Тест дистанционного электронного голосования

Идея онлайн-голосования была одобрена Владимиром Путиным 23 мая 2020 года. Он подписал закон, который предусматривает внесение изменений в избирательное законодательство. Документ в принципе ввёл такое юридическое понятие, как «дистанционное электронное голосование» (ДЭГ). ДЭГ подразумевает сбор голосов граждан без использования бумажных бюллетеней, но с помощью специального программного обеспечения. Разработку системы Правительство РФ поручило Минкомсвязи и «Ростелекому».

Пилотный проект уже был обкатан в рамках голосования за поправки в конституцию. Однако без шероховатостей не обошлось: были и сбои, и атаки извне. Впрочем, все проблемы удалось решить оперативно, на процесс голосования они не повлияли. В итоге ДЭГ воспользовалось более миллиона граждан.

19 августа «Ростелеком» отчитался о создании для ЦИК России усовершенствованного ПО, в основу которого легла система децентрализованного шифрования блокчейн. Вскоре стало известно о проведении технического тестирования ДЭГ, в котором участвовало 30 тысяч человек. Процесс полностью повторял все этапы предстоящего голосования на довыборах в Госдуму в Курской и Ярославской областях (пройдёт 11–13 сентября): регистрация заявки, авторизация и идентификация с помощью «Госуслуг», голосование, подсчёт голосов.

Тестирование прошло успешно. Обошлось без сбоев, но в то же время удалось выявить потенциально слабые места системы, а именно использование избирателями устаревших браузеров, оптимизация под смартфоны, СМС-рассылка. Отдельно подчёркивается скорость подсчёта голосов — менее минуты.

Следующее тестирование ДЭГ — уже открытое — прошло 31 августа. Жители Курской и Ярославской областей голосовали за местные достопримечательности. От первого субъекта в онлайн-голосовании участвовало 2233 человека, от второго — 1135. Также систему протестировали 222 члена экспертного сообщества — они выбирали лучшее место отдыха в России. «Ростелеком» снова не зарегистрировал сбоев.

Следующий этап подразумевает более масштабное использование ДЭГ. Он, повторимся, пройдёт с 11 по 13 сентября на дополнительных выборах в Госдуму в тех же Курской и Ярославской областях. Чтобы проголосовать онлайн, жителям этих регионов необходимо до 8 сентября подать заявку на онлайн-голосование через портал госуслуг. По данным Минкомсвязи, на 31 августа заявки оформило более 15 тысяч граждан.

— Наша задача — чтобы граждане могли проголосовать в один клик и понимали, что это безопасно, анонимно и просто. Это первый опыт национального масштаба с использованием всей цифровой инфраструктуры на федеральных выборах. Уровень технической готовности к электронному голосованию достаточно высокий. Платформа дистанционного голосования существует не автономно, а в рамках общей инфраструктуры электронного правительства. Это даёт нам дополнительные преимущества. Во-первых, мы используем существующую систему авторизации пользователей на «Госуслугах», что обеспечивает 100-процентную идентификацию граждан. Во-вторых, инфраструктура электронного правительства позволит взять на себя часть пиковой нагрузки в момент выборов, — комментирует развитие системы глава Минкомсвязи Максут Шадаев.

Для чего вообще создаётся ДЭГ?

Думаем, ответ более чем очевиден: это удобно. Едва ли кто-то поспорит, что с появлением сайта «Госуслуги» взаимодействовать с государством в принципе стало проще и удобнее. Многие процедуры, которые раньше требовали личного присутствия человека в МФЦ, теперь можно провести, взяв в руки смартфон. То же самое в долгосрочной перспективе может произойти и с голосованием.

В первую же очередь, как считает председатель ЦИК Элла Памфилова, ДЭГ навсегда решит проблему досрочного голосования. Мол, зачем его проводить, если гражданин РФ и так сможет проголосовать практически из любой точки мира онлайн.

Во-вторых, случаи голосования на дому сведутся к минимуму.

— У нас сократятся до минимума потребности в тех процедурах многообразных, в тех видах и способах голосования, которые мы сейчас применяем, — говорит председатель ЦИК.

В-третьих, ДЭГ удешевит проведение голосования для государства в принципе.

— Если большая часть избирателей будет электронно выбирать в масштабах страны этот вид голосования, мы сэкономим массу бумаги, транспортные расходы и многое другое. Конечно, это очень перспективное голосование, — добавляет Элла Памфилова.

В конце концов, механизм электронного голосования является надёжным, прозрачным и публичным инструментом определения мнения граждан. ДЭГ минимизирует влияние человеческого фактора на голосование. А это влечёт за собой снижение вероятности вмешательства в ход выборов.

— Важно учитывать технологические особенности ДЭГ, где идентификация проходит посредством сайта госуслуг, на котором зарегистрировано и которым пользуется действительно большое количество россиян. И если мы планируем активно внедрять цифровизацию для создания прекрасной России будущего, то ДЭГ — это логичное дополнение той системы, которая уже существует, — рассказал Лайфу Никита Куликов, к.ю.н., генеральный директор АНО «Правороботов».

Опыт России уникальный?

И да, и нет. Россия занимает лидирующие позиции в мире по использованию дистанционных форматов голосования на выборах. И, разумеется, наша страна не является единственной, кто использует систему электронного голосования. Её применяли в разных странах мира: в США, во Франции, Германии, Швейцарии, Австралии, Канаде и не только.

Например, в Эстонии более 43% граждан голосуют на выборах при помощи Интернета. В Швейцарии, судя по опросам, введение интернет-голосования на выборах всех уровней поддерживает более 70% населения. Можно смело говорить, что введение ДЭГ стало международным трендом.

— Дистанционное голосование используется в целом мире. Однако применения ДЭГ в таком ракурсе, как в России, пока ещё нигде нет. В ряде стран видно внедрение технологичного голосования. В некоторых странах под дистанционным голосованием подразумевается голосование на бумаге по почте. Так что Россия в этом аспекте является первопроходцем, и если мы сами сейчас учимся на своих ошибках и дорабатываем их, то другие страны по итогу возьмут за пример именно наши наработки, — рассуждает Никита Куликов.

Это безопасно?

При организации дистанционного голосования в России будет использоваться блокчейн. Построенная на этой технологии разработка — полностью российская. Благодаря блокчейну и шифрованию данных голосование становится прозрачным и безопасным.

— Система совершенствуется постоянно, особенно по результатам таких серьёзных испытаний, как голосование в Мосгордуму и голосование по поправкам к конституции. Также формулируются требования к желающим принять участие в голосовании, для того чтобы не повторились случаи, когда некоторые пользователи новых аккаунтов не смогли принять участие дистанционно. А благодаря изучению поведения пользователей, изучению пиковых нагрузок система и наблюдатели учатся распознавать, когда голосование идёт в штатном режиме, а когда на систему идёт атака извне. Но, учитывая, что архитектура ДЭГ построена на блокчейне, а все логи поведения в Сети записываются, волеизъявлению граждан ничего не угрожает, — говорит эксперт из АНО «Правороботов».

Тайну голосования система тоже гарантирует. Ведь персональные данные участников электронного голосования надёжно защищены. Вопросом киберугроз создатели ПО тоже озадачились.

Заявки на проведение выборов в такой форме подали уже десять российских субъектов.

В России состоялось масштабное тестирование системы дистанционного электронного голосования. Проверка проходила во всех регионах страны, а участие в ней приняли свыше 1,2 миллиона граждан. Как сообщила глава ЦИК Элла Памфилова, голосование проходило с восьми часов утра 12 мая до восьми часов вечера 14 мая.

«Система отработала за это время свыше пяти миллионов транзакций. Это действительно по масштабу беспрецедентная тренировка была. После сборки ключей итоги голосования были подведены менее чем за пять минут», — сказала Памфилова.

По её словам, тестовые протоколы были переданы в технические комплексы без сбоев, однако идеальной проверку назвать всё же нельзя, поскольку в ходе испытаний были выявлены некоторые недостатки. Тем временем заявки на проведение дистанционного электронного голосования подали уже десять субъектов России: Москва, Северная Осетия, Воронежская, Вологодская, Мурманская, Нижегородская, Курская, Ярославская, Рязанская области и город Севастополь.

29 — 30 июля проходит тестирование московской системы дистанционного электронного голосования (ДЭГ). Наблюдатели используют это тестирование для апробации различных инструментов контроля корректности работы системы.

Московская система ДЭГ технически позволяет принять участие в контроле не только специалистам и наблюдателям, но и самим избирателям. Предлагаем каждому участвующему в дистанционном голосовании избирателю надежный способ проверить: учла ли система его голос, а затем убедиться и в корректности его учета. Мы надеемся, что такая же возможность самопроверки появится и в федеральной системе ДЭГ, разрабатываемой по заказу ЦИК России.

Для проверки следуйте инструкции из шести шагов.  На примере браузера Google Chrome.

Обновление 2 августа 2021 г. Более детально раскрыт шестой шаг.

Шаг первый

Перейдите по ссылке для голосования: https://elec.mos.ru/landing, авторизуйтесь, запросите СМС-код подтверждения и введите его в поле.

Шаг второй

На открывшейся странице — до того, как нажмете на кнопку «Принять» — нажмите на клавиатуре в Windows: Ctrl + Shift + i (на macOS: fn + F12), чтобы открыть режим разработчика веб-страниц. На экране нажмите на вкладку Network, затем поставьте галочку на Preserve log. Выглядит это вот так:

Шаг третий

На странице голосования нажмите кнопку «Принять» и проголосуйте по двум предложенным бюллетеням. 

Шаг четвертый

На боковой вкладке режима разработчика в поле Filter наберите цифру 1, в поле Name нажмите на вторую строку с именем 1, в правой части промотайте вниз до строки, начинающейся с rawTxHash, и скопируйте себе (нажав на строку правой кнопкой мыши) код, идущий после rawTxHash. Это — идентификатор вашего голоса в блокчейне.

Шаг пятый

Зайдите на https://observer.mos.ru, откройте первое голосование и вставьте скопированный идентификатор в поле поиска:

В открывшемся окне появится ваша транзакция, сохраненная в блокчейне:

Аналогичные действия повторите для второго голосования, указав в поиске на четвертом шаге цифру 2, скопировав себе полученный идентификатор и перейдя на поиск по транзакциям второго голосования.

Шаг шестой

После окончания времени голосования 30 июля и завершения системой расшифровки голосов зайдите на https://observer.mos.ru (для надежности сделайте это 31 июля), откройте необходимое голосование и вставьте скопированный идентификатор в поле поиска. 

Поиск выдаст две записи, соответствующие бюллетеню в блокчейне (одну, оставленную при его записи, вторую, помещенную в блокчейн при расшифровке). В любой из них в поле decrypted_choice вы сможете узнать, за какой вариант (какие варианты) вы проголосовали.

Таким образом можно убедиться в корректности сохранения и учета вашего голоса.

В поле decrypted_choice выбранные варианты приведены в виде массива идентификаторов, соответствующих выбору вариантов в бюллетене.

Чтобы узнать соответствие идентификаторов вариантам ответа нужно для данного голосования во втором выпадающем меню вместо опции «Все типы транзакций» выбрать фильтр «Создание голосования». Справа возникнет единственная транзакция из блокчейна, открыв которую в поле payload можно найти соответствие идентификаторов вариантам ответов.

Честных вам выборов!

Инструкция разработана членами технической рабочей группы Общественного штаба по наблюдению за выборами в г. Москве при Общественной палате Москвы c использованием наработок участников наблюдательского сообщества столицы.

Так как инструкция создана в целях тестирования функционала наблюдения, ее разработчики пока не гарантируют стабильность ее работы.

21 августа 2019 года прошло третье по счету публичное тестирование электронного голосования, которое было организовано непосредственно в тех округах (1, 10 и 30), где 8 сентября запланирован эксперимент по дистанционному электронному голосованию (ДЭГ) на выборах в Московскую городскую думу седьмого созыва. Горожанам предлагали ответить на вопросы, касающиеся перспектив развития их районов (см. интерфейс голосования в приложении). Было выдано 1806 электронных бюллетеней. Всего на участие в тестировании зарегистрировался 3401 избиратель. Средняя явка по трем округам составила 53,1%.

Это было первое тестирование с голосованием по трем округам. В первом тестировании, по вопросам студенческого самоуправления, и во втором, по судьбе бездомных животных, в системе тестировался лишь один округ.

Третье тестирование должно было стать последним публичным тестом, в ходе которого планировалось учесть ряд замечаний и предложений членов технической рабочей группы, в том числе авторов настоящего отчета. Дальнейшую доводку системы предполагалось проводить на экспертных тестированиях.

Однако в связи с возникшим сбоем при запуске процедуры расшифровки голосов, приведшей к четырехчасовой задержке начала подсчета голосов, и ряда других неудач, на 28 августа назначили четвертое публичное тестирование, которому будет предшествовать экспертное тестирование.

Настоящий отчет подготовили Дмитрий Кузнецов, Григорий Мельконьянц, Дмитрий Нестеров и Евгений Федин, наблюдавшие за тестированием.

Успехи тестирования

1.1. Более надежная длина ключа шифрования

Исправлена уязвимость, позволявшая злоумышленнику, имеющему доступ к системе на уровне избирателя, получать до окончания дня голосования данные о голосах, поданных за кандидатов, показанная Пьерриком Годри в исследовании «Взлом схемы шифрования Московской системы интернет-голосования». Она заключалась в низкой стойкости используемого шифрования из-за выбора малой длины ключа. Ключ шифрования был удлинен с 256 до 1024 бит.

1.2. Демонстрация избирателю зашифрованного голоса для проверки

В интерфейс избирателя добавлена функция, когда после голосования на странице появляется код с зашифрованным голосом и ссылка, которая должна была вести на инструмент расшифровки голоса после окончания голосования.

У этого плюса может быть оборотная сторона. Технической рабочей группе не предоставили возможность проанализировать, может ли использование данной ссылки приводить к деанонимизации голоса. Такое может случиться, к примеру, если ссылкой может пользоваться только авторизованный на портале mos.ru пользователь, и её использование сопровождается соответствующим логированием.

1.3. Сервис для наблюдателей с прямой трансляцией записей в блокчейн

Появился удобный инструмент «витрина наблюдателя» для доступа к данным, записываемым в блокчейн (см. скриншот), в том числе с генерацией csv-файлов с голосами. К сожалению, этот сервис через час после расшифровки голосов был отключен.

1.4. Расширен функционал рабочего места члена комиссии

В интерфейсе автоматизированного рабочего места члена комиссии был добавлен новый функционал:

• индикатор работоспособности системы (зеленый, желтый, красный), 
• вкладка с обращениями избирателей (которые поданы через личный кабинет и прошли фильтрацию на отсев технических вопросов и вопросов, не относящихся к дистанционному электронному голосованию, службой поддержки ДИТ),
• данные статистики стали чаще обновляться: через 15 минут вместо 30.

1.5. Аварийные тесты

Успешно прошли аварийные тесты в середине дня голосования УИКов. Они необходимы, чтобы показать, что голоса не пропадают и не добавляются новые в ситуациях: при отключении питания от печатающих устройств, потере ими связи с интернетом и, главное, при нарушении сетевой связанности (проблема, которая возникала в первом тестировании на студентах). При этом на автоматизированном рабочем месте включался соответствующий индикатор работоспособности системы индикатор.

1.6. Бумажный след

Усовершенствованы распечатки расшифрованных голосов для удобства проведения ручного подсчета голосов. Во-первых, расшифрованные голоса на бумажном носителе стали печатать не по одному на отдельных листах, а по девять, что повысило компактность и удобство. Во-вторых, появилась возможность сопоставления распечатки с зашифрованным голосом и расшифрованного голоса по короткому числу. Относительно небольшое число голосов упрощает нахождение пары зашифрованный — расшифрованный. На втором тестировании по номеру блока и хешу задачу поиска совпадающей пары в разумные сроки решить было практически невозможно.

Успешно протестирована распечатка бумажного списка избирателей после окончания голосования с отметками о факте выдачи электронного бюллетеня.

Неудачи тестирования

2.1. Сбой процедуры расшифровки голосов

Когда завершилось голосование, из семи частей был собран ключ, который при отправке на сервер должен был запустить процесс расшифровки голосов. Этот процесс должен сопровождаться новыми записями блоков с расшифрованными голосами в блокчейн и печатью голосов в таблицах на принтерах. Однако после отправки ключа процесс расшифровки с первого раза не запустился. 

Более того, принтеры начали печатать таблицы с одним и тем же «расшифрованным» результатом голосования «Вариант 0» для всех бюллетеней. С учетом того, что разработчики нумеруют варианты ответов на вопросы начиная с нуля, это выглядело не как нулевой результат, а как фактический результат голосования. Например, для первого округа под номером «0» значился ответ «Отдельной ветки скоростного трамвая с пересадкой на метро» на вопрос «Чего, на ваш взгляд, не хватает в Зеленограде?».

Процесс расшифровки пытались запустить многократно, однако это удалось сделать только в 00:23 ч (более чем через четыре часа после окончания голосования).

Несмотря на увеличение длины ключа шифрования и как следствие увеличение времени на расшифровку, публикация расшифрованных голосов в блокчейн заняла всего две минуты. Это где-то в 20 раз быстрее, чем на прошлом тестировании. С учетом произошедшего при запуске расшифровки голосов сбоя, данное обстоятельство выглядит странным и требует пояснений.

2.2. Низкая вовлеченность членов комиссий и слабое понимания о необходимых действиях

Правильно, что на тестирование были приглашены члены комиссий, которым предстоит работать в комиссиях электронного голосования и соответствующих ТИКах. Однако по факту они оказались слабо включены в процесс. Стало очевидным, что к кадровому подбору необходимо подходить более тщательно, с учетом специфики технической подготовки.

Избирательные комиссии не получили внятной публичной процедуры пересчета бюллетеней и действовали на собственное усмотрение. Сейчас предполагается осуществлять ручной пересчет, экспортируя расшифрованные данные в excel-таблицу, и сравнивать данные голосования там.

Помимо организации обучения членов избирательных комиссий необходимо разработать Рабочий блокнот члена УИК по ДЭГ. 

2.3. Не запустился сервис проверки правильности учета голоса

Полный функционал обещанного сервиса для избирателей, который позволял бы расшифровать голос и анонимно проверить правильность его учета, по неизвестным причинам не запустился. Ссылка на него давалась избирателю сразу после голосования — https://www.mos.ru/pgu/ru/app/mgik/mgd-view/. Сервис состоит из двух частей: первая часть была реализована — демонстрация избирателю после голосования цифрового кода с зашифрованным голосом, а вторую часть — не запустили, это непосредственно интерфейс, куда избиратель может вставить цифровой код, чтобы проверить правильность учета голоса.

2.4. Нестандартное поведение печатающих устройств

В ходе тестирования возникла серьезная проблема, для решения которой ДИТ потребовалось произвести переконфигурацию печатающих устройств после окончания голосования, что было бы недопустимо на реальных выборах.

Недокументированное поведение устройств, начавших печатать результаты без заполнения блокчейна и с «неправильной расшифровкой» результатов (для всех бюллетеней в качестве расшифрованного результата указывался первый из вариантов ответа) порождает вопросы о защите от некорректных настроек и рисках внешнего управления устройствами. 

Отсутствует публичная информация об устройстве и конфигурировании печатающих устройств, в том числе это неизвестно технической рабочей группе. До тестирования предполагалось, что принтеры имеют ограниченный функционал и печатают лишь содержимое определенных блоков из блокчейна. 

2.5. Противоречивая статистика

Выявленная на прошлых тестированиях проблема с противоречивыми статистическими данными не решена. Например, на 8:15 число выданных бюллетеней было 20, проголосовали — 12 человек, а отправленных СМС и заходов на страницу голосования — по нулям.

2.6. Работа с электронными обращениями не налажена должным образом

Специфика дистанционного электронного голосования должна предусматривать возможность подачи обращений (жалоб, заявлений) удаленно. На практике обращения, направляемые гражданами через личный кабинет mos.ru, проходят предварительную обработку операторами ДИТ. Из большого количества обращений, поступающих в ДИТ, операторы должны отобрать те, которые относятся к голосованию, а затем определить, направлять их техническим специалистам для решения проблемы или в избирательную комиссию для рассмотрения. Это приводит к ошибкам классификации, что ведет к тому, что до избирательной комиссии жалобы не доходят. Необходимо принять порядок обработки поступающих обращений.

Например, одна из поданных жалоб через личный кабинет mos.ru спустя три с половиной часа после начала голосования не привела к тому, что до окончания голосования она могла быть правильно обработана. Выявлены проблемы с классификацией жалоб: жалоба, отправленная совместно двумя участниками рабочей группы, была классифицирована как «детский отдых». В результате жалоба не была отражена в статистике на автоматизированном рабочем месте члена комиссии, текст жалобы не появился в соответствующей вкладке интерфейса, она не была рассмотрена и не отражена в протоколе.

2.7. Принуждение к участию в голосовании

В социальных сетях появились публикации о признаках использования административного ресурса на третьем тестировании системы дистанционного электронного голосования. В частности, о принуждении к участию в тестах работников центров социального обслуживания. Это подтверждает существующие опасения о новых возможностях применения административного ресурса при использовании интернет-голосования на выборах. К тому же есть основание полагать, что происходило голосование одних граждан за других.

Недостатки тестирования

3.1. Высокая доля непроголосовавших

Средняя явка по трем округам составила 53,1% (округ №1 — 55%, №30 — 54,6%, №10 — 49,2%). Дистанционное электронное голосование сложно сравнивать с традиционным голосованием в помещении для голосования, однако его можно попробовать сравнить с «надомным» голосованием. Если на «надомное» голосование много заявок, а по факту голосует лишь половина — это у наблюдателей сразу вызывает вопросы. Например, это может быть следствием технологии повышения явки, когда избирателей без их ведома незаконно записывают в реестр «надомников».

Значительное число записавшихся на участие в тестировании дистанционного электронного голосования (около 50 %) не приняли в нем участия по неясным причинам. Это тревожный факт, так как следует учитывать, что граждане предприняли определенные усилия для регистрации на тестирование и их отказ от голосования организаторам тестирования по возможности необходимо объяснить.

Для выяснения причин такого количества отказов от голосования, о которых необходимо знать, чтобы учесть к эксперименту 8 сентября, следует провести опрос среди таких избирателей и/или исследование логов. 

3.2. Использование кода без предварительной публикации 

Выяснилось, что при проведении тестирования использовался код, отличный от размещенного ДИТ на github. Это обстоятельство могло затруднить тестирование системы экспертным сообществом, так как специалисты рассчитывали увидеть один код, а ДИТ использовал другой.

Спасибо. Радует 🙂
Надеюсь, участникам тестирования не помешает то, что они исходили из того, что в гитхабе, а получили то, что на проде.

— Евгений Федин (@efedin_ru) 21 августа 2019 г.

3.3. Неоптимальный формат печатных документов для проверки

Выявлена функциональная неоптимальность форматов бюллетеней с зашифрованным голосом и таблиц с расшифрованными голосами, в частности, затрудняющая процедуру контрольного подсчета:

Технические порядковые номера голосов были сквозными для всех трех участков, что затрудняло сортировку и ручной подсчет распечатанных зашифрованных голосов на участках.

На таблицах с расшифрованными голосами не напечатан собранный ключ, по которому осуществляется расшифровка голосов (что делает печатные документы несамодостаточными).

Выбрано неудобное количество строк таблицы расшифрованных голосов на одном листе (9 вместо 10). 

В принтерах при печати использовались два варианта настроек шрифтов, один из которых (более крупный) приводил к тому, что четырехзначные номера бюллетеней, как в исходных бюллетенях, так и в таблицах расшифрованных голосов, печатались с переносом одного разряда на вторую строку, что создавало неудобство при сортировке бюллетеней и сопоставлении с таблицами расшифрованных голосов. Более компактный вариант настройки шрифтов оказался более удобен, не приводил к переносу четырехзначных номеров и позволял уместить 10 строк с голосами на одной странице.

3.4. Не документируется на бумажном носителе открытый ключ

Не учтены предложения печатать открытый ключ на бюллетенях с зашифрованными голосами, и печатать QR-код зашифрованного голоса (на бюллетене и в таблице с расшифрованными голосами), что позволило бы производить проверку правильности расшифровки голоса после завершения голосования без необходимости набора длинной последовательности символов, что времязатратно и может сопровождаться ошибками.

3.5. Попытки взлома и атаки ботов 

Руководитель общественного штаба по наблюдению за выборами Общественной палаты Москвы, инициатор проведения эксперимента по дистанционному электронному голосованию Алексей Венедиктов заявил в день голосования фиксации попыток взлома и атак ботов на систему.

При этом данные о предпринятых атаках (либо о попытках реализации негативных сценариев тестирования) были представлены лишь в формате короткого сообщения Венедиктова, не позволявшем проанализировать ни их, ни результаты. Сотрудники ДИТ не проинформировали присутствующих на тестировании наблюдателей и технических специалистов об этом.

В частности, не сообщено, на какие именно сервера осуществлялись запросы, какого рода они были, по каким критериям были отнесены к атакам ботов, как на эти запросы реагировала серверная инфраструктура. Осталось непонятным, кто и кому обещал осуществить взлом за 20 минут.

Непонятно, как было зафиксировано, что кто-то попытался восстановить приватный ключ: а именно его восстановление с последующей расшифровкой зашифрованных данных подавалось в публикациях СМИ как взлом электронного голосования при проводившемся тестировании стойкости используемого при голосовании шифрования.

Приложение. Интерфейс голосования

О результатах наблюдения за тестированием дистанционного электронного голосования на студентах московских вузов 11 июля 2019 г.

Департамент информационных технологий г. Москвы (далее, ДИТ Москвы) в рамках процесса разработки системы дистанционного электронного голосования на выборах депутатов Московской городской думы с 5 по 11 июля 2019 г. проводил тестирование этой системы на студентах московских вузов. На голосование выносился вопрос о выборе лучшего председателя студенческого совета Москвы по итогам учебного года, выбирали из 15 кандидатов.

Для участия в тестовом электронном голосовании необходимо было в период с 10:00 05.07.2019 по 20:00 10.07.2019 подать заявление на включение в список избирателей для дистанционного электронного голосования на официальном сайте мэра Москвы mos.ru. Далее необходимо было дождаться получения подтверждающего статуса в личном кабинете, на электронную почту или sms. 11 июля с 8:00 до 20:00 можно было проголосовать. Всего было получено 1986 заявок от студентов, из них к голосованию было допущено 1794. На следующий после голосования день, ДИТ Москвы сообщил СМИ, что в тестировании приняли участие 1253 студентов, всего было подано голосов 1218.

За демонстрацией тестирования наблюдали члены технической рабочей группы: Александр Исавнин (программист, член УИК, «РосКомСвобода», «Пиратская Партия»), Григорий Мельконьянц (сопредседатель движения «Голос», член Научно-экспертного совета при ЦИК России) и Евгений Федин (программист, член ТИК, движение «Сонар»). По итогам наблюдения подготовлен настоящий отчет.

Выводы

Можно констатировать, что в настоящий момент система не обеспечивает возможность технического контроля со стороны наблюдателей. Фактически в период тестирования можно было визуально наблюдать лишь за экраном со статистикой и печатающими устройствами.

При проведении интернет-голосования были зафиксированы случаи нарушения тайны голосования и принуждения к голосованию студентов. Руководителям студентов удавалось в принудительном порядке привлечь студентов к голосованию и полностью проконтролировать процесс их участия в выборах. 

Были зафиксированы случаи доступа к электронному бюллетеню и участия в тестовом голосовании третьих лиц, не зарегистрированных на портале mos. ru с помощью доступа к личному кабинету избирателя и его мобильному телефону. 

Студенты в процессе получения электронного бюллетеня сталкивались с различными проблемами, которые в том числе приводили к потере возможности проголосовать: из-за настроек и версий браузера, степени заполненности личного кабинета или кратковременного разрыва связи. Таким образом, право на участие в голосовании нарушалось без возможности восстановления.

Около 16:30 возник сбой, приведший к видимой остановке деятельности системы: контрольные листы перестали распечатываться, информация о количестве проголосовавших на экране перестала обновляться до окончания голосования. Таким образом был зафиксирован отказ базовой функциональности по отображению промежуточных итогов, по печати данных о поданных голосах, по печати данных об участии в голосовании. Это также привело к тому, что этап расшифровки голосов и подведения итогов был проведен в закрытом режиме без наблюдателей.

На момент составления настоящего отчета, спустя 20 часов после окончания процедуры интернет-голосования, протокол с результатами голосования еще не был опубликован. В социальной сети «ВКонтакте» на странице «Ассоциации студентов и студенческих объединений Москвы» в час ночи появилась информация лишь о трех победителях, без дополнительной информации по количеству выданных бюллетеней, количеству проголосовавших и распределению голосов по всем 15 кандидатам. Для сравнения, системы электронного голосования типа КОИБ или КЭГ выдают результаты голосования непосредственно после завершения процедуры голосования в присутствии наблюдателей и членов комиссии.

Мы рассчитываем, что отчет с указанием всех выявленных недостатков и уязвимостей в рамках тестирования будет опубликован ДИТ Москвы.

Взаимодействие между отдельными подразделениями не налажено. В поддержании функционирования системы, в противоречие духу гласности выборов, участвует неопределенный круг лиц, вовлеченных в функционирование ИТ инфраструктуры города, но не в организацию электронного голосования, что может приводить к подобным или более серьезным сбоям. К тому же это существенно усложняет проведение выборов и контроль за ними.

Процедуры технического восстановления системы и деятельности избирательной комиссии в случае неустранимых сбоев на тестировании не прорабатывались. Обращаем внимание, что участники технической рабочей группы с начала ее работы задавали вопрос про работу избирательной комиссии в случае технических сбоев, вопрос был разработчиками «принят к сведению».

Разработка системы ведется без учета духа избирательного законодательства, исключительно как один из многочисленных сервисов «Портала мэра Москвы». Процедуры, которые должны обеспечивать независимость и гласность деятельности избирательной комиссии, не прорабатываются и не воспринимаются разработчиками системы как первоочередные.

Разработка и эксплуатация системы ведется без публикации документов, подтверждающих соответствие разработки требованиям Московской городской избирательной комиссии.

Возможности для наблюдения в рамках тестирования

11 июля на площадке Московской городской Думы был организован демонстрационный электронный избирательный участок:

• установлены экраны (Изображение 1) с обновленной статистикой голосования по трем показателям: дата/время, всего проголосовали, всего приняли участие/выдано бюллетеней). Указанные показатели обновлялись с 8:00 до 10:00 каждые 60 минут, затем стали обновляться каждые 30 минут;

• установлены два печатающих устройства на прозрачных ящиках (Изображение 2), одно из которых распечатывало на термобумаге формата А5 Ф. И. О. проголосовавших студентов, а второе — закодированные голоса. 

Участникам наблюдения не были предоставлены инструментальные возможности для технического наблюдения: нода наблюдателя, код программного обеспечения, доступ к серверу, доступ к системе мониторинга в случае использования таковой, доступ к рабочему месту председателя комиссии. Не был предоставлен список избирателей.

Также не было обеспечено системное предоставление информации о проблемах, которые находили студенты-тестировщики, разработчики, о том, какие из найденных проблем исправляются, а какие настройки меняются.

ДИТ Москвы позиционировал тестирование со студентами с целью выявления и отработки возможных ошибок, для отлаживания всех элементов системы. Помимо внутреннего тестирования ДИТ Москвы самой системы, акцент был сделан на сбор обратной связи от студентов, которые сталкивались с теми или иными техническими проблемами при голосовании. 

Второе тестирование для технических специалистов с публикацией кодов должно начаться с 15 июля. При этом стоит отметить, что сроки публикации программных кодов сдвигались неоднократно с мая на июнь, с июня на июль. Третье тестирование ДИТ Москвы обещает провести для профессионалов с экскурсией в ЦОД и тестовым голосованием наблюдателей и кандидатов в середине августа, т. е. в период, когда уже будет осуществляться прием заявок на участие в электронном голосовании 8 сентября. Остается открытым вопросом, появятся ли на последующих этапах тестирования эффективные инструменты технического контроля за системой. 

Замечания

В связи с тем, что участники наблюдения фактически не были допущены до технического контроля непосредственно электронной системы, ниже приводится описание того, что удалось зафиксировать при внешнем наблюдении.

2.1. Сбой системы

Около 16:30 печатающие устройства прекратили свою работу. По информации ДИТ, голоса продолжали учитываться, однако задания для печати информации об этих голосах копились в очереди. На экране статистика также перестала обновляться и с 17:00 показывались одни и же числа по выданным бюллетеням и проголосовавшим студентам (Изображение 3). 

Сбой привел к тому, что внешнее наблюдение за процессом голосования было сорвано. В 19:00 руководство ДИТ Москвы предложило участникам наблюдения расходиться, так как восстановить работу системы не удалось, и что запланированный для демонстрации подсчет голосов — введение ключей для дешифрования, распечатка на печатающем устройстве контрольных листов с расшифрованными голосами — будут проводиться позже непублично. 

Таким образом был зафиксирован отказ базовой функциональности по отображению промежуточных итогов, по печати данных о поданных голосах, по печати данных об участии в голосовании. Это также привело к тому, что этап расшифровки голосов и подведения итогов был проведен в закрытом режиме.

О причинах сбоя обещали проинформировать на заседании технической рабочей группы 15 июля.

При этом на следующий после голосования день ИА «ТАСС» привело официальную версию, которую озвучил заместитель руководителя ДИТ Москвы Москвы Артем Костырко: «Причиной сбоя стала проблема в сетевых настройках. Система была включена задолго до начала голосования для проверки на контрольных примерах и впервые работала непрерывно больше 12 часов. А сетевые настройки для вывода результатов не были сделаны должным образом».

Также в СМИ было заявлено, что «студенты-наблюдатели, представители МГИК, кто оставался до конца голосования в пилотном электронном участке, смогли присутствовать при процедуре сборки ключа и начала расшифровки. К слову сказать, явка и первичные сведения о количестве проголосовавших, использованных и неиспользованных электронных бюллетенях были доступны через 10 минут после окончания голосования». Стоит отметить, что указанная в сообщении процедура «сборки ключа и начала расшифровки» является лишь началом процесса подсчета голосов, который изначально предполагался для демонстрации и не был проведен публично из-за сбоя. Расшифровка голосов избирателей занимает до двух часов, что дополнительно предполагает печать расшифрованных голосов на печатающем устройстве и изготовление протокола.

2.2. Сбои при доступе к электронному бюллетеню

В процессе получения электронного бюллетеня студенты сталкивались с различными проблемами из-за настроек и версий браузера, степени заполненности личного кабинета или кратковременного разрыва связи. Приведем несколько примеров.

Накануне дня голосования система уведомляла избирателя о предоставлении права участия в голосовании, однако в день голосования из-за того, что в профиле на mos.ru у студента не был указан пол, не позволяла голосовать. Указание пола в день голосования также не приводило к устранению проблемы.

При переходе к процедуре голосования студенты не могли проголосовать из-за ошибки, связанной с устаревшей версией браузера. Обновление версии браузера до последней не привела к работе сервиса. Приступить к процедуре голосования можно только при смене браузера.

Было зафиксировано, что студенты не могли завершить голосование из-за потери электронного бюллетеня, если на этапе его заполнения кратковременно прерывалась связь с интернетом. При этом появлялось сообщение об ошибке «Голос не может быть подан» (Изображение 4). При дальнейших попытках проголосовать выдавалось сообщение о запрете доступа к дистанционному электронному голосованию (Изображение 5). Это также подтверждает и ДИТ Москвы, в официальном сообщении которого сказано, что «проблемы при голосовании возникли у 1,7% голосовавших и были связаны с потерей связи на мобильном телефоне».

2.3. Соблюдение тайны голосования и принуждение к голосованию

При проведении интернет-голосования были зафиксированы случаи нарушения тайны голосования и принуждения к голосованию студентов. 

Руководителям студентов удавалось в принудительном порядке привлечь к голосованию студентов и полностью проконтролировать процесс их участия в выборах. В том числе, с участием руководителей удавалось:

• зарегистрировать студентов на портале mos.ru;
• находиться в помещении, где студент голосует;
• видеть избирательный бюллетень голосующего;
• узнать за кого избиратель собирается проголосовать;
• в процессе проставления отметки вместе с ним обсудить представленные кандидатуры;
• в процессе проставления отметки проагитировать проголосовать за иного кандидата;
• изменить выбор студента до проставления отметки.

С помощью контроля доступа к интернету руководству удавалось заблокировать доступ избирателей к порталу mos.ru на любом этапе голсования. Кратковременная блокировка доступа к сети на этапе проставления отметки в бюллетене приводила к ошибке и потере бюллетеня. Таким образом право на участие в голосовании нарушалось без возможности восстановления.

2.4. Идентификация и аутентификация избирателей

2.5. Ошибки в отображении информации на экране

В первые часы голосования было обнаружено, что на информационном экране публикуется некорректная информация о количестве выданных бюллетеней и проголосовавших (Изображение 6). Получалось, что на 10.30 проголосовало больше (101), чем было выдано бюллетеней (95). После замеченного несоответствия программисты поменяли местами эти числа.

В течение дня работники ДИТ Москвы имели возможность вносить изменения в работу элемента системы, отображающего статистику голосования (менялся номер версии на экране из Фото 1). Это говорит о компетентности разработчиков и их готовности вносить изменения по актуальным замечаниям. Но в итоговой системе должно быть гарантированно отсутствие возможности внесения изменений в систему в процессе работы избирательной комиссии.

Требования к выводу данных о ходе голосования на информационном экране не были указаны в функциональных требованиях, сценариях участия пользователя портала в дистанционном электронном голосовании и техническом задании в тех версиях, которые были предоставлены технической рабочей группе и/или опубликованы в качестве приложения к решению Московской городской избирательной комиссии. Cпецифицированный пунктом 3.8.10 функциональных требований объем сведений (количество зарегистрировавшихся избирателей, число принятых бюллетеней и статус: идет регистрация / регистрация завершена / идет прием бюллетеней и т. д.) не соответствовал тому, что отображалось на информационном экране.

2.6. Несовершенство интерфейса подтверждения участия в голосовании

Один из студентов, участвующих в тестировании сервиса, в 19.51 зафиксировал состояние страницы подтверждения участия в голосовании (Изображение 7).

Как можно видеть на данной странице, текст подтверждения, с которым следовало согласиться участнику эксперимента, содержал неверное название выборов. Студенты участвовали в выборах лучшего председателя студенческого совета Москвы по итогам учебного года, а для участия в них каждому из тестировщиков требовалось подтвердить, что он ознакомлен с порядком проведения дистанционного электронного голосования на иных выборах, выборах депутатов Московской городской Думы седьмого созыва. При этом не удалось найти место, где этот порядок был опубликован. Обращаем внимание, что представителям ДИТ Москвы на заседании технической рабочей группы 8 июля 2019 г. было указано на эту недоработку.

Также страница не предполагала какой-либо интерфейс упрощенного сообщения о выявленной проблеме, контакта, по которому о проблеме можно сообщить. Студент-тестировщик не получил от организаторов эксперимента сценариев тестирования либо методологии его проведения.

2.7. Реагирование на ошибки

Поскольку мероприятие позиционировалось как первое в серии из трех тестирований перед запуском эксперимента, было важно получить информацию о реагировании на ошибки, выявляемые в ходе тестирования, и об оперативности их исправления.

• Олег Реут: Долгожданное тестирование Интернет-голосования;
• Василий Вайсенберг: В Центризбиркоме показали образец цифрового участка;
• Как пройдет голосование на цифровых участках.

Поддержать борьбу «Голоса» за честные выборы рублём.

«Ростелеком» подвел итоги технологического тестирования системы дистанционного электронного голосования (ДЭГ), которое состоялось в рамках подготовки к использованию ДЭГ на общероссийской тренировке 12–14 мая и в единый день голосования (ЕДГ) 19 сентября 2021 года. Тестирование прошло в несколько этапов с 13 апреля по 5 мая с участием 25 000 человек из 85 субъектов России.

Тестирование полностью повторяло все этапы настоящего голосования: регистрация заявки на участие в электронном голосовании, авторизация и идентификация с помощью портала госуслуг, онлайн-голосование, подсчет голосов.

«Ростелеком» проверил устойчивость, безопасность, удобство и функционал системы ДЭГ. Всего было запущено 170 голосований и получено более двух тысяч отзывов с обратной связью о работе системы. По итогам тестирования улучшены отображения экранов наблюдателя, отлажен функционал обращений в техническую поддержку, учтены пожелания по усовершенствованию пользовательских интерфейсов.

«Технологическое тестирование ДЭГ успешно завершилось, перерывов и сбоев в функционировании системы не было. Нам удалось максимально подготовить систему ДЭГ к общероссийской тренировке, которую протестируют уже 2,5 миллиона избирателей по всей России», — рассказал директор по цифровым платформам «Ростелекома» Владимир Волков.

Следующим этапом в подготовке к выборам 19 сентября станет общероссийское тестирование системы ДЭГ 12–14 мая 2021 года. Цель — комплексная проверка готовности ДЭГ к внедрению и использованию в ЕДГ-2021, а также информирование избирателей о новых возможностях для голосования.

Система ДЭГ разработана компанией «Ростелеком» и Минцифры по заказу ЦИК России в рамках национальной программы «Цифровая экономика Российской Федерации». Технология впервые была использована в единый день голосования 13 сентября 2020 года на дополнительных выборах депутатов Государственной Думы седьмого созыва в Курской и Ярославской областях.

Читайте также