Electronic voting in Israel

בעיות עם מערכת ההצבעה של תהיל"ה

(English)

המעבר להצבעות אלקטרוניות בארה"ב הצית דיון ציבורי נרחב בנוגע לגישה הנכונה לתכנון מערכת הצבעות אלקטרוניות. במרכז הדיון עמדה ההבחנה  שלרכיבים האלקטרוניים צריך להתלוות מנגנון "פיזי" אותו ניתן לוודא ידנית, כמו למשל "פתק נייר". צורך זה נובע מההבנה שבלתי אפשרי לוודא שמחשב אכן פעל עפ"י ההגדרות שלו, בין אם בגלל באג בתוכנה או קוד זדוני שהותקן בו. עקרון זה נוסח במדויק על ידי Ron Rivest מ-MIT ו-John Wack מ-NIST, באופן הבא:

"אף שינוי או טעות בלתי ניתנים לזיהוי בתוכנת המערכת, אינם יכולים לגרום לשינוי או טעות בלתי ניתנת לזיהוי בתוצאות הבחירות"

המסקנה, אליה הגיעו פה אחד מדעני מחשבים, מומחי אבטחה, העיתונות, מועצת המדינה והמועצה הפדרלית היא שמערכות ההצבעה צריכות לקיים את עקרון חוסר התלות בתוכנה ( software independence). אחת הדרכים להשיג זאת היא שימוש בפתקי נייר לביקורת (Paper Audit Trail) על כל קול אלקטרוני ואכן, בחירות ללא נייר הפכו ללא חוקיות במרבית ממדינות ארה"ב.

תהיל"ה הציעו פתרון שונה. הם התעלמו מההמלצות לשלב פתקי נייר, ובמקום זאת בחרו להדק את אבטחת המחשבים. עפ"י תהילה, נושא וידוא הפתקים האלקטרונים נפתר ע"י השימוש בכרטיסים חכמים.

 
אנו חושבים שהשימוש בכרטיסים חכמים אינו עונה על הבעיה ולמעשה מחמיר אותה:
 
  • התלות במכונות גבוהה יותר. פרט לתוכנה, עלינו לבדוק גם את הכרטיסים החכמים, ומכיון שכרטיסים חכמים תוכננו להגן על תוכנם, הבעיה הופכת קשה יותר. וכך, למרות שהשימוש בכרטיסים חכמים מקשה על זיוף הבחירות ע"י גורם חיצוני, הוא מקל על גורם פנימי לזייף את התוצאות מבלי להיתפס.
  • במקרה של אי-התאמה (ראה בחירות לקונגרס 2006 בפלורידה) אין דרך להחליט האם היה זיוף. תהיל"ה מסתמכת על ההנחה שלשום גורם אין שליטה בו-זמנית בשתי מכונות, אבל אם אי-התאמה תתרחש, ומקרה זה יגיע לבית משפט, מומחי אבטחה ככל הנראה יעידו שאין זה נכון (האם הנחה זאת נראית הגיונית בכלל?)


וכך הבעיה נותרה בעינה, ובצורה חריפה יותר – היא אינה ניתנת לזיהוי. 

בנוסף,
  • נראה שהמערכת לא תוכננה כראוי – תהליך דומה ל"הצבעת שרשרת" (chain voting) נמצא כ-10 דקות לאחר הצגת המערכת בפגישה בטכניון
  • הכרטיסים החכמים מיוצרים ע"י בחו"ל ומפתח המאסטר נתון ברשות היצרן.
  • הפרוטוקול לא נחשף לציבור
  • המערכת מעולם לא נוסתה.

נראה שהמערכת לא תוכננה באופן משביע רצון כבר בשלב האפיון הטכני. אבל זו לא הנקודה המרכזית. ואפילו אם הייתה מתוכננת כראוי וכל הבעיות לעיל היו נפתרות, אנו מאמינים שהמערכת פגומה מיסודה, היות ואין היא משתמשת בווידוא אנושי ובנייר, ופרט אינה בלתי תלויה בתוכנה (software independent ).