avs Online

(Editoitu julkaisun jälkeen selkeämmäksi, jouduin juoksemaan kieli vyön alla ulos.)

Viitaten edelliseen blogientryyni sähköisestä äänestämisestä ajattelin kertoa myös hiukan teknisiä taustoja järjestelmästä. Koska mitään todellisia speksejä minulle ei lähetetty, seuraavassa kertomani ovat omaa tulkintaani, joka perustuu patentin, TietoEnatorin korkean tason esittelyn ja alihankkijayrityksen FAQ:n lukemiseen.

Järjestelmän alla pyörii siis espanjalaisen Scytl-nimisen firman äänestysmoottori Pnyx. Onneksi kyseinen firma on melko hyvin perillä sähköisen äänestämisen protokollista, joten ihan pelkkä Perl-hakkeroitu skripti ei ole kyseessä. Oleellisin asia toiminnasta löytyy US-patentista 7260552, jossa kuvataan nettiäänestysjärjestelmä. TietoEnatorin dokumentin perusteella tämä patentti vastaa Suomeen tulevaa järjestelmää.

Kaikuja ongelmista alkaa kuulua melko pian dokumentin alun jälkeen:

The cryptographic processes and protocols included in this invention require from the voter complex mathematical calculations during his interactions [...] The complexity of said calculations causes that they are carried out on behalf of the voters by [...] a set of programs or software.

Suomeksi siis, kadunmiehen on luotettava tekniikkaan.

Yksinkertaistaen systeemi toimii niin, että äänestäjä allekirjoittaa äänensä digitaalisesti. Vastineeksi äänestäjä saa sähköisen kuitin (TietoEnatorin dokumentin mukaan tätä ei tosin Suomessa käytetä). Kuitista ei voi nähdä, mitä äänestettiin. Annettu ääni salataan vaalilautakunnan yksityisellä avaimella, joka on jaettu salaisuudenjakoprotokollalla vaalilautakunnan jäsenten kesken (ts. yksittäinen lautakunnan jäsen ei pääse käsiksi ääniin). Äänet siirretään vaalilautakunnalle, joka avaa salauksen yhteisesti jakamallaan avaimella, laskee äänet ja jos kuitteja käytettäisiin, julkaisisi kuitit nettisivulla. Kukin äänestäjä voisi sitten tarkistaa, että hänen kuittinsa löytyy nettisivulta.

Algoritmit ja protokollat ovat nähdäkseni melko hyvin tunnettuja ja mitään uusia itse kokoon keitettyjä juttuja ei tunnu systeemissä olevan. Järjestelmässä on kuitenkin muita juttuja, jotka ovat haavoittuvuuksia: miten esimerkiksi salaisten avainten luonnissa käytetyt tietovälineet tyhjennetään? Miten ääntenlaskussa käytetyt tietovälineet tyhjennetään? Miten järjestelmän eheys sorsasta ajossa olevaksi binääriksi taataan? Onko äänestyskoneen käyttöliittymä luotettava, jos äänestyskuittia ei ole? Onko laskennassa käytetty softa varmasti oikein ja luotettavasti toteutettu? Ja vaikka kuittia käytettäisiin, jaksaako jokainen äänestäjä todella käydä tarkistamassa äänensä laskemisen jossakin nettipalvelussa, vai onnistuisiko pienimuotoinen vanhuspitoisen äänestyspaikan huijaus sittenkin?

Valinnaisesta kuittitoiminnallisuudesta patentti kertoo, että kuiteista voi joko nähdä lasketuksi tulleen äänensä tai sitten ei. Jos ei, mistä äänestäjä tietää sen tulleen oikein lasketuksi ja jos kyllä, hellan ja nyrkin välissä äänestys saattaa tulla jälleen ongelmaksi (erityisesti jos äänestysmahdollisuuksia on vain yksi ja se nyrkki pääsee käsiksi kuittiin). Patentti maalailee tähän erilaisia ratkaisuja, mutta ratkaisut tuntuvat olevan sen verran esoteerisiä, että kaipaisin oikeaa teknistä speksiä (tai meditaatioretriittiä) niiden ymmärtämiseksi - ainakaan se ei nyt parissa minuutissa auennut. Mutta tätähän ei Suomessa käytetä, koska laitteet toimivat oikein joka tapauksessa.

Eli siis - jos ohjelmistot toimivat oikein ja jos äänestyslautakunta on rehellinen eikä esimerkiksi päätä lähettää Gestapoa hakemaan väärin äänestäneitä kansalaisia puhutteluun, äänestyksen tulos voi olla luotettava. Mutta mielestäni tässä on kyllä aivan liian monta "jos" -sanaa, ainakin kun systeemiä verrataan siihen puulaatikoita ja paperilappuja käyttävään järjestelmään, jossa äänestystuloksen laajamittainen manipulointi vaatisi jalkautumista joka niemeen ja notkelmaan ja keskenään kilpailevien puolueaktiivien harhauttamista tai lahjomista.

Demokratia on sellainen juttu, että sillä ei pitäisi leikkiä, vaikka käytössä olisikin hieno tekninen vempain. Lopetankin toiveikkaaseen otteeseen em. patentista:

Anyway, the software implementing the process of mixing ballots must be duly audited and certified to guarantee that no operation will be carried out other than the cryptographic processes and protocols of this invention.

Toivotaan näin. Minä vain en pysty siitä itse varmistumaan.