Tak třetí pokus o odpověď. Možná že jde psát software bez chyb, ale lidi to zatím neumí.
Elektronické volby vyžadují algoritmy, které žádná banka na světě nepoužívá.
Psal jste o kryptografických algoritmech. Těch je pár a banky je používají všechny – šifrování, podepisování, hashování, šifrované spojení.
Tohle jsou stavební kameny. Pokud jsem to napsal nejednoznačně, tak mi jde o spolehlivost high level funkcí. Stavební kameny jsou prověřené, ale dají se strašně jednoduše použít blbě. U banky jde třeba o "ověření že platbu zadal oprávněný člověk".
Anonymita voleb by měla odolat i soudnímu příkazu. Běžné banky něco takového umět ani nesmí.
Malý počet lidí je bezpečnostní díra sama o sobě. Vy do toho _chcete_ namočit co nejvíc lidí, aby díky redundanci neměl jeden člověk moc velký vliv.
Chytil jste se do vlastní pasti nepřesného vyjadřování. Čím víc lidí to může ověřit, tím je to bezpečnější. U elektronických voleb může spoustu věcí ověřit kdokoli – nezávisí to na tom, že se dostane k protokolům nebo dokonce k fyzickým lístkům. A zároveň je to bezpečnější, pokud neplatí, že bezpečnost závisí na jednom nebo několika málo lidech. A to je zase problém papírových voleb – v každém okrsku to závisí na pár členech volební komise. Opět to není problém elektronických voleb, protože lidí schopných navrhnout a implementovat kryptografické algoritmy je po celém světě dost, lidí schopných navrhnout a implementovat volební protokol je ještě daleko více.
Že to
může spousta lidí ověřit je maximálně tak bonus. Důvěryhodnost voleb vychází z něčeho jiného.
-
Musí v tom být namočených spousta lidí. A navíc jsou rozdistribuovaní tak, že jeden člověk nemůže napáchat moc škod.
-
Musí v tom mít osobní zájem. Pak se můžu spolehnout, že budou ten svůj dílek dělat pořádně.
Pokud jsou splněné tyhle dvě podmínky, pak můžu věřit procesu i když si dílčí části nemůžu sám zkontrolovat.
Lidí, kteří můžou zkontrolovat nějaký systém pro elektronické volby na světě zase tak moc není. A těch, co mají zároveň osobní zájem na volbách v nějaké ČR je krutě málo. Nejsem si jistý, jestli každá zajímavá strana někoho takového má.
Může se ztratit ještě před přidáním do stromu.
Což ovšem volič zjistí a bude hlasovat znovu.
Jeden strom se může nahradit jiným.
Nemůže. Teda může, ale v tom jiném stromu nenajdou své hlasy všichni ti, kteří volili v prvním stromu.
Tohle vyžaduje nezávislý kanál, kterým by volič ověřil, jestli hlas dorazil až do cíle. Bez toho se dá samozřejmě zaútočit na hlasování i ověření. Třeba při hlasování z domova se to bude zajišťovat hodně těžko.
Navíc by kvůli anonymitě neměl být žádný záznam z toho stromu zpětně spárovatelný s člověkem.
Samozřejmě. Celou dobu se tu bavíme o volbě pomocí elektronického volebního lístku, který se nedá spárovat s konkrétním člověkem. Vlamujete se do otevřených dveří.
I v případě elektronických lístků nevidím žádné evidentně otevřené dveře. Jak je chcete distribuovat? Každý volič musí dostat právě jeden a nesmí ho umět vygenerovat někdo jiný. Každý lístek musí jít použít jenom jednou, takže musí být jednoznačně identifikovatelný. Ale zároveň nesmí být zpětně spojitelný s voličem.
A voliče s lístkem by nemělo spojit ani to, když si bude svůj hlas ověřovat.
Bez konkrétní specifikace se nedá konkrétněji uvažovat o bezpečnostních dírách, protože těch možností je nespočetně.
Tak nepředpokládejte ty nejhloupější možné specifikace. Zatím vyvracíte bezpečnost elektronických voleb tak, jako by měly být realizovány pomalu tak, že se bude e-mailem posílat: „Já, František Novák, hlasuju pro US.“ To ale nikdo nechce.
Já nepředpokládám nic takhle stupidního. Sám jste zmiňoval hashové stromy, takže jsem předpokládal něco, co je interně používá. Ale tohle stále moc možností nevyloučí.
Zásadní problém všech systémů pro elektronické volby je, že pro drtivou většinu populace je to totální černá magie. U papírových voleb má většina lidí hrubou představu, jak to funguje. To dělá elektronické volby velmi jednoduše napadnutelné propagandou.
148 Odpovědí
38305 Zhlédnutí