6.7. Проблеми і перспективи Інтернет-виборів

Комп’ютеризоване проведення виборів (голосувань) не можна назвати новим технологічним підходом, оскільки з цією метою використовувались у різні часи і системи підрахунку голосів на основі перфокарт, і пристрої для зчитування міток, і спеціальні електронні машини підрахунку голосів з прямим записом. Деякі з названих систем застосовуються і досі. Але сьогодні впровадження нових інформаційних технологій у цій галузі пов’я­зується з переведенням голосувань у середовище Інтернет. Проведення Інтернет-виборів розглядається як один із перспективних напрямків розвитку систем ЕК за участю держави, але водночас викликає неоднозначне ставлення фахівців і жваві дискусії щодо підходів до їх реалізації. Оцінити перспективи і проблеми проведення Інтернет-виборів можна на основі порівняння цієї технології з традиційною паперовою.

Технологія проведення виборів з використанням паперових бюлетенів широко відома. Виборці одержують бюлетені на вибор­чій дільниці і, зробивши позначки, опускають їх у виборчу урну. Після закриття виборчої дільниці бюлетені підраховуються і виводяться загальні підсумки. Така система вимагає проведення спеціальних процедур, які забезпечать легитимність виборів:

• ідентифікація виборця — можуть голосувати тільки ті, хто має на це право. Ретельно виконана процедура перевірки особи може виявитися принизливою для виборця, що може поставити під загрозу його участь у голосуванні, але недосконала ідентифікація викликає недовіру до результатів голосування;

• перевірка кількості бюлетенів — кожен виборець може голосувати тільки раз. Один з можливих способів протидії — відкритість кабіни для голосування — вступає у конфлікт з вимогою забезпечення таємності голосування. Звірка кількості заповнених бюлетенів і кількості виборців, які взяли участь у голосуванні, означає додаткове навантаження на дільничну комісію;

• забезпечення таємності голосування — бюлетень не може містити жодних позначок, які дають можливість ідентифікувати особу, що проголосувала. Також слід дотримуватись порядку збирання бюлетенів, який не дозволить відстежити послідовність їх заповнення;

• недопущення використання заздалегідь заповнених бюлетенів. Зацікавлена особа може купувати незаповнені бланки у виборців в обмін на обіцянку опустити до урни заповнений певним чином бюлетень. Ця схема особливо небезпечна, оскільки для її застосування досить мати з самого початку один незаповнений бланк бюлетеня. Можливі шляхи протидії: використання бланків, що їх важко підробити; підвищені заходи безпеки при їх друці у типографії; суворий облік бюлетенів на виборчій дільниці; перевірка бланків на відсутність позначок до видачі їх голосуючим. Вільний доступ до бланків, при якому схема не спрацьовує, неприпустимий через інші загрози, так само як і особистий обшук виборців;

• забезпечення чесної роботи дільничної комісії. Головною гарантією є відкритість процедури виборів, коли під час проведення голосування і підрахунку бюлетенів жодна дія не виконується за відсутності наглядачів. Також необхідний ретельний відбір членів дільничної комісії;

• підрахунок бюлетенів. Якщо результати підрахунків викликають недовіру, передбачається механізм повторного підрахунку;

• охорона бюлетенів під час зберігання. Проблему можна охарактеризувати двома фразами: «хто простежить за сторожами?» та «на кожний замок знайдеться зламувальник»;

• охорона бюлетенів під час транспортування. Ця проблема деяким чином схожа з проблемою охорони доказів — процес починається з моменту, коли доказ було помічено, і закінчується тільки при його поданні до суду. Фактично бюлетені для голосування теж можуть стати доказами злочину. Тому кожний крок повинен фіксуватись документально: хто давав бюлетень виборцям, хто їх підраховував, хто запечатав/розпечатав виборчу урну, хто її перевозив, хто спостерігав за всіма діями. Усі записи повин­ні підписуватись і завірятись свідками.

Таким чином, можна визначити, що паперові системи проведення виборів не є надійними. Сьогодні все частіше звучить думка, що такі системи не в змозі повністю розв’язати всі проблеми, що виникають, а поява технологічних новинок ставить під загрозу навіть ті заходи, що їх вважають ефективними. Варто також зазначити, що історично визначення проблем відбувалось дуже повільно, а заходи протидії найчастіше починали вживати тільки після серйозних провалів, про які дізнавалась широка громадськість.

Інтернет-вибори як виборча система на основі електронних виборчих бюлетенів, що їх виборці можуть передавати офіційним особам (виборчим комісіям) через Інтернет, мають безсумнівні переваги.

По-перше, для виборця не має безумовної необхідності йти на виборчу дільницю, він може проголосувати там, де йому зручно: вдома, у крамниці, у бібліотеці, у поштовому відділенні, у готелі. Варіанти обмежуються прийнятим порядком проведення голосування, а не технологією. У першу чергу ця перевага торкається тих, хто тимчасово перебуває за межами свого виборчого округу.

По-друге, значно спрощується процес власне голосування. На екрані дисплея виводиться список позицій. Виборцю надається можливість одержати додаткову інформацію, наприклад, про партії та кандидатів переходом до їх домашніх Web-сторінок. Голосуючий вказує вибрані позиції простим дотиком руки. Результати стають відомими практично відразу після закінчення голосування, оскільки всі машини для голосування мають зв’язок із сервером центральної виборчої комісії, на якому відбуваються підрахунки. Простота і доступність процедури потенційно збільшить кількість голосуючих. І головне те, що Інтернет-вибори вже розглядаються як реальність, а не віддалена перспектива.

Досвід розробки і впровадження електронних виборів — США Компанії Compaq Computer та Cisco Systems, які створили спіль­ну венчурну фірму VoteHere.net («ГолосуйТут.мережа»), пропо­нують мережні системи, в яких використовується ПЗ шифруван­ня даних і сенсорні екрани. Кілька сотень осіб у Каліфорнії та Аризоні вже взяли участь у їх тестуванні, однак державні органи мають перевірити цілий ряд технологічних питань. Якщо буде вирішено проблеми безпеки використання таких систем, голосу­вання вдома через Інтернет з часом замінить паперові бюлетені, механічні системи та оптичне сканування. Однак, експерти вва­жають, що сьогодні більш реальним є використання машин для голосування з сенсорним екраном, які підімкнені до Інтернет і об­слуговуються співробітниками виборчих дільниць. Аналогічні розробки ведуть корпорація IBM, Массачусетський технологічний інститут і Каліфорнійський технологічний університет. Свої зусилля у даному напрямку також об’єднали Unisys, Dell Computer і Microsoft. Привабливість цього сектора пояснюється тим, що законодавчі органи багатьох штатів планують виділити з бюджетів сотні мільйонів доларів на оновлення системи проведення виборів.

Водночас забезпечення безпеки і секретності передавання елект­ронних виборчих бюлетенів потребує виконання цілої низки спеціальних процедур. Узагальнено процес можна описати наступним чином.

Етап підготовки до голосування:

• реєстрація голосуючого. У більшості випадків вимагається «живий» підпис виборця;

• одержання талона на Інтернет-голосування за аналогією з отриманням відкріпного талона. Виборцю надається тільки один талон, який визначає форму голосування (іншими словами, голосуючий має зробити вибір до формування запиту);

• авторизація — виборча комісія надсилає виборцю інформацію про порядок його аутентифікації і голосування, голосуючий позначається як такий, що одержав бюлетень для унеможливлення дублювання.

Етап голосування:

• забезпечення безпеки голосування. Якщо голосування відбувається на виборчій дільниці або за допомогою спеціального апаратного забезпечення, процедура порівняно проста. Якщо ж виборець голосує вдома або через комп’ютер, який належить третій стороні, слід забезпечити відсутність у програмному коді сторонніх команд і неможливість зовнішнього втручання у процес. Існує кілька варіантів виконання цієї процедури, включаючи перезавантаження комп’ютера у «безпечному режимі» або зі спеціального компакт-диска, який надається виборчою дільницею, або приєднання спеціального пристрою до комп’ютера та ін.;

• аутентифікація — голосуючий має засвідчити свою особу згідно із запропонованими йому правилами;

• відкриття Web-сторінки з бюлетенем на сайті Інтернет-голосування в разі нормального завершення аутентифікації;

• голосування — заповнення бюлетеня за допомогою клавіатури, миші або сенсорного дисплею, якщо такий є;

• передавання бюлетеня — до серверу виборчої дільниці бюлетень надсилається в зашифрованому вигляді, усі незашифровані записи бюлетеня на комп’ютері голосуючого знищуються;

• прийом бюлетеня сервером виборчої дільниці і підтвердження прийому (виборцю надсилається спеціальне повідомлення).

Етап обробки бюлетенів:

• перевірка та анонімізація — бюлетень, одержаний від виборця, який ще не проголосував, відділяється від ідентифікатора виборця і записується для підрахунку;

• верифікація — виборець, який проголосував, має можливість перевірити той факт, що його бюлетень не тільки було прий­нято, а й записано для підрахунку, але при цьому ніхто не може перевірити результати голосування;

• підрахунок голосів;

• аудит, повторний підрахунок, вирішення спірних питань — для виконання цих операцій мають зберігатись бюлетені, відокремлені ідентифікатори виборців та інша інформація.

Багато в чому Інтернет-вибори схожі з іншими технологіями, які передбачають електронне подання бюлетенів, їх автоматичне оброблення та передавання засобами телекомунікацій. Не існує принципових розбіжностей і в інтерфейсі.

Усі такі технології потребують нормативного регулювання питань цифрового зберігання бюлетенів, подання їх на екрані дисп­лея та транспортування. Впровадження Інтернет-виборів додає до цього списку проблеми регламентації використання персональ­них комп’ютерів та технологій WWW з метою голосування.

Водночас упровадження Інтернет-виборів неможливе без вирішення специфічних проблем, основні з яких розглянуто нижче.

Ідентифікація виборця. Ідентифікація може виконуватись різними способами, кожний з яких має свої переваги та недоліки, зокрема:

• за допомогою посилання на національну систему ідентифікації — голосуючий має вказати певну таємну інформацію (наприклад, ідентифікаційний код);

• з використанням бази біометричних даних виборців;

• за допомогою електронних цифрових підписів;

• звичайним чином (перевіркою паспорта чи посвідчення особи членом виборчої комісії, реєстрацією за допомогою паперових документів і «живого» підпису).

Ще одне рішення полягає у впровадженні системи «Надрукуй власний бюлетень» — виборець завантажує бюлетень з сервера виборчої дільниці, роздруковує його, заповнює, підписує і надсилає поштою. Працівник виборчої комісії має звірити підпис на одержаному бюлетені з тим, що зберігається у внутрішніх документах. Зрозуміло, це певна «вироджена» форма проведення Інтернет-виборів.

Забезпечення надійності та захищеності процесу підрахунку голосів — бюлетені слід правильно підрахувати, не розкриваючи вибору окремого голосуючого, при цьому неприпустимі втрати бюлетенів, їх дублювання або порушення їхньої цілісності.

Коли підрахунки виконуються за допомогою програмного забезпечення, розробленого певною фірмою, єдиною гарантією того, що оголошені результати дійсно відповідають волі виборців, є тестування, заздалегідь проведене незалежною організацією. Для того щоб цей метод спрацював, тестування має охоплювати все! програмне забезпечення, що використовується для подання вибор­чого бюлетеня голосуючому та оброблення голосів як на локальних машинах для голосування, так і на машинах центру підрахун­ку голосів — не тільки прикладне ПЗ, а й системні та інструментальні засоби (ОС, СКБД, компілятори, програмні оболонки тощо). Повністю виконати цю вимогу можна тільки за умов використання ПЗ з відритим кодом та додаткових заходів захисту інформації.

Іншим аспектом проблеми є трудність перевірки ідентичності ПЗ, встановленого на конкретній машині для голосування, програмі, раніше перевіреній у лабораторних умовах. Навіть збіг вер­сій не можна вважати гарантією відповідності. Виходом може стати зберігання у захищеному місці початкового та об’єктного коду кожної протестованої версії ПЗ; використання середовища програмування «прямо з коробки», яке не має незадокументованих можливостей; застосування машин для голосування, які дають змогу легко визначити справжнє встановлене на ній ПЗ. З погляду технології задовольнити ці вимоги доволі складно.

Інтернет-вибори — проблема ідентифікації програм Якщо хтось у моїй присутності скомпілює програму, запише початковий та об’єктний код на CD-ROM і дасть його мені, я не можу бути впевнена, що на диску записано саме той початкових код, який було продемонстровано. Причина полягає в тому, що я не конт­ролюю комп’ютер, на якому виконано названі операції. Насправді цілком реально змінити звичайні команди так, щоб вони виконували зовсім інші операції.

І навіть за умов виконання всіх наведених вимог тестування має деякі обмеження:

• за допомогою тестування неможливо наблизити рівень прозорості Інтернет-виборів до рівня відкритості виборів з використанням паперових бюлетенів у присутності спостерігачів, оскільки тут зацікавлені особи мають покладатися на висновки експертів;

• тестування не може попередити атаки з боку службовців виборчих дільниць.

Підтасування результатів — електронні вибори у Чикаго Після зачинення виборчої дільниці працівники виборчої комісії замінили машину для голосування і висунули вимогу повторного підрахунку голосів. Таким чином, саму процедуру повторного підрахунку було використано для шахрайства.

Використання «чистих» систем з точки зору користувача. Як було вже сказано, технологічно дуже важко гарантувати, що система, встановлена на комп’ютері, не має прихованих функцій. З іншого боку, завантаження сертифікованої «чистої» системи для взяття участі в Інтернет-виборах з персонального комп’ютера може бути незручним для користувача. По-перше, заміна системи може означати втрати виконаних раніше настроювань. По-друге, сертифікація системи як «чистої» не означає, що вона не має побічних ефектів з точки зору захисту приватної інформації, безперебійної роботи комп’ютера і т. ін. Загалом, необхідність зміни системи значно ускладнює просту, по суті, процедуру.

Стандартизація у галузі автоматизованих систем для проведення виборів. На сучасному ринку автоматизованих систем голосування і підрахунку голосів домінують кілька компаній, які пропонують різні технічні рішення та ПЗ. У процесі поступового впровадження технології Інтернет-виборів може скластися ситуація, коли різні виборчі округи використовуватимуть різне облад­нання, а відповідні системи зберігатимуть дані в несумісних фор­матах. Це може звести нанівець всі переваги від використання нової технології. З іншого боку, виробники технічного і програмного забезпечення часто дуже неохоче розкривають деталі форматів даних та іншу інформацію, необхідну для перевірки надійності та захищеності роботи системи. Зрозуміло, що для додатків з Інтернет-голосувань це неприйнятний варіант. Вихід полягає у використанні відкритих стандартів, що забезпечить сумісність різ­них систем і надасть можливість перевірити їх захищеність не тільки уповноваженим особам, а й представникам громадськості (експертам з криптографії, наприклад). Таємницю можуть складати тільки частина ключів, які постійно змінюються.

Зберігання дублікатів даних голосування. При використанні будь-якої телекомунікаційної технології для передавання даних одна копія тимчасово зберігається на машині-відправнику, а інша — на машині-одержувачеві. Тільки після перевірки правильності передачі оригінал знищується. Під час проведення електрон­них виборів оригінал електронного бюлетеня залишається на машині для голосування на виборчій дільниці, і існуючі стандарти зберігання бюлетенів запечатаними тут не спрацьовують. Тому очевидною є необхідність законодавчого регулювання проб­лем зберігання і транспортування та ситуацій, пов’язаних з можливими відмінностями в копіях електронних бюлетенів. З погляду технології слід передбачати використання цифрових підписів або зберігання надлишкової інформації для виявлення помилок, зроблених у процесі передавання або зберігання, і фактів навмисного перекручування інформації, а також для визначення правильної копії.

Заповнення бюлетенів як операція введення даних користувачем. Перед запам’ятовуванням даних система може вимагати підтвердження правильності їх введення. Непідтверджені дані можуть розглядатися як недійсні бюлетені, але при цьому слід попереджувати ситуації, коли голосуючий вважає, що його бюлетень прийнятий системою. З іншого боку, виборцеві слід надати можливість внести зміни у бюлетень, який він тільки-но ввів (і тільки у цей бюлетень!) або навіть знищити його з пам’яті машини. При цьому слід установити відповідність між локальною та віддаленою копіями, якщо остання вже існує.

Забезпечення надійності роботи всієї системи. Надійною можна назвати систему Інтернет-виборів, якщо:

• вся система працює правильно навіть у разі виникнення локальних збоїв;

• нові збої призводять до поступового (а не катастрофічного) зниження продуктивності системи;

• повністю усунено ймовірність глобальних збоїв системи;

• голосуючі одержують безсумнівні підтвердження того, що їх голосів не торкнулись збої будь-якого роду;

• усунено можливість втрати бюлетеня, одержаного від виборця, через технічні проблеми після підтвердження його прийому;

• усі процедури з проведення Інтернет-виборів захищені від людських помилок або навмисних дій, які можуть вплинути на результати голосування.

К онтрольні запитання і завдання

1. Що мають за мету проекти з теледемократії і які технології для цього використовуються?

2. Схарактеризуйте ІС Верховної Ради України.

3. Яку структуру має інформаційно-технічний комплекс «РАДА»?

4. Що є вихідною інформацією інформаційно-технічного комплексу «РАДА»?

5. Які інформаційні зв’язки має система «РАДА»?

6. Яке призначення має ІС «Законопроект»?

7. Назвіть і опишіть призначення, вхідну та вихідну інформацію інформаційно-аналітичних комплексів, що входять до ІС «Законопроект».

8. Схарактеризуйте «Електронний інформаційний бюлетень».

9. На яких користувачів зорієнтовано інформаційно-пошу­кові системи, що входять до ІС Верховної Ради України?

10. Які функціональні можливості має ІС «Вибори»?

11. Обґрунтуйте думки фахівців щодо організації Інтернет-виборів:

• організувати традиційну систему електронної комерції лег­ше, ніж систему Інтернет-виборів;

• Інтернет-вибори варто впроваджувати поступово;

• голосування через Інтернет спочатку слід реалізувати на регулярних виборчих дільницях;

• під час проведення Інтернет-виборів до складу наглядачів необхідно включати обізнаних технічних експертів.

12. Які переваги і недоліки мають підходи до ідентифікації учасника Інтернет-голосування?

Л ітература

1. Горьовий Л. Є. та ін. Комп’ютеризована система інформаційно-аналітич­ного забезпечення законотворчої та правозастосовної діяльності. — К., Парламентське вид-во, 1998. — 149 с.

2. Косолапов В. Л. Автоматизированная система обработки информации и экспертных оценок при анализе общественно-политических процессов // УСиМ. — 1998. — № 1. — С. 25—32.

3. Косолапов В. Л. Информационно-аналитическая технология под­держки избирательной кампании. — http://www.cecu.kiev.ua/new/ r8/kos.htm.

4. М атеріали сайтів http://www.cs.uiowa.edu/~jones/voting/, http://www. electioncenter.org/, http://www.misq.org/discovery/articles96/.

Інформаційні системи ОРГАНІВ ЮСТИЦІЇ України