Minule jsme si pověděli, jak v Estonsku funguje každodenní život. Dnes se pustíme do elektronických voleb.

Jelikož se s Demokracií 21 snažíme o vytvoření důvěryhodného volebního systému po internetu, chtěli jsme se inspirovat v jediné zemi na světě, kde jsou již od roku 2005 volby po internetu celostátně právně uznávanou alternativou.

Skutečně, i přes snahy a pokusy například v Norsku, Švýcarsku i USA (pozor, v USA se někdy pojmem elektronické volení označují terminály ve volebních místnostech), je Estonsko jedinou zemí, kde se opakovaně a v celostátním měřítku úspěšně používá volení přes internet. Volí se do komunálu, do parlamentu národního i evropského. Hlavními motory jsou státem vydávaná a po internetu ověřitelná jednotná identifikace voličů (slavné elektronické občanky) a zpětná důvěra Estonců ve vlastní stát i technické řešení volebního systému.

Volební proces

V první řadě je potřeba říci, že v Estonsku by registr obyvatel a registr voličů existoval i bez online voleb. Je totiž nutný i pro zajištění voleb tradičních, papírových. Stejně jako u nás se musí generovat seznamy voličů pro volební okrsky a další příslušná administrativa. Volby po internetu jsou jen přirozeným dalším krokem a není vůbec težké jejich svět napojit na další systémy, ať registr voličů nebo software pro počítání hlasů.

Samotné období voleb vždy běží delší čas a je završené volební nedělí. Volení po internetu je možné pouze v několika prvních dnech, a vyznačuje se tím, že můžete svůj hlas změnit tolikrát, kolikrát chcete. A kdyby vám snad někdo hacknul všechny počítače a Vy systému prostě nevěřili, máte možnost se sebrat a svůj online hlas jít přebít do volební místnosti hozením obálky do urny. Mechanismus opakovaného hlasování je zavedený kvůli svobodným volbám bez nátlaku - kdyby vám někdo třeba držel pistoli u hlavy, pořád máte možnost jít za plentu a hlasovat tak, jak vám velí svědomí.

Ve dnech označných na obrázku jako No voting, se shromažďují dosavadní papírové hlasy a případně se jimi přebíjí ty elektronické. Zároveň jde o období, kdy je možné vyhlásit celou elektronickou část voleb za neplatnou a vrátit se ke standardnímu modelu. Taky se připravují seznamy voličů pro jednotlivé okrsky, kde jsou označeni lidé, kteří už hlasovali po internetu nebo předem. Estonská vláda se ale postupně snaží i tenhle papírový krok eliminovat. V roce 2021 chce mít seznamy voličů přístupné v online aplikaci a umožnit tak všem lidem hlasovat kdekoliv v Estonsku nezávisle na jejich bydlišti.

Nahoďte prohlížeče, jdeme volit

Tak nám běží volební období, my si doma otevřeme pivečko, sedneme k počítači, vyndáme čtečku čipových karet a elektronickou občanku, stáhneme si speciální volební aplikaci (pro všechny hlavní operační systémy, pochvala!) a jdeme na to. Aplikace po nás nejdřív bude chtít prokázaní identity - z občanky otevřeme první certifikát a zadáme první PIN. Na pozadí si systém zjistí, že jsme naživu, svéprávní a můžeme volit, a případně do kterého města vlastně to zastupitelstvo volíme.

V druhém kroku nám nabídne příslušnou kandidátku, kde provedeme jistě zodpovědný výběr. Jakmile jsme spokojeni a svou volbu potvrdíme, systém nás vyzve k elektronickému podepsání hlasu - z občanky otevřeme druhý certifikát a zadáme druhý PIN. A to je všechno. No, skoro…

Pokud si chceme být jistí, že systém zaznamenal náš hlas skutečně tak, jak jsme ho poslali, je po dobu 30 minut po odvolení k dispozici QR kód s potvrzením. V mobilu (z pohledu bezpečnosti je důležité, aby to bylo jiné zařízení, než kde jsme volili) ho vyfotíme do jiné speciální aplikace, která dokáže z QR kódu přečíst, pro koho se hlasovalo (velmi důkladny popis zde). Důležité je, že po uplynutí 30 minut už volební server tyhle informace nemá a nejde tedy nikde zjistit, kdo jak hlasoval. Za to může obyčejná asymetrická kryptografie, která v podstatě simuluje dvojobálkové schéma používané u korespondenčních voleb.

Každé volby mají unikátní volební klíč. Veřejná část klíče je ve volební aplikaci u voliče. Privátní část klíče je fyzicky rozdělená mezi členy dohledové volební komise. Výběr kandidátů se šifruje veřejnou částí volebního klíče. Takhle zašifrovaný hlas potom volič digitálně podepisuje (tj. použije druhý certifikát na občance).

Převedeno do normálního světa: váš hlas je v obálce, kterou umí rozlepit jen volební komise. Tato obálka je v jiné obálce s vaší zpáteční adresou, aby bylo poznat, že vůbec můžete volit a nevolili jste dvakrát.

Počítače nám to spočítají

Podepsané hlasy padají na server, kde se kvůli anonymitě oddělují digitální podpisy od samotného obsahu hlasu. K digitálním podpisům se z jiných registrů párují demografické a jiné statisticky významné informace. Obsah hlasů v tuto chvíli nejde přečíst, protože privátní část klíče stále mají ve fyzickém držení zástupci dohledové volební komise.

Jakmile se v neděli uzavřou volební místnosti, hlasy z internetového hlasování se zamíchají a přenesou do offline serveru, který zajišťuje sčítání výsledků. Jiným fyzickým kanálem je do offline serveru nahraná zkompletovaná privátní část volebního šifrovacího klíče a pak jsou - stále v offline režimu - hlasy rozšifrovány a sečteny. Výsledný stav se nahraje do systému pro výsledky voleb stejně, jako by šlo o jakýkoliv jiný okrsek a obvykle celé počítání trvá zhruba hodinu.

Je to vůbec k něčemu?

Člověk si tak trochu říká, jestli má takový složitý systém plný všelijaké složité kryptografie vůbec nějaké uplatnění v technicky nevzdělané části společnosti. A můžeme říci, že má! Podle estonských statistik je ve věkových i vzdělanostních skupinách zastoupení voličů prakticky rovnoměrně rozdělené a podíl elektronických hlasů od zprovoznění systému rovnoměrně stoupá až k současným 30 procentům ze všech odevzdaných hlasů. Naopak se nijak nepotvrdilo původní očekávání, že by se mohla zvednout volební účast mladých lidí a dalších skupin obyvatel, které se voleb tradičně neúčastní.

Ostatně i samotní estonští představitelé říkají, že není jejich cílem klasické hlasování vymýtit, chtějí pouze nabídnout další alternativu pro zaneprázdněné voliče a tak nějak mimochodem taky ušetřit. Se zvýšením podílu elektronických hlasů je totiž možné zrušit některá fyzická volební místa a ušetřit dost papíru.

Pochvala a písnička letí do Estonska i kvůli zvýšení transparentnosti. Drtivá většina kódu je totiž open-source! Celý systém může proto prověřovat řada nezávislých bezpečnostních analytiků. Asi nejvýraznější kritiku přinesl výzkum v roce 2014, který poukázal na dvě nejslabší místa celého systému: uživatelské počítače a hlavně ne úplně průhledné offline sčítání. Na offline sčítací server je totiž za určitých podmínek možné nahrát malware, který může sčítací proces docela pohodlně zmanipulovat. Lidské chyby v celém procesu jsou pak už jenom tou pověstnou třešničkou.

Estonci na to reagují a v nové verzi systému, který by se měl poprvé použít v komunálních volbách letos na podzim, integrují do celého procesu hlasování další pokročilou kryptografii (homomorfní šifrování) a také svůj vlastní blockchain. Ten už se používá pro sledování a ověřování aktivity na státní datové sběrnici X-Road, a v online hlasování by měl zajistit, že každý krok, který odevzdaný hlas v systému udělá, bude zpětně dohledatelný a ověřitelný.

Alternativa, ne náhražka

Na palčivou otázku z titulku je velmi těžké odpovědět. Obecně se dá říct, že volby po internetu provází v podstatě oprávněná nedůvěra. Fakt, že v Estonsku vše dlouhodobě funguje, může být vlastně náhoda. Za prvé je estonský elektorát poměrně malý: ve volbách 2015 mohlo volit asi 900 tisíc osob, započítáno bylo méně než 600 tisíc hlasů, z toho po internetu 176 tisíc. A za druhé, že se zatím nikomu nepodařilo systém veřejně hacknout neznamená, že to nejde.

Jsou to totiž jenom počítače a jejich bezpečnost je pouze mírou, nikoliv absolutní veličinou. V USA se nyní ukázalo, že ovlivňovat volby se dá i bez internetového hlasování, a je tak otázkou, jestli by online hlasování bylo zhoršením nebo zlepšením současného stavu.

Ani v Estonsku není snahou volit pouze po internetu, všichni si rizika uvědomují, proto stále zůstává hlavním pilířem volebního systému tradiční metoda. Každopádně jako alternativní způsob třeba pro občany v zahraničí a s vědomím  všech rizik je to docela fajn věc. Dokonce si toho všimla i topící se TOP 09. Tak si to třeba v roce 2030 vyzkoušíme i v těch Kotěhůlkách.

Poznámka: Další zkušenosti a informace může zvídavý čtenář načerpat v této publikaci, že které jsou vypůjčené i všechny uvedené grafy.