(Medialny) sukces internetowych wyborów w Estonii

głosowanie przez internet w EstoniiW internetowych prawyborach w Estonii wzięło udział 3.5% uprawnionych do głosowania. By zagłosować, trzeba było skorzystać z przeglądarki MS Internet Explorer (nie można było skorzystać np. z przeglądarki Firefox). Prawybory internetowe odbyły się w dniach 26-28 lutego. Dzień oficjalnych wyborów (w lokalach wyborczych) przypadał na 4 marca. Z internetowej ciekawostki skorzystało 30,275 na 940,000 wyborców. W 2005 roku z podobnej możliwości w wyborach lokalnych skorzystało blisko 10 tys uprawnionych do głosowania (1,84% głosów). Specjaliści od bezpieczeństwa systemów IT są dość sceptyczni, w komentarzach zaś podnosi się, że twórcy systemu chcą przekonać startujące w wyborach partie, by te nie kwestionowały wyników wyborów elektronicznych. Pewnie wiele zależy od tego, kto wygra...

Serwis IDG pisał przed wyborami: "To świetny wynik, zważywszy na fakt, iż do głosowania uprawnionych jest 940 000 Estończyków. Reszta wyborców zagłosuje w niedzielę, udając się do urn i wrzucając karty do głosowania. Co ciekawe, w "papierowych" wyborach będą mogły wziąć również osoby, które już oddały głosy w Sieci. Chodzi o to, by nie było podejrzeń, iż osoby głosujące w domu uległy presji kogoś znajomego lub rodziny".

Hmm... A trzeci raz kiedy będą mogły oddać ten swój jeden głos? Głosowanie przez Internet to były "prawybory". System przewiduje na razie, że większą wagę przykłada się do głosu oddanego tradycyjnie. Wyborca idąc do urny może zmienić swój głos oddany elektronicznie. Były takie propozycje, by większą wagę przykładać do głosowania elektronicznego niż tradycyjnego, jednak te pomysły spotkały się ze sprzeciwem ze strony Prezydenta Estonii. Inaczej, niż to miało miejsce w czasie wyborów lokalnych w 2005 roku - w wyborach parlamentarnych, które właśnie się zakończyły, elektronicznie nie mogły głosować osoby spoza granic Estonii. Ktoś, kto dysponował estońskim dokumentem tożsamości mógł spoza granic kraju przetestować system, ale jego głos nie był brany pod uwagę w ostatecznym wyniku (zastanawiam się jak sprawdzali, kto jest poza granicami, a kto nie?).

Więcej komentarzy na temat internetowego głosowania w Estonii przynoszą takie tytuły jak Wired i tekst Online Voting Clicks in Estonia, oraz Reuters - tu za serwisem InformationWeek: Estonia Scores World Web First In National Polls.

W wyborach "internetowych" w systemie I-Voting wkładało się do specjalnego czytnika (trzeba dysponować czytnikiem) kartę identyfikacyjną (dowód lub prawo jazdy wyposażone w mikroprocesor przystosowany do przechowywania kluczy kryptograficznych). Potem wyborca łączył się z serwerem wyborczym, gdzie otrzymywał menu prezentujące startujące w wyborach partie. Aby zagłosować trzeba było podać dwa hasła (PIN codes) - jeden związany z rejestrem wyborców, drugi z kartą identyfikacyjną (szyfrowanie danych).

Wspominana w tekście Estonia's E-Lection Voting Begins With Doubts Over Security organizacja the Organization for Security and Cooperation in Europe (OSCE) obserwowała elektroniczne wybory w Estonii ze sceptycyzmem. Przyznaje, że dokonano wielu wysiłków, by zabezpieczyć proces wyborczy przed oszustwami (It is quite difficult to cheat). Poczekam na oficjalny raport OSCE (o wysłaniu misji obserwacyjnej do Estonii czytaj w tekście: Assessment of parliamentary elections in Estonia). Krytycy podnoszą, że obserwowanie wyborów w serwerowni nie koniecznie jest dobrą metodą wykrywania potencjalnych nadużyć systemu wyborczego.

Na razie Centralna Komisja Wyborcza ogłosiła, że wybory w Estonii odbyły się prawidłowo: General elections in Estonia announced valid-CEC. Na stronach estońskiej Komisji Wyborczej dostępne są materiały dotyczące systemu do głosowania: E-voting project.

Nie powtarzając swoich wszystkich sceptycznych uwag na temat głosowania elektronicznego (w tym - przez internet; prywatność wyborcy, tajność głosu, uniemożliwonie manipulacjom wyborczym na serwerach, uniemożliwienie handlu głosami, tak można "niepowtarzać" w nieskończoność), które gromadzę w dziale wybory niniejszego serwisu, zacytuje jedynie fragment dokumentu przyjętego niedawno przez Internet Society Poland (Stanowisko w sprawie głosowania elektronicznego w wyborach powszechnych):

...nie można obniżyć wymagań wobec uwierzytelnienia wyborców, jeśli głosowanie ma być bezpieczne. Nadużycia w systemach e-bankowych (np. phishing) są zjawiskiem powszechnym (tylko w 2004 roku w USA skradziono w ten sposób 80 mln dolarów) i straty te są pokrywane z ubezpieczeń budowanych na podstawie analizy ryzyka. W przypadku nadużyć w systemie wyborczym konsekwencje są trwałe i nieodwracalne. Trudno je również wycenić dla potrzeb ewentualnej rekompensaty finansowej.

Tymczasem w Niemczech trwają prace nad federalnym "Koniem trojańskim", który ma służyć do zdalnego i przeprowadzanego bez wiedzy użytkowników przeszukania komputerów (por. Koń jaki jest, nie każdy widzi, czyli niemieckie prace nad projektem "Federal trojan"), w Polsce zaś po raz kolejny wraca temat "retencji danych". W Grecji operator telekomunikacyjny Vodafone został ukarany grzywną 76 milionów euro za brak ochrony swojej sieci przed aktywnością nieznanych nadal podsłuchujących, którzy przez rok podsłuchiwali premiera tego kraju i stu innych wysokich urzędników państwowych, oraz biznesmenów...

O internetowych wyborach w Estonii czytaj również:

Opcje przeglądania komentarzy

Wybierz sposób przeglądania komentarzy oraz kliknij "Zachowaj ustawienia", by aktywować zmiany.

głosowanie nie tylko przez IE

ksiewi's picture

Małe sprostowanie. Według informacji na stronie estońskiego odpowiednika PKW, głosować można było również spod Linuksa wyposażonego w Firefoksa. Wygląda na to, że tylko użytkownicy Windowsów byli zmuszeni do skorzystania z IE. Wykorzystano wolne oprogramowanie - bibliotekę OpenSC dostępną na LGPL.

Z tych informacji wynika też, że internauta mógł kilkakrotnie głosować przez Internet, za każdym razem zmieniając wybór.

no to jestem spokojny

Ughh... Po tej informacji jestem spokojny. Udało im się zrobić prawie neutralny technologicznie system wyborczy (prawie robi wielką różnicę). A podali tam na tej stronie ile osób sprzedało swój głos?

Teoretycznie wielokrotnie... ?

Witam,

w tekście jest dużo niejasności technicznych i choć z pozoru wydaje się to proste "zmienię przeglądarkę i zagłosuję ponownie" to zapewne z punktu bezpieczeństwa było bardziej skomplikowane. Np. takie "proste" oprogramowanie jak plugin flash zawiera opcję "shared objects" (którą opisuję w artykule o "przycisku wstecz": Przycisk wstecz - N powodów, że warto używać flasza! (cz.2)) - jest to odpowiednik htmlowych cookies - ale niezależny od przeglądarki (czyli w jakiś sposób już jesteśmy separowani). Możemy przecież do użytkownika wysłać applet javy, który podobnie te zadanie spełni, a ma o wiele więcej takich udogodnień...

Dalszy aspekt sprawy to "siedem warstw sieciowych", które dziela użytkownika od fizycznego przesyłu danych. Nie zapominajmy o tym, że na każdym z tych poziomów można wygenerować unikatowy numer urządzenia (MAC lub coś na zasadzie MAC). Możemy to połączyć z tak prostym elementem identyfikacyjnym jak NIP, pesel (jego estońskim odpowiednikiem) lub numer dowodu osobistego - co sprawi, że dwukrotnie nie będzie można oddać głosu za tego samego obywatela.

Jeżeli mamy mówić o prawdziwym zabezpieczeniu danych, to uważam, że żadne kluczowanie bez systemu tokenów (urządzeń generujących losowy kod co pewien okres czasu), uwiarygodnianych kluczem prywatnym - nie ma sensu!

Każdą z danych powyżej można łatwo podrobić, klucz prywatny uzyskać - ale o ile trudniej jest sięgnąć do liczb z generatora tokenu, który jest w stanie nam zagwarantować, że taka kombinacja (kod tokenu, klucz prywatny, dane osobiste, identyfikacja sprzętu) jest możliwa do użycia tylko raz.

"..(zastanawiam się jak sprawdzali, kto jest poza granicami, a kto nie?).."

Zwykła kontrola IP i sprawdzenie, w zakres jakiego operatora wchodzi - plus wykluczenie połączeń tunelowanych - daje możliwość zidentyfikowania w 90% właściwego miejsca pobytu. Jest oczywiście wiele metod obejścia tego, ale jest to w tym momencie stwierdzenie tego typu, że "na 10 osób w internecie 9 to hakerzy"

Pozdrawiam

MaW

Piotr VaGla Waglowski

VaGla
Piotr VaGla Waglowski - prawnik, publicysta i webmaster, autor serwisu VaGla.pl Prawo i Internet. Członek Rady ds Cyfryzacji przy Ministrze Cyfryzacji, ekspert w Departamencie Oceny Ryzyka Regulacyjnego Ministerstwa Rozwoju, felietonista miesięcznika "IT w Administracji" (wcześniej również felietonista miesięcznika "Gazeta Bankowa" i tygodnika "Wprost"). Uczestniczył w pracach Obywatelskiego Forum Legislacji, działającego przy Fundacji im. Stefana Batorego w ramach programu Odpowiedzialne Państwo. W 1995 założył pierwszą w internecie listę dyskusyjną na temat prawa w języku polskim, Członek Założyciel Internet Society Poland, pełnił funkcję Członka Zarządu ISOC Polska i Członka Rady Polskiej Izby Informatyki i Telekomunikacji. Był również Członkiem Rady Informatyzacji przy MSWiA, członkiem Zespołu ds. otwartych danych i zasobów przy Komitecie Rady Ministrów do spraw Cyfryzacji oraz Doradcą społecznym Prezesa Urzędu Komunikacji Elektronicznej ds. funkcjonowania rynku mediów w szczególności w zakresie neutralności sieci. W latach 2009-2014 Zastępca Przewodniczącego Rady Fundacji Nowoczesna Polska, w tym czasie był również Członkiem Rady Programowej Fundacji Panoptykon. Więcej >>