## Ohjeita
-
Huomaa, että tähän dokumenttiin kirjoitettu voidaan julkaista [Public Domain -lisenssillä](http://creativecommons.org/licenses/publicdomain/).
Versio tästä dokumentista on julkaistu osoitteessa
<http://www.effi.org/sahkoaanestys-faq.html>
-
-
-
# Sähköäänestys-FAQ
Alkuperäinen versio tästä tekstistä julkaistiin alunperin Effin blogissa
-24.8.2007 osoitteessa
-<http://www.effi.org/blog/kai-2007-08-24.html>. Tätä
+24.8.2007 osoitteessa <http://www.effi.org/blog/kai-2007-08-24.html>. Tätä
alunperin blogiartikkeliksi tarkoitettua tekstiä päivitettiin sittemmin useampaan
otteeseen, mistä syystä päätimme siirtää sen tähän osoitteeseen.
Sähköistä äänestystä koskevissa keskusteluissa samat argumentit tuntuvat toistuvan.
-Tässä dokumentissa on koottu näitä argumentteja yhteen kommentoituna.
+Tässä dokumentissa on koottu näitä argumentteja yhteen kommentoituna. Vastaukset on alun perin kirjoitettu vastauksiksi nettikeskusteluihin, josta syystä niiden tyyli on usein naseva.
-Tämän dokumentin ohella hyviä - ja osin ajantasaisempia - tiivistelmiä
-ovat erityisesti Effin kesäkuussa 2008 julkaisemat
-[lausunto raporttiin sähköisen kuulemisen kehittämisestä valtionhallinnossa, II vaihe][52], sekä
-[Effin raportti Suomen järjestelmästä][53].
+Tämän dokumentin ohella hyviä - ja erityisesti Suomen järjestelmän osalta osin ajantasaisempia - tiivistelmiä
+ovat erityisesti Effin kesäkuussa 2008 julkaisemat [lausunto raporttiin sähköisen kuulemisen kehittämisestä valtionhallinnossa, II vaihe][52], sekä [Effin raportti Suomen järjestelmästä][53] sekä sen [uudempi englanninkielinen versio][60].
Tämä dokumentti on [Public Domainia](http://creativecommons.org/licenses/publicdomain/).
-
### Sisällys
* Effi sähköisestä äänestämisestä
* Yleistä
+* Sähköisen äänestyksen "business case"
* Viron nettiäänestyskokeilu oli ongelmaton
+* Sähköistyminen on tulevaisuutta
* Nettiäänestys aktivoi äänestämään
* Yhdysvaltain huonoilla kokemuksilla ei ole merkitystä Suomessa
* Mikä on paperivarmistus?
* Nettipankkikin on olemassa, miksi ei siis myös nettiäänestys
+* Kenelläkään ei ole intressiä murtautua äänestysjärjestelmään
* Käytetäänhän ääntenlaskussa nykyäänkin apuna tietokoneita
* Tietokone ei tee virheitä
* Suomalainen järjestelmä on täydellinen
* Äänestyslaitteiden lähdekoodin pitäisi olla avointa
* Sähköinen äänestysmenetelmä X olisi hyvä
* Tekniikan kehitystä ei saa estää
+* Yritetään sähköäänestystä ja otetaan käyttöön, jos se toimii hyvin
* Sähköäänestyksen vastustaminen estää demokratian toteutumisen tai laajentumisen
-* Lähteenä käytettyjä keskusteluja
+* Onko sähköinen äänestys aina huono juttu keskeisissä valtiollisissa vaaleissa?
+* Lähteistä
* Muita viitteitä
### Effi sähköisestä äänestämisestä
-* [Jäitä hattuun sähköisessä äänestämisessä][1] (Effi 21.8.2007)
-* [Sähköinen äänestys uhkaa johtaa kansanvallasta harvainvaltaan][40] (Effin blogi/Antti Honkela 16.3.2006 ja lausunto oikeusministeriölle)
-* [Äänestysjärjestelmä ei saa olla liikesalaisuus][45] (Effi 25.1.2008)
-* [Oikeusministeriön vaalipäällikkö julistautuu marttyyriksi][29] (Effin blogi/Kai Puolamäki 26.1.2008)
-* [Sähköisen äänestyksen eteneminen - Oikeusministeriö tyrmää myös akateemisten tahojen kritiikin][47] (Effin blogi/Jyri Luostarinen 28.2.2008)
-* [Dokumentoimattomia salaisuuksia][48] (Effin blogi/Antti Vähä-Sipilä 10.3.2008)
-* [Effi valmis osallistumaan sähköäänestyspilotin auditointiin][49] (Effin blogi/Tapani Tarvainen 12.3.2008)
-* [Salassapitosopimuksen anatomia][50] (Effin blogi/Tapani Tarvainen 20.3.2008)
-* [Sähköäänestysjärjestelmän vaatimusdokumentteja][51] (Effin blogi/Antti Vähä-Sipilä 21.5.2008)
-* [Lausunto raporttiin sähköisen kuulemisen kehittämisestä valtionhallinnossa, II vaihe][52] (Effi 10.6.2008)
-* [Suomen sähköinen äänestysjärjestelmä ei täytä suosituksia][53] (Effi 19.6.2008)
+* [Finnish E-Voting Fiasco: Votes Lost][56] (Effin blogi/Antti Vähä-Sipilä 28.10.2008)
+* [EFFI: Aika pistää piste sähköäänestysfarssille][61] (Effi 28.10.2008)
+* [Effi: Sähköisen äänestyksen pilotti ei todista mitään][62] (Effi 26.10.2008)
+* [Radiohaastattelu sähköisestä äänestyksestä][57] (Effin blogi/Timo Karjalainen 16.10.2008)
+* [Sähkö äänestää omapäisesti maailmalla, meillä OM ei näe ongelmia][58] (Effin blogi/Tapani Tarvainen 3.10.2008)
+* [Oikeusministeri: sähköisen äänestyksen auditointiraportti tieteisfantasiaa][59] (Effin blogi/Kai Puolamäki 4.9.2008)
+* [Effi's e-voting 'shadow report' in English][60] (Effin blogi/Antti Vähä-Sipilä 1.9.2008)
* [Sähköinen äänestysjärjestelmä rikkoo sekä lakia että vaalisalaisuuden][54] (Effi 24.6.2008)
+* [Suomen sähköinen äänestysjärjestelmä ei täytä suosituksia][53] (Effi 19.6.2008)
+* [Lausunto raporttiin sähköisen kuulemisen kehittämisestä valtionhallinnossa, II vaihe][52] (Effi 10.6.2008)
+* [Sähköäänestysjärjestelmän vaatimusdokumentteja][51] (Effin blogi/Antti Vähä-Sipilä 21.5.2008)
+* [Salassapitosopimuksen anatomia][50] (Effin blogi/Tapani Tarvainen 20.3.2008)
+* [Effi valmis osallistumaan sähköäänestyspilotin auditointiin][49] (Effin blogi/Tapani Tarvainen 12.3.2008)
+* [Dokumentoimattomia salaisuuksia][48] (Effin blogi/Antti Vähä-Sipilä 10.3.2008)
+* [Sähköisen äänestyksen eteneminen - Oikeusministeriö tyrmää myös akateemisten tahojen kritiikin][47] (Effin blogi/Jyri Luostarinen 28.2.2008)
+* [Oikeusministeriön vaalipäällikkö julistautuu marttyyriksi][29] (Effin blogi/Kai Puolamäki 26.1.2008)
+* [Äänestysjärjestelmä ei saa olla liikesalaisuus][45] (Effi 25.1.2008)
+* [Sähköinen äänestys uhkaa johtaa kansanvallasta harvainvaltaan][40] (Effin blogi/Antti Honkela 16.3.2006 ja lausunto oikeusministeriölle)
+* [Jäitä hattuun sähköisessä äänestämisessä][1] (Effi 21.8.2007)
+
+
### Yleistä
-Aluksi on syytä muistuttaa, mitä äänestysjärjestelmältä vaaditaan:
+Aluksi on syytä muistuttaa, mitä äänestysjärjestelmältä vaaditaan. Nämä vaatimukset perustuvat demokraattisen valtion vaatimuksiin.
* Järjestelmän pitää valvoa, että kukin äänioikeutettu voi äänestää vain kerran.
* Äänestäjää lukuunottamatta kukaan ei saa tietää, ketä kukin on äänestänyt.
-* Äänestäjän pitää voida luottaa, että äänet on laskettu tuloksessa oikein ja että ääniä ei ilmesty tyhjästä.
+* Äänestäjän ja myös hävinneiden ehdokkaiden pitää voida luottaa, että äänet on laskettu tuloksessa oikein ja että ääniä ei katoa tai ilmesty tyhjästä.
* Äänestäjä ei saa pystyä todistamaan muille äänestäneensä tietyillä tavoilla. Näin estetään äänten ostaminen tai äänestäjien painostus. Samasta syystä äänestämisen on tapahduttava henkilökohtaisesti.
+* Järjestelmän on toimittava luetettavasti myös epävakaissa yhteiskunnallisissa oloissa, siis sellaisissa, joissa tyypillisesti YK lähettäisi vaalitarkkailijoita.
+* Järjestelmän on paitsi oltava luotettava, myös näytettävä luotettavalta, jotta luottamus vaalitulosten oikeellisuuteen säilyy. Tämä vaatimus johtaa siihen, että "tavallisen kadunmiehen" on ymmärrettävä järjestelmän toiminta; muutoin epäilyt väärinkäytöksistä voivat johtaa epävakaissa oloissa jopa yhteiskuntajärjestyksen kaatumiseen.
-Järjestelmän on toimittava luetettavasti myös epävakaissa yhteiskunnallisissa oloissa, siis sellaisissa, joissa tyypillisesti YK lähettäisi vaalitarkkailijoita.
+Jos tarkastellaan nykyistä paperilippuja käyttävää äänestystä näiden vaatimusten valossa, se täyttää kaikki nämä vaatimukset erittäin hyvin. Suomessahan ääntenlasku tehdään hajautetusti (jokaisella äänestyspaikalla) kilpailevien puolueiden edustajien toimesta, ja laskennat tarkistetaan keskitetysti. Jokaisen äänestyspaikan tulos julkistetaan erikseen, jotta vaalilautakunnat voivat varmistua omien laskujensa oikeasta huomioimisesta.
-Esimerkiksi riittävän turvallisen sähköisen pankkijärjestelmän toteuttaminen on vaalijärjestelmään verrattuna hyvin yksinkertaista.
+Nykyinen järjestelmä otettiinkin käyttöön aikana, jolloin ihmiset eivät luottaneet toisiinsa. Tästä huolimatta haluttiin luottaa siihen, että vaalitulos on laskettu oikein ja että kukaan ei pääse valtaan vaalivilpillä.
-Lisäksi:
+Nykyisessä järjestelmässä äänestystuloksen laajamittainen huomaamaton väärentäminen vaatisi maantieteellisesti laajan ja puoluerajat ylittävän salaliiton. Järjestelmä myös mahdollistaa äänten tarkastuslaskennan, koska äänestyslippuja voidaan laskea uudelleen niin mona kertaa, kuin halutaan.
-* Järjestelmän on paitsi oltava luotettava, myös näytettävä luotettavalta, jotta luottamus vaalitulosten oikeellisuuteen säilyy. Sopivissa oloissa pelkkä uskottavasti esitetty epäily äänestystuloksen oikeellisuudesta voi johtaa yhteiskuntajärjestyksen kaatumiseen.
-* Kansalaisten on kyettävä ymmärtämään järjestelmän toimintaperiaate sekä mekanismit, joilla tuloksen oikeellisuus taataan. Sähköisen äänestysjärjestelmän tapauksessa luotettavuuden toteaminen vaatii usein huomattavaa asiantuntemusta, mitä tavallisilla kansalaisilla ei ole.
+Vaatimusten toteuttaminen täysin sähköisesti taas on hyvin hankalaa. Perinteiset tietojärjestelmäturvallisuuden menetelmät eivät yleensä pysty vastaamaan kaikkiin vaatimuksiin samalla kertaa. Esimerkiksi pankkijärjestelmät voidaan rakentaa suurelta osin lokimekanismien, kirjanpidon ja vastaavien varaan. Sähköäänestyksessä esimerkiksi sen tiedon, kuka äänesti ketä, kirjaaminen on jo liikaa. Pankkijärjestelmien turvallisuus perustuu myöskin siihen, että väärinkäytösten riski on riittävän pieni rahassa mitattuna. Demokraattisissa vaaleissa päätetään lainsäädäntövallasta, jota taas ei voi rahassa mitata.
-Nykyinen ääntenlasku hajautettuna ja kilpailevien puolueiden edustajien suorittamana toteuttaa edellä kuvatut vaatimukset - toisin kuin monet ehdotetut sähköiset äänestysjärjestelmät. Nykyinen järjestelmä otettiinkin käyttöön aikana, jolloin ihmiset eivät luottaneet toisiinsa. Tästä huolimatta haluttiin luottaa siihen, että vaalitulos on laskettu oikein ja että kukaan ei pääse valtaan vaalivilpillä.
+Tämän vuoksi Effin kanta on, että täysin sähköistä äänestysjärjestelmää ei pidä ottaa käyttöön. Effin kannan sähköäänestysasiassa tiivistää hyvin äänestysjärjestelmästä vastaavan oikeusministeri Tuija Braxin (vihr) oman [puoluehallituksen kanta 2.12.2005][21]:
-Nykyisessä järjestelmässä äänestystuloksen laajamittainen huomaamaton väärentäminen vaatisi maantieteellisesti laajan ja puoluerajat ylittävän salaliiton. Järjestelmä myös mahdollistaa äänten tarkastuslaskennan.
+> "Edellä kuvatun perusteella Vihreä liitto ei kannata tehtyä esitystä vaalilain muuttamisesta. Jos kuitenkin sähköinen äänestys halutaan mahdollistaa, on ehdoton vaatimus sisällyttää järjestelmään äänikohtainen äänestäjän varmentama paperituloste."
-Vaikka vain pieni vähemmistö äänestäisi sähköisesti, riittäisi sen väärentäminen usein kääntämään vaalien tuloksen kokonaan toiseksi - esimerkkinä edelliset eduskunta- ja presidentinvaalit.
+### Sähköisen äänestyksen tarve
Oikeusministeriö toteaakin [hallituksen esityksessä 14/2006 eduskunnalle vaalilain muuttamisesta][18]:
Minkäänlaista pakkoa siirtyä sähköiseen äänestykseen ei siis ole.
-On myös syytä erottaa sähköinen äänestyspaikalla tapahtuva äänestys, jota oikeusministeriö on ehdottanut ja jota [kokeillaan vuoden 2008 kunnallisvaaleissa][19], ja Internetin kautta tapahtuva nettiäänestys, jota [viestintäministeri Suvi Lindén (kok) on visioinut][20].
+On myös syytä erottaa sähköinen äänestyspaikalla tapahtuva äänestys, jota oikeusministeriö on ehdottanut ja jota [kokeillaan vuoden 2008 kunnallisvaaleissa][19], ja Internetin kautta tapahtuva nettiäänestys, jota muun muassa [viestintäministeri Suvi Lindén (kok) on visioinut][20].
+Tietoturvamielessä verkon kautta tapahtuva nettiäänestys sisältää periaatteessa
+kaikki äänestyspaikalla tapahtuvan täyssähköisen äänestämisen riskit
+ja sen lisäksi vielä useita muita riskejä, jotka äänestyspaikalla voitaisiin eliminoida.
-Effin kannan sähköäänestysasiassa tiivistää hyvin äänestysjärjestelmästä vastaavan oikeusministeri Tuija Braxin (vihr) oman [puoluehallituksen kanta 2.12.2005][21]:
-> "Edellä kuvatun perusteella Vihreä liitto ei kannata tehtyä esitystä vaalilain muuttamisesta. Jos kuitenkin sähköinen äänestys halutaan mahdollistaa, on ehdoton vaatimus sisällyttää järjestelmään äänikohtainen äänestäjän varmentama paperituloste."
### "Viron nettiäänestyskokeilu oli ongelmaton"
-Aivan aluksi kannattaa lukea läpi [Effin alkuperäinen tiedote][1] ja siinä olevat viitteet. Näitä viitteitä ei ymmärrettävästi toistettu uutisartikkeleissa, mikä aiheutti hämmennystä. Moni keskustelija tuntui esimerkiksi jakavan [ministeri Lindénin virheellisen käsityksen][22], jonka mukaan Viron nettiäänestyskokeilu oli sujunut täydellisesti. Tämä ei pidä paikkaansa, kuten Effin tiedotteessa viitatussa Viron valtiollisen vaalilautakunnan sivuilla julkaistussa [raportissa][23] sanotaan. Raportti toteaa, että nettiäänestykseen liittyy useita haasteita läpinäkyvyyden ja tuloksen luotettavuuden suhteen ja ellei haasteisiin pystytä vastaamaan, suosittaa harkitsemaan nettiäänestyksestä luopumista:
+Aivan aluksi kannattaa lukea läpi [Effin alkuperäinen tiedote][1] ja siinä olevat viitteet. Näitä viitteitä ei ymmärrettävästi toistettu uutisartikkeleissa, mikä aiheutti hämmennystä. Moni keskustelija tuntui esimerkiksi jakavan [ministeri Lindénin virheellisen käsityksen][22], jonka mukaan Viron nettiäänestyskokeilu oli sujunut täydellisesti. Tämä ei pidä paikkaansa, kuten Effin tiedotteessa viitatussa Viron valtiollisen vaalilautakunnan sivuilla julkaistussa [raportissa][23] sanotaan. Raportti toteaa, että nettiäänestykseen liittyy useita haasteita läpinäkyvyyden ja tuloksen luotettavuuden suhteen ja ellei haasteisiin pystytä vastaamaan, suosittaa harkitsemaan nettiäänestyksestä luopumista (oma suomennos):
+
+> "Vaikka kansallinen vaalilautakunta näkikin vaivaa minimoidakseen järjestelmään sisäänrakennetut riskit, järjestelmän testaus ja auditointi olisi voinut olla kattavampaa. Lisäksi, poliittiset puolueet tai kansalaisyhteiskunta eivät ilmeisesti juuri lainkaan valvoneet Internet-äänestysprosessia. Toteutettu Internet-äänestysjärjestelmä näyttää toimineen Virossa tässä tapauksessa. Kuitenkin, jos edellä mainittuja seikkoja ei tehokkaasti huomioida, viranomaisten pitäisi harkita uudestaan ptiäisikö Internet olla laajalti käytettävissä oleva äänestysmenetelmä, ja vaihtoehtoisesti pitäisikö sitä käyttää vain rajoitetusti tai ei laisinkaan."
-> "Although the National Election Committee made considerable efforts to minimize the inherent risks, testing and auditing of the system could have been more comprehensive. Furthermore, there appeared to be almost no oversight of the internet voting process by political parties or civil society. The internet voting system as implemented appears to have functioned in the Estonian context on this occasion. Yet, unless the above-mentioned factors are effectively addressed, the authorities should reconsider whether the internet should be widely available as a voting method, or alternatively whether it should be used only on a limited basis or at all."
+> [alkuperäinen teksti:] *"Although the National Election Committee made considerable efforts to minimize the inherent risks, testing and auditing of the system could have been more comprehensive. Furthermore, there appeared to be almost no oversight of the internet voting process by political parties or civil society. The internet voting system as implemented appears to have functioned in the Estonian context on this occasion. Yet, unless the above-mentioned factors are effectively addressed, the authorities should reconsider whether the internet should be widely available as a voting method, or alternatively whether it should be used only on a limited basis or at all."*
Viron viime aikoina kokemien nettihyökkäyksen valossa ei olisi yllättävää, jos vaalien heikoin lenkki eli nettiäänestys joutuisi koetukselle seuraavissa vaaleissa. Ei ole mahdotonta, että joku tekisi haittaohjelman, joka käyttäjän huomaamatta muuttaisi annettua ääntä; vastaavanlaisia haittaohjelmia käytetään tekemään nettipankeissa tilisiirtoja käyttäjän huomaamatta. Nettiäänestys on altis myös nimipalvelu- ja palvelunestohyökkäyksille ja niin edelleen; "liikuvia osia" ja siten potentiaalisia vikapisteitä on perinteiseen paperiäänestysjärjestelmään verrattuna todella paljon. Ylipäätään nettiäänestysprosessi sisältää niin paljon vaikeasti hallittavia ja suojattavia tekijöitä, että jos joku haluaa tehdä maata vastaan kyberhyökkäyksen ja aiheuttaa yhteiskunnallista epävakautta väärentämällä vaalituloksen, olisi nettiäänestys varteenotettava kohde.
-Bruce Schneierin sanoin: "A secure Internet voting system is theoretically possible, but it would be the first secure networked application ever created in the history of computers."
+Bruce Schneierin [sanoin](http://www.schneier.com/crypto-gram-0012.html#1):
+"A secure Internet voting system is theoretically possible, but it would be the first secure networked application ever created in the history of computers."
*Nettiäänestys ja äänestäjän painostus.* Viron nettiäänestyksessä äänensä saattoi myöhemmin muuttaa. Tämän oli tarkoitus ehkäistä äänestäjän painostusta ja äänten ostamista: vaikka ääni olisikin annettu valvonnan alaisena, olisi äänestäjä voinut periaatteessa painostajan tietämättä vielä myöhemmin muuttaa ääntään. Äänestäjä saattoi myös antaa paperiäänen nettiäänestyksen sulkeuduttua; tällaisessa tapauksessa nettiääni jätettiin huomiotta. Näin esimerkiksi äänten ostaja ei olisi voinut olla varma, ketä äänestäjä oikeasti lopulta äänesti. Äänestysjärjestelmä kuitenkin tallensi ajan, jona ääni oli annettu; poliittiset puolueet ja vaalitarkkailijat näkivät tämän ajan, jonka avulla ne olisivat periaatteessa voineet selvittää korjasiko äänestäjä myöhemmin ääntään.
Uudelleenäänestysmahdollisuus ei tietenkään estä tehokasta painostusta tai äänten ostamista. Ääni voidaan esimerkiksi antaa valvonnan alla ja tämän jälkeen "lainata" äänestykseen tarvittavaa henkilökorttia nettiäänestyksen päättymiseen asti. Paperiäänenkään antamisen estäminen ei ole vaikeaa; vaalipäivänä voidaan laittaa joku vahtimaan äänestyspaikkaa tai äänestäjä voi olla liikuntarajoitteinen tai esimerkiksi ulkomailla asuva henkilö.
+### "Sähköistyminen on tulevaisuutta"
+
+Yleisesti ottaen sähköistyminen toki on tulevaisuutta. Valtiollisissa vaaleissa virta ei kuitenkaan kulje tähän suuntaan juuri niistä syistä, joita tässäkin dokumentissa on selostettu. Esimerkiksi [Yli puolet Yhdysvaltain osavaltioista on jo kieltänyt täyssähköisen äänestämisen][30] ja useissa osavaltioissa prosessi on meneillään. [Hollannin hallitus on päättänyt luopua sähköisistä äänestyksistä][55], koska ne eivät ole tarpeeksi turvallisia.
+
### "Nettiäänestys aktivoi äänestämään"
Nettiäänestys voi alentaa äänestyskynnystä ja siten väliaikaisesti vähentää äänestysaktiivisuuden laskua. Nykymuotoinen paperiäänestys ennakkoäänestysmahdollisuuksineen ei kuitenkaan ole selitys äänestysprosenttien pienenemiselle, vaan kyse on politiikan uskottavuudesta, moraalista ja vetovoimasta. Äänestysaktivisuuden laskeminen on yhteiskunnallinen ongelma, joka ei ratkea nettiäänestysmahdollisuudella.
> "[Marylandin osavaltiossa äänestyskoneiden kuljetuksesta on palkattu vastaamaan yritys, jonka johdossa on osavaltion entinen osavaltion Rebublikaanisen puolueen johtaja.] - - Huolimatta siitä, kuka kuljettaa nämä äänestyskoneet, kansaa pyydetään luottamaan siihen, että niitä ei manipuloida. Hyvin suunnitellussa äänestysjärjestelmässä äänestäjien ei pitäisi tarvita luottaa keneenkään. Koko prosessin pitäisi olla yksinkertainen ja läpinäkyvä, siten että kuka tahansa kykenee tarkkailemaan prosessia ja varmistumaan siitä, että äänestys suoritettiin oikein. Sähköisten äänestyslaitteiden monimutkaisuus ja läpinäkymättömyys tekee tehokkaan julkisen tarkastelun mahdottomaksi, mistä syystä ne ovat huono ajatus, vaikka mitään yksilöityä todistetta vilpistä ei olisikaan."
+
Suomessa oikeusministeriö on ilmoittanut, että sähköisen äänestyksen tapauksessa [pitää vain luottaa oikeusministeriön virkamiehiin][29]. [Hallituksen esityksessä 14/2006 eduskunnalle vaalilain muuttamisesta][18] sanotaan asiasta:
> "Suomen vaalijärjestelmä on jo lähes sadan vuoden ajan perustunut luottamushenkilöjärjestelmään, jonka mukaan vaalipiirilautakuntien, kuntien keskusvaalilautakuntien, vaalilautakuntien ja vaalitoimikuntien jäsenten tulee edustaa eri poliittisia puolueita. Siten on pyritty varmistamaan vaalien yleistä luotettavuutta ja oikeudellisuutta. Sähköinen äänestäminen muuttaisi vaalien luonnetta tässä suhteessa."
[Paperivarmistuksessa (VVPR, Voter Verified Paper Record, tai VVPB, Voter Verified Paper Ballot)][30] äänestäjä saa äänestään paperitositteen. Tosite ei jää äänestäjälle, vaan hän laittaa sen vaalipaikalla normaaliin uurnaan tarkastettuaan sen. Näin kerätyillä tositteilla voidaan suorittaa tarkastuslaskenta. Vaikka kaikkia tositteita ei aina laskettaisikaan, voidaan esimerkiksi laskea satunnaisotannalla valittujen äänestyspaikkojen äänet ja verrata näin saatuja äänimääriä sähköiseen tulokseen. Jos sähkö- ja paperitulokset eroavat toisistaan, lasketaan kaikki paperiäänet ja hylätään sähköinen tulos kokonaan. Samaten jos kisa menee tiukoille tai jokin osapuoli syyttää sähköisestä vaalivilpistä, voidaan laskea paperitositteet. Paperivarmistus on hyvä ratkaisu, koska paperitositteiden avulla voidaan suorittaa äänistysohjelmistoista ja -laitteista riippumaton, avoin ja ymmärrettävä tarkastuslaskenta.
-Yhdysvalloissa on kokemuksien perusteella luovuttu laajalti puhtaasti sähköisestä äänestyksestä ja siirrytty paperivarmistuksen käyttöön, jotta äänestyslaitteista ja -ohjelmistoista riippumaton tarkastuslaskenta olisi mahdollinen.
+Yhdysvalloissa on kokemuksien perusteella [luovuttu][30] laajalti puhtaasti sähköisestä äänestyksestä ja siirrytty paperivarmistuksen käyttöön, jotta äänestyslaitteista ja -ohjelmistoista riippumaton tarkastuslaskenta olisi mahdollinen.
+
+ETYJ:n [vaalitarkkailijan käsikirjassa](http://www.osce.org/publications/odihr/2005/04/14004_240_en.pdf) sanotaan (s. 44, oma suomennos):
+
+> "Potentiaalisia ongelmia, joista tulisi olla tietoinen - - sähköiset äänestysjärjestelmät ilman äänestäjän tarkastamaa auditoitavaa paperijälkeä tai muuta manuaalista paperiauditointitapaa"
+
+Euroopan komission [oppaassa](http://ec.europa.eu/europeaid/multimedia/publications/documents/thematic/ec_methodological_guide_on_electoral_assistance_en.pdf) todetaan samansuuntaisesti (s. 65, oma suomennos):
+
+> "Nykyään pidetään tarpeellisena - läpinäkyvyyden ja turvallisuuden vuoksi - sisällyttää kaikkiin sähköisiin äänestysprosesseihin auditoitava paperijälki. - - Näiden ominaisuuksien mukana oloa tulee pitää tarpeellisena - -"
Effi vaati [lausunnossaa oikeusministeriölle][31] paperivarmistusta ministeriön suunnittelemaan sähköiseen äänestysjärjestelmään, huonolla menestyksellä. Suomeen ehdotetussa järjestelmässä ei siis ole paperivarmistusta, täällä luotetaan sähköisen järjestelmän erehtymättömyyteen.
Jos sen sijaan äänestysjärjestelmässä on vikoja tai tietoturvassa on puutteita, on riskinä, että väärä henkilö tai puolue pääsee valtaan - tätä ei voi korvata rahalla.
-Suuri osa kotitietokoneista on lisäksi tälläkin hetkellä käyttäjien tietämättä haittaohjelmien saastuttama. Tähän saakka näitä koneita on käytetty muun muassa huijauksiin, roskapostittamiseen ja palvelunestohyökkäyksiin. On myös tiettyihin nettipankkeihin erikoistuneita haittaohjelmia: kun käyttäjä kirjautuu nettipankkiin, voi haittaohjelma tehdä käyttäjän huomaamatta suurehkon tilisiirron. Onko viisasta sallia sitä mahdollisuutta, että tulevaisuudessa näitä koneita käytetään myös nettiäänestämiseen?
+Suuri osa kotitietokoneista on lisäksi tälläkin hetkellä käyttäjien tietämättä haittaohjelmien saastuttama. Tähän saakka näitä koneita on käytetty muun muassa huijauksiin, roskapostittamiseen ja palvelunestohyökkäyksiin. On myös tiettyihin nettipankkeihin erikoistuneita haittaohjelmia: kun käyttäjä kirjautuu nettipankkiin, voi haittaohjelma tehdä käyttäjän huomaamatta suurehkon tilisiirron. Onko viisasta sallia sitä mahdollisuutta, että tulevaisuudessa näitä koneita käytetään myös nettiäänestämiseen? (Käyttäjä huomaa lopulta haittaohjelman tekemän tilisiirron, koska tilin saldo pienenee,
+mutta haittaohjelman tekemää äänestystä ei samalla tavalla voi huomata - kuten sanottua, nettiäänestyksen
+toteuttaminen turvallisesti on huomattavasti nettipankin turvaamista vaikeampaa.)
+
+### "Kenelläkään ei ole intressiä murtautua äänestysjärjestelmään"
+
+Akatamiaprofessori Hannu Nurmi on sitä mieltä, että nettiäänestys olisi varmaan ihan turvallista (Helsingin Sanomat 31.1.2008). Helsingin Sanomien mukaan "hän muistuttaa, että intressi murtautua äänestysjärjestelmään on pienempi kuin murtautua esimerkiksi pankkijärjestelmään".
+
+Siis kenenkään intresseissä ei ole vaikuttaa siihen, kuka Suomessa on vallassa?
+Pääasia, että pankkitilien saldot ovat oikein?
+
+
+Samassa Helsingin Sanomien artikkelissa muidenkin antamista kommenteista paistaa asenne, jonka mukaan äänestäjiä ei kiinnosta tai ainakaan pitäisi kiinnostaa äänestyksen luotettavuus. Ketään ei myöskään tunnu kiinnostavan,
+että vaalijärjestelmän pitäisi toimia luotettavasti myös kiristyneessä sisä- tai ulkopoliittisessa tilanteessa,
+jossa kaikkiin viranomaisiin ei voi luottaa, ja jossa mahdollinen nettivaalijärjestelmä
+voi joutua verkkohyökkäyksen kohteeksi.
+
+
+Samalla tavalla voisi kai sanoa, että kenenkään intressi marssia Suomen rajojen yli on pienempi kuin murtautua esimerkiksi Nordean pankkiholviin, joten puolustusvoimat voi lakkauttaa. Toivottavasti Suomessa ei suhtauduta samalla asenteella muihin yhteiskunnan kannalta kriittisiin toimintoihin - verkon kautta
+nettiäänestysjärjestelmän murtaminen ja pelkästään uskottava epäily vaalituloksen oikeellisuudesta kun voisi pahimmillaan johtaa yhteiskuntajärjestyksen kaatumiseen.
+
+On hyvä muistaa, että nykyajan konflikteissa tietoverkot
+[ovat myös taistelutantereita](http://www.tietokone.fi/uutta/uutinen.asp?news_id=34557)
+([Helsingin Sanomat 16.8.2008 kybersodankäynnistä](http://www.hs.fi/ulkomaat/artikkeli/Viro+ja+Puola+puolustavat+Georgiaa+ven%C3%A4l%C3%A4isi%C3%A4+verkkohy%C3%B6kk%C3%A4yksi%C3%A4+vastaan/1135238684787),
+[Digitoday 19.8.2008](http://www.digitoday.fi/mielipide/2008/08/19/euroopan-tulivoimaisin-botnet/200821453/66)).
+
+
-[Akatamiaprofessori Hannu Nurmi on sitä mieltä, että nettiäänestys olisi varmaan ihan turvallista (Helsingin Sanomat 31.1.2008). Helsingin Sanomien mukaan "hän muistuttaa, että intressi murtautua äänestysjärjestelmään on pienempi kuin murtautua esimerkiksi pankkijärjestelmään". Samalla tavalla voisi kai sanoa, että kenenkään intressi marssia Suomen rajojen yli on pienempi kuin murtautua esimerkiksi Nordean pankkiholviin, joten puolustusvoimat voi lakkauttaa. Toivottavasti Suomessa ei suhtauduta samalla asenteella muihin yhteiskunnan kannalta kriittisiin toimintoihin - äänestysjärjestelmän murtaminen ja pelkästään uskottava epäily vaalituloksen oikeellisuudesta kun voisi pahimmillaan johtaa yhteiskuntajärjestyksen kaatumiseen. Helsingin Sanomien artikkelissa muidenkin antamista kommenteista paistaa asenne, jonka mukaan äänestäjiä ei kiinnosta tai ainakaan pitäisi kiinnostaa äänestyksen luotettavuus.]
### "Käytetäänhän ääntenlaskussa nykyäänkin apuna tietokoneita"
* Vuonna 2001 Kaliforniassa, äänet oli pakko laskea käsin ohjelmointivirheen vuoksi.
* Vuonna 2000 Floridassa, Al Gore sai eräässä piirikunnassa presidentinvaaleissa -16.022 ääntä, siis negatiivisen äänimäärän.
* Vuonna 2003 Indianassa, Boonen piirikunnasta, jossa oli noin 20.000 äänioikeutettua, oli annettu yhteensä yli 140.000 ääntä.
+* Vuonna 2008 amerikkalainen äänestyslaitevalmistaja [varoitti](http://seattletimes.nwsource.com/html/nationworld/2008131168_voting22.html), että heidän 34 osavaltiossa käytössä oleva äänestysjärjestelmä hukkaa ääniä ([Sähköisen äänestysjärjestelmän myyjä myönsi virheet USA:ssa](http://www.digitoday.fi/p/200821993), Digitoday 26.8.2008; [Kansanedustaja Kasvi: Sähköisessä äänestyksessä tietoturvaongelmia](http://www.hs.fi/politiikka/artikkeli/Kansanedustaja+Kasvi+S%C3%A4hk%C3%B6isess%C3%A4+%C3%A4%C3%A4nestyksess%C3%A4+tietoturvaongelmia/1135239103437), HS 1.9.2008). Hupsista.
Samanlaisia tarinoita on satoja lisää, [Effinkin lausunnossa][31] on lisää viitteitä. Voi vain arvailla, kuinka usein ongelmia ei ole huomattu ja vaalin tulos on ollut virheellinen. Huomattavaa on myös, että ongelmat eivät ole yleensä koskeneet yhtäläisesti kaikkia ehdokkaita, vaan ne ovat lisänneet tai vähentäneet tietyn ehdokkaan äänimääriä.
-Sähköinen äänestysjärjestelmä voidaan toteuttaa useilla tavoilla. Kehittyneimmät ehdotetut järjestelmät käyttävät edistyneitä kryptografisia menetelmiä, joilla pyritään takaamaan äänestyksen luotettavuus ja anonymiteetti.
+Sähköinen äänestysjärjestelmä voidaan toteuttaa useilla tavoilla. Kehittyneimmät ehdotetut
+järjestelmät käyttävät edistyneitä kryptografisia menetelmiä, joilla pyritään takaamaan äänestyksen luotettavuus ja anonymiteetti.
+
Usein selitetään, kuinka sähköinen äänestys *voitaisiin* toteuttaa turvallisesti ja luotettavasti edellä kuvatun kaltaisilla
menetelmillä. Suomeen puuhattava järjestelmä ei ole tällainen, joten oikeusministeriön
-hankkeen osalta tällaiset väitteet ovat akateemisia.
+hankkeen osalta tällaiset spekulaatiot ovat irrelevantteja.
Ikävä kyllä kehittyneimmät järjestelmät ja menetelmät ovat usein niin monimutkaisia, että tavallinen äänestäjä - mukaanlukien suurin osa vaalitietojärjestelmästä vastaavista viranomaisista - ei ymmärtäisi niiden toimintaperiaatteita. Mitä monimutkaisempi järjestelmä tai menetelmä on, sitä enemmän vikaantumismahdollisuuksia se myös sisältää.
*Mitä tulee nykyisen vaalilain valmisteluun, niin verrattuna siihen, miten esimerkiksi tietoliikennejärjestelmien standardeja luodaan standardiorganisaatioiden laajoilla kuulemismenettelyillä, sähköisen äänestyksen valmistelu on Suomessa ollut hyvin suljettua. Kuvaavaa on, että esimerkiksi äskettäisessä sähköistä äänestystä koskevassa vaalilain uudistuksessa oikeusministeriö ei edes katsonut tarpeelliseksi pyytää lausuntoa tekniikan asiantuntijoilta ([2006:3 Sähköinen äänestys][39], ks. lausuntopyyntökirje). Effi antoi pyytämättä [lausuntonsa][31], jonka ministeriö jätti oleellisilta osiltaan [huomioon ottamatta][40]. Myöskään oikeusministeriön aikaisemmin (ks. kohta ["Suomalainen järjestelmä on täydellinen"][10]) mainitut kommentit "täydellisesti tietomurroilta suojatusta" ([HE 14/2006 vp][18]) vaalitietojärjestelmästä eivät ole omiaan herättämään luottamusta (on mahdollista tehdä hyvin turvallisia järjestelmiä, mutta tietoturvassa on käytännössä mahdotonta päästä täydellisyyteen).]*
+### "Yritetään sähköäänestystä ja otetaan käyttöön, jos se toimii hyvin"
+
+Joidenkin mielestä sähköistä äänestystä voi hyvin kokeilla rajoitetusti. Sähköäänestys voitaisiin ottaa laajempaan käyttöön, jos kokemukset olisivat hyviä.
+
+Sähköisen äänestyksen kokeilussa havaitaan vain tietyntyyppiset puutteet (esim. äänestyslaite jumiutuu), kun vakavampia ovat ne puutteet, joita <em>ei</em> huomata. Täyssähköisessä äänestyksessä, jollaista Suomeen ollaan puuhaamassa, ei esimerkiksi voida mitenkään tietää, onko äänet laskettu oikein (pitää vain luottaa kokeiltavaan äänestysjärjestelmään, koska järjestelmästä riippumatonta tarkastuslaskentaa ei voida tehdä).
+
+Toisaalta jos kokeilu sujuu hyvin, se ei tarkoita, että järjestelmässä ei voisi olla sellaisia heikkouksia, joita kukaan vain ei kokeilun aikana viitsinyt hyödyntää. Kolmanneksi, tietotekniset järjestelmät vanhenevat nopeasti ja viimeistään parin vaalin jälkeen merkittävä osa äänestystekniikasta on luultavasti jo täysin uutta - tästä syystä vanhat kokeilut ja auditoinnit ovat muuttuneet merkittäviltä osiltaan merkityksettömiksi.
+
### "Tekniikan kehitystä ei saa estää"
Joidenkin mielestä tekniikan kehitys ja "nykyaikaisiin" järjestelmiin siirtyminen on jo sinällään hyvä asia. "Vanhanaikaista" paperijärjestelmää hyvänä pitäviä pidetään kehityksen jarruina.
Konservatiivisuus takaa tässä asiassa demokratian säilymisen. Miksi seikkailla, kun nykyinen paperiäänestysjärjestelmä toimii hyvin?
-Sähköinen äänestys voisi toki olla hyvä vaihtoehto esimerkiksi neuvoa-antaviin äänestyksiin tai uusien äänestystapojen kokeiluun.
+### "Onko sähköinen äänestys aina huono juttu keskeisissä valtiollisissa vaaleissa?"
+
+Kuten yllä kohdassa "tekniikan kehitystä ei saa estää" on kerrottu,
+nykyinen paperijärjestelmämme on toimiva,
+tehokas, edullinen ja
+ymmärrettävä vaihtoehto. Ei ole mitään järkeä korvata nykyistä järjestelmää,
+joka koostuu yhden numeron
+kirjoittamisesta parin vuoden välein paperilappuun, epäluotettavammalla ja mitä luultavammin kalliimmalla
+sähköisellä nappijärjestelmällä.
+
+Sähköinen äänestys *voisi* olla perusteltu, jos esimerkiksi äänestysjärjestelmä olisi erilainen
+(esim. [STV](http://en.wikipedia.org/wiki/Single_transferable_vote)) tai jos äänestyksiä olisi samalla
+useampia,
+jolloin käsin suoritettava ääntenlasku olisi hitaampaa ja virhealttiimpaa.
+Silloinkin olisi hyvä miettiä tarkkaan, kuinka tärkeää *oikeasti* olisi saada
+tulokset nopeasti äänestyksen päättymisen jälkeen verrattuna sähköisen järjestelmän
+implementoinnista aiheutuviin tietoturvauhkiin ja kustannuksiin - vai olisiko parempi
+ratkaisu esimerkiksi käyttää optisia lukijoita vaalilippujen laskentaan. Käytännössä
+edellytyksenä turvalliselle sähköiselle äänestykselle olisi
+joka tapauksessa paperivarmistuksen käyttö (järjestelmä tulostaa äänestä tositteen äänestäjälle,
+joka laittaa sen vaalipaikalla normaaliin uurnaan tarkastettuaan sen; ks. kohtia "Mikä on paperivarmistus?" ja
+"Sähköinen äänestysmenetelmä X olisi hyvä").
+Maailmalta löytyy useita esimerkkejä siitä, että täyssähköiseen järjestelmään ei
+luoteta: esimerkiksi [Yhdysvalloissa puolet osavaltioista on jo kieltänyt täyssähköisen äänestyksen][30]
+ja Alankomaissa äänestyksen luotettavuutta arvioinut komissio [suositti paperivarmennusta sähköiseen äänestykseen][55].
+Sähköisen äänestyksen ensisijainen funktio olisi siis tuloksen nopea laskenta ja
+paperivarmistuksen avulla voitaisiin varmistua tuloksen oikeellisuudesta
+(esim. laskemalla satunnaisotannalla valittujen ja/tai
+kilpailevien puolueiden nimeämien äänestyspaikkojen äänet ja
+vertaamalla vastaaviin sähköisiin tuloksiin). Koska ensisijaisesti paperivarmistusta
+(ei sähköistä järjestelmää) käytetään tuloksen
+oikeellisuuden varmistamiseen, olisi
+sähköinen osa äänestysjärjestelmästä helpompaa (vaikkei vieläkään yksinkertaista)
+rakentaa siten, että
+anonymiteetti säilyy.
+
+Verkon kautta tapahtuva *nettiäänestys* sen sijaan sisältää kaikki äänestyspaikalla tapahtuvan täyssähköisen
+äänestämisen riskit ja sen lisäksi vielä useita muita riskejä, jotka äänestyspaikalla voitaisiin eliminoida.
+Nettiäänestystä ei siis voida ottaa käyttöön keskeisissä valtiollisissa vaaleissa,
+ellei täyssähköiseen äänestyspaikalla (ilman paperivarmistusta)
+tapahtuvaan äänestykseen voida täysin luottaa.
### Lähteistä
-Tämän dokumentin kirjoittamisessa on käytetty apuna erityisesti [tekniikan tohtori Antti Honkelan kirjoittamaa Effin lausuntoa oikeusministeriölle][31], sekä yllä mainittuja nettikeskusteluja.
-
+Tämän dokumentin kirjoittamisessa on käytetty apuna erityisesti [tekniikan tohtori Antti Honkelan kirjoittamaa Effin lausuntoa oikeusministeriölle][31].
Tyypillisiä argumentteja on etsitty esimerkiksi seuraavista keskusteluista:
* [Effi muistuttaa e-äänestämisen vaaroista][41] (ITViikko 22.8.2007, uutiskeskustelu)
[52]: http://www.effi.org/julkaisut/lausunnot/sahkoisen-kuulemisen-kehittaminen-080610.html
[53]: http://www.effi.org/julkaisut/tiedotteet/lehdistotiedote-2008-06-19.html
[54]: http://www.effi.org/julkaisut/tiedotteet/lehdistotiedote-2008-06-24.html
-
+ [55]: http://www.digitoday.fi/yhteiskunta/2008/05/28/Hollanti+kielt%E4%E4+s%E4hk%F6iset+%E4%E4nestykset/200814428/66?rss=6
+ [56]: http://www.effi.org/blog/2008-10-28-finnish-evoting-votes-lost.html
+ [57]: http://www.effi.org/blog/2008-10-16-Timo-Karjalainen.html
+ [58]: http://www.effi.org/blog/2008-10-03-Tapani-Tarvainen.html
+ [59]: http://www.effi.org/blog/kai-2008-09-04.html
+ [60]: http://www.effi.org/blog/2008-09-01-evoting-report-in-english.html
+ [61]: http://www.effi.org/julkaisut/tiedotteet/lehdistotiedote-2008-10-28.html
+ [62]: http://www.effi.org/julkaisut/tiedotteet/lehdistotiedote-2008-10-26.html
projects / .git / blobdiff