評論 > 動態 > 正文

是誰在審查Dominion投票機?

由喬治亞州州務卿聘請、為Dominion投票系統做「審查」的公司——Pro V&V,也是之前認證Dominion系統的公司。同樣還是Pro V&V,在美國大選日到來的幾周前,批准為Dominion整個系統軟體做了修改。(Dominion是2020年美國大選中使用的電子投票系統)

州務卿拉芬斯伯格(Brad Raffensperger)11月17日公布「審查」結果時,本該公布卻沒有公布這個事實——Pro V&V在幾年前就與Dominion有關係。

另一個本該公布卻沒有公布的事實是——喬治亞州選舉前就有一份訴訟案,對Dominion在11月3日到來前夕,為系統軟體做修改,提出質疑。在訴訟中,Dominion使用了來自Pro V&V提供的技術結論。法庭文件顯示,Pro V&V的解釋是他們只提供了「粗淺」(superficial)和「簡單的」(cursory)測試。

拉芬斯伯格有關喬治亞州選舉的「審查」聲明被廣泛引用,其中提到,對Dominion系統的審查已經完成,「沒有發現違規跡象」,「Pro V&V沒有找到投票系統篡改(選票)的證據。」

拉芬斯伯格在聲明中對Pro V&V的描述頗有深意(摘錄如下),卻對該公司與Dominion的關係隻字未提,也沒有提到這是一家看起來規模很小的私人公司,只有一間辦公室。

「總部在阿拉巴馬州漢斯維爾(Huntsville)的Pro V&V是經過美國選舉援助委員會(U.S. Election Assistance Commission,簡稱USEAC)認證的投票系統測試實驗室(VSTL),這表示該實驗室「有資格(對投票系統)進行測試,以達到聯邦標準。」VSTL提供的認證是基於2002年《幫助美國投票法》(Help America Votes Act of2002)。

「美國國家標準與技術研究院(NIST)也推薦USEAC對Pro V&V做認證。NIST是美國政府的物理科學實驗室,為美國在世界領導科技創新做標準化研究。NIST也不斷為美國和世界的網絡安全和選舉安全標準,做出貢獻。」

曾在大選期間為Dominion投票系統提供臨時IT支持的工程師Melissa Carone女士,12月2日在密西根州眾議院監督委員會的公聽會上,提供證詞。(JEFF KOWALSKY/AFP via Getty Images)

根據選舉援助委員會(EAC)的網站信息,該委員會在美國只有兩家經過認證的測試實驗室——Pro V&V和SLI Compliance。EAC網站列出了7家投票系統測試實驗室(VSTL),但其中有5家公司的註解顯示,對其的認證已過期。

儘管Pro V&V被列入EAC的認證名單,但點擊「認證書」連結後,卻顯示「找不到此網頁」。從Pro V&V網站的公司概述中,可找到早期對該公司的認證書,發布日期為2015年2月24日,有效期至2017年2月24日。目前尚不清楚對該公司的認證是否已過期,或EAC網站提供的信息是錯誤的。

拉芬斯伯格在對Pro V&V的描述中,沒有體現他之前是否熟悉這家公司,以及為什麼可以輕易相信Dominion與Pro V&V之間沒有從屬關係或長期的關係,雖然這種關係(如前所述)是存在的。

拉芬斯伯格的聲明確實提到,Pro V&V對選舉投票的審計工作相當有限,只是「從系統組件中提取軟體和韌體,以檢查為州務卿辦公室使用的相關軟體和韌體是得到認證的。」

在EAC網站上,Dominion詳細列出了其14種投票系統版本。2017年2月8日,Dominion推出了Democracy Suite版本5.0,而Pro V&V是該新型投票系統版本的主要測試實驗室。迄今為止,Pro V&V是測試Dominion投票系統的唯一實驗室,其中只有一例除外。

2019年7月,喬治亞州政府以1.06億美元,購買了Dominion的選舉投票系統。在一宗源自2017年的訴訟案中,批評者說,新的Dominion系統與其之前的系統相比,存在許多相同的安全漏洞。在訴訟案中,拉芬斯伯格是被告之一,當時有來自州縣的律師出席過公聽會。

喬治亞州政府在購買Dominion系統後,兩名Pro V&V的員工,沃克(Michael Walker)和威廉士(Wendy Williams)在2019年11月26日,批准了對Dominion投票系統Democracy Suite5.5-A版的測試報告。也同樣是這兩名員工在今年4月13日和6月16日,批准通過了Dominion修改後的Democracy Suite5.5-C的測試報告。威廉士還參與了對Dominion的最近期認證。

再回到喬治亞州政府使用的Dominion5.5-A版本,對它的認證之前是由SLI公司做測試完成的,Pro V&V並沒有做過測試。這一點在法庭文件中有記錄:

「根據Cobb先生的宣誓證詞,Pro V&V本身並未對喬治亞州使用的(Dominion)5.5-A軟體版本進行任何形式的安全測試,而只依賴了另一家公司先前所做的安全測試。」

此外,Pro V&V還依賴了其對Dominion Suite5.5版本的初始測試。法庭文件顯示:「(Eric) Coomer博士作證說,5.5和5.5-A版本之間存在差異——對ICX軟體的更改不被看作是微不足道的(not deemed de minims)。」

8月24日,被公認的電子投票安全專家Harri Hursti做了宣誓聲明,為Dominion投票系統的問題提供了第一手資料。

Hursti對法院說,根據他對6月9日全州初選和8月11日第二輪投票的觀察,Dominion系統存在一系列問題,包括掃描器和制表軟體的設置對計算有手工標記的紙票,明顯存在問題,可能導致部分投票被忽略不計。

然後,9月下旬對Dominion投票系統做選舉前測試時,喬治亞州官員發現該系統在國會參議員競選中出現問題,使屏幕在某種條件下,無法顯示出所有競選人的姓名。

Dominion於是對軟體進行修改,以應對上述問題。此次修改需要得到Pro V&V的測試驗證。對Dominion修改軟體的範圍,以及由此可能需對Dominion系統重新做認證的問題,出現分歧。結果,法院在10月1日舉行了一次Zoom會議。

與會者之一是喬治亞州州務卿辦公室法律顧問Ryan Germany。

在法庭訴訟程序中,Dominion的律師將問題描述為「微不足道」,並說——對軟體的更新不影響之前EAC發布給Dominion的系統認證書的有效性。然而,支持「正當投票」的活動人士的律師,對此問題的「嚴重性和最新修復軟體的安全性」表示擔憂。

法院對其中的部分擔憂表示認同,指出軟體修復的問題涉及全州範圍,可能會帶來「更大影響」,正如公聽會上的安全專家J. Alex Halderman博士所說,這可不是小問題。

在10月1日的Zoom會議中,Dominion投票系統產品戰略和安全總監Eric Coomer告知法庭,他相信對軟體的修改是「微不足道的」,並說這個判斷不來自Dominion,而是Dominion將「對這個改變的認證,提交給了獲認可的實驗室,即Pro V&V,他們對軟體更新做了分析,並判定這種改變是否屬於微不足道」。

這項軟體的修改是否被定義為「微不足道」,非同小可,因為它關係到是否需要對整個Dominion系統重新做認證。如果需要,意味著這個過程未必能在11月3日前完成。

如果對軟體的修改,定義為「微不足道」,它將被作為一項「工程性變更」(engineering change order)提交給EAC,「不需要EAC對整個系統重新提供認證書,而只需簡單地更新現有的認證書。」

的確,10月2日,來自Pro V&V的代表歐文斯(Wendy Owens)在信函中確認說:「此款(新的)ICX軟體版本更正了之前欄目顯示出錯的問題」。該函的結論是,對Dominion軟體的修改屬於「微不足道」。

10月3日,Halderman對Pro V&V的結論提出異議說:「該報告明確表示,Pro V&V僅對(Dominion的)新軟體做了簡單測試。該公司沒有試圖獨立核實,系統在顯示選票時出現的問題,也沒有充分核實這些對軟體的修改,能否有效解決問題。Pro V&V似乎也沒有努力測試,這些變更是否會帶來新問題,從而影響系統的可靠性、準確性或安全性。」

儘管如此,10月11日,法官托滕伯格(Amy Totenberg)對該案做出裁決(PDF文件)說,「雖然原告提出了深刻問題,法院仍不能超越法律邊緣(過度裁決),(因為)這可能對依法建立的州選舉程序造成重大破壞。」

10月3日在喬治亞州參議院「政府監督委員會」關於選舉舞弊的會議上,喬治亞州州務卿辦公室法律顧問Ryan Germany再次就Dominion系統接受的審計說:

「審計已經完成。選舉結束後,我們聘用了一家獨立的投票系統測試實驗室,對我們使用的設備做了審核……他們發現,設備運行正常。安裝在設備上的軟體就是需要安裝的軟體。」

Germany還說,Pro V&V「檢查了散列值(Hash value),確保其是我們需要的」。

然而Germany的陳述還是沒有提及,Pro V&V與Dominion的隸屬關係,也沒有提到相關人士對Pro V&V在對「微不足道」的判定上,扮演的角色。

法官托滕伯格在裁決書上表示,州務卿「留住了Pro V&V,讓其對新調整的投票系統進行審查,以便提交給EAC進行審批。」

托滕伯格還特別批評Pro V&V總監Jack Cobb,指出Cobb本人曾說「他並不具備網絡安全工程方面的專業知識或背景,也沒有從事過對投票系統的安全風險分析。」

托滕伯格說,「Cobb表示,他不熟悉惡意軟體可能會破壞散列值或影響散列值的生成——此問題在本案中,曾被所有代表原告的網絡安全專家提出來。

最後,托滕伯格指出:「州被告方沒有呈現任何獨立的網絡安全專家,來直接回應原告提出的、Dominion的QR碼投票系統存在的風險漏洞。」

相反,「州被告方依賴的是(來自Dominion的)Coomer博士提供的證詞和他的從業經驗,以回應被告提出的關於網絡安全的重要問題。」

責任編輯: 李華  來源:大紀元 轉載請註明作者、出處並保持完整。

本文網址:https://tw.aboluowang.com/2020/1207/1531549.html