Ainoa tapa tehdä turvallinen sähköinen äänestys

Olen kirjoittanut aiemminkin blogissani erilaisten sähköisten / elektronisten / digitaalisten äänestämisten ongelmakohdista, mutta näin vaalien alla on syytä palata taas aihepiiriin. On nimittäin olemassa yksi ja vain ja ainoastaan yksi turvallinen tapa tehdä tuollainen äänestys. Se on itse asiassa täysin turvallinen. Täysin turvallisella tarkoitan, että se on ihan oikeasti turvallinen aivan kaikkia mahdollisia hakkerointeja ja väärinkäytöksiä kohtaan nyt ja tulevaisuudessakin. Edes pahimmassa mahdollisessa skenaariossa (tyyliin kvanttitietokoneet hakkeroimassa tikettejä ja laajamittainen hakkerointi lukuisille servereille jne.) ei olisi mahdollista tehdä vaalivilppiä niin, ettei vaalivilppi paljastuisi 100% varmuudella. Siinä onkin luultavasti syy, miksei sitä haluta ottaa käyttöön: Vaalivilppi ei olisi Suomessakaan mahdollista, jos meillä olisi tuollainen systeemi käytössämme.

Systeemi on erittäin yksinkertainen ja edullinen toteuttaa.

1. Äänestäjä tunnistetaan ja hänelle annetaan sähköinen äänestystiketti, jolla voi äänestää tasan yhden kerran. Tiketti voi olla vaikka PKI-systeemin salainen avain tai vain jonkinlainen digitaalinen tiketti, joka on allekirjoitettu luotettavan tahon toimesta siten, että siitä käy ilmi, kenelle se on annettu, ja/tai henkilö esim. mobiilivarmenteen tai pankkitunnuksen avulla lukitsee tiketin omaan henkilötunnukseensa (esim. digitaalisesti allekirjoittaa sen) tms. jne. yms. evvk, tämä kohta on oikeastaan aika merkityksetön. Tärkeää on kuitenkin, että järjestelmään merkitään, että ko. äänestäjä on nyt saanut äänestysoikeutensa, eikä hän voi enää saada toista tikettiä missään olosuhteissa millään perusteella.
   
2. Äänestäjä äänestää tiketillään vaalipaikan koneella tai vaikka omalla tietokoneellaan ja saa äänestyksestä digitaalisesti allekirjoitetun tositteen, josta käy ilmi ko. äänelle nyt annettu satunnainen luku (kirjausnumero) ja äänestetty numero (ja vaalipiiri tms. missä on siis äänestetty). Kirjausnumero voidaan muodostaa esim. kaavalla sha256(äänestäjänhetu+tiketin salaisen avaimen sha256 tiiviste+äänestäjän itse valitsema salasana) ja kirjausnumero voidaan antaa/muodostaa äänestäjälle katsottavaksi jo ennen kuin äänestäjä äänestää. Jos äänestäjä epäilee, että tosite tulee väärät tiedot sisältäen ulos laitteesta, hän voi vaikka videokuvata koko äänestysprosessinsa. Jos äänestäjä epäilee, että hänen kirjausnumeronsa on jo jollakin käytössä, hän voi tarkistaa esim. vaali.fi palvelusta, ettei sitä kirjausnumeroa ole vielä kirjattu sinne (se ei ole äänestänyt). Olennaista on, että henkilö saa siis tämän tositteen, jossa on tämä satunnainen numero (kirjausnumero) ja numero, jota on äänestetty sillä kirjausnumerolla. Äänestyskoneet eivät tallena sitä, millä tiketillä on äänestetty mitäkin, koska koneet eivät käytä tikettiä tämmöiseen asiaan, tiketillä vain ja ainoastaan todetaan, että ko. tiketin käyttäjällä on oikeus antaa 1 ääni ja sillä hyvä.
3. Äänestysvalinta laitetaan lohkoketjuun tai vaikka vaan suoraan vaalit.fi nettisivulle siten, että sieltä avautuu suoraan taulukko, jossa lukee kaikki kirjausnumerot ja mitä numeroa niillä kullakin on äänestetty ja että äänestys on tapahtunut äänestysaikana.
4. Kun äänestysaika on mennyt umpeen, jokaiselle, joka ei ole äänestänyt, luodaan tiketti (jota ei ole voitu tietenkään vahvalla tunnistautumisella allekirjoittaa tiettyyn hetuun kuuluvaksi) ja tiketti merkitään äänestämään "epäluotettuna" vaikka numeroa 000 tms. Kaikki nämä tiketit ja niiden luomat kirjausnumerot kirjataan luonnollisesti myöskin vaikka vaalit.fi sivulle, kuten ihmisten antamat äänetkin ja näiden kohdalla merkitään, että äänestys on tapahtunut äänestysajan ulkopuolella ja epäluotettavalla tiketillä, eli äänet ovat hylättyjä.

Se on siinä. Vaalilautakunta voi sitten yksinkertaisella ohjelmalla (voisi olla vaalit.fi sivullakin) katsoa vaalit.fi sivulta, miten monta ääntä kukakin on saanut ja ketkä tulevat valituksi. Jokainen äänestäjä voi niin ikään katsoa vaalit.fi sivulta, että hänen kirjausnumeronsa antama ääni on oikeasti kirjautunut sinne oikein, eli että hänen kirjausnumeronsa on äänestänyt sitä numeroa, jonka hän on oikeasti äänestänytkin. Jokainen voi niin ikään itse laskea vaalit.fi sivun kautta, että vaalilautakunta on itsekin laskenut oikein valitut edustajat, ynnäämällä itse äänisaaliit haluamallaan tavalla yhteen jne. Jokainen voi myös laskea, ettei annettuja ääniä ole enemmän kuin äänestämään oikeutettuja. Vaalisalaisuus säilyy, koska kukaan ei tiedä, kuka on äänestänyt milläkin kirjausnumerolla.

Mutta voihan siinä tehdä vilppiä, eikös? Esim...

A) Mitä jos joku muuttaa tuolla vaalit.fi olevia tietoja toisiksi, esim. minun ääneni vääräksi?

- No, silloin voit tositteellasi todistaa, että kirjausnumerosi on äänestänyt numeroa X, eikä numeroa Y, kuten vaalit.fi lukee ja vaalivilppi paljastuu 100% varmuudella...toki voit videoida oman äänestyksesikin jos pelkäät, että tiketin voisi väärentää jotenkin, jotta voit joka tapauksessa osoittaa, että sinun kirjausnumerosi ON äänestänyt numeroaX. Toki tämmöistä vilppiä hankaloittaa jo kummasti se, että käytetään vaikkapa lohkoketjuteknologiaa tai vahvaa kryptoa, jolloin ko. ääneltä puuttuu luonnollisesti niihin kuuluvat kryptografiset vahvistukset.

B) Mitä jos joku leimaa äänestämättömien tikettejä käyttöön ja äänestää niillä itse ko. henkilöiden sijasta?

- Ei onnistu, koska äänestämättömät henkilöt voivat käydä vielä äänestämässä ja silloin vilppi paljastuu ja toisaalta, he eivät voi leimata niitä tikettejä käyttöönsä, koska äänestäjän pitää itse leimata ne esimerkiksi vahvalla tunnistautumisella (digitaalinen allekirjoitus) itselleen käyttöön.

C) Mitä jos joku estää minua äänestämästä, ei anna tikettiä minulle?

- Näin voi joku tehdä nykyäänkin teoriassa, olla antamatta sinulle äänestyslippua. Asian videointi paikanpäällä toki estää tämän tehokkaasti. Toki oikein suoritettuna tuo tiketin allekirjoitus omalla vahvalla tunnistautumisellasi ja lohkoketjuteknologia voidaan tehdä semmoiseksi, ettei siinä yksinkertaisesti ole mahdollisuutta, ettet saisi tikettiäsi ilman, etteikö siitä jäisi jo siinä tilanteessa todisteet esille.

D) Mitä jos joku vaihtaa ääneni toiseen?

- Ei ole mahdollista, koska lohkoketjutekniikka ja myös koska kohta A.

E) Mitä jos joku lukee tiedot vaalit.fi sivulta väärin, syöttää minulle väärää tietoa, jossa näkyisi, että olen äänestänyt oikein, mutta todellisuudessa vaalit.fi sivulla onkin kirjattu väärin ääneni?

- Voit mennä mille tahansa nettipäätteelle missä tahansa ja katsoa sieltä vaalit.fi sivun sisältöä. Niin myös vaalilautakunta tekisi varmistaakseen tuloksen. Mikään hyökkääjä ei voi tietää, miltä nettipäätteeltä mistä ip:stä kukakin aikoo katsoa mitäkin kirjausnumeroa ja näin ollen tarjota jokaiselle "oikealla tavalla väärennettyä" tulossivua.

F) Mutta eikös paperinen äänestys ole kuitenkin parempi kun tämmöinen viritys?

- Ei ole, koska paperiäänien osalta et voi koskaan tarkistaa ja varmistaa, että äänesi on OIKEASTI kirjaantunut tietokantoihin asianmukaisesti, etkä edes sitä, onko tietokanta ylipäätään oikea vaiko täysin tekaistu. Minun systeemissäni molemmat ovat yksinkertaisia, suorastaan automaatioita ja vaalivilppi ei ole mahdollista.