Oikeusministeriö toteaakin [hallituksen esityksessä 14/2006 eduskunnalle vaalilain muuttamisesta][18]:
> "Yleisesti ottaen vaalijärjestelmämme toimii teknisessä mielessä varsin hyvin, mistä on osoituksena se, että vaalit toimitetaan ongelmitta ja niiden tulokset saadaan selville kansainvälisestikin verrattuna nopeasti. Pakottavia muutospaineita ei tässä suhteessa voidakaan katsoa olevan."
+
Minkäänlaista pakkoa siirtyä sähköiseen äänestykseen ei siis ole.
On myös syytä erottaa sähköinen äänestyspaikalla tapahtuva äänestys, jota oikeusministeriö on ehdottanut ja jota [kokeillaan vuoden 2008 kunnallisvaaleissa][19], ja Internetin kautta tapahtuva nettiäänestys, jota [viestintäministeri Suvi Lindén (kok) on visioinut][20].
Aivan aluksi kannattaa lukea läpi [Effin alkuperäinen tiedote][1] ja siinä olevat viitteet. Näitä viitteitä ei ymmärrettävästi toistettu uutisartikkeleissa, mikä aiheutti hämmennystä. Moni keskustelija tuntui esimerkiksi jakavan [ministeri Lindénin virheellisen käsityksen][22], jonka mukaan Viron nettiäänestyskokeilu oli sujunut täydellisesti. Tämä ei pidä paikkaansa, kuten Effin tiedotteessa viitatussa Viron valtiollisen vaalilautakunnan sivuilla julkaistussa [raportissa][23] sanotaan. Raportti toteaa, että nettiäänestykseen liittyy useita haasteita läpinäkyvyyden ja tuloksen luotettavuuden suhteen ja ellei haasteisiin pystytä vastaamaan, suosittaa harkitsemaan nettiäänestyksestä luopumista:
> "Although the National Election Committee made considerable efforts to minimize the inherent risks, testing and auditing of the system could have been more comprehensive. Furthermore, there appeared to be almost no oversight of the internet voting process by political parties or civil society. The internet voting system as implemented appears to have functioned in the Estonian context on this occasion. Yet, unless the above-mentioned factors are effectively addressed, the authorities should reconsider whether the internet should be widely available as a voting method, or alternatively whether it should be used only on a limited basis or at all."
+
Viron viime aikoina kokemien nettihyökkäyksen valossa ei olisi yllättävää, jos vaalien heikoin lenkki eli nettiäänestys joutuisi koetukselle seuraavissa vaaleissa. Ei ole mahdotonta, että joku tekisi haittaohjelman, joka käyttäjän huomaamatta muuttaisi annettua ääntä; vastaavanlaisia haittaohjelmia käytetään tekemään nettipankeissa tilisiirtoja käyttäjän huomaamatta. Nettiäänestys on altis myös nimipalvelu- ja palvelunestohyökkäyksille ja niin edelleen; "liikuvia osia" ja siten potentiaalisia vikapisteitä on perinteiseen paperiäänestysjärjestelmään verrattuna todella paljon. Ylipäätään nettiäänestysprosessi sisältää niin paljon vaikeasti hallittavia ja suojattavia tekijöitä, että jos joku haluaa tehdä maata vastaan kyberhyökkäyksen ja aiheuttaa yhteiskunnallista epävakautta väärentämällä vaalituloksen, olisi nettiäänestys varteenotettava kohde.
Bruce Schneierin sanoin: "A secure Internet voting system is theoretically possible, but it would be the first secure networked application ever created in the history of computers."
Äänestyksen tietokoneistaminen voi päinvastoin heikentää ihmisten luottamusta äänestykseen ja siihen, että sillä voisi oikeasti vaikuttaa mihinkään - tämä luottamus on jo nykyään heikoilla - ja siten johtaa äänestysaktiivisuuden laskuun. Oma käännös asiaa käsittelevästä [Timothy Leen kolumnista][27] (Slashdot: [E-Voting Undermines Public Confidence In Elections][28]):
> "[Marylandin osavaltiossa äänestyskoneiden kuljetuksesta on palkattu vastaamaan yritys, jonka johdossa on osavaltion entinen osavaltion Rebublikaanisen puolueen johtaja.] - - Huolimatta siitä, kuka kuljettaa nämä äänestyskoneet, kansaa pyydetään luottamaan siihen, että niitä ei manipuloida. Hyvin suunnitellussa äänestysjärjestelmässä äänestäjien ei pitäisi tarvita luottaa keneenkään. Koko prosessin pitäisi olla yksinkertainen ja läpinäkyvä, siten että kuka tahansa kykenee tarkkailemaan prosessia ja varmistumaan siitä, että äänestys suoritettiin oikein. Sähköisten äänestyslaitteiden monimutkaisuus ja läpinäkymättömyys tekee tehokkaan julkisen tarkastelun mahdottomaksi, mistä syystä ne ovat huono ajatus, vaikka mitään yksilöityä todistetta vilpistä ei olisikaan."
+
Suomessa oikeusministeriö on ilmoittanut, että sähköisen äänestyksen tapauksessa [pitää vain luottaa oikeusministeriön virkamiehiin][29]. [Hallituksen esityksessä 14/2006 eduskunnalle vaalilain muuttamisesta][18] sanotaan asiasta:
> "Suomen vaalijärjestelmä on jo lähes sadan vuoden ajan perustunut luottamushenkilöjärjestelmään, jonka mukaan vaalipiirilautakuntien, kuntien keskusvaalilautakuntien, vaalilautakuntien ja vaalitoimikuntien jäsenten tulee edustaa eri poliittisia puolueita. Siten on pyritty varmistamaan vaalien yleistä luotettavuutta ja oikeudellisuutta. Sähköinen äänestäminen muuttaisi vaalien luonnetta tässä suhteessa."
Kuten tämän dokumentin alussa on perusteltu, pankkijärjestelmän toteuttaminen on vaalijärjestelmään verrattuna hyvin yksinkertaista. Tärkeimmät erot pankkijärjestelmän ja sähköisen äänestyksen välillä ovat [anonyymiys, korjattavuus ja luotettavuus][32]:
-> * *Anonyymiys.* Pankki tietää aina tilisiirroissa sekä maksajan että maksun saajan henkilöllisyyden, mutta äänestäjän ääntä ja henkilöllisyyttä ei saisi
->
-> vaalisalaisuuden vuoksi liittää toisiinsa. Anonyymiysvaatimuksen vuoksi suurta osa esimerkiksi tilisiirtojen turvamekanismeista ei voi soveltaa sähköiseen äänestämiseen (ellei anonyymiyttä haluta rikkoa). Vaalivilpin huomaaminen - toisin kuin esimerkiksi pankkitilin virheveloituksen huomaaminen tiliotteesta, korjaaminen ja vilppiin syyllisten kiinni saaminen on tästä syystä puhtaasti sähköisessä äänestyksessä mahdotonta tai huomattavasti vaikeampaa kuin esimerkiksi mainittu pankkitilin virheveloituksen huomaaminen ja korjaaminen.
->
-> * *Korjattavuus.* Pankki ylläpitää moninkertaista kirjanpitoa ja muita varmistuksia. Jos esimerkiksi tilisiirtoa epäillään virheelliseksi, voidaan selvittää mistä on kyse ja korjata aiheutunut virhe. Puhtaasti sähköisessä äänestyksessä korjattavuuden toteuttaminen on huomattavasti vaikeampaa, koska riippumatonta tarkastuslaskentaa ei voida tehdä.
->
-> * *Luotettavuus.* Jos joku väittää kavaltaneensa miljoona euroa, mutta kukaan ei tunnusta menettäneensä rahoja, kavallusväitteen voi jättää omaan arvoonsa. Jos joku toisaalta väittää murtaneensa sähköisen äänestysjärjestelmän ja huijanneensa vaaleissa, puhtaasti sähköisessä järjestelmässä (jossa ei esimerkiksi ole paperivarmistusta) ei auta muuta kuin luottaa äänestysjärjestelmään. Äänestysjärjestelmän on siis paitsi oltava luotettava, myös näytettävä luotettavalta, jotta luottamus vaalitulosten oikeellisuuteen säilyy.
+* *Anonyymiys.* Pankki tietää aina tilisiirroissa sekä maksajan että maksun saajan henkilöllisyyden, mutta äänestäjän ääntä ja henkilöllisyyttä ei saisi vaalisalaisuuden vuoksi liittää toisiinsa. Anonyymiysvaatimuksen vuoksi suurta osa esimerkiksi tilisiirtojen turvamekanismeista ei voi soveltaa sähköiseen äänestämiseen (ellei anonyymiyttä haluta rikkoa). Vaalivilpin huomaaminen - toisin kuin esimerkiksi pankkitilin virheveloituksen huomaaminen tiliotteesta, korjaaminen ja vilppiin syyllisten kiinni saaminen on tästä syystä puhtaasti sähköisessä äänestyksessä mahdotonta tai huomattavasti vaikeampaa kuin esimerkiksi mainittu pankkitilin virheveloituksen huomaaminen ja korjaaminen.
+* *Korjattavuus.* Pankki ylläpitää moninkertaista kirjanpitoa ja muita varmistuksia. Jos esimerkiksi tilisiirtoa epäillään virheelliseksi, voidaan selvittää mistä on kyse ja korjata aiheutunut virhe. Puhtaasti sähköisessä äänestyksessä korjattavuuden toteuttaminen on huomattavasti vaikeampaa, koska riippumatonta tarkastuslaskentaa ei voida tehdä.
+* *Luotettavuus.* Jos joku väittää kavaltaneensa miljoona euroa, mutta kukaan ei tunnusta menettäneensä rahoja, kavallusväitteen voi jättää omaan arvoonsa. Jos joku toisaalta väittää murtaneensa sähköisen äänestysjärjestelmän ja huijanneensa vaaleissa, puhtaasti sähköisessä järjestelmässä (jossa ei esimerkiksi ole paperivarmistusta) ei auta muuta kuin luottaa äänestysjärjestelmään. Äänestysjärjestelmän on siis paitsi oltava luotettava, myös näytettävä luotettavalta, jotta luottamus vaalitulosten oikeellisuuteen säilyy.
Nettipankit sekoilevat ja joskus jopa tilin saldo näkyy väärin - muistetaan esimerkiksi surullisenkuuluisa Sampo-pankin tietojärjestelmäuudistus keväällä 2008. Virheet voidaan kuitenkin korjata, koska asiakas huomaa, että tilin saldo on virheellinen ja moninkertaisten varmistusten vuoksi oikea saldo voidaan selvittää. Sähköisessä äänestyksessä sen sijaan pitää vain luottaa äänestystulokseen, jos riippumatonta tapaa selvittää oikeaa tulosta (esim. paperivarmistus) ei ole.
Suomenkin suunnitellussa järjestelmässä äänestysjärjestelmä voisi olla [pääosin ulkoistettu pörssiyhtiöön][33] (kyse olisi vaalipaikalla tapahtuvasta sähköisestä äänestämisestä, nettiäänestystä oikeusministeriö ei ole vielä esittänyt). [Hallituksen esitys 14/2006 eduskunnalle vaalilain muuttamisesta][18]:
> "Sähköinen vaaliuurna, kuten muutkin vaalitietojärjestelmän osat, toimisi oikeusministeriön kanssa sopimussuhteessa olevan tietotekniikkatoimittajan laitteilla toimittajan jossakin toimipisteessä."
+
*Nettipankit ja nettiäänestys.* Nettipankkien tietoturvassa on puutteita, minkä pankit hyvin ymmärtävät. Pelkästään vuonna 2005 Nordean verkkopankin asiakkailta huijattiin kalastelemalla 60.000 euroa. Riskien hallintaan on kuitenkin keinoja ja vahingot ovat rahalla korvattavissa. Yksittäiset vahingot ovat pankin liikevaihtoon verrattuna niin mitättömiä, että verkkopankkeja kannattaa väärinkäytöksistä huolimatta ylläpitää ja käyttää.
Jos sen sijaan äänestysjärjestelmässä on vikoja tai tietoturvassa on puutteita, on riskinä, että väärä henkilö tai puolue pääsee valtaan - tätä ei voi korvata rahalla.
Oikeusministeriö laukoo [hallituksen esityksessä 14/2006 eduskunnalle vaalilain muuttamisesta][18]:
> "- - äänestysjärjestelmä olisi täydellisesti suojattu tietomurroilta ja että uurnassa olevat tiedot eivät voisi hävitä eikä niitä voitaisi muuttaa."
+
Odotamme innolla maailman ensimmäistä tietojärjestelmää, joka on täydellisesti suojattu tietomurroilta. Oikeusministeriön ankka "täydellisestä tietoturvasta" (jollaista ei ikävä kyllä ole käytännössä mahdollista saavuttaa) osoittaa osaltaan, että tietotekniikan asiantuntijoita ei ole valmistelussa juuri kuultu.
Toisaalta ylläpitohenkilökunnalla olisi mahdollisuus korjata virheitä (täydellisen tietoturvallisessa järjestelmässä ei tosin saisi olla ainakaan äänimääriin tai äänestyksen luottamuksellisuuteen vaikuttavia virheitä):
> "Äänestyksen aikana oikeusministeriöllä tai sen valtuuttamalla tietotekniikkahenkilöstöllä olisi mahdollisuus valvoa sähköisen vaaliuurnan toimintaa ja suorittaa korjaus- tai vastaavia toimia, mikäli sellaisia tarvittaisiin."
+
Ylläpitäjät eivät kuitenkaan oikeusministeriön mielestä mitenkään voisi yhdistää äänestäjän ääntä ja henkilöllisyyttä, jotka on tallennettu tietojärjestelmään, eivätkä muuttaa ääniä:
> "Kyseiset henkilöt eivät voisi murtaa äänen ja henkilötunnuksen välistä salausta eivätkä saada selville sitä, keille ehdokkaille annettuja ääniä uurnassa on. He eivät myöskään voisi poistaa, lisätä tai muuttaa uurnassa olevia ääniä."
+
Esitetty ajatus on kaunis, mutta käytännössä mahdoton toteuttaa. Lisäksi vaikka järjestelmä pystyttäisiinkin suojaamaan, olisi ulkopuolisten mahdoton varmistua suojauksen riittävyydestä ja siten järjestelmän luotettavuudesta. Kuitenkin vaalijärjestelmän uskottavuus on käytännössä yhtä tärkeää kuin sen todellinen luotettavuus.
Effi kommentoi tätäkin [lausunnossaan][31] (s. 3), mutta ministeriössä ei asiaa joko haluttu tai kyetty ymmärtämään.
projects / .git / commitdiff