馬薩諸塞州波士頓的Voatz公司總部的網絡流量。2019年9月27日結束現場參與，並於2019年10月4日結束了參與後分析，Hirt並未確定在Voatz的網絡環境中識別某些問題的威脅性活動。將來向Voatz的網絡提出了一些建議，以進一步增強安全姿勢。”
希特說：“這讚揚Voatz在使用金絲雀，漏洞賞金，肖丹警報以及主動的內部掃描和紅色團隊方面採取積極的措施。”
Voatz應用程序還在西弗吉尼亞州，丹佛，俄勒岡州和猶他州的聯邦，州和地方選舉中使用，2016年馬薩諸塞州民主大會和2016年猶他州共和黨公約。
一群人承認：“移動投票的承諾很有吸引力 - 對於能力不同的人來說，可以更好地訪問能力，簡化的缺席投票以及所有選民的速度和便利性。如果移動平台可以保證安全的投票，它將徹底改變這一過程。這是一個絕佳的目標 - 但仍然有努力。”
該公司說：“然而，在我們的四項安全評估之前，我們對Voatz的實施和安全保證進行了極大的不確定性和公眾猜測。”
2019年5月，勞倫斯·利弗莫爾國家實驗室（Lawrence Livermore National Laboratory），南卡羅來納大學（University of South Carolina我們對Voatz“區塊鏈”互聯網投票系統不了解，刻有一小部分，指出：“他們問了諸如'Voatz收集選民位置數據之類的問題？如果是這樣，為什麼？'而且，“我們怎麼知道選民數據不能追溯偏見？ ”
2019年11月，參議員羅恩·懷登（Ron Wyden）開始向國家安全局和美國國防部，俄勒岡州國務卿貝夫·克拉諾（Bev Clarno）和ShiftState Security發送信件。在五名國會議員簽署的致Voatz的信中，他們對“有關報導可能存在與您公司的移動投票申請相關的嚴重網絡安全脆弱性的嚴重關注”。
在其報告中，一連串的痕跡說：“ Voatz系統在其架構中有超過二十個組成部分。小塊的工程師的最佳努力是為了手動檢查每條代碼的最佳努力；但是，這需要每個工程師平均分析每天的每天進行35個評估的次數，以實現近距離的時間表，只要在back trail of Bacts上進行測試。評估並被要求不攻擊或惡意更改實例，以至於它將拒絕對其他並發審計共享的服務，因此，本報告中幾乎所有的發現都是對代碼庫進行手動分析的結果。”
評估導致了48個技術發現，其中三分之一是高度嚴重性，另一季度的中等嚴重性，其餘的則是低，不確定和信息嚴重性的組合。 The high-severity findings were determined to be related to “cryptography, eg, improper use of cryptographic algorithms, as well as ad hoc cryptographic protocols, and data exposure, eg, sensitive credentials available to Voatz developers and personally identifiable information that can be leaked to attackers, and data validation, eg, a family of findings related to reliance on unvalidated data provided by the clients.”
《鑽頭的踪跡》報告說：“使用HyperLeDger織物區塊鏈模仿具有可審核性的分佈式數據庫的功能”，“ Voatz評估的版本不再使用任何自定義鏈碼或智能合約；所有數據驗證和業務邏輯均在voatz Core Core Server的Scala CodeBase中執行。”
一些“高風險的發現是數據驗證問題的結果，並使核心服務器中的代表感到困惑，這可以使一個選民甚至在觸摸區塊鏈之前偽裝另一個選民。”
持續的距離122頁的報告說：“在區塊鏈上存儲投票數據可以保持可調式記錄以防止欺詐，但這是以犧牲隱私和攻擊表面增加為代價的”，並解釋說：“客戶無法直接連接到區塊鏈本身，因此無法獨立地驗證任何人的投票能夠完全驗證，以使整個訪問權限均得到了驗證。脫名票投票，拒絕投票，改變投票並使審計步道無效。”
該報告指出，“其他電子投票系統試圖實現兩全其美的最佳 - 密碼認證，驗證，驗證和非糾正和可證明的隱私 - 使用異國情調的加密方案，例如零知識證明和諸如安全多部分的零知識證明和形式的形式。瑞士郵政的電子投票實驗。”
在研究Voatz系統的整個參與過程中，BITS表示“為Voatz提供了幫助，以瀏覽這一複雜的貿易空間，以減輕投票系統總體上帶來的風險，並在可能的情況下，避免避免困擾其他實驗性投票系統的問題。”
該報告指出，Voatz的後端和移動客戶端代碼“是可以清楚地編寫的，並且對軟件工程原則有清晰的了解”，並指出：“該代碼幾乎沒有所有常見的安全性涉及諸如加密無障礙無安全的隨機數，HTTP獲取信息洩漏和不正確的Web請求Sanitization。”
“但是，” BITS的踪跡指出，“很明顯，Voatz代碼庫是多年開發的產物”和“缺乏測試覆蓋範圍和文檔”。該報告得出結論，“特定選舉的邏輯檢查是對後端和客戶的邏輯檢查”，並且“基礎架構是手動提供的，而無需基礎架構 - 按AS編碼工具進行手動提供。代碼包含遺跡，這些特徵將被定為遺留的特徵，這些特徵尚未被刪除，但尚未被驗證和重新編碼。使用Android和iOS的最新API功能，“敏感的API憑據存儲在GIT存儲庫中”，“其許多加密協議都是非標準的。 ”
說“關於Voatz的實施和安全屬性，有很多不確定性和公眾猜測……我們試圖調查一系列問題，以解決Voatz系統的整體安全姿勢，保證和行為。”
這些問題的答案在於安全屬性和問題報告部分。
總而言之，一細點說：“ Voatz應立即解決我們建議摘要的“短期”部分中的所有建議，尤其是與高層問題有關的建議。應高優先級以修復設備ID的數據消毒，對密碼學的不當使用以及對客戶實現的真實性和誠實的客戶實現和誠實的實現。”
此外，該研究發現“從操作上講，該系統也迫切需要基礎設施管理自動化。總的來說，Voatz似乎正在努力管理其大小的代碼庫，同時同時手動管理選舉飛行員。我們希望這項評估能夠改善Voatz系統的整體安全姿勢，但仍然可以實現這一目標的總成果，以達到這一目標。
在更新中，BITS表示，幾週前審查了該報告中提出的問題的“提出的問題”，“解決了八個問題，解決了八個問題，四十個問題仍然部分或完全沒有解決。”
該公司表示：“在[痕跡]評估過程中發現的發現數量，系統的複雜性以及缺乏對運行測試環境以及某些代碼庫的訪問，這使我們相信其他漏洞是潛在的。”
Voatz在最近的回答中表示：“我們今天認為是一個重要的里程碑，這是我們正在進行的努力的一部分，以繪製一種新的，前瞻性的方法在我們的選舉基礎設施中的透明度。我們認識到，我們的關鍵基礎設施中的透明度既需要既需要，又不總是在整個行業中擁護整個行業的一部分。作為我們公開宣布的一部分，我們宣布了一部分，我們宣布了一項公開的行為，宣布了一項公開的行為，宣布了一項公開的行為，宣布了一項公開的行為，宣布了一項公開的行為，宣布了一項公開的行為。諮詢公司的痕跡。”
該公司強調：“安全一直是我們第一天以來的首要任務 - 實際上，我們公司最早的根源是從SXSW贏得了'hack to the'hack to the the the the the the the of the the of the hack''。” “除了'黑客的思維方式'之外，我們的DNA深深地嵌入了我們的企業和選舉基礎設施中，我們還專注於安全的實際方面，並採取了高度分層的方法來深入提供防禦。”
Voatz表示，它將繼續對獨立第三方進行反復進行的，持續的審計，涉及對整個系統進行徹底調查。
The company added that the Trail of Bits report is just “the first of many to come in the next several months” and that it has “voluntarily engaged with multiple agencies in DHS, including CISA [and] one of the leading federal testing labs in the nation to review the technologies deployed in our pilots,” and that “these audits are ongoing … due to the ever-evolving nature of threats along with the rapid iterations in the platform itself.”
