E-valsexpert: Elektronisk röstning måste vara immun mot hackare och virus

Den som på allvar tror att elektroniska val kan göras helt säkra måste vara galen alternativt tekniskt inkompetent...

En mycket bra egenskap hos pappersröstningen är att den manuella hanteringen är lätt att förstå och vem som helst som undrar eller tvivlar får titta på hur den går till.

Om någon misstänker valfusk inom elektroniska system är det mycket svårare att på egen hand skaffa sig trygghet om att systemet är pålitligt då elektroniska system generellt sätt kan manipuleras nästan hur mycket som helst.

Det som är möjligt att maipulera kommer alltid under vissa omständigheter att missbrukas.

Idagen system är valhemligheten tryggad genom att valsedeln efter avprickning läggs ned i en gemensam urna utan möjlighet till efterkontroll till vem rösten gick.

Jag tycker röstning i allmännna val är det sista man ska ge sig på att göra elekroniskt

"Den norrman som valde att lägga sin röst från datorn i hemmet använde den norska motsvarigheten till Bank-ID för att över nätet lägga en krypterad röst i den elektroniska valurnan. Strax därefter kom ett SMS från valmyndigheten på mobiltelefonen och i det fanns en kod att jämföra med de unika koder, en för varje parti, som fanns att läsa på baksidan av väljarens röstkort. Att koden i SMS:et var densamma som koden för rätt parti på röstkortet var sålunda bevis att rätt röst tagits emot, det vill säga att inget virus funnits på väljarens dator som ändrat rösten innan den nådde den elektroniska valurnan."

...såvida inte viruset dessutom infekterat valurnan och skickar falska SMS. Eller att någon helt sonika bytt ut programvaran i valurnan.

"Att kunna ersätta sin elektroniska röst med en ny eller med en pappersröst var det sättet man säkerställde att ingen skulle tvingas att rösta på ett visst sätt eller kunna sälja sin röst trots att röstningen skedde utanför vallokal."

...under förutsättning att man är fri att gå vart man vill under valdagen, vilket låter otroligt om någon nu vill tvinga mig att rösta på ett visst sätt.

"Att förklara alla detaljer kring det norska internetröstningssystemet tar lång tid och om du är intresserad av varför det systemet är immunt mot hackare så kan du faktiskt kolla upp det själv."

Vilket är hela problemet. Jag som själv är doktor i datorvetenskap kanske kan förstå och lita på algoritmerna, men så länge det finns en enda röstberättigad som inte har de mentala förutsättningarna för att göra det är systemet förkastligt.

"En av de saker som norrmännen gjorde helt rätt var nämligen att vara fullständigt transparenta: all dokumentation från upphandling av e-röstningssystemet till dess källkod finns att ladda hem från valmyndighetens hemsida."

Vilket inte spelar någon som helst roll i praktiken. Hur ska den genomsnittlige väljaren kunna kontrollera att det faktiskt är rätt programvara som de facto körs?

"Norge har lagt en hög ribba och om vi ska ha svensk e-röstning så måste vi ta avstamp i den grund de har förberett för oss."

Det där är ett jäkligt stort "om".

"Om vi vill ha elektronisk röstning i Sverige så måste det vara ett transparent och verifierbart system."

Verifierbart av vem? Vem ska vi tvingas lita på?

"Dessutom kommer det vara svårt, ta lång tid och kosta mycket pengar. Men om vi får verifierbara val så är det helt klart värt det!"

Det spelar ingen roll om det är formellt verifierbart. Det måste vara verifierbart av varje väljare, och det kommer inte hända.

Lehemul, Magnus och Sten --- det är precis den här immuniteten mot både hackare och virus som jag fastslår att man måste ha i ett e-röstningssystem. Forskningsområdet är nu ungefär tio år gammalt och jag har själv forskat i fem år och det absolut mest spännande resultatet vi haft är att vi har visat att det är möjligt att kombinera verifierbarhet (vilket gör att hackarna inte kan ändra några röster) och absolut valhemlighet. Kolla gärna vidare lite grand på nätet om ni är intresserade, kolla gärna också på min TED Talk som finns längst upp på den här sidan.

M Johansson - dina invändningar är de absolut vanligaste vi forskare hör och det är därför väldigt viktiga invändningar du har. Jag har forskarkollegor som bemöter det genom en motfråga: förstår du själv hur flygplanet du flyger i fungerar eller litar du på experterna som har granskat det? Själv brukar jag säga att det är faktiskt väldigt liten del av det pappersbundna systemet som du själv kan verifiera eftersom du inte kan vara i alla vallokaler samtidigt och observera varenda röst bli räknad. Därför litar du faktiskt redan nu på andra människor än dig själv.

"M Johansson - dina invändningar är de absolut vanligaste vi forskare hör och det är därför väldigt viktiga invändningar du har. Jag har forskarkollegor som bemöter det genom en motfråga: förstår du själv hur flygplanet du flyger i fungerar eller litar du på experterna som har granskat det?"

Självklart litar jag på experter i det fallet. Jag litar på massor med experter dagligen. Men demokratiska val står i en särställning. Där duger det inte med att lita på experter. Jag måste själv kunna övertyga mig om att min röst räknas korrekt.

"Själv brukar jag säga att det är faktiskt väldigt liten del av det pappersbundna systemet som du själv kan verifiera eftersom du inte kan vara i alla vallokaler samtidigt och observera varenda röst bli räknad."

Men det viktiga är att jag kan övertyga mig om att just MIN röst räknas korrekt, och att alla andra has samma möjlighet. Med elektroniska val tas den möjligheten ifrån mig.

En fråga när jag ändå är på gång (jag har inte hunnit se videon än, som om frågan besvaras där ber jag om ursäkt): Vad är det som verifieras? algoritmerna? implementationen? hårdvaran? Att de överenstämmer sinsemellan?

Hej igen M Johansson!

Vi kallar det End-To-End Verifiability och som den engelska termen visar så rör det som om verifikation från din röst som kommer in i systemet hela vägen till att den räknas. Poängen är alltså just att du som väljare ska kunna verifiera att din röst är räknad korrekt och sedan kan vi allesammans (och media, politiska partier och deras experter) verifiera att alla rösterna i hela valet räknats korrekt. Det blir med andra ord ett matematiskt bevis för att hela valet är korrekt och även om du inte själv förstår det matematiska beviset så är det möjligt att hitta experter som kan kontrollera det. Och då har vi bevis för att valet är korrekt och behöver inte oroa oss för att det funnits buggar i programvaran eller hårdvara som kompromitterats eftersom det skulle upptäckas i det matematiska beviset.

TED föreläsningens poängen föreföll hyfsat rimliga, då behöver man bara lite på system inom valorganisationen som skulle kunna vara skilda från internet, osv.

Det de flesta inklusive mig tänker på med elektronisk röstning är röstning med en App eller i en webbrowser på samma sätt som man sköter bankärenden. Där är det första problemet att det är svårt att veta om ens dator är pålitlig, crackad och fjärrstyrd eller på annat sätt manipulerad. De system som vi använder i vardagen är exponerade för hela internet och vi laddar hem tvivelaktiga program, surfar på tvivelaktiga websidor, slarvar med uppdateringar och leverantörer av mjukvara som slarvar och det finns en kriminell mångmiljardindustri som knäcker vår säkerhet för att sno våra pengar osv.

Magnus --- Vår forskning har alltså syftat till att konstruera system där virus inte kan ändra några röster och om datorn är fjärrstyrd så märker du att din röst är ändrad och du kan ändra den eller gå och lägga din röst i vallokal.

Ett e-röstningssystem måste vara vad som kallas Software Independent. Den tekniska termen som vi använder inom forskningen betyder att OM det finns en bugg i programkoden eller någon som medvetet programmerat fel så MÅSTE det upptäckas av väljaren. Vi ska alltså inte tvingas lita på mjuk- eller hårdvara för precis som du säger är det ofta fel på dem!

Förslaget om elektronisk röstning kommer taktiskt sett precis rätt i tiden, nu när det har kommit in ett oönskat parti i riksdagen.

Den som öppet går ut med att han eller hon sympatiserar med SD kan bli utesluten ur facket, bli av med jobbet, bli utsatt för försök till mordbrand, eller något annat mindre trevligt. Precis som det ska vara i en demokrati (ironi). Men så har ju också självaste Reinfeldt sagt att sådant får man räkna med. Så talar en sann demokrat! (också ironi).

Så det är ju väldigt bra - i regeringens ögon - att FRA och Säpo tillsammans får en möjlighet att kartlägga vad olika människor röstar på, så att inte personer med "felaktiga åsikter" blir tillsatta när en tjänst ska tillsättas där myndigheterna har intresse i vem som får jobbet. Precis som det ska vara i en demokrati (återigen ironi).

Ska det bli nödvändigt att rösta PP 2014, under förutsättning att vi fortfarande har kvar pappersvalsedlar då? Rösthemligheten är en förutsättning för en fungerande demokrati, liksom att alla kan lita på röstningssystemet.

Gunnar --- Valhemligheten måste vara absolut även vid elektronisk röstning, du har helt rätt. I vår forskning så utgår vi i våra riskmodeller ifrån att till och med den som organiserar valet försöker finna ut hur du röstar och försöker fuska - så vi siktar på en mycket högre säkerhetsnivå än vad jag tror är praktiskt nödvändig. Så FRA och Säpo skall alltså inte kunna finna ut hur du röstar om de försöker.

David, jag vill till att börja med tacka för att du som artikelförfattare ger dina synpunkter på kommentarerna, detta är något som jag skulle vilja se oftare när på Newsmill! Så cred till dig för detta!

Som jag förstått det, så förs det även diskussioner om röstning via Internet. Man måste då identifiera sig först och rösta sedan, detta är som gjort för att avlyssnas, i värsta fall med en installerad trojan eller en känd bakdörr, men även via tråd eftersom trafiken förmodligen lämnar landets gränser någonstans på vägen. Alla minns väl FRA-debatten? Och de datorer som FRA har klarar nog av att hantera SSL. Eller så avlyssnar man inte alls, man övervakar röstningsservern direkt istället.

Röstning som inte äger rum i vallokal har även en annan svaghet. Med risk för att bli kallad rasist, jag föreställer mig att framför allt hos vissa invandrargrupper så kommer mannen att ställa krav på hur kvinnan ska rösta. Och om röstningen inte äger rum i vallokal så kommer han att kunna övervaka att hon röstar som han vill. Alltså är det enda säkra i det sammanhanget att det är obligatoriskt att vara ensam när man röstar, och då är en övervakad vallokal den enda möjligheten!

Men det gäller att tänka på detaljer även i vallokalen. Tänk dig följande scenario: Du har ett grupp personer som du inte känner. Du låter dem gå in i ett rum och de får instruktionen att de får sätta sig var de vill. Du delar ut en enkät med känsliga frågor på, och säger till dem att "Ni ska inte skriva namn på den här blanketten". De svarar, och du samlar in papperen - i ordning. Sedan delar du ut nya blanketter, utan känsliga frågor, och säger "De här ska ni skriva namn på". Och sedan samlar du in dem - i samma ordning. Sedan är det bara att lägga buntarna bredvid varandra, och plocka blanketterna parvis. Voila!

Det gäller alltså att det inte får gå att göra någon koppling heller i vallokalen genom utnyttjande av något slags ordningsföljd. Du ska kunna rösta exakt en gång, hur ska det gå till? Ska du dra en fysisk skraplott fritt från en låda när du har legitimerat dig, och skrapa den bakom skärmen för att koden berättigar dig till att rösta en gång?

Gunnar ---

1. Vid röstning över Internet så är trojaner på röstarnas datorer ett stort problem - de kan inte ÄNDRA röster i verifierbara system men de kan AVLYSSNA dem.

2. I till exempel Estland och Norge så kan du rösta över nätet och du kan rösta hur många gånger som helst men bara den sista rösten räknas. Om du blir tvingad att rösta på ett visst sätt kan du därför ersätta din tvingade röst genom att rösta på nytt elektroniskt eller att gå och rösta i vallokal.

David,

1. Och om de kan avlyssnas, så har vi inte valhemlighet. Och dessutom kan den som sitter vid tangentbordet som sagt ha någon som står bakom axeln och övervakar.

2. Om jag kan rösta hur många gånger som helst så måste det finnas en koppling mellan mig och den röst som är sparad. Om jag får en slumpmässig kod på posten som jag ska använda vid röstningen, hur vet jag att den koden inte är kopplad till mig genom ett dataregister någonstans? Om Postkodlotteriet kan ge mig ett brev med en unik kod och samtidigt känna till vem koden tillhör, så kan säkert en röstförrättare också göra det!

Så det är bra att de har kvar vallokal som ett sista alternativ. Jag rekommenderar härmed samtliga röstberättigade att använda sig av detta alternativ.

Och om jag blev tvingad att rösta, så kan säkert den som tvingade mig se till att jag inte får besöka röstlokalen på valdagen också.

Så allra bäst vore om vallokalen var det enda alternativet. Röstning över Internet har nackdelar som aldrig kommer att gå att bygga bort!

Det här är ingen bra idé och kommer inte att stärka demokratin som direktivet gör gällande, snarare tvärtom. Väljarna har stor tilltro till det förfarandet vi har nu, och om man bortser från de lokala tveksamheter från 2010 års val så har vi historiskt sett ett mycket rättssäkert system. Precis som #2 skriver så har det också betydelse att människor på ett enkelt sätt kan förstå processen, vilket ger tillit och det kommer inte ett elektroniskt system ge.

Utveckling av elektronisk röstning skulle ha ett större värde och lättare accepteras om vi röstade ofta. Om vi hade en schweizisk tradition med väldigt många folkomröstningar skulle det finnas mycket större nytta med att automatisera valarbetet. Jag tror att marknaden för forskningens resultat finns i andra länder och kanske inom något befintligt eller nytt parti som laborerar med direktdemokrati.

Nu skulle införande av elektronisk röstning riskera att bli en häftig grej som utstrålar modernitet, en saftig upphandling av konsulttjänster som dessutom återkommer ofta vartefter plattformarna för systemen ändrar sig i stället för att korttidsanställa manuella valarbetare och i värsta fall en chans för någon att få insyn i och kontroll över delar av valprocessen för observation eller manipulation.

"Elektronisk röstning måste vara immun mot hackare och virus" vilket det aldrig kommer vara så vad är det för ide då?
Ett röstsystem via internet kommer aldrig vara säkert och alltför lätt att manipulera därför får det aldrig genomföras.

Ett elektroniskt system över internet faller på att någon mycket väl kan stjäla din identitet, komma över dina inloggningsuppgifter och rösta i ditt ställe eller framtvinga en röst genom hot och våld. Så länge du inte behöver vara ensam i lokalen kan någon utöva påtryckningar för att du ska rösta på ett visst sätt.

För att fungera måste röstningen ske på anvisad plats och enskilt.

Nuvarande system fungerar så if it ain't broke don't fix it.

#19:
1. Du kan alltid rösta på nytt eller besöka vallokalen för att slå ut din tidigare röst. Det finns inget riktigt skydd idag emot framtvingad röstning.

2. Har du redan glömt alla skriverier och omval efter förra valet?

"Nämnden har anlitat matematikprofessor Svante Linusson för att räkna på sannolikheten att de försvunna och felaktigt underkända C-rösterna..."

http://www.svd.se/nyheter/inrikes/omval-i-orebro-och-vastra-gotaland_593...

När röster idag underkänns felaktigt och röster försvinner så har vi knappast ett fungerande system.

Vi har ett valsystem med kända svagheter där det är svårt för enstaka misstag eller manipulationer att påverka valresultatet. System som tål att vara lite trasiga utan att de upphör att fungera är oftast den typen av system som är robustast ute i den röriga verkligheten.

Att åstadkomma datorsystem som inte är känsliga för att ett litet fel i säkerheten skall ge möjlighet till massiv påverkan är svårt, det är så svårt att det är ett intressant problem att forska på.

"Bortfall" kan ske genom fel i överföringen och tänk om avsiktlig manipulering sker? Från röstlokalerna kan endast minimalt fusk ske men från toppen i ett statligt eller privat företag med ansvar för rösträkning kan lätt blanka röstningar och icke röstande omvandlas till röster på vald kandidat. Hur kan det upptäckas? Troligtvis 20 år efteråt i memoarer eller läkt information men knappast i tid för att förhindra det.

Om man ska kunna kontrollera så att ens röst blev rätt måste den registreras vilket är olagligt och om den informationen hackas kan enorm skada göras på vår demokrati. Endast sorg och minskad demokrati blir resultatet i slutändan trots att säkert fler kommer rösta då det blir enklare men dessa är de politiskt ointresserade vilket gör att de etablerade och populäraste partier blir vinnare inte deras partiprogram, som att rösta i melodifestivalen.