Valg over internett. Kommunal- og regionaldepartementet leder et prosjekt, E-valg 2011, for å utvikle et elektronisk valgsystem (e-valgsystem) som lar oss avgi stemmer til kommune- og stortingsvalg over Internett. Siden det er skepsis blant politikere, valgeksperter og velgere om e-valg lar seg gjennomføre på en forsvarlig måte, vil vi diskutere sikkerhetskrav til et nytt e-valgsystem. Vårt mål er å bidra til debatt og kanskje oppklare noen misforståelser underveis.

Bygge tillit.

E-valg 2011-prosjektet planlegger å bevare tilliten til dagens valgsystem, samtidig som man gradvis bygger opp tilliten til et nytt e-valgsystem, ved å foreta en glidende overgang fra det gamle til det nye systemet. Ved kommunevalget i 2011 blir det derfor bare mulig å stemme over nettet i elleve utvalgte kommuner. E-valget vil stenge før den tradisjonelle valgdagen, og på selve valgdagen kan alle velgerne stemme på papir. Dersom en velger har stemt både elektronisk og på papir, vil papirstemmen gjelde.

Utfordringer.

I tillegg til en gradvis innføring av et nytt e-valgsystem er det nødvendig å stille strenge krav til selve systemet for å bygge tillit i befolkningen. Alle avlagte stemmer må være hemmelige, ingen skal kunne vite hva du har stemt. Videre må bare stemmeberettigede få avgi stemme, og hver velger må bare få lov til å avgi én tellende stemme.

Fordi velgerne skal benytte sine egne PC-er til å stemme, oppstår det utfordringer som ikke eksisterer i dagens valgsystem. Ondsinnet programvare på hjemme-PC er et alvorlig problem. Det er mulig at noen kan lage et virus som endrer stemmen til en velger når den sendes fra PC-en til den sentrale delen av valgsystemet, uten at velgeren har mulighet til å oppdage endringen. Et slikt virus kan i verste fall forandre valgresultatet. Et annet problem er at skjeve maktforhold blant mennesker, spesielt blant personer som bor sammen, kan føre til at et dominerende individ kan kontrollere at andre personer stemmer «riktig» når de benytter en hjemme-PC.

Løsningsforslag.

E-valg 2011-prosjektet har gitt oss tilgang til informasjonen om kandidatene til nytt e-valgsystem. Vi har studert deler av forslagene, spesielt forslaget som til slutt ble valgt. Vår foreløpige konklusjon er at det er mulig å realisere løsninger på de nevnte utfordringene.

Kryptografi.

Hemmelig stemmegivning oppnås ved hjelp av kryptografi. Stemmen din blir kryptert lokalt på PC-en med valgets offentlige nøkkel, før den blir sendt over Internett til det sentrale e-valgsystemet. Personer som administrerer valgsystemet, eller noen som avlytter linjen, kan dermed ikke avgjøre hva som blir stemt.

Et viktig spørsmål er hvem som kontrollerer den private nøkkelen som trengs for å dekryptere stemmene ved opptelling. Svaret er at ingen enkeltperson kontrollerer nøkkelen. Før e-valget er avsluttet vil den private nøkkelen kun eksistere i adskilte deler. Disse delene blir gitt til personer med motstridende interesser, f.eks. representanter fra de politiske partiene. Etter at valget er stengt vil representantene møtes for å sette sammen den private nøkkelen.

Nytt elektronisk ID-kort.

Det nye e-valgsystemet forutsetter at hver velger har et elektronisk ID-kort som lar det sentrale valgsystemet autentisere velgeren og lar velgeren signere sin elektroniske stemmeseddel på PC-en. Autentiseringen og den digitale signeringen sikrer at kun stemmeberettigede får delta i valget, at ingen kan avlegge mer enn én tellende stemme og at ingen kan legge inn ekstra elektroniske stemmesedler, selv om de har tilgang til det sentrale valgsystemet.

Mens Kommunal- og regionaldepartementet forstår at åpenhet rundt et nytt e-valgsystem er nødvendig for å bygge tillit, er det ikke mulig for uavhengige forskere å få teknisk informasjon om det nye elektronisk ID-kortet som er under utvikling i Norge. Fordi det såkalte borgerkortet utgjør en viktig del av det nye e-valgsystemet er mangelen på åpenhet beklagelig. Det er vanskelig å ha tillit til en ID-løsning du ikke får vite noe om.

Ondsinnet programvare.

E-valg 2011-prosjektet utvikler en løsning som lar en velger oppdage om ondsinnet programvare på velgerens PC har endret en avsendt stemme. Alle velgere vil motta et «valgkort» med en kode for hvert parti det kan stemmes på. Disse kodene vil være forskjellige for ulike velgere. Når du avlegger din elektroniske stemme vil du motta en kode fra det sentrale valgsystemet via en annen kanal (f.eks. SMS). Ved å sammenligne den mottatte koden med kodene på kortet får du bekreftet eller avkreftet om den stemmen som ble lagret i valgsystemet er den du ønsket å sende inn. Det kan virke rart at systemet kan være i stand til å returnere riktig kode og samtidig ikke vite hva du har stemt, men det lar seg faktisk gjøre ved hjelp av avansert kryptografi.

Utsatt for press.

Problemet med at velgere kan bli utsatt for press når de avlegger stemme kan ikke løses med kryptografi alene. Hvis man har blitt presset til å stemme på et spesielt parti kan man stemme om igjen på et senere tidspunkt, enten elektronisk eller på papir.

Kvittering.

E-valg 2011-prosjektet planlegger også at en velger skal få en «kvittering» når en elektronisk stemme er avlagt. Etter at alle stemmene er talt opp publiseres det en liste med kvitteringer. Er din kvittering med på listen, ja, så var din stemme med i opptellingen. For å unngå kjøp og salg av stemmer må kvitteringstjenesten konstrueres slik at den ikke kan brukes til å bevise hva du har stemt.

Bedre enn dagens system?

En kvitteringstjeneste finnes ikke ved dagens papirvalg. Man er sikker på at stemmen blir lagt i urnen, men ikke at den blir med i opptellingen. Selv om man har gode prosedyrer for hvordan opptellingen skal foregå, kan feil forekomme. Da en valgurne i Oppegård ble tømt ved fjorårets stortingsvalg ramlet det også ut ti stemmesedler som stammet fra kommunevalget i 2007. Dessuten foregår den endelige opptellingen i dag med skannere og datamaskiner. Er det noen som stiller spørsmål ved kontrollen av disse maskinene?

Her kan et e-valg med kvittering faktisk bli sikrere enn dagens papirvalg. Det nye e-valgsystemet har imidlertid en rekke andre utfordringer på sikkerhetssiden. For å bygge tillit til det nye e-valgsystemet må E-valg 2011-prosjektet sammen med akademia, IT-næringen og andre interesserte vise at risikoen for juks er på et lavt akseptabelt nivå.