Rafrænt (ó)lýðræði

Fyrir nokkru var stefna ríkistjórnarinnar um upplýsingasamfélagið 2008-2012 kynnt. Þar í er margt áhugavert og jákvætt en eitt áhersluefni er þar, sem áhyggjur vekur. Ríkisstjórnin ætlar sér að gera tilraunir með lýðræði. Í tveimur sveitarfélögum verða hefðir og venjur í kosningum settar til hliðar og rafrænar kosningar haldnar. Morgunblaðið sá sérstaka ástæðu til að fagna þessum fyrirætlunum í ritstjórnargrein, en vonandi hafa þær áherslur breyst á síðustu dögum.

Það eru tvær leiðir til að halda rafrænar kosningar. Önnur með tölvum á kjörstað, hin yfir netið.

Það má spyrja hvað sé unnið með því að nota tölvur á kjörstað. Eina hagræðið við kosningarnar er að úrslit berast hraðar. Það er ekki ódýrara fyrirkomulag, nema einhverjum detti það í hug að tveir blýantar og ein pappírsörk séu dýrari en tölva. Það er ekki öruggara fyrirkomulag. Hver kannast ekki við hugbúnað sem gerir eitthvað sem hann á ekki að gera og eina ráð sérfræðinganna er að enduræsa forritið eða tölvuna. Vandinn er að við endurræsum ekki kosningar. Kjósandinn hefur enga tryggingu eða tilfinningu fyrir því að atkvæði hans sé talið. Það er horfið inn í forrit þar sem auðveldlega er hægt breyta niðurstöðum.

Í Bandaríkjunum er löng hefð fyrir því að nota tölvur og kosningavélar. Gríðarlegu fjármagni hefur verið varið í að þróa þessi kerfi. Þar er þróunin í hina áttina ef eitthvað er. Vegna spurninga um öryggi og áreiðanleika hafa fjölmörg ríki sett undanfarið verulegar skorður við notkun tölva við kosningar. Ohio ríki hætti fyrir stuttu allri notkun tölva á kjörstað og tók upp gamla lummulega kerfið að nota kjörseðil úr pappír.

Mörg dæmi hafa komið upp þar sem tölur úr kosningatölvum stemma einfaldlega ekki við fjölda kjósenda. Rafræna kosningu er ekki hægt að stemma af og endurtalning er líka tilgangslaus. Það er einungis ein tegund kosningatölva sem uppfylla kröfur um öryggi og áreiðanleika. Þær skila bréflegu afriti af atkvæðaseðlinum sem kjósandinn getur ekki breytt. Slíkar vélar eru mjög dýrar.

Hin leiðin til rafrænna kosninga er að kjósa yfir netið. Ef við horfum framhjá því að slíkt fyrirkomulag sviptir fólk réttinum til leynilegra kosninga, því það er engin leið til að tryggja að sá sem kýs sé sá sem hann segist vera eða hann sé einn í „kjörklefanum“. Þá hefur ekki verið þróað öruggt kerfi sem uppfyllir þær kröfur sem við gerum til kosninga. Fyrir nokkrum árum varði Bandaríkjaher einum og hálfum milljarði króna til að þróa öruggt kosningakerfið yfir netið fyrir hermenn sem eru staðsettir um alla veröld. Eftir að hafa eytt öllum þessum fjármunum var kerfinu hent. Það stóðst engar öryggiskröfur.

Það eru til lönd sem eru tilbúin til að gera minni kröfur til öryggis í kosningum, Eistar kjósa yfir netið en þeir hafa enga tryggingu fyrir því að kjósandi sé sá sem hann segist vera, né hafa kjósendur trausta vörn gegn kúgun og að verða þvingaðir til að kjósa gegn vilja sínum. Á Bretlandi hafa menn svo miklar áhyggjur af þverrandi kjörsókn í sveitastjórnar- og Evrópukosningum að þeir hafa leyft kosningar yfir net, með SMS, bréflega, með símavali og nánast hvaða leið sem mönnum gat dottið í hug. Eina leiðin sem jók þátttöku svo mælanlegt væri var gamaldags bréfleg kosning. Þar að auki er vandamál Breta ekki til á Íslandi.

Kosningaþátttaka á Íslandi er með því besta sem gerist, við erum með aðferð sem almenningur treystir og trúir að atkvæði hans sé talið. Það er engin ástæða til að skemma það traust.

Birt í prentmogganum 6.6.2008

Athugasemdir

[Helgi Hrafn Gunnarsson (IP-tala skráð) 11.6.2008 kl. 11:50]

Þú hefur nokkra góða punkta, en það eru til svör við sumum þeirra. Ég er forritari að atvinnu til margra ára, by the way. Ég er að vísu enginn öryggissérfræðingur, en sumt af þessum göllum sem þú nefnir hafa sérstakar ástæður sem er hægt að laga.

Sérstaklega ber að nefna kosningakerfin í Bandaríkjunum. Það er til svolítið sem heitir "opinn hugbúnaður", mikið notaður af mennta- og rannsóknarstofnunum þar sem "peer review" er mikilvægt. Kosningakerfin í Bandaríkjunum eru að mér óskiljanlegum ástæðum lokuð, þ.e. kóðinn á bakvið þau er talin einkaeign fyrirtækisins sem bjó til hugbúnaðinn. Hugbúnaðurinn verður að sjálfsögðu að vera opinn til þess að ferlið sé gegnsætt, annars væri mitt faglega álit að það kæmi ekki til greina að nota þetta frá grundvallarlýðræðissjónarmiðum, því kóðinn á bakvið forritið getur gert það sem honum sýnist ef hann er ekki opinn. Ef hann er opinn hinsvegar, nýtur hann gagnrýni almennings og sérfræðinga og það er engin raunveruleg ógn við það að hafa kóðann opinn, nema því hann sé óöruggur, sem er þá eins gott að sú villa uppgötvist, sem eru aldrei hagsmunir hugbúnaðarframleiðenda svo lengi sem þeir geta falið villuna. Sumsé, það eitt að gera kóðann opinn leysir strax mjög mörg vandamál.

Annað eru rafræn skilríki, sem eru mun fullkomnari en þú virðist átta þig á. Heimabankaöryggið er til dæmis orðið mjög gott, og ég myndi jafnvel segja að það væri mjög nálægt því að vera nógu gott fyrir atkvæðagreiðslur að einhverju tagi, þó það þyrfti auðvitað að endurskoða ferlið sérstaklega með tilliti til lýðræðisgrundvallaratriða.

Nú er auðvitað alltaf MÖGULEGT að falsa atkvæði, hvernig sem það er gert. En rafræn skilríki á borð við heimabankalykilinn, fyrir utan ýmsa aðra tækni sem má notast við, eins og þá sem er notuð til að skila skattaskýrslum, maður hefði haldið að það þyrfti að vera bloddí öruggt.

Tæknin er því ekki jafn fráleit og þú heldur kannski. Það eru ótrúlega sniðugir hlutir til í internetöryggismálum í dag. Það er alveg MÖGULEGT að kjósa fyrir einhvern annan, það bara tekur því ekki því það væri alltof mikil vinna. Það er sama sagan með þetta þegar öryggið er orðið pro; þó manni tækist að falsa einkenni sitt sem einhver annar, þá væri ógerningur að gera það fyrir alla (og það er alveg hægt að tryggja að það sé ógerningur) aðra, sem þýðir að hættan á einkennissvikum nálgast, eða er jafnvel sú sama, og af hefðbundnum kosningum.

Ég hugsa að óttinn við tölvurnar séu stærsti gallinn í raun, ekki vanhæfni þeirra til að gera þetta almennilega. Það mætti kannski bera þetta pínulítið saman við kjarnorkuver, almenningur almennt skilur ekki tæknina, hætturnar og lausninar, og er því fullur óverðskuldaðs vantrausts. Svo er hitt að þetta er lýðræðið sjálft, þannig að almenningur verður að treysta kerfinu, og það er alveg gildur punktur.

Svo er auðvitað hin spurningin... ég meina, kosningar hérlendis eru mjög góðar, biðraðir eru varla til staðar og allt er voða gegnsætt og fínt. Ég sé svosem enga sérstaka ástæðu til að breyta því, en það er vissulega tímabært að skoða rafrænar leiðir til kosninga, vegna þess að með tímanum þróast menningin meðfram tölvutækninni og áttar sig á því að ferlið getur alveg verið jafn skothelt með rafrænum atkvæðagreiðslum og alvöru pappírs/blýants-kosningum. En það er ekki nóg að kerfið virki, fólk þarf líka að trúa því að kerfið virki, og þar stendur hnífurinn í kúnni.

Svo er hitt að það er löngu tímabært að fá þjóðaratkvæðagreiðslur, en ég sé enga ástæðu til að nota eitthvað annað en hefðbundið ferli við þær. Það er ekki erfitt að kjósa eins og er, tekur ekki langan tíma, er ekki á fáránlegum tíma eins og í Bandaríkjunum, þannig að ég sé ekki hvað rafrænar atvkæðagreiðslur eiga að gefa okkur sem er í rauninni vafans virði.

Sjálfsagt að skoða málið vel, samt. 

[Helgi Hrafn Gunnarsson (IP-tala skráð) 11.6.2008 kl. 11:54]

Og gleymdi einum punkti; það að tölvur klikki er ekki alvöru ógn þegar um svona verkefni er að ræða. Heimatölvur keyra venjulega Windows, og með fullri virðingu fyrir Windows fólki, þá hafa stýrikerfi sem eru hönnuð til að haldast uppi "no matter what" verið til áratugum saman. Sú tækni er bara ekki nýtt í heimahúsum af þeim augljósu ástæðum að venjulegu fólki er nokkuð sama hvort kerfið sé skothelt öryggislega eða hvort það þurfi að endurræsa við að hreyfa músina, því það spilar leiki og notar öðruvísi hugbúnað. Það er ekkert í eðli hugbúnaðargerðar sem gerir hugbúnað óöruggan og krass-gjarnan, það er bara vanhæfni forritara og rangar áherslur í markaðssetningu. Áherslan í markaðssetningu heimatölvustýrikerfi er að keyra leiki, Word, Excel og vafra og eitthvað svoleiðis, en það er algerlega ósambærilegt við þau kerfi sem væru notuð utan um nokkurt kosningakerfi sem einhver alvara væri í.

[Friðjón R. Friðjónsson, 11.6.2008 kl. 20:19]

Sæll Helgi
Ég þekki vel að þú hefur unnið lengi í forritun, enda unnum við saman fyrir ca. 7 árum síðan.

Ég þekki líka vel hve fullkomin sum rafræn skilríki eru orðin og það má vel nota þau í atkvæðagreiðslur þar sem viðkomandi telur að lýðræðislegur réttum kjósandans til leynilegra kosninga vegi léttar en hagræðið.  Málið er að það á að fara í tilraunastarfsemi í sveitarstjórnarkosningum, afþví bara. 

Kosning yfir net getur ekki tryggt rétt manna til leynilegra kosninga. Það er alltaf hætta á því að þrúgandi félagsskapur (fjölskylda, stjórnmálafélag, trúfélag eða bara "vinir") þvingi menn til að kjósa samana og opinskátt.

Það eru til sniðug og flott rafræn skilríki, veflykill Rsk og auðkennislykill bankanna er ekki þar á meðal. í raun er veflykill Rsk með slökustu skilríkjunum, þau voru talin nægjanlegt því það dettur engum í hug að einhver fari að brjótast inn í kerfið til að skila fyrir þig sköttunum!

Það er verið að gefa út almennileg rafræn skilríki sem jafngilda undirskrift gagnvart lögum. En þau taka ekki á þvingun enda er það ekki hlutverk þeirra. Hlutverk þeirra er að auðkenna þig gagnvart hinu opinbera, lögaðilum eða öðrum einstaklingum.

Málið er að hvergi hefur verið sýnt fram á þörfina. Það eru örfáir einstaklingar í lykilstöðum innan stjórnarráðsins sem eru áhugasamir um þetta.  Ég þekki það eftir að hafa unnið að UT málum í tæp 5 ár í ráðuneyti dómsmála sem sér um alþingiskosninsgar.

Mér sýnist þú gera ráð fyrir að kosningakerfi yrði sérforritað, þau kerfi sem ég hef séð á Íslandi voru Windows baseruð keyrð á heimatölvum og alls ekki opinn hugbúnaður.

Ég óttast ekki tölvur ég vinn við þær, en vegna þess að ég vinn við tölvur og hef bæði stýrt gerð hugbúnaðar og unnið við það þá hræðist ég útkomuna í jafn mikilvægu máli og kosningar. Að ég tali nú ekki um ef eftirá tékk væri ómögulegt.

Ég veit ekki hversu oft ég hef séð eitthvað óvænt gerast í hugbúnaði sem átti að vera fullprófaður.

Fyrir mér er þetta einfalt, það eru tveir valkostir, að kjósa yfir net eða með tölvum á staðnum. Fyrri valkosturinn kemur í veg fyrir að kjósandanum sé tryggður rétturinn til leynilegra kosninga. Báðir kostirnir eru margfalt dýrari en gamla aðferðin.

Ég hef ekkert á móti því að frjáls félagasamtök eða fyrirtæki noti  allskonar aðferðir til kosninga. Mér finnst kosningar til alþingis, forseta eða sveitastjórna mikilvægari en það.

Til hvers er verið að þessu? Það hefur hvergi komið fram.

It ain't broke, so why fix it?

[Helgi Hrafn Gunnarsson (IP-tala skráð) 12.6.2008 kl. 13:31]

Já, man núna eftir þér!

Hvað varðar það að keyra svona kerfi á venjulegum heimilistölvum, án þess að sérsmíða hugbúnaðinn, þá kemur það nú augljóslega ekki til greina frá tæknilegu sjónarmiði og við virðumst sammála um það, sem betur fer. Að keyra kosningar á nokkru öðru en opnu, sérsmíðuðu kerfi er bara... já, það þarf vonandi ekki einu sinni að ræða það, en persónulega myndi ég aldrei nokkurn tíma treysta kerfi sem væri ekki hvort tveggja sérsmíðað og opið. Hafi menn verið að gera tilraunir með eitthvað annað, þá er ég nú bara beinlínis á móti því.

Ég meinti nú ekki að ÞÚ værir hræddur við tölvur eða hvernig þær virkuðu, en ferlið verður vitaskuld að njóta trausts alla, líka (og jafnvel sérstaklega) þeirra sem vita varla neitt um tölvur umfram alger grundvallaratriði.

Ég er ósammála þér með heimabankalykilinn, ég held að hann væri alveg nógu góður, þó ég hefði áhuga á að fá útskýringu á því hví þú teljir svo ekki, ef þig langar að útskýra það (bara af áhuga).

En eins og ég sagði er ég eiginlega alveg sammála þér með að þörfin fyrir þetta sé bara ekki næg. "Don't fix what ain't broken", þú hittir naglann á höfuðið þar, sérstaklega vegna þess að kosningar á Íslandi eru almennt mjög góðar, ódýrar, einfaldar og vel framkvæmdar, sem og að ferlið nýtur trausts meðal þjóðarinnar... þó reyndar aðeins of mikils fyrir minn smekk. ;)

Ennfremur þykir mér punktur þinn um að kosningin geti ekki orðið leynileg, afskaplega góður. Það þekkja allir sem eiga harða pólitíkusa í ættinni að skilningurinn á leynilegu atkvæði fer fyrir lítið þegar náinn fjölskylduvinur hefur sterkar skoðanir.

Hvað varðar að hafa tölvur á staðnum til að kjósa, þá hafði ég ekki einu sinni hugsað út í þann möguleika, því eins og þú bendir á væri hann bara tilgangslaus aukakostnaður. Gulrótin sem ég sé er bara að geta kosið heiman frá mér, og þá um málefni en ekki bara þessa (helvítis) flokka, en vitaskuld munar ekkert um það að kjósa undir núverandi kerfi, nema maður sé slefandi aumingi sem ætti ekki að vera að kjósa til að byrja með.

Ókei... hvað ef þetta væri þannig að ef maður ætlar að kjósa yfir netið, þá þurfi maður að sækja um og skila inn grófri nektarmynd af sér, sem birtist þá á síðunni þar sem maður kýs... þannig að ef maður ætlar ekki að kjósa í einrúmi, þá sé alltaf mynd af gapandi klofi á meðan.

Eeeeða bara að sleppa þessu eins og þú segir. 

[Friðjón R. Friðjónsson, 13.6.2008 kl. 06:00]

Á svipuðum forsendum eins og bankakort er ekki löglegt skilríki þá er uppfyllir heimabankinn ekki ýtrustu kröfu til rafræna skilríkja.

Við meiriháttar kosningar viltu gera ítrustu kröfur.