网络投票作弊机制及其对策的探讨

网络投票作弊机制及其对策的探讨

摘要:分析网络投票的常用作弊机制,提出对策。综合应用作弊机制策略构造安全的投票系统。

关键词:网络投票技术漏洞改进策略

网络投票在当今被广泛使用,如果程序设计不合格的话,投票系统就形同虚设,投票数据的真实性会大打折扣。作为课程的一个实训项目,学完网络编程这门课程后,学生对网络投票技术讨论比较多,有实战经验的同学提出了诸多安全问题。笔者结合个人经验,总结当前常用的作弊机制及其防范策略。

1 作弊机制及其对策

目前网络上流行的投票程序,根据程序的防作弊程度,可归类为时间限制策略、地区限制策略、障碍干预策略、实名策略等,以下针对性地分析。

1.1 时间限制策略

时间限制策略有为Cookie验证、Session验证、时间验证等技术实现方式,一般与地区限制策略、实名策略等结合使用。此策略主要用来验证投票用户行为的频率,不能让用户机械性地投票或使用程序手段自动化涮票。

时间限制策略的原理和使用方法比较简单,通常是通过在一个特定的页面中加Cookie或Session的方式,不让投票人直接构造投票数据,而是先让投票者访问一个带Cookie的网页后,才能进入后续投票页面。

通过Cookie技术进行时间限制策略的技术方式比较低下,要绕过这样的验证很简单,投票人可以通过客户端通信程序来构造投票数据,使用客户端程序(通过HTFP协议)的方法,从响应消息头中把Cookie 取回来,然后在发送数据时在请求消息头域中加上C00kie名和值,就可以反复的注入其偏好的投票数,让投票数据朝着自己想要的方向走。另一种简单方式就是每次投票完了将Cookie清理掉,或者就可以继续投票了,通常是通过重写流程类,绕开Cookie限制,每次投票的时候就不会对Cookie进行记录,因此投票系统就无法对Cookie进行判断或通过本地程序调用执行。Session验证技术可以较好地解决了人为清理Cookie而涮票的行为。

1.2 地区限制策略

地区限制策略有IP限制策略、来路检测、网络区域等技术实现方式,一般为了缩小投票的区域和范围而设置。

软件界最早通过启用IP技术来限制某个投票人员是否属于在投票地区,或者投票人是否唯一性等。这种技术很快就给找到了破解方法。一些熟悉网络技术的投票人员通过代理服务器技术,就可以直接

绕过这个限制;对于ADSL拨号上网的用户可以轻易更换IP等,甚至是使用IP欺骗手段来达到目标;对于学校、科研机构等很多人都共享一个IP上网的投票人员,还存在错判现象。

针对以上的网络限制这种情况,可以通过局域网技术去实现,甚至可以结合局域网的信息加以限制。如:某市公安局要实现“市十大杰出青年”推荐人选网络投票,该系统设计时就充分考虑了是局内投票,结合市公安系统同属一个局域网,并且与外界有物理隔断的情况,把系统设置在公安局域网内部,还可以对每一个投票人的局域网IP和MAC 地址进行匹配或存储。如果是在互联网上运行的投票系统,可以增加代理服务检测与判断,或者来路检测等方法实现。

1.3 障碍干预策略

前面介绍了两类防守策略,但攻与防是两对的。对于部分网络技术和程序熟悉的投票人员来,还是可以通过设计外挂程序来模仿人为投票行为的技术实现。针对这种行为和防范主要是通过设置障碍的方式,让外挂程序无法识别,务必需要人工参与才能完成的方法,达到阻止投票人使用外挂程序自动涮票的目的。目前,主要是数字验证码、加减法运算结果填写等。

障碍干预策略对大部分不熟悉程序设计的人员来说,是增加了外挂程序涮票的困难。但对有更深程序设计人员来说一样可以程序读取验证码,如果是单纯的数字、字母的组合,达到外挂程序自动涮票还是

能实现的。面对这种情况,系统设计时可以增加外挂程序识别验证码的难度,可以使用生成图片类型的识别码或加其他“干扰”技术。另外,可以结合手机短信、电子邮件验证信息加以交互达到“障碍”干预的目的。

1.4 实名限制策略

实名限制是增加身份认证,达到比较安全的目的。这种策略目前最有效,最为常用的一种方式。实名策略有用户注册验证、身份证绑定验证及用户证书(CA证书、GDCA证书等)验证等技术实现方式。

最早使用实名限制策略类似于BBS用户注册,注册完再用户登录才能投票。这种方法如果是简单的注册,没有相应的严格认证、判断或人工审核过程,这种注册的效果并不显著。另外,有条件的可以借助“权威”的数据来验证。如:前不久,国家教育部举办的一个关于全国大学生的“2010年中国大学生年度人物”投票,就是借用了国家身份证数据库来验证投票人身份的真实性的。类似的还有用户证书(CA证书、GDCA证书等)验证方式,还可以结合前面所讲述的手机短信、邮件确认等方式。

2 策略应用与案例

一个安全的、成功的网络投票系统,在功能实现具备的前提下,投

票应该还具有有以下的属性:(1)不可重用性;(2)适任性;(3)确定性;(4)普遍验证性;(5)不受胁迫性。包括能够抵抗随机数攻击、强迫放弃攻击和模拟攻击的能力。

某集团公司要建设一个董事会议与表决系统,表决部分其实就是一个投票功能,基于董事表决的重要性,在该系统中最重要的就是用户身份的确认和投票的不可抵赖性。董事和董事长,以及其他可访问此系统的丁作人员的定义限各不相同,所以身份的确认和权限的分配都是通过PK1／CA平台来完成。这样就可以实现多个董事可以在不同的地方同时表决,完成投票。目前,网上银行及各种网上支付平台的实现方式也是利用这个原理去实现的。

3 结语

文章分析网络投票的常用作弊机制并提出对策,综合应用作弊机制策略提出构造安全的投票系统的方法,经检验具有较强的指导性。

参考文献

[1] 李兰翠,孟博.网络投票协议[J].长江大学学报(理工卷),2008(3X).

[2] 郭政慧,王岩.网络投票系统的防注入数据技术探讨[J].电脑知识与技术:学术交流,2006(9).

[3] 张涛.利用ASP技术建立网络调查投票系统[J].电脑编程技巧与维护,2009(23).