Bezpečnost elektronických voleb

[Sajfi]

A co spojit obojí a použít něco na způsob děrných štítků? Tj. hlasovat klasicky jako teď, lístky budou stále papírové, anonymní, po volbách skončí v zapečetěné bedně pro možnost ověření, jen budou uzpůsobené tak, aby šly snadno strojově zpracovat. A stroj bude na to, aby hlasy spočítal rychleji s menším množsvím chyb. Pro komisi na ruční počítání nebo vyřazení zbude to, co stroj vyhodí na stranu jako strojově nezpracovatelné.

[Reklama]

[j]

...
"lze výsledek *nezávisle* a transparentně zkontrolovat/přepočítat."
Vazne? Takze kdyz si pozadam, vyda mi stat volebni listky ze vsech okrsku, abych si je mohl zkontrolovat?

Ty muzes v ramci 14 dnu po volbach namitnout jako kazdy ovcan, ze volby byly spatne spocitany. A pokud to nejak rozumne dolozis (viz prave Michalkem odvolane podani piratu), tak prislusny soud naridi prepocitani, pripadne i celych voleb, coz dle vyjadreni soudu by byl byval udelal prave u tech poslednich voleb parlamentnich, protoze tam bylo zjevny ze by doslo ke zmenam ... ovsem v neprospech prave piratu (podle vseho by prisli o 1-3 mandaty).

A mimochodem, stejne jako kazdy ovcan se muzes zcela dobrovolne prihlasit a jit delat toho scitace tech papirku, coz kupodivu opet zvladne delat i negramotny, a muzes tudiz zcela osobne v ramci dotcenyho okrsku kontrolovat, ze je to vse OK (kazda jedna kandidujici strana si tam muze poslat svyho cloveka, a vetsinou je spis o lidi nouze).

Pricemz si nasledne muzes (a mel bys) zkontrolovat vysledky ktery zverejni CSU. Coz opet muze (a mel by) kazdy clen volebni komise. A ty dilci vysledky si pak muzes i secist.

1) osobni volbu
2) anonymni volbu
3) overitelnou volbu

AFAIK tohle schémata elektronických voleb zajistit dokáží (např. si můžete ověřit, že jste hlasoval/váš hlas byl započítán). Matematicky samozřejmě. Prakticky je implementovat tak, aby vše skutečně fungovalo, nebude zrovna triviální.

Nemuzou. Hlas si nemuzes overovat pokud hlasujes anonymne. Pokud bys moh, uz to neni anonymni, protoze si ten tvuj hlas muze overit i kdokoli dalsi.

Pokud dojdes do volebni mistosti a tam neco nacvakas co pocitace, tak je to sice hypoteticky anonymni (da se sledovat cas prichodu/odchodu a chytat si odeslany hlasy, coz opet nema nikdo jak overit ze se nedeje), ale zase je to neoveritelny - pokud nekdo vysledky zmeni, nemas jak to zjistit.

Pokud bys nechal lidi hlasovat po internetu, tak prozmenu naprosto nijak nezajistis, ze hlasoval ten kdo mel a ne nekdo jinej.

Mimochodem, daleko efektivnejsi by bylo zastupitele zrusit, zavist primy hlasovani (jmenovite a klidne z domova), stanovit termin - rekneme max 2x rocne, a co jednou neprojde/projde se nesmi resit znova nejmin pristich 5 let. Pricemz (zcela demokraticky) nastavit, ze schvaleny je jen to, co schvali nejmin ... 70% opravnenych. A hlasuje se jen o tom, co podpori v mezidobi rekneme aspon 5%.

Mozna to pak bude porad vsechno blbe, ale aspon porad stejne blbe.

[j]

A co spojit obojí a použít něco na způsob děrných štítků? Tj. hlasovat klasicky jako teď, lístky budou stále papírové, anonymní, po volbách skončí v zapečetěné bedně pro možnost ověření, jen budou uzpůsobené tak, aby šly snadno strojově zpracovat. A stroj bude na to, aby hlasy spočítal rychleji s menším množsvím chyb. Pro komisi na ruční počítání nebo vyřazení zbude to, co stroj vyhodí na stranu jako strojově nezpracovatelné.

A k cemu to bude? Chybovost dernych stitku je daleko vetsi. Pouzivaji je v US. Rychlost nikoho nezajima, prave probehly volby do zastupitelstev patrej k nejslozitejsim. Spocitano rucne pres noc.

[Jenda]

Nemuzou. Hlas si nemuzes overovat pokud hlasujes anonymne. Pokud bys moh, uz to neni anonymni, protoze si ten tvuj hlas muze overit i kdokoli dalsi.

Hlas si může ověřit právě držitel privátního klíče.

[pako]

A co spojit obojí a použít něco na způsob děrných štítků? Tj. hlasovat klasicky jako teď, lístky budou stále papírové, anonymní, po volbách skončí v zapečetěné bedně pro možnost ověření, jen budou uzpůsobené tak, aby šly snadno strojově zpracovat. A stroj bude na to, aby hlasy spočítal rychleji s menším množsvím chyb. Pro komisi na ruční počítání nebo vyřazení zbude to, co stroj vyhodí na stranu jako strojově nezpracovatelné.

A k cemu to bude? Chybovost dernych stitku je daleko vetsi. Pouzivaji je v US. Rychlost nikoho nezajima, prave probehly volby do zastupitelstev patrej k nejslozitejsim. Spocitano rucne pres noc.

Přesně tak, přečtěte si něco o US volbách kde se tyhle “punch cards” používají a jak to v praxi dopadá.

[Reklama]

[j]

Hlas si může ověřit právě držitel privátního klíče.

A kdy se u tebe ma stavit Alexei s Ivanem?

Je to fakt tak slozity na pochopeni? Asi je.

Co nechapes na tom, ze tohle je mokrej sen tech kupovacu hlasu, protoze jim pekne kazdej jeden bud klic rovnou odevzda, nebo pekne osobne predvede, ze hlasoval jak mel.

[Q]

Nemuzou. Hlas si nemuzes overovat pokud hlasujes anonymne. Pokud bys moh, uz to neni anonymni, protoze si ten tvuj hlas muze overit i kdokoli dalsi.

Hlas si může ověřit právě držitel privátního klíče.

Ale on ma pravdu. Som drzitel privatneho kluca a ked mi niekto obrazne alebo doslova prilozi pistol k hlave, tak dostane alebo aspon moze dostat dokaz o tom, ako som hlasoval.

Prakticky pri e-volbach nefunguju dve poziadavky zaroven:
1. Zaruka, ze hlas bol nezmeneny a zapocitany. 
2. Kompletne utajenie volby okamzite po volbe, takze nefunguje vydieranie.

Pri papierovych volbach si kazda strana urci clena komisie a clenovia komisie daju dokopy aku-taku zaruku, ze bude scitanie urobene spravne. Chyby sa deju, ale vzdy je to so suhlasom nominanta strany, ktora na tom tratila.

Tak minimalne zdrojove kody by verejne byt mely, bez toho lze tezko mit v system jakoukoliv duveru. Soucasny system sice teoreticky pojistky ma, ale prokazatelne z nej lezou chybne hodnoty.

A ako overis, ze urcene zdrojaky su to, co tam naozaj bezi? Ako overis, ze vystihuju *vsetko*, co tam bezi? Jeden "zabudnuty" daemon alebo jedina zranitelnost posle doveryhodnost vysledkov ku dnu.

[jehovista]

Takze jestli to chapu spravne, tak hlasovani papirovymi listky za plentou a scitani hlasu rucne je zarucene nejlepsi system a nic lepsiho byt v zadnem pripade nemuze a nema smysl v tomhle smeru vyvijet jakoukoliv snahu o zefektivneni. To je tady tolik zamestnancu tiskaren?

[phi]

Takze jestli to chapu spravne, tak hlasovani papirovymi listky za plentou a scitani hlasu rucne je zarucene nejlepsi system a nic lepsiho byt v zadnem pripade nemuze a nema smysl v tomhle smeru vyvijet jakoukoliv snahu o zefektivneni. To je tady tolik zamestnancu tiskaren?

žlutá karta za argumentační faul, zaměstnanče softvérové firmy.

[Urvustrop]

Nikdo netvrdí, že se nemůže najít lepší způsob. Nikdo ani netvrdí, že ten lepší způsob nemůže být elektronický. Jen tu někteří nevzdělanci, jako jsem já, tvrdí, že v současné době neexistuje jiný způsob (nebo o něm alespoň nevíme), který by byl funkční a zároveň zachoval práva, o které nechceme přijít.

Jakýkoliv privátní klíč, unikátní klíč, superhash, sken sítnice, čip v zadeki, whatever, který je svázaný s mým hlasem, znamená dvě věci:
a) někde existuje databáze, která mě s takovou superanonymní fičurou spojuje
b) někdo mi může můj superanonymní identifikátor vzít, ať už nátlakem, nebo krádeží

Druhým problémem je sčítání hlasů. Pokud by to proběhlo elektronicky, tak jak můžu vědět, že je to spočítáno správně?Otevřený software? Hezké, ale opravdu to tam běží? Když to počítají lidi, kteří zastávají různé strany, těžko se domluví, že to spočítají schválně špatně.

Docela pěkně to shrnul na Computerphile, sice je to jak divadelní představení, ale k pochopení to je: https://www.youtube.com/watch?v=w3_0x6oaDmI

[Ivan]

Pro ty kdo neznaji XKCD

https://xkcd.com/2030/

[jehovista]

zachoval práva, o které nechceme přijít.

Tak kdyz budeme soucasnemu systemu prisuzovat vlastnosti, ktere prokazatelne nema, tak urcite. Ze nemuze v soucasnem systemu ty vysledky nikdo nezavisle zkontrolovat je holy fakt, i kdyz teda soud na zaklade dobre vyargumentovane namitky mozna necha nejakou cast listku kymsi prepocitat. Ze delaji lidi co to scitaji mraky chyb je taky asi vec, se kterou muze tezko polemizovat.

A krasne se da podvadet treba s volicskymi prukazy. Videli jste nekdy takovy "prukaz"? To je normalni kus papiru s obycejnym razitkem. Kdyz budu chtit podvadet, tak si ten papir stokrat nakopiruju a objedu par okrsku. Evidentne nikdo zpetne nekontroluje kolikrat se na volicsky prukaz volilo, kdyz ministerstvo vydava narizeni, at volebni komise dukladne prukazy kontroluji[1]. Kdyby to vsechno zpetne kontrolovali, nemohlo by k takovemu podvodu dojit a ministerstvo by nemuselo nic narizovat, "akorat" by se v danych okrscich musely volby opakovat. Natoz aby kontrolovali, ze clovek co volil s volicskym prukazem je vyskrtnuty ze seznamu ve svem volebnim okrsku, to uz je uplne sci-fi.
A ty volicske prukazy se i houfne ztraci [2]. Co kdyz nekde prijdu ke hromade kradenych dokladu(ktere jsou ale podle data platne) a napisu si na ne volicske prukazy? Nevsiml jsem si, ze by volebni komise kontrolovaly prukazy v databazi zneplatnenych dokladu. Prosim, nedelejte ze soucasneho systemu svatou kravu. Je to nepohodlny, nepresny a drahy system deravy jako cednik.

Ale abych nechodil kolem horke kase... me predevsim sere, ze se v 21. stoleti musim probirat hromadou volebnich listku a plachet a kamsi to v urceny cas nosit odevzdavat. Navic ty volby nas stoji v prumeru +/- 200 milionu rocne, tak by se aspon nejake procento z toho mohlo dat na studii proveditelnosti elektronickych voleb. Vzdyt preci nemuze byt takovy problem na zaklade elektronicke obcanky vyjet anonymni volebni token/certifikat a zaroven nekam zapsat, ze mi na obcanku byl vydany tak, aby to neslo sparovat.

[1] https://zpravy.idnes.cz/volebni-tym-zemana-stiznost-na-vnitro-dh3-/domaci.aspx?c=A130125_155928_domaci_hro
[2] https://www.irozhlas.cz/volby/tisice-ukradenych-volicskych-prukazu-omylem-se-skartovaly-je-stara-zalezitost_1710191415_haf

[PetrM]

Tak ono by se dalo udělat tak, že tam budou tři servery:
A - web server pro hlasování
B - evidence voličů
C - sčítání výsledků

1) Volič se přihlásí na server A.
2) A pošle token, volič ho zašifruje pomocí privátního klíče na OP a pinu.
3) A ověří podpis a ví, že je to volič *
4) A se zeptá serveru B, jestli je volič na seznamu a za jaký okrsek.
5) A na základě odpovědi od B povolí nebo odmítne hlasování. Pokud ho povolí, zamkne ho ve stavu "volič hlasuje"
6) Volič vyplní volby.** A zkontroluje pravidla a případně ho upozorní na chyby.
7) A informuje B, jestli volič hlasoval nebo ne. Podle toho se nastaví status "ještě nevolil" nebo "už volil"
A vygeneruje podepsaný JSON pro C, kde je okrsek a volební data (preferenční hlasy, strana,...), ale bez osobních údajů
9) C potvrdí započítání a A pošle voliči notifikaci, že jeho hlas byl započítaný.

No a protože lístky v podobě JSONu jsou anonymní, ale mají čas a okrsek, přezkum chyby je možný (hlasoval jsem 12:05 a tou dobou nic nedošlo)

---------

* Riziko č. 1 - krádež identity, to ale existuje i u OP (rozeznej u jednovaječných dvojčat, že je jedno zavřený ve sklepě a druhý jde hlasovat 2x)
** Riziko č. 2 - někdo za zády, částečně se dá eliminovat "fake pinem", který zahraje divadlo osobě za zády, hlas nezapočítá a pozděj se dá hlasovat normálně.

[jehovista]

** Riziko č. 2 - někdo za zády, částečně se dá eliminovat "fake pinem", který zahraje divadlo osobě za zády, hlas nezapočítá a pozděj se dá hlasovat normálně.

Tak tohle bych absolutne neresil, protoze to v pohode umoznuje uz soucasny system. Volic jde zkratka do volebni mistnosti s vyplnenymi listky. Jasne... muze si vzit nove, ale podplaceni volici tam muzou treba chodit po dvojickach a vzajemne se kontrolovat, jestli si neberou nove listky. Nebo bude dozor primo ve volebni komisi. A navic clovek co nekomu proda volebni hlas asi nebude podstupovat jeste nejaky specialni vopruz a riskovat, ze mu ten co mu dal dve kila da jeste do huby. Prachy uz dostal, tak co. Kdyz nekdo prodal svuj hlas, tak to asi nebude uplne uvedomely obcan. A ze by nekdo nekoho nutil spravne volit s pistoli u hlavy mi prijde jako hodne velke sci-fi. Trestni sazba osm let za par hlasu, ktere stejne nejspis nic nezmeni?

[Jenda]

Hlas si může ověřit právě držitel privátního klíče.

A kdy se u tebe ma stavit Alexei s Ivanem?

Je to fakt tak slozity na pochopeni? Asi je.

Co nechapes na tom, ze tohle je mokrej sen tech kupovacu hlasu, protoze jim pekne kazdej jeden bud klic rovnou odevzda, nebo pekne osobne predvede, ze hlasoval jak mel.

Proč si Alexei s Ivanem nebo kupovači hlasů ještě nepořídili takovou tu propisku/knoflík se skrytou kamerou a nechtějí po svých ovečkách, aby jim natočili, jak za plentou vkládají hlas do obálky a hážou ho do schránky?