Bezpečnost elektronických voleb

[Filip Jirsák]

A ten dohľad sa deje konkrétne akým mechanizmom (ak uvažujeme nestrannú volebnú komisiu)?

Já k volbám chodím tak, že už z domova mám v obálce jediný lístek. Volební komise samozřejmě nepozná, zda jsem si ho vybral sám, nebo mi ho někdo určil. Volební komise se mne pak zeptá, zda chci kompletní sadu volebních lístků – pokud bych s sebou měl dohled, ten samozřejmě nezabrání tomu, abych si ji vzal a za plentou odvolil koho chci. Ale pak by si to se mnou vyřídil doma. Takže pokud bych s sebou opravdu měl dohled, sadu volebních lístků od komise s díky odmítnu. Pak jdu za plentu s tím jedním volebním lístkem, a tam si konečně můžu dělat, co chci. Jenže mám jenom ten jeden volební lístek. Takže ho můžu nanejvýš roztrhnout, případně odvolit prázdnou obálkou – ale nemám možnost volit někoho jiného.

[Reklama]

[Martin Sivák]

Volební komise se mne pak zeptá, zda chci kompletní sadu volebních lístků – pokud bych s sebou měl dohled

U Vás je povolen vstup více než jedné osoby ze stejné adresy do volební místnosti? U nás tedy striktně platilo jedna dresa, jeden volič.

Krom toho, asi by se pravidla dala upravit tak, aby za plentou vždy byla zásoba pár sad lístků. Právě pro tyto případy.

Každopádně tato kontrola je při volbě z domova mnohem jednodušší. Nemáte ani možnost vzít si ty lístky. Dokonce tam ani nemůžete jít sám. A to už nemluvím o tom, že si u komise možná pohlídáte rodinu, ale "doma" si tak pohlídáte celý klan.

[Gregor Fefor]

Já k volbám chodím tak, že už z domova mám v obálce jediný lístek.

Aha, tak v ČR to zjavne máte urobené menej odolným spôsobom - u nás na Slovensku domov človek dostane len "noviny" so zoznamami strán a ich kandidátov, lístky sa dostávajú až priamo vo volebnej miestnosti a zvyšné lístky tiež musí človek pri odchode zahodiť do druhej, odpadovej schránky (pod pokutou 30 eur). Myslím, že to bola reakcia na kupovanie hlasov predovšetkým Rómov.

[Filip Jirsák]

U Vás je povolen vstup více než jedné osoby ze stejné adresy do volební místnosti? U nás tedy striktně platilo jedna dresa, jeden volič.

Samozřejmě. Protože seznam voličů a volební komise, která může něco kontrolovat, jsou až ve volební místnosti. Zajímalo by mne, jak by se podle vás to vaše pravidlo kontrolovalo.

Krom toho, asi by se pravidla dala upravit tak, aby za plentou vždy byla zásoba pár sad lístků. Právě pro tyto případy.

To by bylo dost obtížně realizovatelné. Ta sada by musela být vždy kompletní. Takže po každém voliči by tam musel jít člen volební komise a doplnit tam novou sadu lístků. (A volič by samozřejmě musel vzít tu sadu s sebou a vyhodit jí, aby nebylo možné zjistit, koho volil.)

Každopádně tato kontrola je při volbě z domova mnohem jednodušší. Nemáte ani možnost vzít si ty lístky. Dokonce tam ani nemůžete jít sám. A to už nemluvím o tom, že si u komise možná pohlídáte rodinu, ale "doma" si tak pohlídáte celý klan.

Záleží na způsobu hlasování. Např. pokud můžete dodatečně změnit svůj hlas, tu možnost jít k volbám sám máte.

Aha, tak v ČR to zjavne máte urobené menej odolným spôsobom - u nás na Slovensku domov človek dostane len "noviny" so zoznamami strán a ich kandidátov, lístky sa dostávajú až priamo vo volebnej miestnosti a zvyšné lístky tiež musí človek pri odchode zahodiť do druhej, odpadovej schránky (pod pokutou 30 eur). Myslím, že to bola reakcia na kupovanie hlasov predovšetkým Rómov.

Volební lístky až v místnosti jsou u nás jen u druhého kola voleb. Tou pokutou se vlastně stanovuje minimální cena hlasu :-) Tohle je o dost bezpečnější způsob, nicméně myslím si, že pokud půjde o silný nátlak ze strany rodiny nebo někoho, kdo má nad daným člověkem moc, žádné opatření nepomůže – dotyčný se bude bát tolik, že stejně poslechne a ani ho nenapadne uvažovat, jestli ten ,kdo na něj tlačí, má skutečně možnost zkontrolovat si, jak dotyčný volil.

[MartinK]

Mozna je komplikovanejsi pri soucasnem "papirovem" systemu prinutit jednotliveho volice odevzdat hlas pod natlakem, nez by tomu bylo v pripade elektronickych voleb. Na druhou stranu muze rezim snadno zmanipulovat cele volby. Viz 90+% hlasu pro komunisty v CSSR, 80% pro Lukasenka, atd. Volebni system zalozeny na blockchainu by tohle resil, a jsou projekty ktere maji tyto ambice.

[Reklama]

[Jiří Havel]

Volebni system zalozeny na blockchainu by tohle resil, a jsou projekty ktere maji tyto ambice.

Jakýkoliv elektronický systém má dva primární zádrhele :

1) Důvěryhodnost algoritmu. Ověřit nějaký kryptografický/blockchainový algoritmus zvláde zanedbatelný zlomek populace. Budete věřit slovu pár expertů?

2) Důvěryhodnost implementace. I pokud věříte algoritmu, samotná implementace poskytuje hromadu možných vedlejších kanálů. Implementace krypto věcí občas vyžadují velice zajímavé techniky. Jak můžou zainteresované strany ověřit, že implementace dělá co má?

Hlídat počítání lístků zvládne libovolná tetka z Horní Dolní. Lidí schopných ověřovat nějaké krypto věci bude v politice krutě málo.

[MartinK]

Jakýkoliv elektronický systém má dva primární zádrhele :

1) Důvěryhodnost algoritmu. Ověřit nějaký kryptografický/blockchainový algoritmus zvláde zanedbatelný zlomek populace. Budete věřit slovu pár expertů?

2) Důvěryhodnost implementace. I pokud věříte algoritmu, samotná implementace poskytuje hromadu možných vedlejších kanálů. Implementace krypto věcí občas vyžadují velice zajímavé techniky. Jak můžou zainteresované strany ověřit, že implementace dělá co má?

To je uplne stejne jako u kterehokoli jineho sloziteho systemu. Presto lide sedaji do aut, do letadel, posilaji penize pres internet, atd.

[Martin Sivák]

U Vás je povolen vstup více než jedné osoby ze stejné adresy do volební místnosti? U nás tedy striktně platilo jedna dresa, jeden volič.

Samozřejmě. Protože seznam voličů a volební komise, která může něco kontrolovat, jsou až ve volební místnosti. Zajímalo by mne, jak by se podle vás to vaše pravidlo kontrolovalo.

Snadno. Buď jdete ke konkrétnímu členovi komise (pro Vaši adresu), nebo čekáte venku. Volně postávající lidé ve volební místnosti jsou nepřípustní.

To by bylo dost obtížně realizovatelné. Ta sada by musela být vždy kompletní. Takže po každém voliči by tam musel jít člen volební komise a doplnit tam novou sadu lístků. (A volič by samozřejmě musel vzít tu sadu s sebou a vyhodit jí, aby nebylo možné zjistit, koho volil.)

No a to je nějaký problém tam dát třeba 10 sad? Nebo tu sadu dát každému automaticky? Stejně jak píše kolega o Slovensku?

Záleží na způsobu hlasování. Např. pokud můžete dodatečně změnit svůj hlas, tu možnost jít k volbám sám máte.

1) Jak se tato možnost dá spojit s požadavkem na tajnou volbu a hlasování pouze jednou?
2) Je to pro ovládající osobu komplikace, ale pořád to nic nezajistí. Stačí hlasovat až ke konci.

... lístky sa dostávajú až priamo vo volebnej miestnosti ..

Tohle je o dost bezpečnější způsob, nicméně myslím si, že pokud půjde o silný nátlak ze strany rodiny nebo někoho, kdo má nad daným člověkem moc, žádné opatření nepomůže – dotyčný se bude bát tolik, že stejně poslechne a ani ho nenapadne uvažovat, jestli ten ,kdo na něj tlačí, má skutečně možnost zkontrolovat si, jak dotyčný volil.

S tím se souhlasit dá. Ale přece jen je tu ta možnost.

Volebni system zalozeny na blockchainu by tohle resil, a jsou projekty ktere maji tyto ambice.

Co s tím má konkrétně blockchain společného? Proč blockchain a ne třeba git (taky udržuje integritu vč. historie)?Jak takový systém zajistí tajnou volbu? On manipulaci umožní odhalit skoro každý transparentní systém, jenže už jaksi neřeší ty ostatní podmínky, proto je to tak těžký problém.

A to neřeším ten už zmíněný problém důvěry. Přepočítání papírových lístků si lidé představit umí. Kryptografické ověření historie moc ne..

To je uplne stejne jako u kterehokoli jineho sloziteho systemu. Presto lide sedaji do aut, do letadel, posilaji penize pres internet, atd.

Jenže vy potřebujete všeobecnou důvěru. A je pořád dost lidí, co internetovému bankovnitví nevěří (ani platebním kartám). A do letadla se taky všichni nehrnou.

[_Jenda]

Hlídat počítání lístků zvládne libovolná tetka z Horní Dolní.

Okolní diskuze ukazuje, že ani mnozí čtenáři Roota (patřím mezi ně), ani organizátoři voleb v ČR, nedokážou pohlídat side-channels ani u papírových voleb . U současné korespondenční volby je to pak ještě „lepší“.

2) Je to pro ovládající osobu komplikace, ale pořád to nic nezajistí. Stačí hlasovat až ke konci.

Nějaký paper tam tvrdil, že je to fakt non-coercible, ale jak jsem psal, tak sám tomu nerozumím. Předpokládám že se dá nějak říct „tohle je už jako fakt doopravdy finální“ a nejde zjistit, že ty po tom jsou „jenom jako“. Třeba o tom Filip Jirsák bude vědět víc.

Přepočítání papírových lístků si lidé představit umí.

Go for it, myslím, že přepočítání v Bělorusku by teď mohlo vyřešit spoustu problémů.

[Filip Jirsák]

Budete věřit slovu pár expertů? […] Hlídat počítání lístků zvládne libovolná tetka z Horní Dolní.

Jenže pak ty počty sečtených lístků napíše do počítače a pošle se to šifrovaným spojením do ústřední volební komise. Pro to šifrování a podepisování se používají úplně stejné algoritmy, jaké by se používaly v případě elektronických voleb. Takže jste si nijak nepomohl.

[Filip Jirsák]

Snadno. Buď jdete ke konkrétnímu členovi komise (pro Vaši adresu), nebo čekáte venku. Volně postávající lidé ve volební místnosti jsou nepřípustní.

Nějak si nejsem jist, jestli jste někdy viděl volby v ČR. Moje zkušenost minimálně ze dvou míst je taková, že vejdu do volební místnosti příslušné k adrese trvalého bydliště, tam je za stolem několik komisařů, kteří mají rozdělené lidi podle počátečního písmena příjmení. Takže jdu k příslušnému komisaři, ukážu mu občanku, ten si mne najde v seznamu, odškrtne, zeptá se, jestli chci lístky, a když je volno za plentou, pošle mne tam. Když jde víc lidí z jedné rodiny (což je typické), sejdou se (překvapivě) u jednoho komisaře, takže tam vytvoří frontu. Když odvolí, počkají samozřejmě na sebe – ve volební místnosti.

Může se vám to nelíbit, ale žádná stráž před volební místností, která by tam pouštěla lidi jednotlivě, opravdu neexistuje. A i kdybyste si to chtěl takhle jako volební komisař organizovat sám, nemáte na to právo.

No a to je nějaký problém tam dát třeba 10 sad?

Takže byste jich vyhazoval po každém voliči 10. Hm, zajímavý nápad.

Nebo tu sadu dát každému automaticky? Stejně jak píše kolega o Slovensku?

Proč by to měl být problém? Vždyť jsem psal, že se to tak u nás v druhém kole dělá.

1) Jak se tato možnost dá spojit s požadavkem na tajnou volbu a hlasování pouze jednou?

Každý volič dostane elektronický voličský průkaz, na který volí. Průkaz je anonymní. U každého průkazu se jako jeho hlasování bere poslední volba.

2) Je to pro ovládající osobu komplikace, ale pořád to nic nezajistí. Stačí hlasovat až ke konci.

To záleží na přesném způsobu provedení.

[Jiří Havel]

Budete věřit slovu pár expertů? […] Hlídat počítání lístků zvládne libovolná tetka z Horní Dolní.

Jenže pak ty počty sečtených lístků napíše do počítače a pošle se to šifrovaným spojením do ústřední volební komise. Pro to šifrování a podepisování se používají úplně stejné algoritmy, jaké by se používaly v případě elektronických voleb. Takže jste si nijak nepomohl.

Ale kromě toho zůstane i papírový protokol a zůstanou i ty lístky, takže je půjde přepočítat znova. Při jakékoliv pochybnosti se dají ty algoritmy úplně vyřadit ze hry. Pomohl jsem si tak, že mám úplně nezávislý kanál.

[_Jenda]

Nějak si nejsem jist, jestli jste někdy viděl volby v ČR. Moje zkušenost minimálně ze dvou míst je taková, že vejdu do volební místnosti příslušné k adrese trvalého bydliště, tam je za stolem několik komisařů, kteří mají rozdělené lidi podle počátečního písmena příjmení. Takže jdu k příslušnému komisaři, ukážu mu občanku, ten si mne najde v seznamu, odškrtne, zeptá se, jestli chci lístky, a když je volno za plentou, pošle mne tam. Když jde víc lidí z jedné rodiny (což je typické), sejdou se (překvapivě) u jednoho komisaře, takže tam vytvoří frontu. Když odvolí, počkají samozřejmě na sebe – ve volební místnosti.

Potvrzuji, že u nás v základce na sídlišti to funguje taky přesně takhle.

Jenže pak ty počty sečtených lístků napíše do počítače a pošle se to šifrovaným spojením do ústřední volební komise. Pro to šifrování a podepisování se používají úplně stejné algoritmy, jaké by se používaly v případě elektronických voleb. Takže jste si nijak nepomohl.

Možná by se pak tetka měla podívat na výsledky pro jednotlivé okrsky a zkontrolovat, že opravdu na druhou stranu prošlo to, co tam zadala. Blbé je, že tohle podívání se nejspíš provede taky na počítači (vychází vůbec tyhle přehledy třeba v papírových novinách?).

[Martin Sivák]

Potvrzuji, že u nás v základce na sídlišti to funguje taky přesně takhle.

U nás si tedy komise počet lidí v místnosti hlídala. I v rámci rodiny jsme chodili po jednom. Jestli k tomu měli právo popravdě neřeším, protože to bylo veskrze rozumné. Stolečků bylo třeba 6 nebo 8 a zástěny jen dvě, takže potřebovali pohlídat, že tam opravdu chodí lidé sami. A to by v chaosu přeplněné volební mistnosti asi dost dobře nešlo.

Možná by se pak tetka měla podívat na výsledky pro jednotlivé okrsky a zkontrolovat, že opravdu na druhou stranu prošlo to, co tam zadala. Blbé je, že tohle podívání se nejspíš provede taky na počítači (vychází vůbec tyhle přehledy třeba v papírových novinách?).

Pokud ano, tak to stejně berou z digitálních dat dodaných statistickým úřadem. Papírové protokoly přímo z místností určitě nekopírují. K těm se dostane asi jen soud.

Takže byste jich vyhazoval po každém voliči 10. Hm, zajímavý nápad.

Proč? Pokud chcete, tak si jeden vezmete a zbytek necháte? Nebo tam můžeme vymyslet výdejní automat Ale ruční práce komise je asi levnější.

Každý volič dostane elektronický voličský průkaz, na který volí. Průkaz je anonymní. U každého průkazu se jako jeho hlasování bere poslední volba.

A kdo v dálkovém provedení ověří, že s tím průkazem volí ten, kdo ho dostal? Co Vám zabrání si průkazy celé rodiny vybrat a hlasovat za ně?

A v provedení s volbou u komise musí být ověřitelné, že nehlasujete za někoho, takže nějaké párování existovat bude. Minimálně vytištěné na tom průkazu.

[Filip Jirsák]

Ale kromě toho zůstane i papírový protokol a zůstanou i ty lístky, takže je půjde přepočítat znova.

Elektronické lístky také můžete přepočítat znova. Problém u papírových lístků je v tom, že netušíte, jak se do toho výběru dostaly.

Při jakékoliv pochybnosti se dají ty algoritmy úplně vyřadit ze hry. Pomohl jsem si tak, že mám úplně nezávislý kanál.

Nemáte žádný nezávislý kanál a žádné algoritmy jste ze hry nevyřadil – pořád jste závislý na tom, že ve volební urně byly jenom ty lístky, které tam měly být, a že komise právě jen platné lístky předala k archivaci.