Эрки Сависаар ⟩ Основой мобильного голосования должна стать безопасность

Выборы в Рийгикогу. Фото: Maarius Suviste

Очень хорошо, что Postimees привел подробное сравнение разных способов голосования. Попытаюсь, оставив в стороне политические лозунги, сосредоточиться на содержании. Правительство планирует уже на следующих выборах разрешить голосовать через смарт-устройства. Однако пока нет ответа на вопрос, можно ли оценить, насколько безопасны и безрисковы такие м-выборы? В любом случае, несмотря на противостояние Республиканской избирательной комиссии, закон не запрещает сегодня голосовать через смартфон. Конкретного технического решения я пока не видел, как не видел и технического описания этого решения. Поэтому я могу опираться в основном на информацию на эту тему в прессе.

Расширение на различные платформы – естественная часть развития и модернизации программного обеспечения. Если голосование ограничат только персональными компьютерами (РС), вскоре э-выборы можно будет свернуть, доля таких компьютеров в потреблении уменьшается. То, что до сих пор мобильного голосования не было, обусловлено узостью подхода. Сегодня закон не запрещает голосовать с мобильного телефона. Насколько я знаю, таково было решение Республиканской избирательной комиссии – по соображениям безопасности не распространять голосование на мобильники. Это скорее идеологическое препятствие, чем техническая проблема. Члены избирательной комиссии были уверены, что не смогут сделать м-выборы достаточно безопасными.

На э-выборах нет идентификации по лицу

В конечном счете все зависит от технических решений. В общем и целом нет особой разницы, голосует человек через РС или мобильное устройство. Разница в том, какие возможности для распространения приложения и идентификации пользователя можно использовать. Скажем, если говорить о РС, с которых начались э-выборы, пользователь может идентифицировать себя посредством ID-карты. К мобильным устройствам считыватель ID-карты зачастую не подключить, а значит, нужно использовать для идентификации голосующего другие методы.

Проблема не в том, голосовать ли с мобильного или с компьютера, а в самой процедуре электронных выборов как таковой. Ведь много писали и пишут, – то, что невозможно убедиться, тот самый человек голосует или какой-то другой. Да, существует двухфакторная аутентификация. Однако мы знаем, что ID-карты могут передаваться их рук в руки, да и PIN-коды тоже не являются такой большой тайной, как об этом пишут в инструкциях. На избирательном участке контроль куда больше, там не просто смотрят на документ или проверяют введенный PIN: сначала члены комисcии убеждаются в том, что пришел владелец документа, и уже потом ему дают возможность проголосовать. По какой-то причине такой контроль в систему э-выборов не внедрен, хотя о нем много говорилось.

Это ведь не квантовая физика, и если посмотреть на другие электронные решения, которые есть в нашей стране, скажем, на электронных нотариусов e-notar, то там этот вопрос решен.

В e-notar тоже можно войти с цифровой идентификацией, но после этого система просит фото из вашего документа (надо сфотографировать его на камеру вашего компьютера), а также ваше фото. Программа проверяет, похожи ли фото с камеры, из документа и из Регистра народонаселения. То есть – сидит ли за компьютером именно тот, кому, единственному, должны быть известны данные PIN-коды. И только после этого можно что-то в системе делать. По моей оценке, чтобы повысить доверие к э-выборам и усилить их безопасность, необходимо внедрить все эти шаги и на э-выборах, в том числе – сделать эту проверку органической частью мобильных выборов.

Оппоненты говорят, что в такие среды, как электронный налоговый департамент и электронные-банки, можно войти при помощи Smart-ID или Mobiil-ID – фотографии не требуются. Это правда, но в этих средах и риски не столь велики, скажем, банковские перечисления можно отследить и в каком-то объеме даже вернуть. Исходя из принципа тайны голосования, на выборах ничего отслеживать нельзя. Запрещено следить за тем, кто как голосовал. Поэтому, чтобы сохранить доверие и безопасность, нужно использовать другие методы. В конечном счете остается вопрос: если на наших э-выборах на лицо человека не смотрят, почему это делают на избирательных участках? Почему нельзя прийти в маске, показать документ и проголосовать? Зачем необходим дополнительный контроль? Мы все понимаем, что есть объективные причины, по которым он проводится, и я не понимаю, почему те же принципы нельзя соблюсти и при электронном голосовании.

Нужны двойные серверы

Такое простое решение, безусловно, уменьшит риски, когда вместо бабушки голосует ее внук, или в доме престарелых документами подопечных пользуется директор учреждения. Согласен, что это не поможет исключить подобные риски, однако в случае споров информацию можно будет проверить. Неважно, кто решает споры, Республиканская избирательная комиссия, Госсуд, или другое ответственное учреждение, – чиновники тоже могли бы проверять эту информацию. Естественно, ни одна такая мера не является панацеей от всех проблем. Но кибербезопасность похожа на луковицу – она нарастает слоями. Чем больше слоев, тем сложнее манипулировать системой противозаконным образом.

Говорят о том, что при голосовании через смартфон люди должны полагаться на магазины приложений Google и Apple, а они управляются из-за границы. Является ли этой проблемой, зависит от архитектуры приложения – создается оно как мобильное приложение или как обычное сетевое. Сегодняшнее приложение для голосования сделано как мобильное. Его создатели решили, что это более безопасный подход, чем делать веб-портал. Я считаю, что тут необходима дискуссия – должны мы загружать куда-то мобильное приложение или можно сделать что-то по-другому, соблюдая те же требования к безопасности. Если посмотреть среду e-notar, это сетевое приложение, а не отдельное мобильное, которое надо загружать в свой телефон и запускать. Технически можно сделать и то, и это.

Политологи Тартуского университета Михкель Солвак и Пирет Эхин подчеркивают, что, несмотря на популярность электронного голосования, очень многие относятся к нему с недоверием. Я думаю, что люди не столько против электронного голосования, сколько они полностью не уверены в его надежности. На самом деле, существует ряд возможностей. Как же повысить безопасность электронных выборов? Одна из них – идентификация по лицу, я о ней уже сказал. Другая – так называемый двойной сервер. Сегодня избирательных центров, подсчитывающих электронные голоса, ровно один – это и есть Республиканская избирательная комиссия. В моем понимании могло бы быть минимум два независимых центра, подсчитывающих одни и те же голоса. Электронный голос шел бы в оба центра – поскольку это электронный голос, нет никаких проблем отослать его сразу в два места. Оба избирательных центра считали бы голоса независимо. Если в промежутке голосами никто не манипулирует, результат был бы один и тот же. Я думаю, вторую независимую организацию, которая подсчитывала бы голоса, можно создать на основе университетов. У них для этого есть знания. Кроме того, есть у них и разные предложения по поводу того, как сделать систему еще лучше.