Wstrzykiwanie JavaScriptu na formularzach wyborczych

dodał 30 września 2014 o 15:10 w kategorii Wpadki  z tagami:
Wstrzykiwanie JavaScriptu na formularzach wyborczych

Wraz z rozwojem technologii powstaje coraz więcej punktów styku, w których dane ze świata rzeczywistego trafiają bezpośrednio do systemów IT. Wiążą się z tym zagrożenia, na które jeszcze niedawno nie zwracano uwagi – jak na przykład opisane poniżej.

Historia zna próby ataków informatycznych wykonywanych za pośrednictwem nośników innych niż cyfrowe – pewnie pamiętacie słynną rejestrację z SQLi na fotoradary czy też Bobby’ego Tablesa (znacie jeszcze jakieś inne?). Tym razem pewien anonimowy Szwed przeprowadził prawie udany atak wstrzyknięcia JavaScriptu w ogłoszenie wyników wyborów.

Pamiętaj, aby dane wejściowe czyścić

Szwedzkie procedury wyborcze przewidują możliwość oddania głosu na pozycję, której brakuje na liście – wystarczy ją do listy dopisać. Takie dopiski są potem precyzyjnie notowane i publikowane. Zwyczaj ciekawy i potencjalnie interesujący z punktu widzenia bezpieczeństwa informacji.

wybory

Szwedzi nie są pozbawieni poczucia humoru, zatem na opublikowanej liście „alternatywnych kandydatów” znalazła się między innymi dość popularna w Szwecji Partia Kaczora Donalda (z programem „darmowy alkohol, szerokie chodniki”), Inicjatywa Satanistyczna czy też Led Zeppelin. Wśród mniej lub bardziej absurdalnych wpisów trafiła się także taka oto perełka:

Wygląda na to, że ktoś próbował przeprowadzić atak na przeglądarki osób czytających wyniki wyborów, jednak – mniej lub bardziej nieświadomie – atak powstrzymał urzędnik przepisujący dodane pozycje z kart do głosowania, który zamienił znaki „<>” na cudzysłowy. Atak był co prawda niewinny i nie niósł ze sobą żadnych konsekwencji nawet gdyby się udał, jednak pokazał, że procedury czyszczenia danych wejściowych powinny być wdrażane w nawet najmniej spodziewanych miejscach.

Warto także pamiętać, że komputeryzacja procesu wyborczego budzi całkiem uzasadnione emocje – opisywaliśmy już przypadki porażek w prawyborach we francuskiej partii i całkowitej kompromitacji systemu w lokalnych wyborach w stanie Waszyngton.