Szavazó rendszer

Fórumok

Sziasztok!

A minap (vagy kicsit régebben) volt a hupon egy téma egy elektronikus szavazó rendszerről, elméletben. Nem találom a szálat, de nem is szakadtam bele a keresésbe. :-) Lett egy gondolatom, érdekel, hogy mit gondoltok róla. A lényeg pontokba szedve:

- A szavazás elektronikusan zajlik, de továbbra is szavazó körökben
- Minden szavazó körben egy lokális eszköz (valamilyen sz.gép) rögzíti a szavazatokat (lentebb egy hevenyészett spec)
- Minden szavazó fülkében két-két touch terminál vonal/qrkód olvasóval.
- A szavazatszámlálók asztalán két kódnyomatatóval (spec hevenyészve lent)
- Az asztalt secu kamera veszi, rögzíti a teljes szavazási idő alatt
- Az eszközöket egy EBESZ-szerű (vagy tökmindegy, de konszenzusos alapon / nem 2/3 útján) megbízott szervezet ellenőrzi, teszteli és őrzi a választások előtt és alatt.
- A megbízott szervezet gondoskodik a kiszállításról és a szavazás végén az eredmények kinyeréséről is.
- Szavazó ember érkezik, aláír
- Szavazat számláló erre kódot nyomtat mind a két nyomtatóból.
- A kódok időbélyeget is tartalmaznak
- Szavazó a kódot a fülkében beolvassa a terminálon, mire a touch képernyőn megjelenik a szavazólap.
- Szavazó tappal választ
- A tapp hatására eltűnik a szavazólap, a szavazó távozik

A gépek:
- Minden szavazókörben sokórás szünetmentes táppal ellátott, többszörösen redundáns gép adja ki a kódokat és gyűjti szavazatokat
- A gép a szavazókör helységének közepén, üveg katitkában üzemel.
- A gép nem képes vezeték nélküli kommunikációra
- A gép és a perifériák között csak kábeles kapcsolat van.
- A gépek semmilyen többlet porttal nem rendelkeznek, csak annyi és olyan típusú port érhető el rajtuk, amennyi a perifériák üzemeltetéséhez szükséges.

A szofver:
- Akár nyílt és publikus(!) forrású.
- A fordítást és tesztelést a fenti megbízott 'bizottság' végzi
- Tartalmazza a szavazó(űr)lapok képét
- Időbélyeges kódokat állít elő
- A szavazólap megjelenítése előtt ellenőrzi az időbélyeget és ha timeout van, akkor nem jeleníti meg az űrlapot, riaszt
- A szavazatokat redundánsan logolja
- A kinyomatott kódokat ellenőrzi a nyomtatás során (csak akkor válik használhatóvá, ha pontosan az került a papírra, amit kiküldött a nyomtatóra)
- A szavazás lezárultával (időpont) több kódot nem ad ki.
- A logokat vagy azok alapján riportot (ugye az eredményt) a szavazókört azonosító nyomaton adja csak ki
- Az eredmény nyomtatása során szintén ellenőrzi, hogy az elkészült nyomat egyezik-e azzal, amit nyomtatni szándékozott.
- A nyomtatott eredmények példányai szigorú sorszámozottak

A nyomtató:
- Valamilyen lézer
- Mindenképpen olyan típus, ami képes scannelni a nyomatot és aktívan visszajelezni a szovvrnek (létezik ilyen, az iparban pl csomagológépek vezérlő egységeiben használják, ott leállítja a gépet, ha a nyomat nem azonos azzal, amit nyomtatni akart)

A terminál:
- Egy vagy két touch panel
- Panelenként egy kódolvasóval (ez lehet kamera vagy lézer)

Lehet, nem találtam fel a spanyol viaszt. És az is lehet, hogy így a választás költsége magasabb, mint jelenleg.
Viszont előnye lenne, hogy minimalizálná az emberi tévedést, hibát.

Mit gondoltok? Ökörség?

Hozzászólások

De, ezt. Köszi!
Viszont (nem emlékeztem pontosan) ez végsősoron online szavazásról szól.
Arról meg én azt gondolom, hogy vagy
- nem anoním
- nem ellenőrzött (mmint azt, hogy tényleg az a polgár szavazott-e, aki jogosult)
- nem mindenki számára elérhető

Esetleg ezek comboja.
Az utolsóval kapcsolatban: a hybrid megoldás (on- és offline) csak a hackelhetőséget növeli, szerintem.

Az eszközöket egy EBESZ-szerű (vagy tökmindegy, de konszenzusos alapon / nem 2/3 útján) megbízott szervezet ellenőrzi

Itt bukott - nem bízhatsz sem a HW-ben sem az SW-ben. Ha nem tudod a saját eszközödön, saját magad által lefordított szoftverrel beadni a szavazatod, akkor a rendszerhez kell egy trust anchor. Ha belső, akkor politikai nyomással befolyásolható (lásd még az összes ellenzéki hírportálján megjelenő híreket és az NVI-t), ha külső, akkor azonnal jönnének a "civilek", hogy dehát-az-EU-és-gyíkemberek-elcsalják!!!négy!

BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)

A nyomtatás részét fölöslegesnek tartom, ha már elektronikus szavazás. Egyszerűbb, ha kap egy NFC-s kártyát, amivel elkezdheti a szavazást.

Szerintem lényeges elem, hogy elsődlegesen időbélyegzővel ellátott, event sourcing-gal tárolják redundánsan az adatokat (az egyes eseményeket).

- Amikor beazonosítják a személyt, akkor generálnak egy UUID-t, amit a kártyára írnak. Ezt az eseményt (adott személy szavazni fog) rögzítik egy esemény sorban.
- Majd a szavazáskor azt az eseményt rögzítik egy másik esemény sorban, hogy ezzel az UUID-vel kire szavaztak.
- Végül az első eseménysorban rögzítik, hogy az adott személy szavazott.

A két esemény sor között nincs olyan adat, amivel párosítható, hogy ki kire szavazott.
Az egyes eseménysorokat helyben is redundánsan tárolják és ezen események a szavazás végén és/vagy közben felküldésre kerülnek a központi rendszerbe.

Elvileg az is könnyen megoldható, hogy egy ilyen rendszert a mozgóurnával szállítsanak (3-5 raspberry pi-vel gyönyörűen megoldható redundánsan és biztonságosan egy ilyen rendszer).

--
Ickenham template engine

_Ha_ megbízható a szoftver és a HW (erős feltétel), akkor a három kívánatos tulajdonságból (ne lehessen szavazóhoz kötni a szavazatot [névtelenség]; a szavazó le tudja ellenőrizni a saját szavazatát [ellenőrizhetőség]; a szavazó bizonyítani ne tudja, hogy mire szavazott [vesztegetési/szavazatvásárlás ellehetetlenítése]) kettőt (névtelen és ellenőrizhető) teljesítettél. (ill. ha a két eseménysor üzemeltetői politikai ellenfelek, bármelyik tudja a saját adatbázisát úgy módosítani, hogy a másikat vádolhassa csalással)

BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)

_Ha_ megbízható a szoftver és a HW (erős feltétel)

A redundancia és az ellenőrzés tudja biztosítani, hogy a nem megbízható szoftver és hardver megbízható legyen.

a szavazó le tudja ellenőrizni a saját szavazatát [ellenőrizhetőség]; a szavazó bizonyítani ne tudja, hogy mire szavazott [vesztegetési/szavazatvásárlás ellehetetlenítése])

Ez a két pont kizárja egymást. Sőt a második pontot önmagában elég nehéz biztosítani.

(ill. ha a két eseménysor üzemeltetői politikai ellenfelek, bármelyik tudja a saját adatbázisát úgy módosítani, hogy a másikat vádolhassa csalással)

Épp annak elkerülésére kell le idő bélyegezni az egyes eseményeket, hogy bárki utólag meg tudja változtatni.

--
Ickenham template engine

Na igen, ha még az is feltétel, hogy a szavazás pillanatában ne készülhessen külső bizonyíték (ad absurdum: nem áll ott a szavazó mellett a megvesztegető), akkor valóban.

BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)