Единая система электронного голосования

ДИТ достает бюллетень из сундуков

Итак, голосование заканчивается, надо подводить итоги выборов.

ДИТ берет фальш-сундук из витрины и открывает его секретным ключом, достает из него настоящий сундук и ключ избирателя. Далее он берет свой ключ из пункта 2 и одновременно с ключом избирателя открывает ими двойной замок. И достает из сундука бюллетень с поддельными номерами кандидатов.

Требования к системе

Основные требования, которые предъявляются к любой системе для голосования, в целом одинаковы и для традиционного очного голосования, и для дистанционного электронного голосования, и определены Федеральным законом от 12.06.2002 N 67-ФЗ (ред. от 31.07.2020) «Об основных гарантиях избирательных прав и права на участие в референдуме граждан Российской Федерации».

• Голосование на выборах и референдуме является тайным, исключающим возможность какого-либо контроля за волеизъявлением гражданина (ст.7).
• Возможность голосования должна быть предоставлена только лицам, обладающим активным избирательным правом на этом голосовании.
• Один избиратель – один голос, не допускается «двойное» голосование.
• Процесс голосования должен быть открытым и гласным для избирателей и наблюдателей.
• Должна обеспечиваться неизменность поданного голоса.
• Должна отсутствовать возможность подсчитать промежуточные итоги голосования до его завершения.

Итак, у нас три участника: избиратель, избирательная комиссия и наблюдатель, между которыми определен порядок взаимодействия. Еще можно выделить четвертого участника – органы, осуществляющие регистрационный учет граждан на территории (прежде всего, органы МВД, а также другие органы исполнительной власти), поскольку активное избирательное право связано с гражданством и местом регистрации.

Все эти участники взаимодействуют друг с другом.

Шаг 1. Формирование списка кандидатов

Демонстрация кандидатов и их номеров наблюдателям

ДИТ до выборов подготавливает список из кандидатов и каждому из них присваивает уникальный номер. И этот список выкладывают на всеобщее обозрение в витрину, где на него могут посмотреть независимые наблюдатели.

Процесс дистанционного голосования

Теперь подробно рассмотрим процесс дистанционного электронного голосования и его реализацию компонентами ПТК ДЭГ.

Согласно Порядку дистанционного электронного голосования, для включения в список участников дистанционного электронного голосования избирателю необходимо подать заявление на портале Госуслуг. При этом подать такое заявление могут только те пользователи, которые имеют подтвержденную учетную запись и успешно сопоставлены с регистром избирателей, участников референдума системы ГАС «Выборы». После получения заявления данные избирателя еще раз проходят проверку в ЦИК России и загружаются в компонент «Список избирателей» ПТК ДЭГ. Процесс загрузки сопровождается записью уникальных идентификаторов в блокчейн. Доступ к просмотру списка имеют члены избирательной комиссии и наблюдатели с помощью специального АРМ, размещенного в помещении избирательной комиссии.

При визите избирателя на участок происходит его аутентификация (сопоставление с данными паспорта) и идентификация в списке избирателей, а также проверка того, что этот избиратель ранее еще не получал бюллетень. Здесь важный момент – невозможно установить, опустил ли избиратель полученный бюллетень в урну или нет, только факт того, что бюллетень уже выдавался ранее. В случае ПТК ДЭГ визит избирателя представляет собой обращение пользователя на Портал ДЭГ – это сайт, расположенный по адресу vybory.gov.ru Как и на традиционном участке, на сайте размещены информационные материалы о проводимых избирательных кампаниях, сведения о кандидатах и другая информация. Для проведения идентификации и аутентификации используется ЕСИА Портала Госуслуг. Таким образом, сохраняется общая схема идентификации как при подаче заявления, так и при участии в голосовании.

После этого начинается процедура анонимизации – избирателю выдается бюллетень, который не содержит никаких идентификационных отметок: у него нет номера, он никак не связан с избирателем, которому он был выдан. Интересно рассмотреть вариант, когда участок оборудован комплексами электронного голосования – в этом случае анонимизация выполняется следующим образом: вместо бумажного бюллетеня избирателю предлагается выбрать из стопки любую карточку со штрих-кодом, с которой он подойдет к устройству для голосования. На карточке нет никаких данных об избирателе, только код, определяющий, какой бюллетень должен быть предоставлен устройством при предъявлении такой карточки. При полностью цифровом взаимодействии основная задача – реализовать такой алгоритм анонимизации, чтобы, с одной стороны, невозможно было установить никакие идентификационные данные пользователя, а с другой стороны – предоставить возможность голосования только тем пользователем, кто ранее был идентифицирован в списке. Для ее решения в ПТК ДЭГ применяется криптографический алгоритм, известный в профессиональной среде как «слепая электронная подпись». Мы подробно расскажем о нем в следующих публикациях, а также опубликуем исходный код, вы тоже можете собрать дополнительную информацию из публикаций в интернете по ключевым словам – «криптографические протоколы тайного голосования» или «слепая подпись»

После того как выбор сделан, бюллетень зашифровывается на устройстве пользователя с применением специальной схемы шифрования, отправляется и записывается в компонент «Распределенное хранение и подсчет голосов», построенный на базе блокчейн-платформы.

Одна из важнейших характеристик протокола – это невозможность узнать итоги голосования до его завершения. На традиционном участке это обеспечивается опечатыванием избирательной урны и контролем со стороны наблюдателей. В цифровом взаимодействии лучшим решением является шифрование выбора избирателя. Используемый алгоритм шифрования исключает возможность раскрытия результатов до завершения голосования. Для этого используется схема с двумя ключами: одним (открытым) ключом, который известен всем участникам, производится шифрование голоса. Расшифровать его этим же ключом нельзя, нужен второй (закрытый) ключ. Закрытый же ключ разделен между участниками избирательного процесса (членами избирательных комиссий, общественной палаты, операторами серверов подсчета, и так далее) таким образом, что каждая отдельная часть ключа бесполезна. Приступить к расшифровке можно только после того, как закрытый ключ будет собран. В рассматриваемой системе процедура разделения ключей включает в себя несколько этапов: разделение части ключа внутри системы, разделение ключа вне системы и формирование общего публичного ключа. Мы подробно покажем процесс шифрования и работы с криптографическими ключами в следующих публикациях.

После того как ключ собран и загружен, начинается подсчет итогов для их дальнейшей фиксации в блокчейне и последующего оглашения. Особенностью рассматриваемой системы является использование технологии гомоморфного шифрования. Мы подробно опишем этот алгоритм в следующих публикациях и расскажем о том, почему эта технология широко используется для создания систем голосования. А сейчас отметим ее основную особенность: записанные в систему учета зашифрованные бюллетени можно без расшифрования скомбинировать таким образом, что результатом расшифровки такого комбинированного шифротекста будет суммированное значение по каждому варианту выбора в бюллетенях. При этом в системе, конечно, реализованы математические доказательства корректности такого расчета, которые также записываются в систему учета и могут быть проверены наблюдателями.

Ниже приведена схема процесса голосования.

Название и правовой статусПравить

• В фильме «Человек года» (2006) герой Робина Уильямса выигрывает президентские выборы благодаря ошибке во время подсчёта голосов на электронном устройстве.
• Документальный фильм «Взламывая демократию» (2006) запечатлел аномалии и нарушения в работе электронных систем для голосования, произошедшие с 2000 по 2004 год, особенно во Флориде.
• Документальный фильм «Неучтённый» (2008) показал проблемы АО и ПО устройств Diebold.
• В сериале «Герои» влиятельный преступник Линдерман помогает выиграть выборы Нейтану Петрелли при помощи мальчика, управляющего электронными устройствами через прикосновение.

Блокчейн-платформа

Теперь, когда мы разобрали основные особенности реализации системы дистанционного электронного голосования, ответим на вопрос, с которого начинали – а какую роль в этом играет технология блокчейн и какие задачи она позволяет решить?

В реализованной системе дистанционного голосования технология блокчейн решает определенный круг задач.

• Базовая задача – обеспечение неизменности информации в рамках голосования, и, в первую очередь, голосов избирателей.
• Обеспечение прозрачности исполнения и неизменности программного кода, реализуемого в виде смарт-контрактов.
• Обеспечение защиты и неизменности данных, используемых в процессе голосования: списка избирателей, ключах, используемых для шифрования бюллетеней на различных этапах криптографического протокола, и так далее.
• Обеспечение децентрализованного хранения данных, при этом каждый участник имеет абсолютно идентичную со всеми копию, подтвержденную свойствами консенсуса в сети.
• Возможность просматривать транзакции и отслеживать ход голосования, полностью отражающегося в цепочках блоков, от его начала до записи рассчитанных итогов.

Таких образом, мы видим, что без использования данной технологии добиться наличия в системе голосования необходимых свойств, как и доверия к ней, практически невозможно.

Функциональность применяемой блокчейн-платформы обогащена использованием смарт-контрактов. Смарт-контракты проверяют каждую транзакцию с зашифрованными бюллетенями на подлинность электронной и «слепой» подписей, а также проводят базовые проверки корректности заполнения зашифрованного бюллетеня.

При этом в рассматриваемой системе дистанционного электронного голосования компонент «Распределенное хранение и подсчет голосов» не ограничивается только блокчейн-узлами. Для каждого узла может быть развернут отдельный сервер, который реализует основные криптографические функции протокола голосования – серверы подсчета.

Серверы подсчета

Это децентрализованные компоненты, обеспечивающие процедуру распределенной генерации ключа шифрования бюллетеней, а также расшифрование и подсчет итогов голосования. В их задачи входит:

• Обеспечение распределённой генерации части ключа шифрования бюллетеней. Процедура генерации ключа будет рассмотрена в следующих статьях;
• Проверка корректности зашифрованного бюллетеня (без его расшифрования);
• Обработка бюллетеней в зашифрованном виде для формирования итогового шифротекста;
• Распределенное расшифрование итоговых результатов.

Каждый этап исполнения криптографического протокола фиксируется в блокчейн-платформе и может быть проверен на корректность наблюдателями.

Для придания системе необходимых свойств на различных этапах процесса голосования используются следующие криптографические алгоритмы:

• Электронная подпись;
• Слепая подпись публичного ключа избирателя;
• Схема шифрования Эль-Гамаля на эллиптических кривых;
• Доказательства с нулевым разглашением;
• Протокол разделения закрытого ключа по схеме Шамира.

Более подробно криптографический сервис будет рассмотрен в следующих статьях.

Обзор системы дистанционного электронного голосования ЦИК РФ

Время на прочтение

31 августа 2020 состоялся публичный тест системы дистанционного электронного голосования (далее ДЭГ) с применением технологии блокчейн, разрабатываемой по заказу ЦИК РФ.

Для знакомства с новой системой электронного голосования и понимания того, какую роль в ней играет технология блокчейн и какие еще компоненты используются, мы начинаем серию публикаций, посвященных основным техническим решениям, применяемым в системе. Начать предлагаем по порядку — с требований к системе и функциям участников процесса

КритикаПравить

Текущая версия страницы пока не проверялась опытными участниками и может значительно отличаться от версии, проверенной 5 марта 2023 года; проверки требуют 3 правки.

Электронное голосование — термин, определяющий различные виды голосования, охватывающий как электронные средства голосования (электронная демократия), так и технические электронные средства подсчёта голосов. Разновидностями электронного голосования являются Интернет-выборы и телефонный сервис телеголосование.

Технологии электронного голосования могут включать в себя перфокарты, системы оптического сканирования и специализированные терминалы для голосования. Они также могут включать передачу избирательных бюллетеней и голосов по телефону, частным компьютерным сетям или через Интернет.

Технология электронного голосования позволяет ускорить процесс подсчёта голосов, а также упростить голосование людям с ограниченными возможностями. Но в настоящее время ведутся споры о том, что электронное голосование может быть подвержено нарушениям (большим, чем при традиционных системах голосования).

ДИТ тайно засовывает настоящий сундук с бюллетенем в свой фальшивый

ДИТ получает этот сундук с ключом и зачем-то вместо того, чтобы сразу положить его на витрину, как это должно быть, он запихивает сундук избирателя и его ключ в свой сундук и вешает на него секретный замок, а ключ от него хранит у себя и никому не показывает. И вот уже этот фальш-сундук ДИТ относит на витрину к наблюдателям вместо настоящего. Получается, что на витрине вроде бы тот же самый сундук, но его не может открыть никто кроме ДИТ даже после конца голосования.

Фальшивый сундук невозможно проверить независимым наблюдателям даже имея ключи от настоящего сундука

Как устроено электронное голосование простым языком и в рисунках

В этой статье я хочу рассказать вам, как устроено электронное голосование в Москве, и показать, почему оно абсолютно не защищено от корректировки итогов выборов. Моя задача — не рассказать о том, как конкретно корректировали результаты выборов, а продемонстрировать порочность архитектуры, которая, несмотря на все заявления Департамента информационных технологии (ДИТ) г. Москвы, допускает вмешательство и возможность изменения итоговых результатов электронного голосования.

Но проблема в том, что система достаточно сложна и имеет свои нюансы. Если рассказывать далекому от IT человеку про все тонкости блокчейна и шифрования, то он послушает вас минуту, а потом развернётся и уйдет по своим делам, ничего не поняв. Это одна из главных проблем электронного голосования — 99% избирателей не понимают, как оно работает и где оно может нас обмануть.

Как говорил Стивен Хокинг, любая формула снижает количество читателей вдвое. Мне кажется, что любой IT-термин снижает аудиторию минимум втрое, поэтому я попытался не использовать профильные термины, а объяснил все «на пальцах» и в комиксе! Надеюсь, у меня это получилось.

Если Вы хотите узнать поглубже о проблемах электронного голосования, рекомендую статью Петра Жижина:

Сундук — Зашифрованная информацияЗамки и ключи — Ключи шифрованияБлокчейн — Витрина

Компоненты системы

С технической точки зрения система ДЭГ представляет из себя программно-технический комплекс (далее ПТК), объединяющий набор компонентов для обеспечения взаимодействия участников избирательного процесса в единой информационной среде.

Схема взаимодействия компонентов и участников системы ПТК ДЭГ приведена ниже на рисунке.

Анализ систем электронного голосованияПравить

В мае 2004 года Отдел правительственного учёта США опубликовал отчёт под названием «Преимущества и текущие задачи электронного голосования», в котором были проанализированы преимущества и проблемы электронного голосования. Второй отчёт под названием «Работы по улучшению безопасности и надёжности систем электронного голосования», опубликованный в сентябре 2005 года, описывал некоторые проблемы электронного голосования и предстоящие улучшения.

В отчете было показано, что системы электронного голосования становятся всё более сложными, включающими в себя программное обеспечение, поэтому возможны различные виды нарушений. Также говорилось, что поскольку избиратели не могут как-либо подтвердить свой голос, то таким системам нельзя доверять. С другой стороны, некоторые ИТ-специалисты говорят, что нельзя доверять любой программе, автором которой ты не являешься.

Системы электронного голосования могут использовать электронные бюллетени для хранения голосов в памяти компьютера. При этом отпадает необходимость затрат на печать бюллетеней. При проведении выборов, в которых бюллетени должны быть на нескольких языках, электронная система может быть настроена на использование многоязычных бюллетеней на одном и том же устройстве. Такая возможность является уникальной для электронных голосований. Нет нужды рассчитывать, сколько бюллетеней на каждом языке необходимо поставить в каждый избирательный пункт.

Критики же говорят, что проблему распределения бюллетеней на разных языках по избирательным участкам можно решить путём печати бюллетеней прямо на месте. Также они утверждают, что проверка качества ПО, аппаратного обеспечения, проверка качества установки и настройки систем являются сложными и дорогостоящими, и нет гарантии, что электронные бюллетени будут менее дорогостоящими, чем печать бумажных бюллетеней.

Системы электронного голосования вполне доступны людям с ограниченными возможностями. Системы, использующие перфокарты, и системы сканирования недоступны людям с недостатками зрения. Кнопочные системы могут вызывать трудности для людей, ограниченных в движениях. Электронные же системы могут использовать наушники, педали, джойстики и другие приспособления для обеспечения доступности.

Некоторые организации подвергают критике доступность электронных систем и предлагают альтернативу. Некоторые недееспособные избиратели (например слепые) могут использовать тактильные системы, специальным образом помечающие места, в которых нужно поставить отметку. Но в то же время люди с ограниченными двигательными функциями подобные системы использовать не в состоянии.

Системы электронного голосования позволяют избирателям подтвердить свои голоса с помощью математических вычислений. Такие системы снижают вероятность записи некорректного голоса.
Одним из способов является использование цифровой подписи. При стандартном её использовании можно гарантировать надёжность и точность проведения голосования, но нельзя гарантировать анонимность, что даёт возможность запугивания или подкупа избирателя. Но если использовать алгоритм прослеживаемой кольцевой подписи, то можно обеспечить анонимность голоса и при этом гарантировать отсутствие двойного голосования с применением одного и того же секретного ключа.

Некоторые криптографические решения позволяют избирателю самому подтверждать правильность выбора, не прибегая к услугам третьей стороны. Каждый голос может быть помечен случайным образом сгенерированным идентификатором сессии, что позволяет избирателю проверить, что его голос был правильно учтён, с помощью общедоступной системы наблюдения за голосованием.

Системы электронного голосования могут обеспечивать обратную связь с избирателем для выявления таких проблем, как недостаточное или превышенное количество голосов, которые могут привести к порче бюллетеня. Немедленная обратная связь может быть полезной для уточнения намерений избирателя.

Основная проблема с любым устройством для голосования — убедиться в том, что голоса правильно учтены и записаны. Она часто решается с помощью независимой системы аудита, также называемой «независимым подтверждением». Такие системы включают в себя возможность проверки избирателями, как их голоса были подсчитаны.

Для убеждения избирателей в правильности подсчёта голосов, предотвращения сбоев или мошенничества и проведения аудита, существует множество технологий. Некоторые системы используют криптографию, бумажное подтверждение, аудиоконтроль, а также технологию двойной записи (на электронный носитель и бумагу).

Системы голосования со сквозным аудитом выдают избирателям подписанные квитанции, которые можно забрать домой. Такие квитанции не позволяют узнать, как именно проголосовал избиратель, но позволяют проверить, что голос был учтён, узнать общее количество голосов и результаты голосования.

Системы, позволяющие посторонним узнать, как именно проголосовал избиратель, никогда не использовались на государственных выборах, и были объявлены незаконными. Основная причина этого решения — возможность запугивать избирателей и покупать их голоса.

Также системы аудита могут использоваться для обнаружения неполадок оборудования и случаев мошенничества. В случае использования системы VVPAT, бумажный бюллетень является основным документом, а электронные голоса используются только для предварительного подсчёта.
Для успешного аудита устройства для голосования необходима целая последовательность мероприятий.

Неправильное обеспечение безопасности аппаратной части может привести к серьёзным проблемам. Постороннее оборудование может быть внедрено внутрь устройства для голосования или между пользователем и устройством недобросовестным обслуживающим персоналом, так что даже опечатывание устройства не всегда помогает.

Специалисты по безопасности, например Брюс Шнайер, считают, что исходный код программного обеспечения, использующегося в устройствах для голосования, должен быть открыт для публичного изучения. Другие призывают к тому, чтобы программное обеспечение создавалось и распространялось как свободное.

Тестирование и сертификация

Одним из методов выявления ошибок является параллельное тестирование, проводящееся в день выборов с произвольно выбранными устройствами. Так, на президентских выборах в США 2000 года неправильно были учтены только в среднем 2 голоса по каждому избирательному округу.

Поток критики можно уменьшить проведением осмотров и проверок с целью выявления мошеннического аппаратного и программного обеспечения, а также проведением комплекса мер по предотвращению его внедрения.
Достоинствами систем электронного голосования являются небольшое время подсчёта голосов и увеличение явки избирателей, особенно при проведении интернет-голосований.

Критики также говорят о том, что при проведении дистанционного голосования очень сложно или невозможно идентифицировать избирателя, поэтому такие голосования сильно уязвимы.

До сих пор неясно, меньше ли общая стоимость электронных систем голосования стоимости иных систем.

Риски и правовые проблемы

• Нарушение принципа личного голосования и свободы волеизъявления в процессе дистанционного голосования. Сложно определить, кто именно голосует. Кроме того, на голосующего в момент голосования может оказываться административное давление или иной контроль.
• Нарушение принципа гласности избирательного процесса на отдельных этапах.
• Нарушение тайны голосования. Система может предоставлять возможность деанонимизации поданного голоса, в том числе через фиксацию времени голосования.
• Сбои в работе информационной системы дистанционного голосования, выход из строя сервисов или какого-либо потенциально неправомерного воздействия на них. Данный риск усугубляется ограниченным временем, отведённым для голосования, а также участием нескольких различных субъектов, ответственных за корректность работы системы.
• Сознательное искажение результатов голосования.

СсылкиПравить

Чтобы принять участие, необходимо иметь подтверждённую учётную запись на Госуслугах, а также подать соответствующее заявление с 21 апреля по 7 мая 2021.

Общероссийская тренировка системы дистанционного электронного голосования будет проходить с 8:00 12 мая по 20:00 14 мая 2021 года (по московскому времени). Жители всех регионов России могут сделать это через портал Госуслуг.

Голосование будет полностью повторять все этапы реальной избирательной кампании. В 75 регионах пройдет тренировка выборов в Госдуму — избиратели получат по два электронных бюллетеня: для голосования по одномандатному округу и по партийным спискам. В десяти субъектах граждане проголосуют на всех уровнях выборов, запланированных на Единый день голосования 19 сентября. Это Вологодская, Воронежская, Курская, Мурманская, Нижегородская, Рязанская, Ярославская области, республики Бурятия и Северная Осетия — Алания, а также город Севастополь.

Результаты голосования ЦИК России подведет с 19 по 21 мая.

Шаг 3. Голосование

Подмена номеров кандидатов

Избирателю в браузер от ДИТа приходит список кандидатов с их номером и половина замка. Но номера кандидатов не те, что были заявлены публично и лежат в витрине. Они заменены по какому-то внутреннему алгоритму, какому именно — никто не знает, так как открытого кода нигде нет. Видимо, у них внутри есть секретная табличка связей реального номера кандидата и подставного.

Избиратель запирает бюллетень и прикладывает к сундуку ключ

После того, как избиратель выберет, за кого он хочет проголосовать, браузер кладет его бюллетень в сундук и запирает его соединенным из двух частей замком. И этот запертый сундук с ключом избирателя отправляется на сервер.

Браузер избирателя закрывает сундук на двойной замок, состоящий из половинок Избирателя и половинки ДИТа

ИсторияПравить

На выборах в законодательные органы власти дистанционное электронное голосование впервые было проведено в единый день голосования 8 сентября 2019 года и на выборах депутатов в Московскую городскую Думу VII созыва.