Volby, hackeři a krása papíru: bezpečnost je nad pohodlí

Na volební weby zaútočili hackeři, tedy alespoň podle Českého statistického úřadu. Je pravda, že web www.volby.cz byl v průběhu sčítání hlasů chvílemi nedostupný. ČSÚ nejprve opakovaně odmítal, že by se jednalo o útok. Pak otočil a přiznal, že čelil "masivnímu a sofistikovanému DDoS útoku".

Předně je třeba zdůraznit, že celý incident se nijak nedotýká zpracování výsledků voleb jako takových. Napadené servery slouží pouze k neoficiálnímu zveřejňování průběžných výsledků a nejhorší, co se mohlo stát, je nedostupnost těchto informací. ČSÚ navíc pro velká média poskytuje speciální připojení.

Systém zpracování voleb v České republice je od napadeného serveru zcela oddělený. Princip vyhodnocení je velmi kvalitní a je zcela odolný vůči kybernetickým útokům. Česko je na tom v tomto ohledu dobře i v mezinárodním srovnání. V několika zemích snahy ovlivnit výsledky voleb reálně zaznamenali.

Například v USA tamní rozvědka varovala, že na volební stroje ve 21 státech už zkouší útočit ruští hackeři. Ve státech Arizona a Illinois hackeři loni získali informace z volebních zařízení a nasadili do nich škodlivý software. Mimo jiné tak získali data o 200 tisících voličů.

Ruční počítání a vzájemná kontrola

Výhodou českého systému je to, že nespoléhá na počítačové zpracování. Základem regulérnosti hlasování jsou okrskové volební komise, v nichž může mít svého zástupce každý kandidující subjekt. Okrskové komise ručně počítají papírové hlasy. Výsledky pak zadávají do počítače a elektronicky přes chráněný kanál je odesílají ČSÚ. Zároveň se vyhotovuje papírový protokol, který podepisují všichni členové komise. Mohou si tedy zkontrolovat, že odeslaná čísla odpovídají tomu, co skutečně spočítali.

Případná elektronická manipulace s hlasy v systému ČSÚ by byla velice snadno odhalitelná. Manipulace (či omyly) na úrovni jednotlivých okrsků sice nelze vyloučit, ale členové komise jsou delegováni různými kandidujícími subjekty, a hlídají se tedy navzájem. I kdyby se třeba nějaká komise z nějakého důvodu "spikla", může ovlivnit jenom malé množství hlasů a dopad na výsledek voleb bude minimální.

Český systém zpracování volebních výsledků je proto jednoduchý, transparentní i odolný proti manipulaci. A také velmi rychlý, neboť i přes manuální zpracování jsou data k dispozici už pár hodin po uzavření volebních místností. Rozhodně je důvěryhodnější než například systém voleb v USA, kde se využívá hlasovacích strojů, u nichž většina modelů obsahuje známé a triviálně zneužitelné bezpečnostní chyby.

I kvůli americké zkušenosti je nutné se bránit změnám stávajícího českého systému a jeho náhradě nebo doplnění elektronickým nebo korespondenčním hlasováním. Přestože to zní zpátečnicky, zavedení elektronických či korespondenčních voleb by přineslo nezanedbatelné nebezpečí manipulace s hlasy. Náznaky toho, jak lze ovlivnit výsledky, je možné spatřovat například v nedoručení volebních průkazů části registrovaných voličů. V současném systému je pár ztracených hlasů irelevantních, ale v případě korespondenčního hlasování by byla rizika mnohem větší.

Útok na Volby.cz podrobněji

Regulérnost voleb jako takových by útok na server Volby.cz narušit nemohl. Přesto je to trapas. Je nepochybné, že útok skutečně proběhl. Jak upozornil bezpečnostní odborník a konzultant Michal Špaček, zaznamenal ho i server Digital Attack Map. ČSÚ sice zmiňuje, že šlo o útok "masivní a sofistikovaný", ale veřejně dostupné informace a znalost fungování tohoto typu útoků žádné sofistikovanosti nenasvědčují.

Šlo o běžný útok typu DDoS, tedy zahlcení serveru nelegitimními požadavky. V dnešní době se pro něj typicky využívají botnety, sítě z velkého množství napadených počítačů z jiných zařízení. Služby botnetů si lze snadno a levně pronajmout. Popisovaný útok stál maximálně nízké desítky tisíc korun.

Ochranu proti tomuto typu útoků je samozřejmě možné si objednat a ČSÚ to udělal. Využil nabídku společnosti O2, která mu podle údajů zveřejněných v registru smluv dodala službu O2 AntiDDoS Advanced za bratru 182 tisíc korun bez DPH. Těžko říct, o jakou službu se konkrétně jedná, protože v registru není samotná smlouva popsána.

Server s volebními výsledky je svým určením netypický a jeho provoz není triviální. Po většinu času je jeho zátěž minimální. Pár hodin po uzavření volebních místností se ale stane jedním z nejnavštěvovanějších serverů českého internetu. Tato charakteristika ho přímo předurčuje k tomu, aby využíval cloudových služeb. Pokud ho někdo provozuje sám, musí ho plánovat na špičkovou zátěž a po většinu času pak velký výkon leží ladem. V případě využití cloudové služby by byly náklady na provoz po většinu času minimální, odhadem desetikoruny měsíčně. V případě voleb je pak snadné výkon na několik hodin či dnů navýšit.

ČSÚ však cloudové poskytovatele nevyužil, možná i z obavy o bezpečnost dat. Z dostupných údajů vyplývá, že se DDoS ochrana týkala "poslední míle", tedy linky mezi poskytovatelem konektivity a zákazníkem. Pokud je, či v kritickou dobu byl, server Volby.cz umístěn za zákaznickou linku, výrazně to útočníkovi usnadnilo jeho práci. Zákaznické linky bývají (v porovnání s páteřními) pomalé, útočí se na ně snáze a útoku se hůře brání.

Logickým řešením − pokud ČSÚ nechce využít cloud − by bylo postavit na páteřní síť velkého poskytovatele připojení několik serverů, které by posílaly do světa statický obsah. Ten by se průběžně nahrával ze systémů v sídle ČSÚ. Zpoždění publikování by bylo maximálně do minuty, spíše v řádu sekund. Pro velká média by přitom mohl zůstat k dispozici živý server v sídle ČSÚ s dedikovanou linkou. Obě dvě navržená řešení by přitom nejspíše vyšla levněji než na 180 tisíc korun.