Il voto elettronico: potenzialità e rischi lungo la strada della democrazia elettronica.

Transcript

1 Il voto elettronico: potenzialità e rischi lungo la strada della democrazia elettronica. Federica Bertoni e Claudio Telmon. Security Summit - Roma - 7 e 8 giugno 2017.

2 Chi siamo. Claudio Telmon Libero professionista Membro del Comitato Direttivo e del Comitato scientifico di Clusit 2

3 Informatico Forense, libera professionista. Perito e CTU presso il Tribunale Ordinario di Brescia. Iscritta al Ruolo dei Periti e degli Esperti della Camera di Commercio di Brescia. Chi siamo. Federica Bertoni Certificata CIFI (Certified Information Forensics Investigator). Socia IISFA (INFORMATION SYSTEM FORENSICS ASSOCIATION ITALIAN CHAPTER). Socia CLUSIT. Socia AIP. Collabora con la Cattedra d Informatica Giuridica, Facoltà di Giurisprudenza di Brescia. 3

4 Perché ci preoccupiamo? An efficient and provably-secure coercion-resistant e-voting protocol Alireza Toroghi Haghighat, Mohammad Sadeq Dousti, Rasool Jalili Eleventh Annual International Conference on Privacy, Security and Trust (PST), 2013 Il problema è risolto: abbiamo un protocollo efficiente, sicuro e resistente alla coercizione 4

5 DOMANDE? 5

6 RICOMINCIAMO... 6

7 Perché il voto elettronico? Motivazioni comuni, oltre che «è meglio» o o o economicità; rapidità, in particolare nelle operazioni di conteggio; possibilità di consultazioni più frequenti, favorendo la cosiddetta "democrazia diretta"; possibilità di voto fuori sede, ad esempio all'estero per consultazioni europee, o dove ci si trova in ferie, o per gli italiani all'estero; riduzione degli errori di voto e di conteggio; riduzione dei brogli; o maggiore facilità per i disabili. 7

8 Errori e brogli Ogni paese ha le sue esigenze e particolarità: - India: ballot stuffing - Stati Uniti (2000): hanging chads 8

9 In Italia? Ci sono poche informazioni pubbliche sulle forme di broglio praticate e sui numeri, a parte che «tutti sanno» che il voto di scambio e il broglio sono pratica comune in alcune zone - la scheda mancante - la mina sotto l unghia - la matita cancellabile - ma soprattutto... 9

10 Brogli 10

11 Voto da casa... di chi? Democrazia diretta... da chi? 11

12 Tipologie Voto da remoto vs. voto da seggio Voto elettronico vs. Scrutinio elettronico (e VVPAT) Modelli basati sulla sicurezza dei sistemi vs. modelli basati su algoritmi crittografici 12

13 Il problema dell implementazione Anche nel caso di utilizzo di algoritmi crittografici, si pone il problema della loro corretta implementazione o in Italia, chi implementerebbe i sistemi? Il vantaggio degli algoritmi più avanzati è che prescindono dall implementazione dei sistemi centralizzati, mentre il componente personale può essere open source o ma rimane il tema della sicurezza del dispositivo, del canale, ecc. 13

14 Effetto Tempest ed effetto scacchi Il voto in Olanda era iniziato a fine anni 90 (prima che negli USA) Uno studio ha mostrato come i sistemi utilizzati fossero attaccabili (come in molti altri paesi), riprogrammane uno per giocare a scacchi Il colpo di grazia è stato dato dalla scoperta della possibilità di capire se qualcuno stava votando per un certo partito, grazie all effetto Tempest Nel 2007 l Olanda ha rinunciato al voto elettronico Nel 2010 l Irlanda ha chiuso la sperimentazione in corso, perché antieconomica 14

15 Un cambio di paradigma? Adesso ogni cittadino sa come funziona il nostro sistema di voto, ed ogni cittadino può partecipare alla verifica delle procedure di voto (come scrutatore, rappresentante di lista, ecc.) Con il voto elettronico, specialmente con l uso di algoritmi crittografici, un ristretto gruppo di tecnici sarà garante della correttezza del sistema e del suo utilizzo. Gli altri cittadini potranno solo fidarsi. 15

16 Marshall McLuhan. 16

17 Le 4 leggi sui media. 17

18 La Tetrade di McLuhan calata nel contesto del voto elettronico: I media (elettronici). Tradizione VS modernità. 1) Che cosa intensificano o potenziano i sistemi di voto elettronico? 2) Che cosa i sistemi di voto elettronico rendono obsoleto? 3) Quali opportunità i sistemi di voto elettronico creano? 4) In che cosa vengono convertiti i sistemi di voto elettronico se portati alle loro estreme conseguenze? POTENZIALITÁ RISCHI 18

19 La Tetrade di McLuhan e il voto elettronico: le risposte. Le domande Risposte Valore Che cosa intensificano o potenziano i sistemi di voto elettronico? Più partecipazione. (Teorica). Potenzialità. Potenzialità VS Rischi. Che cosa i sistemi di voto elettronico rendono obsoleto? Quali opportunità i sistemi di voto elettronico creano? Sistema tradizionale (risparmi di tempo ed economici). Più partecipazione (Teorica). Potenzialità. Potenzialità. In che cosa vengono convertiti i sistemi di voto elettronico se portati alle loro estreme conseguenze? Meno partecipazione (Effettiva). (In)-Sicurezza effettiva dell effettività del voto espresso. Rischi. 19

20 Informatica e democrazia: un binomio possibile? E se fosse anche «SOLO» vero che «Man mano che la velocità dell informazione (elettronica) aumenta, la politica tende ad allontanarsi dalla rappresentanza e dalla delegazione degli elettori in favore di un coinvolgimento immediato dell intera comunità nelle decisioni fondamentali». (Marshall Mc Luhan, «Gli strumenti del comunicare»). TUTAVIA ORA stiamo vivendo un periodo in cui l attenzione è rivolta a una questione che pare essere ancora più concreta della precedente: quella della sicurezza dei sistemi di voto elettronico. 20

21 I sistemi di e-voting. Quando, in una o più fasi di un processo elettorale, si adottano tecnologie elettroniche e/o informatiche si parla di e-voting. 21

22 La complessità. I sistemi di e-voting sono sistemi complessi. 22

23 Il voto (elettronico) è una transazione fra l elettore e il sistema elettorale. Una definizione. Elettore protocollo Sistema elettorale 23

24 I requisiti minimi di sicurezza del diritto di voto elettronico. 1) Eleggibilità: solamente gli elettori che ne hanno diritto possono partecipare alle votazioni. Possono votare una e una sola volta. 2) Accuratezza: non deve essere possibile alterare il voto, eliminare dal computo finale un voto valido e/o mantenere nel conteggio finale un voto non valido; 3) Privacy: nessuno deve essere in grado di collegare una scheda elettorale (proprio voto o preferenza) all elettore. 4) Verificabilità: in caso di dubbio deve essere garantita una facile verifica. 5) Efficienza: ragionevolezza dei tempi delle varie fasi del processo di voto. 6) Scalabilità: La dimensione delle elezioni non deve assolutamente incidere negativamente sull efficienza. + eventualmente 7) Responsabilità: poiché in alcuni paesi è obbligatorio votare, deve essere possibile individuare gli elettori che non hanno votato. 24

25 I principali protocolli di voto elettronico sono caratterizzati dall utilizzo di alcune tecniche crittografiche comuni. Esse sono: Le basi dei protocolli più complessi. a) La firma elettronica cieca (blind signature). b) La cifratura omomorfa. c) Le mix-nets. d) La blockchain. 25

26 La firma elettronica cieca. La tecnica di firma cieca (blind signature) permette a un autorità di firmare un messaggio (un documento) senza che ne sia rivelato il contenuto. 26

27 La cifratura omomorfa. Con il sistema della cifratura omomorfa è possibile sommare due numeri cifrati senza decifrarli. Questa tecnica implica che lo scrutinio di un processo elettorale avvenga senza che sia necessario decifrare i singoli voti, tutelando in tal modo pienamente l anonimato degli elettori. 27

28 Le mix nets. Tramite i cosiddetti mix server è possibile permutare e ricifrare i messaggi che vi transitano in modo che sia eliminata qualsiasi corrispondenza tra messaggio e mittente. 28

29 La blockchain. Attraverso la blockchain è una transazione in Bitcoin a costituire il voto espresso da un elettore per un determinato candidato. Di conseguenza non è modificabile, non può essere replicato più volte, può essere pubblicato senza consentire l identificazione del votante che l ha espresso. 29

30 A property of electronic voting systems where a voter is not able to prove to a coercer what way he/she voted. This is an important property as it prevents voters being bought or blackmailed by those who intend to unlawfully influence the results of the election. La coercionresistance. 30

31 Possibilità (certa!) di elementi di errore. ESEMPIO LAMPANTE: La sicurezza dei protocolli di e-voting. Stati Uniti 31

32 I metodi di voto elettronico adottati nei singoli stati americani. 32

33 I principali meccanismi di voto elettronico negli USA sono: I 3 principali metodi americani di voto elettronico. Punch Card Voting System. Optical Scan Paper Ballot System. Direct Recording Electronic (D.R.E.). 33

34 IL PUNCH CARD VOTING SYSTEM. Con questo meccanismo l elettore deve perforare, attraverso l apposito punzonatore dell urna, la scheda in corrispondenza del nome del candidato prescelto. Quindi l elettore deposita la scheda nell urna. Lo spoglio delle votazioni è rapido ed è automatizzato da una macchina in grado di leggere i fori sulle schede. 34

35 Metodo basato sulla una scansione ottica delle schede. L elettore indica sulla scheda la propria preferenza di voto utilizzando un marcatore particolare in grado di essere letto dallo scanner ottico. L OPTICAL SCAN PAPER BALLOT SYSTEM. 35

36 IL Direct Recording Electronic (D.R.E.). Attraverso i sistemi di registrazione diretta del voto, l elettore vota il proprio candidato attraverso un touch screen. Della preferenza così manifestata è spesso (ma non sempre) prodotta anche una stampa. 36

37 Will your vote count? (Barbara Simons) Gli Stati Uniti sono il massimo esempio d impiego confuso e disomogeneo di meccanismi di voto elettronico. I metodi statunitensi sono innanzitutto obsoleti, non aggiornati e quindi, anche solo per questo, vulnerabili e passibili di diversi tipi di manipolazioni e attacchi. Cosa accadrebbe se la macchina del voto fosse manomessa elettronicamente o le venisse inserito del codice manualmente tramite una chiavetta? E se gli elettori si recassero alle urne scoprendo lì che i propri dati personali di registrazione sono stati modificati, cancellati, falsificati? O se i server fossero bloccati o spenti a causa di un malware? (Scot Terban). Assenza norme unificate rappresenta un problema di sicurezza nazionale (Tyler Cohen). Se dalla fiducia che gli elettori hanno nel proprio sistema elettorale dipende la legittimità riconosciuta al vincitore, quale legittimità può essere attribuita a un vincitore risultato eletto tramite un sistema di voto elettronico di cui i cittadini sanno di non potersi fidare del tutto? 37

38 Domande? Grazie per l attenzione. Federica Bertoni e Claudio Telmon. Security Summit Roma, 7 e 8 giugno