Es ist nicht bekannt, wie ein Internet-Abstimmungssystem aufgebaut werden kann, das nachweislich sicher und überprüfbar ist. Ron Rivest, Turing-Preisträger und R in RSA, hat das Internet-Voting bekanntermaßen mit betrunkenem Fahren verglichen: etwas, das man einfach nicht sicher machen kann.

(Mit Internet-Voting meine ich das Abstimmen über das Internet vom Kunden Computer, die nicht von den Wahlbehörden kontrolliert werden, einschließlich der elektronischen Rückgabe von Stimmzetteln über das Internet.)

Das Argument gegen Internet-Abstimmungen ist etwas ausführlich, aber Details finden Sie in den folgenden Artikeln:

• Wenn ich online einkaufen und bankieren kann, warum kann ich dann nicht online abstimmen?, David Jefferson.

• Eine Sicherheitsanalyse des Experiments zur sicheren elektronischen Registrierung und Abstimmung (SERVE), David Jefferson, Avi Rubin, Barbara Simons und David Wagner. Veröffentlicht in Auszug in Communications of the ACM, Band 47, Nummer 10, Oktober 2004.

• Angriff auf das Internet-Abstimmungssystem in Washington, DC, Scott Wolchok, Eric Wustrow, Dawn Isabel und J. Alex Halderman. Veröffentlicht im FC 2012.

Verpassen Sie nicht das letzte Papier. Es ist ein total epischer Hack eines Internet-Abstimmungssystems.

Welche Eigenschaften sollte ein Online-Abstimmungssystem idealerweise haben?

1. Sicher

   • Jeder Wähler kann nur einmal abstimmen
   • Die Wahlbehörde kann keine Stimmen hinzufügen oder entfernen, ohne erwischt zu werden.

2. Datenschutz / Anonymität

   Andere Personen (einschließlich des Staates) können Finden Sie nicht heraus, wofür Sie gestimmt haben.

3. Sie sollten nicht in der Lage sein, jemand anderem zu beweisen, wie Sie abgestimmt haben, um gekaufte Stimmen oder Stimmen unter Zwang zu verhindern

4. Trojaner sollten nicht in der Lage sein, Stimmen zu ändern.

5. Der Prozess sollte für Nicht-Experten verständlich / überprüfbar sein.

Was können wir erreichen?

5) Nicht-Experten-Überprüfung
Das ist für ein Online-System ziemlich hoffnungslos. Die erforderliche Krypto ist einfach zu kompliziert. Ich halte dies jedoch nicht für eine wesentliche Eigenschaft.

4) Trojaner
Ich kann mir keine Möglichkeit vorstellen, das System bei Vorhandensein von Trojanern sicher zu halten. Man kann einfach versuchen, sie nicht zu haben. Zum Beispiel mit einer Live-CD. Ich kann mir keine Möglichkeit vorstellen, das System in Gegenwart von Trojanern sicher zu halten.

In einer idealen Welt können wir zumindest ein System erreichen, das 1) Sicherheit und 2) Anonymität bietet, nicht sicher über 3 ). Die Implementierung eines Systems, das 1) und 2) erreicht, ist in der Praxis jedoch bereits ziemlich ärgerlich.

Skizze zum Aufbau eines solchen Systems

Sie müssen in der Lage sein, anonym mit dem zu kommunizieren Abstimmungsserver mit TOR oder ähnlichem.

Dann müssen Sie das Stimmrecht einmal von der tatsächlichen Abstimmung trennen. Blinde Unterschriften erlauben dies grundsätzlich. Sie erfordern jedoch zwei Schritte:

1. Verwandeln Sie Ihre nicht anonyme Abstimmungsberechtigung in eine Abstimmung.
2. Senden der Abstimmung an den Abstimmungsserver.
ol>

Sie müssen vorsichtig sein, um einen Seitenkanalangriff zu vermeiden, der eine Korrelation dieser beiden Schritte ermöglicht, z. B. durch Timing oder IP.

Am Ende wird eine Liste aller erhaltenen Stimmen veröffentlicht, sodass jeder Wähler überprüfen kann, ob seine Stimme gezählt wurde, und eine Liste der Namen aller Wähler wird veröffentlicht, sodass Nichtwähler überprüfen können, ob niemand in ihrem Namen abgestimmt hat. und dass es nicht mehr Stimmen als Wähler gibt. Eine erhebliche Anzahl von Wählern und Nichtwählern muss dies überprüfen, damit das System sicher ist.

Dieses Schema bietet nicht 3), und ich bin nicht sicher, ob es möglich ist, diese Eigenschaft hinzuzufügen.

Selbst der Aufbau dieses Systems in der Praxis scheint eine ziemliche Herausforderung zu sein, wenn Sie alle Seitenkanalangriffe auf die Anonymität vermeiden möchten. Zum Beispiel muss zwischen Schritt 1 und 2 eine ausreichende Verzögerung liegen, und Sie benötigen wahrscheinlich einen Anonymisierer für die langsame Weiterleitung, um eine Verkehrsanalyse zu vermeiden.

Fazit

Es scheint mir, als würde ich eine implementieren Ein Online-Abstimmungssystem, das dem eines herkömmlichen papierbasierten Systems sogar nahe kommt, ist praktisch nicht möglich. Daher empfehle ich, bei wichtigen Wahlen bei gutem alten Papier zu bleiben, aber es könnte möglich sein, Online-Abstimmungen mit weniger wichtigen Abstimmungen zu verwenden.

Ich denke, das deutsche Oberste Gericht hat das Problem sehr gut gelöst:

Überprüfbarkeit

Das deutsche Verfassungsgericht entschied über jede Art von Wahlgeräten:

Die Verwendung von Abstimmungsgeräten [...] entspricht nur dann den verfassungsrechtlichen Anforderungen, wenn die wesentlichen Schritte der Abstimmung und Zählung zuverlässig überprüft werden können und ohne Expertenwissen .

Das Urteil wurde durch einen Fall auf traditionellen Wahlcomputern motiviert, aber das Urteil ist allgemeiner: Diese Wahlcomputer bestehen aus einer Tastatur und ein Bildschirm. Der Wähler drückt die Taste für die Partei seiner Wahl. Die Abstimmung wird angezeigt und der Wähler muss sie bestätigen.

Ein Wähler kann jedoch auf keinen Fall überprüfen, ob die Partei, die er ausgewählt und auf dem Bildschirm gesehen hat, die Partei ist, für die seine Stimme gezählt wird. Die Regierung versuchte zu argumentieren, dass die Wahlcomputer von einer offiziellen Institution überprüft und versiegelt worden waren, um Manipulationen zu verhindern.

Das Gericht machte jedoch sehr deutlich, dass "von Experten überprüft" nicht gut genug ist, um dies zu erfüllen die Anforderungen demokratischer Wahlen.

Hinweis: Es spielt keine Rolle, ob die Abstimmung mit einem ausländischen Abstimmungscomputer oder einem Computer des Wählers erfolgt: Personen können ihren eigenen Computer nicht überprüfen funktioniert entweder richtig. Dies beginnt bereits mit dem Verständnis einer Open-Source-Abstimmungssoftware, geht aber natürlich bis zum Mikrocode in der Hardware.

Anonymität und Nichtbeweisbarkeit

Bei dem Urteil ging es nur um die Überprüfbarkeit durch Nichtfachleute. Natürlich darf jede Lösung für dieses Problem nicht gegen die anderen Anforderungen demokratischer Wahlen verstoßen.

Zum Beispiel könnte die Überprüfung der Stimmen durch Veröffentlichung einer vollständigen Liste aller Wähler mit Adressen und Stimmen erfolgen. Demokratische Wahlen erfordern jedoch Anonymität , um die Wähler zu schützen, und Nichtbeweisbarkeit , um den Verkauf von Stimmen zu verhindern.

Es gibt einige clevere Konzepte, die Informationen nicht für jedermann sichtbar zu veröffentlichen, dem Wähler jedoch die Möglichkeit zu geben, seine Stimme zu überprüfen. Aber diese Konzepte sind für Durchschnittsbürger aufgrund der komplexen Mathematik nicht leicht zu verstehen. Wir sind also wieder auf dem ersten Platz.

Außerdem können sie nicht gleichzeitig die Nichtbeweisbarkeit und Beweisbarkeit erfüllen. Aber wenn sie niemandem erlauben zu beweisen, dass seine Stimme nicht so gezählt wurde, wie sie sein sollte, ist es sehr wahrscheinlich, dass eine Reihe von Menschen nach jeder Wahl Betrug nennen wird.

tl; dr: Internet-Voting ist jetzt sicherlich eine schlechte Idee für wichtige Wahlen.

Viele von uns betrachten sicheres Internet-Voting als eines der großen ungelösten Probleme in IT-Sicherheit. Dies liegt an der sehr herausfordernden Anforderung an Anonymität und Transparenz . Es kombiniert auch die enormen Herausforderungen der Sicherung von Clients und Servern und erfordert den Umgang mit Denial-of-Service . Es wurde bei DESSEC als würdig für einen X-PREIS nominiert: Entwerfen eines Wettbewerbs für sichere Systemtechnik.

Ein großer Fortschritt bei der Lösung des Server -Problems kommt Mit den jüngsten Fortschritten bei der homomorphen Verschlüsselung, die ein nahezu Wunder bewirken: Sie können verschlüsselte Stimmzettel öffentlich in der Cloud speichern und der Öffentlichkeit erlauben, beide zu addieren, um die Stimmenzahl für jeden Kandidaten zu bestätigen. und um zu überprüfen, ob ihre eigene Stimme tatsächlich in der Gesamtzahl enthalten war, ohne eine Quittung zu haben, aus der hervorgeht, wie sie gegenüber einem Dritten abgestimmt haben. Eine großartige Implementierung und Erklärung finden Sie im Helios Voting -System. Es ist für risikoarme Wahlen geeignet. Aber selbst der Autor Ben Adida sagt " Eine Regierungswahl ist etwas, das Sie nicht über das Internet durchführen möchten " und nennt sowohl das Potenzial für Computerviren als auch " Korrigieren Sie die Abstimmung und die Möglichkeit der Einschüchterung der Wähler .

Das Problem des Kunden ist viel schwieriger zu lösen, aber in der Tat ein würdiges Ziel, das viele Menschen sind arbeiten an. Das Denial-of-Service-Problem ist angesichts der aktuellen Architektur des Internets sehr unlösbar.

Ein guter Überblick über das Thema ist Internet Voting in den USA in CACM, Oktober 2012.

Ein würdiges 2012-Video zu diesem Thema von Ben Adida ist Wo ist meine Stimme?.

Internet-Abstimmungen sind jetzt für wichtige Wahlen sicherlich eine schlechte Idee. Die Erfahrung der Niederlande mit Online-Abstimmungen ist eine Lehre daraus und wie die Wähler über die Fakten aufgeklärt werden können. Ihr Rijnland Internet Election System (RIES) hatte große Sicherheitslücken und wurde 2008 nach nur wenigen Jahren der Nutzung aufgegeben. Siehe Elektronische Abstimmung in den Niederlanden: Von der vorzeitigen Annahme bis zur vorzeitigen Abschaffung.

Siehe auch eine vorherige Frage dazu: Sicheres Internet-Polling - IT-Sicherheit

Meiner Meinung nach ist das größte unlösbare Problem bei internetbasierten Abstimmungen, dass die Wähler nicht vor sozialem Druck geschützt sind . Die Wahlkabine dient dazu, dass jeder Wähler seine eigene Wahl treffen kann: Niemand sieht, was in den Umschlag eingefügt ist, und der Wähler kann keinen Beweis zurückbringen, dass er / sie für einen bestimmten Kandidaten gestimmt hat

In einem System, in dem Menschen von zu Hause aus abstimmen, gibt es keinen Stand. Wähler können ihre Stimme "verkaufen", indem sie vor den Augen derjenigen abstimmen, die sie bestechen, um auf eine bestimmte Weise abzustimmen. Außerdem können Wähler nicht mehr frei über die Wünsche ihrer neugierigen Frau / ihres neugierigen Ehemanns abstimmen.

Die Abstimmung (die anonyme Abstimmung für politische Wahlen) erfordert also einen Stand und kann nicht sicher von zu Hause aus durchgeführt werden. Und wenn Sie einen Stand haben, ist das ganze Gerede über Abstimmungsprotokolle nur eine Möglichkeit, den Zählprozess zu optimieren, der effizient mit Papieren und Personen durchgeführt werden kann.

(Of Natürlich ist die internetbasierte Abstimmung für einige Fachwahlen großartig, insbesondere für die Wahlen für einige Verbände - z. B. die IACR -, bei denen der Verkauf von Stimmen eine absurde Idee zu sein scheint und es wirklich selten zwei Wähler gibt im selben Haus und auch nicht anonyme Wahlen in Aktionärsversammlungen. Aber für Regierungswahlen niemals.)

Eigentlich haben sie das schon seit einigen Jahren in Estland gemacht. Zum ersten Mal auf der Welt haben sie 2007 erfolgreich eine elektronische Abstimmungsrunde durchgeführt. Seitdem tun sie dies immer noch. Sie nennen es einen Erfolg, obwohl ich ziemlich skeptisch bin. Sie können mehr darüber auf ihrer offiziellen Website und natürlich auf Wikipedia lesen. Beachten Sie, dass sie ID-Karten verwenden, um Personen zu identifizieren.

Ich bin sicher, man könnte ein so sicheres System erstellen. Sicherheit ist nicht das Hauptproblem.

Das Hauptproblem ist: Ohne die Privatsphäre der Wahlkabine können Sie nicht sicher sein, dass die Wähler nicht unter Druck wählen. Dies ist ein großes Anliegen für die Demokratie.