Итак, для начала рекомендую прослушать 7-минутный ролик Дэвида Бисмарка (очень толковый программист из Швеции) об идее его бюллетеня.

Исходные посылки Дэвида Бисмарка следующие:

1. ЦИК (Центральная Избирательная Комиссия) не знает, кто за кого голосовал.
2. Существует некая программная процедура, позволяющая получить соответствие «пин-код vs. порядок кандидатов в бюллетене» (и обратно). Без нее никак не собрать вместе, за кого же именно голосовали избиратели на самом деле.
3. Введя пин-код в онлайн систему можно узнать, за кого голосовал тот, у кого данный пин-код.
4. Пин-код – никак не связан с ФИО избирателя (выдается случайным образом). Т.е. отсутствует соответствие «пин-код vs. ФИО избирателя».

Вы берете свой бюллетень, читаете, выбираете нужного кандидата слева и ставите галочку напротив него справа. После этого вы разрываете бюллетень пополам. Слева у вас остаются названия кандидатов, вы можете их сжечь, выкинуть, унести домой на память, просто для себя сохранить – они не имеют никакого значения, просто информативная иллюстрация правых галочек. А правую сторону вы можете отсканировать или сунуть в избирательный ящик.

При подсчете важны два объекта, сканер должен передать информацию о них в центральную базу данных избирательной комиссии. Первый – число – номер галочки по порядку, например, 3 – то есть вы проголосовали за третьего по счету кандидата на вашем бюллетене. Второй объект – это пин-код, ключик, который расшифровывает, что в данном случае значит галочка в третьем квадратике. Этот же ключик может быть использован и вами, если вы взяли этот листик с собой, отсканировали или сфотографировали это пин-код.

Вы можете проверить, как учтен ваш голос. Заходите в систему, например, http://голосование.ком/выборы/, вводите там ваш QR-код (ключик, взятый с бюллетеня) и смотрите, верно ли, что у вас ваша галочка учтена правильно. Но при этом, ни один человек на земле, никакие партии, никто и никогда не в состоянии разгадать, за какую партию лично вы проголосовали. Тайна голосования полнейшая, при этом полная прозрачность для голосующего, имеющего свой ключик.

Как это работает дальше? Дэвид Бисмарк не раскрывает (критика его идеи будет несколькими абзацами ниже).

Одна из возможных моделей дальнейших действий такова (как ее видит Илья Сегалович, сооснователь «Яндекса»): в день X после голосования у нас есть зашифрованная(!) база данных с результатами текущего голосования. Т.е. никто пока не знает финальных результатов. Такая база из нескольких сотен миллионов записей (в зависимости от числа голосующих). Чтобы ее расшифровать, надо чтобы дешифровальный ключик собрался из отдельных кусков, находящихся у каждого участвовавшего кандидата (или партии). Если они согласны с тем, как выборы проходили, то предоставляют свою часть ключа, ключи собираются вместе, складываются, база с голосами расшифровывается. Результаты оглашаются. Вуаля! Выборы прошли.

Что делать, если кандидаты не согласны с прошедшими выборами, Илья Сегалович не уточняет. Предполагаю, придется проводить выборы снова, т.к. без части ключика данного несогласного кандидата – расшифровать данные всего голосования невозможно.

Взято отсюда: Как сделать выборы честными (навеяно нечестными выборами 2011) и переработано.

На мой взгляд система, предложенная Дэвидом Бисмарком, хоть и кажется красивой и элегантной, на самом деле мало от чего защищает и никаких реальных преимуществ не даёт. Пин-код и оторванная половина всего лишь делают бюллетень не читаемым для человека, что, в общем-то, нам совсем и не нужно. Анонимность голосования обеспечивают и обычные бюллетени. Единственное, что даёт данная система – это возможность проверить правильность учёта своего голоса, но никаких возможностей для оспаривания эта система не предоставляет. Территориальные избирательные комиссии могут просто напросто подделать левую половину бюллетеней, заменив её содержание. Вы голосуете, к примеру, за кандидата-А, приходите домой, вводите пин-код, и узнаёте страшную правду, что оказывается вы проголосовали за кандидата-Б. По вашему пин-коду отмеченная вами галочка действительно соответствует кандидату-Б, и кто ж виноват, что вы не туда галку поставили? Оставшаяся у вас на руках левая половина теоретически может быть использована для доказательства факта фальсификации, но для этого бюллетень должен обладать какими-либо степенями защиты. Но даже если вы докажете, что вас обманули, в лучшем случае ваш голос просто аннулируют (что согласно действующему законодательству [как РФ, так и Украины] размажет ваш голос между кандидатами-лидерами). От вброса бюллетеней эта система не защищает вообще никак. И кстати, фотографировать/сканировать пин-код не очень удобно, да и не всякий телефон сможет его сфотографировать достаточно чётко.

Дополнительно стоит заметить, что тот, кто имеет доступ к программной процедуре проставления соответствий, легко может организовать «вброс» дополнительных записей в базу данных с «галочками, проставленными в нужных местах (за нужных кандидатов)». Вопрос электронной безопасности такой базы данных – это отдельная тема для отдельной статьи (надеюсь коллеги, разбирающиеся в безопасности баз данных напишут эту часть).

А пока (в рамках данной статьи) примем, что взломать такую БД в «вбросить» в нее дополнительные данные – невозможно.

[Изменено и переработано относительно оригинальной статьи  в контексте анонимности и нескольких других моментов]

Вариант организации выборов с учетом российской/украинской (а, возможно, и чьей-то еще) специфики, который защищен и от «вброса», и в какой-то мере от «карусели». Система выборов онлайновая, то есть голоса обрабатываются непосредственно в момент опускания бюллетеня в урну и по зашифрованному интернет-каналу голос отправляется в ЦИК.

Исходные посылки альтернативного варианта (отличие от варианта Дэвида – минимальны, но devil in the details):

1. ЦИК имеет полный и корректный список избирателей.
2. ЦИК знает, что избиратель «имярек-1» уже проголосовал, а «имярек-2» еще нет.
3. ЦИК не знает, кто за кого голосовал.
4. Существует некая программная процедура, позволяющая получить соответствие «пин-код vs. порядок кандидатов в бюллетене» (и обратно). Без нее никак не собрать вместе, за кого же именно голосовали избиратели на самом деле.
5. Введя пин-код в онлайн систему можно узнать, за кого голосовал тот, у кого данный пин-код.
6. Пин-код — никак не связан с ФИО избирателя (выдается случайным образом). Т.е. отсутствует соответствие «пин-код vs. ФИО избирателя».

Как всё это работает:

1. Накануне выборов (а лучше сильно заранее, с периодическим/регулярным обновлением) территориальная избирательная комиссия (или другой орган, ответственный(!) за этот процесс) собирает списки избирателей в привязке к адресам и подаёт их в ЦИК. На основании этих списков формируется список людей, которые могут голосовать, другие люди к выбором допущены быть не могут. Каждый человек онлайн на специальном сайте может заранее проверить, допущен ли он к приближающимся выборам и учтен ли вообще в системе.
2. Избиратель приходит на избирательный участок, подаёт свой паспорт, оператор сверяет данные паспорта и внешность человека (примерно как при пересечении границы), вводит эти данные в компьютер и отправляет запрос в ЦИК.
3. ЦИК проверяет факт того, что данный человек ещё не голосовал, автоматически генерируется номер бюллетеня (пин-код) и отправляется оператору [security issue: в этот момент ЦИК теоретически может проставить соответствие «пин-код vs. ФИО избирателя» (и, имхо, должен, но временно, до завершения тайм-аута жизни номера бюллетеня)]. В данном сгенерированном номере (пин-коде) закодирован порядок следования кандидатов на бланке.
4. Оператор получает номер бюллетеня, сгенерированный ЦИКом, печатает бюллетень с этим номером на принтере, ставит на нём печать и свою подпись. Отдаёт его избирателю.
5. Избиратель идёт в кабинку, делает свой выбор, ставит галочку, после чего вставляет листок в сканер, который просто сканирует бюллетень, выводит на дисплей результат отсканированного выбора в виде «Номер бюллетеня: NNN, Вы проголосовали за пункт №х» и запрашивает подтверждение у избирателя, правильно ли прочитал сканер. Если пользователь отвечает «да», то эти данные (номер бюллетеня и последовательный номер пункта, за который отдан голос) уходят в ЦИК. ЦИК, получив обратно выданный им номер бюллетеня не менее, чем время тайм-ауда назад, маркирует избирателя как проголосовавшего и удаляет запись соответствия «пин-код бюллетеня vs. ФИО избирателя» из временной таблицы своей базы данных. Обработанный бюллетень остаётся на руках у избирателя, с ним он уходит домой.

При чем здесь облачные технологии, спросите вы? А очень просто. Когда у нас есть одна централизованная база данных, где хранятся результаты голосования, то ее [базу], а точнее, компьютер (или кластер, но это сложнее), на котором она установлена, вполне можно атаковать извне. Ведь система-то подключена во внешний мир, иначе описанные выше принципы и методики не заработают.

Но если наша база данных находится в облаке, то какой конкретно компьютер вы, уважаемые хакеры, будете атаковать? На такую базу данных даже бомбу не сбросить.

Т.о. безопасность хранения данных — лежит где-то по дороге в облака 🙂

Здесь привожу ссылки на документы и статьи, благодаря которым я таки решился написать данный текст, хотя и не все вещи из перечисленных ниже документов были мной использованы. Но вдруг кому будут полезны 🙂

1. Дэвид Бисмарк: Электронное голосование без обмана => http://live9.ted.com/talks/lang/ru/david_bismark_e_voting_without_fraud.html
2. Как сделать выборы честными (навеяно нечестными выборами 2011) => http://www.66.ru/user/5180/blog/317699/
3. О фальсификации тайного голосования => http://umonkey.net/blog/elections-2011/
4. План модернизации прямых выборов => http://umonkey.net/blog.2010-09-16.direct-elections.html
5. О книге «Облачная демократия» => http://umonkey.net/books/cdem/ (и сама книга: http://cdem.ru/)