sahkoaanestysfaq.mdwn

   1 ## Ohjeita
   2
   3 Huomaa, että tähän dokumenttiin kirjoitettu voidaan julkaista [Public Domain -lisenssillä](http://creativecommons.org/licenses/publicdomain/).
   4 Versio tästä dokumentista on julkaistu osoitteessa
   5 <http://www.effi.org/sahkoaanestys-faq.html>
   6
   7 # Sähköäänestys-FAQ
   8
   9 Alkuperäinen versio tästä tekstistä julkaistiin alunperin Effin blogissa
  10 24.8.2007 osoitteessa <http://www.effi.org/blog/kai-2007-08-24.html>. Tätä
  11 alunperin blogiartikkeliksi tarkoitettua tekstiä päivitettiin sittemmin useampaan
  12 otteeseen, mistä syystä päätimme siirtää sen tähän osoitteeseen.
  13
  14 Sähköistä äänestystä koskevissa keskusteluissa samat argumentit tuntuvat toistuvan.
  15 Tässä dokumentissa on koottu näitä argumentteja yhteen kommentoituna. Vastaukset on alun perin kirjoitettu vastauksiksi nettikeskusteluihin, josta syystä niiden tyyli on usein naseva.
  16
  17 Tämän dokumentin ohella hyviä - ja erityisesti Suomen järjestelmän osalta osin ajantasaisempia - tiivistelmiä
  18 ovat erityisesti Effin kesäkuussa 2008 julkaisemat [lausunto raporttiin sähköisen kuulemisen kehittämisestä valtionhallinnossa, II vaihe][52], sekä [Effin raportti Suomen järjestelmästä][53] sekä sen [uudempi englanninkielinen versio][60].
  19
  20 Tämä dokumentti on [Public Domainia](http://creativecommons.org/licenses/publicdomain/).
  21
  22 ### Sisällys
  23
  24 *   Effi sähköisestä äänestämisestä
  25 *   Yleistä
  26 *   Sähköisen äänestyksen tarve
  27 *   Kansalaisten luottamus äänestykseen
  28 *   Viron nettiäänestyskokeilu oli ongelmaton
  29 *   Yhdysvaltain huonoilla kokemuksilla ei ole merkitystä Suomessa
  30 *   Mikä on paperivarmistus?
  31 *   Nettipankkikin on olemassa, miksi ei siis myös nettiäänestys
  32 *   Kenelläkään ei ole intressiä murtautua äänestysjärjestelmään
  33 *   Käytetäänhän ääntenlaskussa nykyäänkin apuna tietokoneita
  34 *   Tietokone ei tee virheitä
  35 *   Suomalainen järjestelmä on täydellinen
  36 *   Mikä äänestäjien painostus?
  37 *   Äänestyslaitteiden lähdekoodin pitäisi olla avointa
  38 *   Sähköinen äänestysmenetelmä X olisi hyvä
  39 *   Tekniikan kehitystä ei saa estää
  40 *   Yritetään sähköäänestystä ja otetaan käyttöön, jos se toimii hyvin
  41 *   Sähköäänestyksen vastustaminen estää demokratian toteutumisen tai laajentumisen
  42 *   Onko sähköinen äänestys aina huono juttu keskeisissä valtiollisissa vaaleissa?
  43 *   Lähteistä
  44 *   Muita viitteitä
  45
  46 ### Effi sähköisestä äänestämisestä
  47
  48 *   [Finnish E-Voting Fiasco: Votes Lost][56] (Effin blogi/Antti Vähä-Sipilä 28.10.2008)
  49 *   [EFFI: Aika pistää piste sähköäänestysfarssille][61] (Effi 28.10.2008)
  50 *   [Effi: Sähköisen äänestyksen pilotti ei todista mitään][62] (Effi 26.10.2008)
  51 *   [Radiohaastattelu sähköisestä äänestyksestä][57] (Effin blogi/Timo Karjalainen 16.10.2008)
  52 *   [Sähkö äänestää omapäisesti maailmalla, meillä OM ei näe ongelmia][58] (Effin blogi/Tapani Tarvainen 3.10.2008)
  53 *   [Oikeusministeri: sähköisen äänestyksen auditointiraportti tieteisfantasiaa][59] (Effin blogi/Kai Puolamäki 4.9.2008)
  54 *   [Effi's e-voting 'shadow report' in English][60] (Effin blogi/Antti Vähä-Sipilä 1.9.2008)
  55 *   [Sähköinen äänestysjärjestelmä rikkoo sekä lakia että vaalisalaisuuden][54] (Effi 24.6.2008)
  56 *   [Suomen sähköinen äänestysjärjestelmä ei täytä suosituksia][53] (Effi 19.6.2008)
  57 *   [Lausunto raporttiin sähköisen kuulemisen kehittämisestä valtionhallinnossa, II vaihe][52] (Effi 10.6.2008)
  58 *   [Sähköäänestysjärjestelmän vaatimusdokumentteja][51] (Effin blogi/Antti Vähä-Sipilä 21.5.2008)
  59 *   [Salassapitosopimuksen anatomia][50] (Effin blogi/Tapani Tarvainen 20.3.2008)
  60 *   [Effi valmis osallistumaan sähköäänestyspilotin auditointiin][49] (Effin blogi/Tapani Tarvainen 12.3.2008)
  61 *   [Dokumentoimattomia salaisuuksia][48] (Effin blogi/Antti Vähä-Sipilä 10.3.2008)
  62 *   [Sähköisen äänestyksen eteneminen - Oikeusministeriö tyrmää myös akateemisten tahojen kritiikin][47] (Effin blogi/Jyri Luostarinen 28.2.2008)
  63 *   [Oikeusministeriön vaalipäällikkö julistautuu marttyyriksi][29] (Effin blogi/Kai Puolamäki 26.1.2008)
  64 *   [Äänestysjärjestelmä ei saa olla liikesalaisuus][45] (Effi 25.1.2008)
  65 *   [Sähköinen äänestys uhkaa johtaa kansanvallasta harvainvaltaan][40] (Effin blogi/Antti Honkela 16.3.2006 ja lausunto oikeusministeriölle)
  66 *   [Jäitä hattuun sähköisessä äänestämisessä][1] (Effi 21.8.2007)
  67
  68
  69
  70 ### Yleistä
  71
  72 Aluksi on syytä muistuttaa, mitä äänestysjärjestelmältä vaaditaan. Nämä vaatimukset perustuvat demokraattisen valtion vaatimuksiin.
  73
  74 *   Järjestelmän pitää valvoa, että kukin äänioikeutettu voi äänestää vain kerran.
  75 *   Äänestäjää lukuunottamatta kukaan ei saa tietää, ketä kukin on äänestänyt.
  76 *   Äänestäjän ja myös hävinneiden ehdokkaiden pitää voida luottaa, että äänet on laskettu tuloksessa oikein ja että ääniä ei katoa tai ilmesty tyhjästä.
  77 *   Äänestäjä ei saa pystyä todistamaan muille äänestäneensä tietyillä tavoilla. Näin estetään äänten ostaminen tai äänestäjien painostus. Samasta syystä äänestämisen on tapahduttava henkilökohtaisesti.
  78 *   Järjestelmän on toimittava luetettavasti myös epävakaissa yhteiskunnallisissa oloissa, siis sellaisissa, joissa tyypillisesti YK lähettäisi rauhanturvaajia.
  79 *   Järjestelmän on mahdollistettava vaalitarkkailu, myös ulkomaisille ja valtioiden välisille organisaatioille. Demokraattisen valtion hallinnon kansan luottamus pitää pystyä uskottavasti todistamaan muille valtioille. Epädemokraattisille valtioille on pystyttävä näyttämään esimerkkiä.
  80 *   Järjestelmän on paitsi oltava luotettava, myös näytettävä luotettavalta, jotta luottamus vaalitulosten oikeellisuuteen säilyy. Tämä vaatimus johtaa siihen, että "tavallisen kadunmiehen" on ymmärrettävä järjestelmän toiminta; muutoin epäilyt väärinkäytöksistä voivat johtaa epävakaissa oloissa jopa yhteiskuntajärjestyksen kaatumiseen.
  81
  82 Jos tarkastellaan nykyistä paperilippuja käyttävää äänestystä näiden vaatimusten valossa, se täyttää kaikki nämä vaatimukset erittäin hyvin. Suomessahan ääntenlasku tehdään hajautetusti (jokaisella äänestyspaikalla) kilpailevien puolueiden edustajien toimesta, ja laskennat tarkistetaan keskitetysti. Jokaisen äänestyspaikan tulos julkistetaan erikseen, jotta vaalilautakunnat voivat varmistua omien laskujensa oikeasta huomioimisesta.
  83
  84 Nykyinen järjestelmä otettiinkin käyttöön aikana, jolloin ihmiset eivät luottaneet toisiinsa. Tästä huolimatta haluttiin luottaa siihen, että vaalitulos on laskettu oikein ja että kukaan ei pääse valtaan vaalivilpillä.
  85
  86 Nykyisessä järjestelmässä äänestystuloksen laajamittainen huomaamaton väärentäminen vaatisi maantieteellisesti laajan ja puoluerajat ylittävän salaliiton. Järjestelmä myös mahdollistaa äänten tarkastuslaskennan, koska äänestyslippuja voidaan laskea uudelleen niin mona kertaa, kuin halutaan.
  87
  88 Vaatimusten toteuttaminen täysin sähköisesti taas on hyvin hankalaa. Perinteiset tietojärjestelmäturvallisuuden menetelmät eivät yleensä pysty vastaamaan kaikkiin edellä esitettyihin vaatimuksiin samalla kertaa, ja jotkin turvamekanismit voivat olla ristiriidassa toisten vaatimusten kanssa. Esimerkiksi pankkijärjestelmät voidaan rakentaa suurelta osin lokimekanismien, kirjanpidon ja vastaavien varaan. Sähköäänestyksessä taas esimerkiksi sen tiedon, kuka äänesti ketä, kirjaaminen on jo liikaa. Pankkijärjestelmien turvallisuus perustuu myöskin siihen, että väärinkäytösten riski on riittävän pieni rahassa mitattuna. Demokraattisissa vaaleissa päätetään ihmisten elämään vaikuttavasta lainsäädäntövallasta, jota taas ei voi rahassa mitata.
  89
  90 Tämän vuoksi Effin kanta on, että täysin sähköistä äänestysjärjestelmää ei pidä ottaa käyttöön. Effin kannan sähköäänestysasiassa tiivistää hyvin äänestysjärjestelmästä vastaavan oikeusministeri Tuija Braxin (vihr) oman [puoluehallituksen kanta 2.12.2005][21]:
  91
  92 > "Edellä kuvatun perusteella Vihreä liitto ei kannata tehtyä esitystä vaalilain muuttamisesta. Jos kuitenkin sähköinen äänestys halutaan mahdollistaa, on ehdoton vaatimus sisällyttää järjestelmään äänikohtainen äänestäjän varmentama paperituloste."
  93
  94 ### Sähköisen äänestyksen tarve
  95
  96 Oikeusministeriö toteaa [hallituksen esityksessä 14/2006 eduskunnalle vaalilain muuttamisesta][18]:
  97
  98 > "Yleisesti ottaen vaalijärjestelmämme toimii teknisessä mielessä varsin hyvin, mistä on osoituksena se, että vaalit toimitetaan ongelmitta ja niiden tulokset saadaan selville kansainvälisestikin verrattuna nopeasti. Pakottavia muutospaineita ei tässä suhteessa voidakaan katsoa olevan."
  99
 100 Minkäänlaista pakkoa siirtyä sähköiseen äänestykseen ei siis ole.
 101
 102 On myös syytä erottaa sähköinen äänestyspaikalla tapahtuva äänestys, jota oikeusministeriö on ehdottanut ja jota [kokeillaan vuoden 2008 kunnallisvaaleissa][19], ja Internetin kautta tapahtuva nettiäänestys, jota muun muassa [viestintäministeri Suvi Lindén (kok) on visioinut][20].
 103 Tietoturvamielessä verkon kautta tapahtuva nettiäänestys sisältää periaatteessa
 104 kaikki äänestyspaikalla tapahtuvan täyssähköisen äänestämisen riskit
 105 ja sen lisäksi vielä useita muita riskejä, jotka äänestyspaikalla voitaisiin eliminoida.
 106
 107 #### Väite: Nettiäänestys aktivoi äänestämään
 108
 109 Nettiäänestys voi alentaa äänestyskynnystä ja siten väliaikaisesti vähentää äänestysaktiivisuuden laskua. Nykymuotoinen paperiäänestys ennakkoäänestysmahdollisuuksineen ei kuitenkaan ole selitys äänestysprosenttien pienenemiselle, vaan kyse on politiikan uskottavuudesta, moraalista ja vetovoimasta. Äänestysaktivisuuden laskeminen on yhteiskunnallinen ongelma, joka ei ratkea nettiäänestysmahdollisuudella.
 110
 111 Aihetta on tutkittu ja [tulokset][24] kertovat, että etä-äänestysmahdollisuus (jonka erityistapaus nettiäänestys on) ei aktivoi äänestämään.
 112
 113 Yksi syy äänestysaktiivisuuden laskuun voi esimerkiksi olla, että erilaisilla eturyhmillä on yhä suurempi vaikutus poliittiseen päätöksentekoon. Äänestäjät, varsinkin nuorempi sukupolvi, voivat tuntea, että [heidän mielipiteitään ei kuunnella][25] tarpeeksi. Kuvaava esimerkki Effin toiminta-alalta oli [musta joulukuu][26] vuonna 2005, jolloin säädettiin urakalla uutta älytöntä lainsäädäntöä.
 114
 115 Nettiäänestys ei ratkaise näitä asioita.
 116
 117 #### Väite: Sähköistyminen on tulevaisuutta
 118
 119 Yleisesti ottaen sähköistyminen toki on tulevaisuutta.  Valtiollisissa vaaleissa virta ei kuitenkaan kulje tähän suuntaan juuri niistä syistä, joita tässäkin dokumentissa on selostettu.  Esimerkiksi [Yli puolet Yhdysvaltain osavaltioista on jo kieltänyt täyssähköisen äänestämisen][30] ja useissa osavaltioissa prosessi on meneillään.
 120
 121 Euroopan maista [Hollannin hallitus on päättänyt luopua sähköisistä äänestyksistä][55], koska ne eivät ole tarpeeksi turvallisia. Lisäksi [Iso-Britanniassa on ilmoitettu][63], että sähköisen äänestyksen pilotteja ei ole enää suunnitteilla.
 122
 123 ### Kansalaisten luottamus äänestykseen
 124
 125 Äänestyksen tietokoneistaminen voi heikentää ihmisten luottamusta äänestykseen ja siihen, että sillä voisi oikeasti vaikuttaa mihinkään - tämä luottamus on jo nykyään heikoilla - ja siten johtaa äänestysaktiivisuuden laskuun. Oma käännös asiaa käsittelevästä [Timothy Leen kolumnista][27] (Slashdot: [E-Voting Undermines Public Confidence In Elections][28]):
 126
 127 > "[Marylandin osavaltiossa äänestyskoneiden kuljetuksesta on palkattu vastaamaan yritys, jonka johdossa on osavaltion entinen osavaltion Rebublikaanisen puolueen johtaja.] - - Huolimatta siitä, kuka kuljettaa nämä äänestyskoneet, kansaa pyydetään luottamaan siihen, että niitä ei manipuloida. Hyvin suunnitellussa äänestysjärjestelmässä äänestäjien ei pitäisi tarvita luottaa keneenkään. Koko prosessin pitäisi olla yksinkertainen ja läpinäkyvä, siten että kuka tahansa kykenee tarkkailemaan prosessia ja varmistumaan siitä, että äänestys suoritettiin oikein. Sähköisten äänestyslaitteiden monimutkaisuus ja läpinäkymättömyys tekee tehokkaan julkisen tarkastelun mahdottomaksi, mistä syystä ne ovat huono ajatus, vaikka mitään yksilöityä todistetta vilpistä ei olisikaan."
 128
 129 Suomessa oikeusministeriö on ilmoittanut, että sähköisen äänestyksen tapauksessa [pitää vain luottaa oikeusministeriön virkamiehiin][29]. [Hallituksen esityksessä 14/2006 eduskunnalle vaalilain muuttamisesta][18] sanotaan asiasta:
 130
 131 > "Suomen vaalijärjestelmä on jo lähes sadan vuoden ajan perustunut luottamushenkilöjärjestelmään, jonka mukaan vaalipiirilautakuntien, kuntien keskusvaalilautakuntien, vaalilautakuntien ja vaalitoimikuntien jäsenten tulee edustaa eri poliittisia puolueita. Siten on pyritty varmistamaan vaalien yleistä luotettavuutta ja oikeudellisuutta. Sähköinen äänestäminen muuttaisi vaalien luonnetta tässä suhteessa."
 132
 133 ### "Viron nettiäänestyskokeilu oli ongelmaton"
 134
 135 Virossa on todella käytetty sähköistä nettiäänestystä. Sen onnistuneen markkinoinnin ansiosta monet jakavat esierkiksi [ministeri Lindénin virheellisen käsityksen][22], jonka mukaan Viron nettiäänestyskokeilu oli sujunut täydellisesti. Tämä ei pidä paikkaansa. Viron valtiollisen vaalilautakunnan sivuilla julkaistussa ETYJin demokraattisten instituutioiden ja ihmisoikeuksien toimiston (ODIHR) [raportissa][23] sanotaan. Raportti toteaa, että nettiäänestykseen liittyy useita haasteita läpinäkyvyyden ja tuloksen luotettavuuden suhteen ja ellei haasteisiin pystytä vastaamaan, suosittaa harkitsemaan nettiäänestyksestä luopumista (oma suomennos):
 136
 137 > "Vaikka kansallinen vaalilautakunta näkikin vaivaa minimoidakseen järjestelmään sisäänrakennetut riskit, järjestelmän testaus ja auditointi olisi voinut olla kattavampaa. Lisäksi, poliittiset puolueet tai kansalaisyhteiskunta eivät ilmeisesti juuri lainkaan valvoneet Internet-äänestysprosessia. Toteutettu Internet-äänestysjärjestelmä näyttää toimineen Virossa tässä tapauksessa. Kuitenkin, jos edellä mainittuja seikkoja ei tehokkaasti huomioida, viranomaisten pitäisi harkita uudestaan ptiäisikö Internet olla laajalti käytettävissä oleva äänestysmenetelmä, ja vaihtoehtoisesti pitäisikö sitä käyttää vain rajoitetusti tai ei laisinkaan."
 138
 139 > [alkuperäinen teksti:] *"Although the National Election Committee made considerable efforts to minimize the inherent risks, testing and auditing of the system could have been more comprehensive. Furthermore, there appeared to be almost no oversight of the internet voting process by political parties or civil society. The internet voting system as implemented appears to have functioned in the Estonian context on this occasion. Yet, unless the above-mentioned factors are effectively addressed, the authorities should reconsider whether the internet should be widely available as a voting method, or alternatively whether it should be used only on a limited basis or at all."*
 140
 141 Viron viime aikoina kokemien nettihyökkäyksen valossa ei olisi yllättävää, jos vaalien heikoin lenkki eli nettiäänestys joutuisi koetukselle seuraavissa vaaleissa. Ei ole mahdotonta, että joku tekisi haittaohjelman, joka käyttäjän huomaamatta muuttaisi annettua ääntä; vastaavanlaisia haittaohjelmia käytetään tekemään nettipankeissa tilisiirtoja käyttäjän huomaamatta. Nettiäänestys on altis myös nimipalvelu- ja palvelunestohyökkäyksille ja niin edelleen; "liikuvia osia" ja siten potentiaalisia vikapisteitä on perinteiseen paperiäänestysjärjestelmään verrattuna todella paljon. Ylipäätään nettiäänestysprosessi sisältää niin paljon vaikeasti hallittavia ja suojattavia tekijöitä, että jos joku haluaa tehdä maata vastaan kyberhyökkäyksen ja aiheuttaa yhteiskunnallista epävakautta väärentämällä vaalituloksen, olisi nettiäänestys varteenotettava kohde.
 142
 143 Bruce Schneierin [sanoin](http://www.schneier.com/crypto-gram-0012.html#1):
 144 "A secure Internet voting system is theoretically possible, but it would be the first secure networked application ever created in the history of computers."
 145
 146 #### Nettiäänestys ja äänestäjän painostus
 147
 148 Viron nettiäänestyksessä äänensä saattoi myöhemmin muuttaa. Tämän oli tarkoitus ehkäistä äänestäjän painostusta ja äänten ostamista: vaikka ääni olisikin annettu valvonnan alaisena, olisi äänestäjä voinut periaatteessa painostajan tietämättä vielä myöhemmin muuttaa ääntään. Äänestäjä saattoi myös antaa paperiäänen nettiäänestyksen sulkeuduttua; tällaisessa tapauksessa nettiääni jätettiin huomiotta. Näin esimerkiksi äänten ostaja ei olisi voinut olla varma, ketä äänestäjä oikeasti lopulta äänesti. Äänestysjärjestelmä kuitenkin tallensi ajan, jona ääni oli annettu; poliittiset puolueet ja vaalitarkkailijat näkivät tämän ajan, jonka avulla ne olisivat periaatteessa voineet selvittää korjasiko äänestäjä myöhemmin ääntään.
 149
 150 Uudelleenäänestysmahdollisuus ei tietenkään estä tehokasta painostusta tai äänten ostamista. Ääni voidaan esimerkiksi antaa valvonnan alla ja tämän jälkeen "lainata" äänestykseen tarvittavaa henkilökorttia nettiäänestyksen päättymiseen asti. Paperiäänenkään antamisen estäminen ei ole vaikeaa; vaalipäivänä voidaan laittaa joku vahtimaan äänestyspaikkaa tai äänestäjä voi olla liikuntarajoitteinen tai esimerkiksi ulkomailla asuva henkilö.
 151
 152 Myönnettäköön, että kännykkäkamerat ovat tuoneet lievän painostusmahdollisuuden myös suomalaiseen paperilipuilla tapahtuvaan äänestämiseen ja tietenkin äänen antamisen voi painostuksella estää kokonaan. Jälkimmäistä ongelmaa on vaikea estää, mutta edellisen osalta Oikeusministeriön tulisikin tutkia, pitäisikö äänestyskopissa kieltää myös kameran käyttö. Joka tapauksessa etä-äänestyksessä on huomattavan paljon suurempi riski painostukselle.
 153
 154 ### "Yhdysvaltain huonoilla kokemuksilla ei ole merkitystä Suomessa"
 155
 156 Yhdysvalloissa on pitkään käytetty eri osavaltioissa erilaisia sähköisiä äänestysjärjestelmiä. Tämä johtuu erityisesti siitä, että Yhdysvaltain äänestystapahtumat ovat hyvin monimutkaisia (samoissa vaaleissa voidaan valita vaikkapa presidentti ja kymmenkunta pienempää viskaalia ja äänestää vielä lakimuutoksista sen lisäksi).
 157
 158 Yhdysvaltain kokemukset ovat erittäin arvokkaita. Olisi naiivia olettaa, että Suomessa tietotekninen osaaminen olisi oleellisesti niin paljon parempaa kuin Yhdysvalloissa, että vastaavia ongelmia ei lintukodossamme voisi esiintyä.
 159
 160 Yksi Yhdysvalloissa [opittu läksy on][30], että ainoa järkevä tapa saada riippumaton varmistus sähköisen äänestysjärjestelmän toiminnasta on kerätä jokaiselta äänestäjältä uurnaan tämän itsensä tarkistama paperitosite, joiden perusteella tulos voidaan tarvittaessa tarkistaa.
 161
 162 Suomeen ehdotetut järjestelmät eivät paperivarmistusta tunne.
 163
 164 Oikeusministeriö on esittänyt, että Suomen järjestelmä on varmempi kuin Yhdysvaltojen, koska täällä käytetään keskitettyä sähköistä uurnaa eikä ääniä tallenneta äänestyskoneisiin. Tämä todellakin estää tiettyjä ongelmia ja vähentää itse äänestyskoneeseen liittyviä riskejä, mutta se ei vaikuta lainkaan täyssähköisen äänestyksen suurimpaan ongelmaan eli siihen, että tarkistuslaskentaa ei voida suorittaa ja että järjestelmä voi väärentää vaalituloksen.
 165
 166 ### "Mikä on paperivarmistus?"
 167
 168 [Paperivarmistuksessa (VVPR, Voter Verified Paper Record, tai VVPB, Voter Verified Paper Ballot)][30] äänestäjä saa äänestään paperitositteen. Tosite ei jää äänestäjälle, vaan hän laittaa sen vaalipaikalla normaaliin uurnaan tarkastettuaan sen. Näin kerätyillä tositteilla voidaan suorittaa tarkastuslaskenta. Vaikka kaikkia tositteita ei aina laskettaisikaan, voidaan esimerkiksi laskea satunnaisotannalla valittujen äänestyspaikkojen äänet ja verrata näin saatuja äänimääriä sähköiseen tulokseen. Jos sähkö- ja paperitulokset eroavat toisistaan, lasketaan kaikki paperiäänet ja hylätään sähköinen tulos kokonaan. Samaten jos kisa menee tiukoille tai jokin osapuoli syyttää sähköisestä vaalivilpistä, voidaan laskea paperitositteet. Paperivarmistus on hyvä ratkaisu, koska paperitositteiden avulla voidaan suorittaa äänistysohjelmistoista ja -laitteista riippumaton, avoin ja ymmärrettävä tarkastuslaskenta.
 169
 170 Yhdysvalloissa on kokemuksien perusteella [luovuttu][30] laajalti puhtaasti sähköisestä äänestyksestä ja siirrytty paperivarmistuksen käyttöön, jotta äänestyslaitteista ja -ohjelmistoista riippumaton tarkastuslaskenta olisi mahdollinen.
 171
 172 ETYJ:n [vaalitarkkailijan käsikirjassa](http://www.osce.org/publications/odihr/2005/04/14004_240_en.pdf) sanotaan (s. 44, oma suomennos):
 173
 174 > "Potentiaalisia ongelmia, joista tulisi olla tietoinen - - sähköiset äänestysjärjestelmät ilman äänestäjän tarkastamaa auditoitavaa paperijälkeä tai muuta manuaalista paperiauditointitapaa"
 175
 176 Euroopan komission [oppaassa](http://ec.europa.eu/europeaid/multimedia/publications/documents/thematic/ec_methodological_guide_on_electoral_assistance_en.pdf) todetaan samansuuntaisesti (s. 65, oma suomennos):
 177
 178 > "Nykyään pidetään tarpeellisena - läpinäkyvyyden ja turvallisuuden vuoksi - sisällyttää kaikkiin sähköisiin äänestysprosesseihin auditoitava paperijälki. - - Näiden ominaisuuksien mukana oloa tulee pitää tarpeellisena - -"
 179
 180 Effi vaati [lausunnossaa oikeusministeriölle][31] paperivarmistusta ministeriön suunnittelemaan sähköiseen äänestysjärjestelmään, huonolla menestyksellä. Suomeen ehdotetussa järjestelmässä ei siis ole paperivarmistusta, täällä luotetaan sähköisen järjestelmän erehtymättömyyteen.
 181
 182 ### "Nettipankkikin on olemassa, miksi ei siis myös nettiäänestys"
 183
 184 Kuten tämän dokumentin alussa on perusteltu, pankkijärjestelmän toteuttaminen on vaalijärjestelmään verrattuna hyvin yksinkertaista. Tärkeimmät erot pankkijärjestelmän ja sähköisen äänestyksen välillä ovat [anonyymiys, korjattavuus ja luotettavuus][32]:
 185
 186 *   *Anonyymiys.* Pankki tietää aina tilisiirroissa sekä maksajan että maksun saajan henkilöllisyyden, mutta äänestäjän ääntä ja henkilöllisyyttä ei saisi vaalisalaisuuden vuoksi liittää toisiinsa. Anonyymiysvaatimuksen vuoksi suurta osa esimerkiksi tilisiirtojen turvamekanismeista ei voi soveltaa sähköiseen äänestämiseen (ellei anonyymiyttä haluta rikkoa). Vaalivilpin huomaaminen - toisin kuin esimerkiksi pankkitilin virheveloituksen huomaaminen tiliotteesta, korjaaminen ja vilppiin syyllisten kiinni saaminen on tästä syystä puhtaasti sähköisessä äänestyksessä mahdotonta tai huomattavasti vaikeampaa kuin esimerkiksi mainittu pankkitilin virheveloituksen huomaaminen ja korjaaminen.
 187 *   *Korjattavuus.* Pankki ylläpitää moninkertaista kirjanpitoa ja muita varmistuksia. Jos esimerkiksi tilisiirtoa epäillään virheelliseksi, voidaan selvittää mistä on kyse ja korjata aiheutunut virhe. Puhtaasti sähköisessä äänestyksessä korjattavuuden toteuttaminen on huomattavasti vaikeampaa, koska riippumatonta tarkastuslaskentaa ei voida tehdä.
 188 *   *Luotettavuus.* Jos joku väittää kavaltaneensa miljoona euroa, mutta kukaan ei tunnusta menettäneensä rahoja, kavallusväitteen voi jättää omaan arvoonsa. Jos joku toisaalta väittää murtaneensa sähköisen äänestysjärjestelmän ja huijanneensa vaaleissa, puhtaasti sähköisessä järjestelmässä (jossa ei esimerkiksi ole paperivarmistusta) ei auta muuta kuin luottaa äänestysjärjestelmään. Äänestysjärjestelmän on siis paitsi oltava luotettava, myös näytettävä luotettavalta, jotta luottamus vaalitulosten oikeellisuuteen säilyy.
 189
 190 Nettipankit sekoilevat ja joskus jopa tilin saldo näkyy väärin - muistetaan esimerkiksi surullisenkuuluisa Sampo-pankin tietojärjestelmäuudistus keväällä 2008. Virheet voidaan kuitenkin korjata, koska asiakas huomaa, että tilin saldo on virheellinen ja moninkertaisten varmistusten vuoksi oikea saldo voidaan selvittää. Sähköisessä äänestyksessä sen sijaan pitää vain luottaa äänestystulokseen, jos riippumatonta tapaa selvittää oikeaa tulosta (esim. paperivarmistus) ei ole.
 191
 192 Sähköisen äänestysjärjestelmän auditoinnin ja ylläpidon hoitaa usein yksityinen yritys. Kannattaa miettiä, halutaanko vaalijärjestelmä ulkoistaa ehkä ulkomaalaisomistuksessa olevalle yritykselle, muistaen että järjestelmän pitäisi toimia luotettavasti myös epävakaissa yhteiskunnallisissa oloissa. Pahimmassa tapauksessa pelkkä epäily äänestystuloksen oikeellisuudesta voi johtaa yhteiskuntarjärjestyksen kaatumiseen.
 193
 194 Suomenkin suunnitellussa järjestelmässä äänestysjärjestelmä voisi olla [pääosin ulkoistettu pörssiyhtiöön][33] (kyse olisi vaalipaikalla tapahtuvasta sähköisestä äänestämisestä, nettiäänestystä oikeusministeriö ei ole vielä esittänyt). [Hallituksen esitys 14/2006 eduskunnalle vaalilain muuttamisesta][18]:
 195
 196 > "Sähköinen vaaliuurna, kuten muutkin vaalitietojärjestelmän osat, toimisi oikeusministeriön kanssa sopimussuhteessa olevan tietotekniikkatoimittajan laitteilla toimittajan jossakin toimipisteessä."
 197
 198 *Nettipankit ja nettiäänestys.* Nettipankkien tietoturvassa on puutteita, minkä pankit hyvin ymmärtävät. Pelkästään vuonna 2005 Nordean verkkopankin asiakkailta huijattiin kalastelemalla 60.000 euroa. Riskien hallintaan on kuitenkin keinoja ja vahingot ovat rahalla korvattavissa. Yksittäiset vahingot ovat pankin liikevaihtoon verrattuna niin mitättömiä, että verkkopankkeja kannattaa väärinkäytöksistä huolimatta ylläpitää ja käyttää.
 199
 200 Jos sen sijaan äänestysjärjestelmässä on vikoja tai tietoturvassa on puutteita, on riskinä, että väärä henkilö tai puolue pääsee valtaan - tätä ei voi korvata rahalla.
 201
 202 Suuri osa kotitietokoneista on lisäksi tälläkin hetkellä käyttäjien tietämättä haittaohjelmien saastuttama. Tähän saakka näitä koneita on käytetty muun muassa huijauksiin, roskapostittamiseen ja palvelunestohyökkäyksiin. On myös tiettyihin nettipankkeihin erikoistuneita haittaohjelmia: kun käyttäjä kirjautuu nettipankkiin, voi haittaohjelma tehdä käyttäjän huomaamatta suurehkon tilisiirron. Onko viisasta sallia sitä mahdollisuutta, että tulevaisuudessa näitä koneita käytetään myös nettiäänestämiseen? (Käyttäjä huomaa lopulta haittaohjelman tekemän tilisiirron, koska tilin saldo pienenee,
 203 mutta haittaohjelman tekemää äänestystä ei samalla tavalla voi huomata - kuten sanottua, nettiäänestyksen
 204 toteuttaminen turvallisesti on huomattavasti nettipankin turvaamista vaikeampaa.)
 205
 206 ### "Kenelläkään ei ole intressiä murtautua äänestysjärjestelmään"
 207
 208 Akatamiaprofessori Hannu Nurmi on sitä mieltä, että nettiäänestys olisi varmaan ihan turvallista (Helsingin Sanomat 31.1.2008). Helsingin Sanomien mukaan "hän muistuttaa, että intressi murtautua äänestysjärjestelmään on pienempi kuin murtautua esimerkiksi pankkijärjestelmään".
 209
 210 Siis kenenkään intresseissä ei ole vaikuttaa siihen, kuka Suomessa on vallassa?
 211 Pääasia, että pankkitilien saldot ovat oikein?
 212
 213
 214 Samassa Helsingin Sanomien artikkelissa muidenkin antamista kommenteista paistaa asenne, jonka mukaan äänestäjiä ei kiinnosta tai ainakaan pitäisi kiinnostaa äänestyksen luotettavuus. Ketään ei myöskään tunnu kiinnostavan,
 215 että vaalijärjestelmän pitäisi toimia luotettavasti myös kiristyneessä sisä- tai ulkopoliittisessa tilanteessa,
 216 jossa kaikkiin viranomaisiin ei voi luottaa, ja jossa mahdollinen nettivaalijärjestelmä
 217 voi joutua verkkohyökkäyksen kohteeksi.
 218
 219
 220 Samalla tavalla voisi kai sanoa, että kenenkään intressi marssia Suomen rajojen yli on pienempi kuin murtautua esimerkiksi Nordean pankkiholviin, joten puolustusvoimat voi lakkauttaa. Toivottavasti Suomessa ei suhtauduta samalla asenteella muihin yhteiskunnan kannalta kriittisiin toimintoihin - verkon kautta
 221 nettiäänestysjärjestelmän murtaminen ja pelkästään uskottava epäily vaalituloksen oikeellisuudesta kun voisi pahimmillaan johtaa yhteiskuntajärjestyksen kaatumiseen.
 222
 223 On hyvä muistaa, että nykyajan konflikteissa tietoverkot
 224 [ovat myös taistelutantereita](http://www.tietokone.fi/uutta/uutinen.asp?news_id=34557)
 225 ([Helsingin Sanomat 16.8.2008 kybersodankäynnistä](http://www.hs.fi/ulkomaat/artikkeli/Viro+ja+Puola+puolustavat+Georgiaa+ven%C3%A4l%C3%A4isi%C3%A4+verkkohy%C3%B6kk%C3%A4yksi%C3%A4+vastaan/1135238684787),
 226 [Digitoday 19.8.2008](http://www.digitoday.fi/mielipide/2008/08/19/euroopan-tulivoimaisin-botnet/200821453/66)).
 227
 228
 229
 230
 231 ### "Käytetäänhän ääntenlaskussa nykyäänkin apuna tietokoneita"
 232
 233 Ääntenlaskun apuna käytetään nykyäänkin luonnollisesti tietokoneita. Tuloksen huomaamaton manipuloiminen ei kuitenkaan onnistu, koska oikeusministeriö julkaisee laskennan perusteena käytetyt äänestysaluekohtaiset tulokset. Jos oikeusministeriön julkaisema äänestysalueen vaalitulos on väärä, huomaavat äänestysalueen ääntenlaskussa olleet tämän, mukaan lukien kilpailevien puolueiden asettamat valvojat. Puhtaasti sähköisessä äänestyksessä tätä varmistusta ei ole.
 234
 235 Toisaalta, jokainen voi laskimen tai tietokoneen avulla itse varmistua, että oikeusministeriön julkaisemien äänestysaluekohtaisten tulosten perusteella saadut ehdokkaiden kokonaisäänimäärät on laskettu oikein.
 236
 237 (Esimerkki: [Ehdokkaiden saamat äänet vuoden 2007 eduskuntavaaleissa Helsingin äänestysalueella "Kruununhaka A"][34])
 238
 239 Nykyisessä järjestelmässä tarkastuslaskenta on myös helppo suorittaa.
 240
 241 ### "Tietokone ei tee virheitä"
 242
 243 Jotkut tuntuvat kuvittelevan, että tietokoneet ovat puolueettomia ja uskollisia työjuhtia, jotka laskevat äänestystuloksen aina oikein. Siksi syytä huoleen ei muka ole.
 244
 245 Tämä ei kuitenkaan pidä paikkaansa. Tietokoneet tekevät täsmälleen mitä ne on ohjelmoitu tekemään. Kone voidaan ohjelmoida yhtä hyvin laskemaan äänet kuin toteuttamaan vaalivilpin.
 246
 247 Ohjelmissa on virheitä. Mitä monimutkaisempi äänestysjärjestelmä on, sitä enemmän siinä on myös vikaantuvia osia.
 248
 249 Joitakin [esimerkkejä Yhdysvalloista][35]:
 250
 251 *   Vuonna 2003 Virginiassa, eräs ehdokas menetti 100 ääntä ohjelmointivirheen vuoksi.
 252 *   Vuonna 2001 Kaliforniassa, äänet oli pakko laskea käsin ohjelmointivirheen vuoksi.
 253 *   Vuonna 2000 Floridassa, Al Gore sai eräässä piirikunnassa presidentinvaaleissa -16.022 ääntä, siis negatiivisen äänimäärän.
 254 *   Vuonna 2003 Indianassa, Boonen piirikunnasta, jossa oli noin 20.000 äänioikeutettua, oli annettu yhteensä yli 140.000 ääntä.
 255 *   Vuonna 2008 amerikkalainen äänestyslaitevalmistaja [varoitti](http://seattletimes.nwsource.com/html/nationworld/2008131168_voting22.html), että heidän 34 osavaltiossa käytössä oleva äänestysjärjestelmä hukkaa ääniä ([Sähköisen äänestysjärjestelmän myyjä myönsi virheet USA:ssa](http://www.digitoday.fi/p/200821993), Digitoday 26.8.2008; [Kansanedustaja Kasvi: Sähköisessä äänestyksessä tietoturvaongelmia](http://www.hs.fi/politiikka/artikkeli/Kansanedustaja+Kasvi+S%C3%A4hk%C3%B6isess%C3%A4+%C3%A4%C3%A4nestyksess%C3%A4+tietoturvaongelmia/1135239103437), HS 1.9.2008). Hupsista.
 256
 257 Samanlaisia tarinoita on satoja lisää, [Effinkin lausunnossa][31] on lisää viitteitä. Voi vain arvailla, kuinka usein ongelmia ei ole huomattu ja vaalin tulos on ollut virheellinen. Huomattavaa on myös, että ongelmat eivät ole yleensä koskeneet yhtäläisesti kaikkia ehdokkaita, vaan ne ovat lisänneet tai vähentäneet tietyn ehdokkaan äänimääriä.
 258
 259 #### "Suomalainen järjestelmä on täydellinen"
 260
 261 Oikeusministeriö laukoo [hallituksen esityksessä 14/2006 eduskunnalle vaalilain muuttamisesta][18]:
 262
 263 > "- - äänestysjärjestelmä olisi täydellisesti suojattu tietomurroilta ja että uurnassa olevat tiedot eivät voisi hävitä eikä niitä voitaisi muuttaa."
 264
 265 Odotamme innolla maailman ensimmäistä tietojärjestelmää, joka on täydellisesti suojattu tietomurroilta. Oikeusministeriön ankka "täydellisestä tietoturvasta" (jollaista ei ikävä kyllä ole käytännössä mahdollista saavuttaa) osoittaa osaltaan, että tietotekniikan asiantuntijoita ei ole valmistelussa juuri kuultu.
 266
 267 Toisaalta ylläpitohenkilökunnalla olisi mahdollisuus korjata virheitä (täydellisen tietoturvallisessa järjestelmässä ei tosin saisi olla ainakaan äänimääriin tai äänestyksen luottamuksellisuuteen vaikuttavia virheitä):
 268
 269 > "Äänestyksen aikana oikeusministeriöllä tai sen valtuuttamalla tietotekniikkahenkilöstöllä olisi mahdollisuus valvoa sähköisen vaaliuurnan toimintaa ja suorittaa korjaus- tai vastaavia toimia, mikäli sellaisia tarvittaisiin."
 270
 271 Ylläpitäjät eivät kuitenkaan oikeusministeriön mielestä mitenkään voisi yhdistää äänestäjän ääntä ja henkilöllisyyttä, jotka on tallennettu tietojärjestelmään, eivätkä muuttaa ääniä:
 272
 273 > "Kyseiset henkilöt eivät voisi murtaa äänen ja henkilötunnuksen välistä salausta eivätkä saada selville sitä, keille ehdokkaille annettuja ääniä uurnassa on. He eivät myöskään voisi poistaa, lisätä tai muuttaa uurnassa olevia ääniä."
 274
 275 Esitetty ajatus on kaunis, mutta käytännössä mahdoton toteuttaa. Lisäksi vaikka järjestelmä pystyttäisiinkin suojaamaan, olisi ulkopuolisten mahdoton varmistua suojauksen riittävyydestä ja siten järjestelmän luotettavuudesta. Kuitenkin vaalijärjestelmän uskottavuus on käytännössä yhtä tärkeää kuin sen todellinen luotettavuus.
 276
 277 Effi kommentoi tätäkin [lausunnossaan][31] (s. 3), mutta ministeriössä ei asiaa joko haluttu tai kyetty ymmärtämään.
 278
 279 ### "Mikä äänestäjien painostus?"
 280
 281 Äänestys tapahtuu nykyään äänestyskopissa, eikä kukaan muu kuin äänioikeutettu näe ääntä. Äänestäjä ei pysty todistamaan muille äänestäneensä tietyillä tavoilla. Näin estetään äänten ostaminen tai äänestäjien painostus.
 282
 283 Painostus voi olla perheen tai ulkopuolisten suorittamaa tai ääniä voidaan ostaa. Erityisen ongelmallista ulkopuolisten suorittama painostus tai äänten ostaminen voivat olla, jos tuloerot ovat suuria tai yhteiskunnallinen tilanne on muuten epävakaa.
 284
 285 Katso myös kommenttia [äänestäjien painostuksesta Viron nettiäänestyksessä][3].
 286
 287 ### "Äänestyslaitteiden lähdekoodin pitäisi olla avointa"
 288
 289 Jos sähköiseen äänestykseen siirrytään, tulee äänestyslaitteiden lähdekoodin olla kaikkien vapaasti tutkittavissa. Tämä ei kuitenkaan ratkaise sitä, että äänestäjän on edelleen käytännössä mahdotonta todeta, että hänen käyttämänsä äänestyslaite käyttää nimenomaan julkaistua lähdekoodia eikä muutettua koodia, tai että äänestysjärjestelmän kaikki muut komponentit toimivat kuten pitäisi.
 290
 291 [Usable Security -blogissa][36] kuvataan erään sähköisen äänestysjärjestelmän osat. Jotta voisi varmistua, että järjestelmä on luotettava, kaikki osat pitäisi auditoida. Pelkän lähdekoodin julkistus ei riitä. Tästä syystä käytännössä ainoa tapa varmistua, että järjestelmä on luotettava, on vaatia sellaista varmennusta, joka on kaikkien ymmärrettävissä. Tällainen varmennus on tulostaa äänestyksestä paperitosite, jonka äänestäjä tarkistaa ja laittaa uurnaan. Tulos voidaan tarkistaa näiden tositteiden avulla. Yhdysvalloissa on tästä syystä laajalti [luovuttu][30] puhtaasti sähköisestä äänestyksestä ja alettu käyttää kuvatun kaltaista paperivarmistusta.
 292
 293 Suomeen ehdotetut sähköisen äänestämisen järjestelmät eivät paperivarmistusta tunne.
 294
 295 ### "Sähköinen äänestysmenetelmä X olisi hyvä"
 296
 297
 298
 299 Sähköinen äänestysjärjestelmä voidaan toteuttaa useilla tavoilla. Kehittyneimmät ehdotetut
 300 järjestelmät käyttävät edistyneitä kryptografisia menetelmiä, joilla pyritään takaamaan äänestyksen luotettavuus ja anonymiteetti.
 301
 302
 303 Usein selitetään, kuinka sähköinen äänestys *voitaisiin* toteuttaa turvallisesti ja luotettavasti edellä kuvatun kaltaisilla
 304 menetelmillä. Suomeen puuhattava järjestelmä ei ole tällainen, joten oikeusministeriön
 305 hankkeen osalta tällaiset spekulaatiot ovat irrelevantteja.
 306
 307 Ikävä kyllä kehittyneimmät järjestelmät ja menetelmät ovat usein niin monimutkaisia, että tavallinen äänestäjä - mukaanlukien suurin osa vaalitietojärjestelmästä vastaavista viranomaisista - ei ymmärtäisi niiden toimintaperiaatteita. Mitä monimutkaisempi järjestelmä tai menetelmä on, sitä enemmän vikaantumismahdollisuuksia se myös sisältää.
 308
 309 Ehdotetut järjestelmät ja menetelmät voivat esimerkiksi auttaa huomaamaan vaalivilpin, mutta eivät korjaamaan vaalitulosta, jos se havaitaan vääräksi (korjattavuus) - toisin kuin esimerkiksi yksinkertainen paperivarmistuksen käyttö. [Freedom to Tinker -blogissa][37] on esimerkki eräästä tällaisesta ehdotetusta järjestelmästä ja sen käytännön toteutuksesta. Jotkut tällaisista järjestelmistä ovat lupaavia, mutta niiden käyttöönotto ei ole suoraviivainen toimitus.
 310
 311 Suomeen tällaista kehittyneempää järjestelmää ei ole tulossa.
 312
 313 Tärkeä kysymys on myös, että miksi pitäisi siirtyä monimutkaiseen sähköiseen äänestysjärjestelmään, kun nykyinen paperijärjestelmäkin toimii hyvin? Tarjoaisiko monimutkainen menettely jotain sellaista lisäarvoa, jota ei saavutettaisi esimerkiksi yksinkertaisella paperivarmistuksen käytöllä?
 314
 315 *[Allekirjoittaneen käytännön kokemuksen mukaan on tärkeää, että lainsäädäntö- ja muissa hankkeissa vastuuvirkamiehet ja lainsäätäjät ymmärtävät mitä ovat tekemässä. Muuten lopputuloksessa ei ole kehumista, kuten joissakin muissa Effin toiminta-alaan liittyvissä lainsäädäntöhankkeissa on nähty. Jos esimerkiksi äänestysjärjestelmän toimintaperiaatteiden ymmärtäminen vaatisi tutkintoa kryptografiasta, olisi hyvin mahdollista, että toteutuva lainsäädäntö tai äänestysjärjestelmä olisi aivan jotain muuta kuin pitäisi. Tästäkin syystä vierastan liian monimutkaisia järjestelmiä niinkin demokratian kannalta keskeisessä toimituksessa kuin valtiollisissa vaaleissa.*
 316
 317 *Mitä tulee nykyisen vaalilain valmisteluun, niin verrattuna siihen, miten esimerkiksi tietoliikennejärjestelmien standardeja luodaan standardiorganisaatioiden laajoilla kuulemismenettelyillä, sähköisen äänestyksen valmistelu on Suomessa ollut hyvin suljettua. Kuvaavaa on, että esimerkiksi äskettäisessä sähköistä äänestystä koskevassa vaalilain uudistuksessa oikeusministeriö ei edes katsonut tarpeelliseksi pyytää lausuntoa tekniikan asiantuntijoilta ([2006:3 Sähköinen äänestys][39], ks. lausuntopyyntökirje). Effi antoi pyytämättä [lausuntonsa][31], jonka ministeriö jätti oleellisilta osiltaan [huomioon ottamatta][40]. Myöskään oikeusministeriön aikaisemmin (ks. kohta ["Suomalainen järjestelmä on täydellinen"][10]) mainitut kommentit "täydellisesti tietomurroilta suojatusta" ([HE 14/2006 vp][18]) vaalitietojärjestelmästä eivät ole omiaan herättämään luottamusta (on mahdollista tehdä hyvin turvallisia järjestelmiä, mutta tietoturvassa on käytännössä mahdotonta päästä täydellisyyteen).]*
 318
 319 ### "Yritetään sähköäänestystä ja otetaan käyttöön, jos se toimii hyvin"
 320
 321 Joidenkin mielestä sähköistä äänestystä voi hyvin kokeilla rajoitetusti. Sähköäänestys voitaisiin ottaa laajempaan käyttöön, jos kokemukset olisivat hyviä.
 322
 323 Sähköisen äänestyksen kokeilussa havaitaan vain tietyntyyppiset puutteet (esim. äänestyslaite jumiutuu), kun vakavampia ovat ne puutteet, joita <em>ei</em> huomata. Täyssähköisessä äänestyksessä, jollaista Suomeen ollaan puuhaamassa, ei esimerkiksi voida mitenkään tietää, onko äänet laskettu oikein (pitää vain luottaa kokeiltavaan äänestysjärjestelmään, koska järjestelmästä riippumatonta tarkastuslaskentaa ei voida tehdä).
 324
 325 Toisaalta jos kokeilu sujuu hyvin, se ei tarkoita, että järjestelmässä ei voisi olla sellaisia heikkouksia, joita kukaan vain ei kokeilun aikana viitsinyt hyödyntää. Kolmanneksi, tietotekniset järjestelmät vanhenevat nopeasti ja viimeistään parin vaalin jälkeen merkittävä osa äänestystekniikasta on luultavasti jo täysin uutta - tästä syystä vanhat kokeilut ja auditoinnit ovat muuttuneet merkittäviltä osiltaan merkityksettömiksi.
 326
 327 ### "Tekniikan kehitystä ei saa estää"
 328
 329 Joidenkin mielestä tekniikan kehitys ja "nykyaikaisiin" järjestelmiin siirtyminen on jo sinällään hyvä asia. "Vanhanaikaista" paperijärjestelmää hyvänä pitäviä pidetään kehityksen jarruina.
 330
 331 Kannattaisiko kuitenkin ensiksi miettiä mitkä ovat ehdotettujen uudistusten hyödyt ja haitat?
 332
 333 Nykyään käytössä oleva paperijärjestelmä on toimiva, tehokas (vaalitulokset saadaan käytännössä parissa tunnissa), edullinen (varsinkin kun ottaa huomioon vaihtoehtoisen sähköisen järjestelmän hankinta-, ylläpito- ja muut kulut), ymmärrettävä (jokainen kykenee ymmärtämään ääntenlaskuprosessin ja sen luotettavuuden varmistuksen periaatteet) sekä avoin (muun muassa kilpailevien puolueiden edustajat valvovat ääntenlaskua).
 334
 335 Sähköisessä äänestysjärjestelmässä, jossa on monta vaihetta, pieni joukko voi pahimmassa tapauksessa vaikuttaa merkittävästi äänestystuloksen oikeellisuuteen.
 336
 337 ### "Sähköäänestyksen vastustaminen estää demokratian toteutumisen tai laajentumisen"
 338
 339 Äänestysprosessin luotettavuus takaa demokratian jatkuvuuden. Äänestysjärjestelmän on oltava sellainen, että se on luotettava myös vaikeina aikoina, kun yhteiskuntajärjestys muuten horjuu. Siksi äänestysjärjestelmää, varsinkin kun kyse on keskeisistä valtiollisista vaaleista, tulee muokata vain hyvin harkiten.
 340
 341 Konservatiivisuus takaa tässä asiassa demokratian säilymisen. Miksi seikkailla, kun nykyinen paperiäänestysjärjestelmä toimii hyvin?
 342
 343 ### "Onko sähköinen äänestys aina huono juttu keskeisissä valtiollisissa vaaleissa?"
 344
 345 Kuten yllä kohdassa "tekniikan kehitystä ei saa estää" on kerrottu,
 346 nykyinen paperijärjestelmämme on toimiva,
 347 tehokas, edullinen ja
 348 ymmärrettävä vaihtoehto. Ei ole mitään järkeä korvata nykyistä järjestelmää,
 349 joka koostuu yhden numeron
 350 kirjoittamisesta parin vuoden välein paperilappuun, epäluotettavammalla ja mitä luultavammin kalliimmalla
 351 sähköisellä nappijärjestelmällä.
 352
 353 Sähköinen äänestys *voisi* olla perusteltu, jos esimerkiksi äänestysjärjestelmä olisi erilainen
 354 (esim. [STV](http://en.wikipedia.org/wiki/Single_transferable_vote)) tai jos äänestyksiä olisi samalla
 355 useampia,
 356 jolloin käsin suoritettava ääntenlasku olisi hitaampaa ja virhealttiimpaa.
 357 Silloinkin olisi hyvä miettiä tarkkaan, kuinka tärkeää *oikeasti* olisi saada
 358 tulokset nopeasti äänestyksen päättymisen jälkeen verrattuna sähköisen järjestelmän
 359 implementoinnista aiheutuviin tietoturvauhkiin ja kustannuksiin - vai olisiko parempi
 360 ratkaisu esimerkiksi käyttää optisia lukijoita vaalilippujen laskentaan.  Käytännössä
 361 edellytyksenä turvalliselle sähköiselle äänestykselle olisi
 362 joka tapauksessa paperivarmistuksen käyttö (järjestelmä tulostaa äänestä tositteen äänestäjälle,
 363 joka laittaa sen vaalipaikalla normaaliin uurnaan tarkastettuaan sen; ks. kohtia "Mikä on paperivarmistus?" ja
 364 "Sähköinen äänestysmenetelmä X olisi hyvä").
 365 Maailmalta löytyy useita esimerkkejä siitä, että täyssähköiseen järjestelmään ei
 366 luoteta: esimerkiksi [Yhdysvalloissa puolet osavaltioista on jo kieltänyt täyssähköisen äänestyksen][30]
 367 ja Alankomaissa äänestyksen luotettavuutta arvioinut komissio [suositti paperivarmennusta sähköiseen äänestykseen][55].
 368 Sähköisen äänestyksen ensisijainen funktio olisi siis tuloksen nopea laskenta ja
 369 paperivarmistuksen avulla voitaisiin varmistua tuloksen oikeellisuudesta
 370 (esim. laskemalla satunnaisotannalla valittujen ja/tai
 371 kilpailevien puolueiden nimeämien äänestyspaikkojen äänet ja
 372 vertaamalla vastaaviin sähköisiin tuloksiin). Koska ensisijaisesti paperivarmistusta
 373 (ei sähköistä järjestelmää) käytetään tuloksen
 374 oikeellisuuden varmistamiseen, olisi
 375 sähköinen osa äänestysjärjestelmästä helpompaa (vaikkei vieläkään yksinkertaista)
 376 rakentaa siten, että
 377 anonymiteetti säilyy.
 378
 379 Verkon kautta tapahtuva *nettiäänestys* sen sijaan sisältää kaikki äänestyspaikalla tapahtuvan täyssähköisen
 380 äänestämisen riskit ja sen lisäksi vielä useita muita riskejä, jotka äänestyspaikalla voitaisiin eliminoida.
 381 Nettiäänestystä ei siis voida ottaa käyttöön keskeisissä valtiollisissa vaaleissa,
 382 ellei täyssähköiseen äänestyspaikalla (ilman paperivarmistusta)
 383 tapahtuvaan äänestykseen voida täysin luottaa.
 384
 385 ### Lähteistä
 386
 387
 388 Tämän dokumentin kirjoittamisessa on käytetty apuna erityisesti [tekniikan tohtori Antti Honkelan kirjoittamaa Effin lausuntoa oikeusministeriölle][31].
 389 Tyypillisiä argumentteja on etsitty esimerkiksi seuraavista keskusteluista:
 390
 391 *   [Effi muistuttaa e-äänestämisen vaaroista][41] (ITViikko 22.8.2007, uutiskeskustelu)
 392 *   [Sähköinen äänestyksen tulisi täydentää demokratiaa][42] (Tietokone.fi 23.8.2007, uutiskeskustelu)
 393 *   [Effi pelkää sähköisen äänetyksen nakertavan demokratiaa][43] (Sektori 23.8.2007)
 394
 395
 396 ### Muita viitteitä
 397
 398 *   [Oikeusministeriön sivu sähköisestä äänestämisestä][19]
 399 *   [Verifed voting][30] - paperivarmistuksesta
 400 *   [The Electoral Commission: May 2007 Pilot Schemes][44] - brittien kokemuksia
 401 *   [Raportti Viron nettiäänestyskokeilusta][23]
 402 *   [Antti Vähä-Sipilän blogissa][46] on 23.-28.1.2008 käsitelty aihetta laajalti
 403 *   [Suunniteltuun vaalitietojärjestelmään liittyviä teknisiä dokumentteja][38]
 404
 405
 406
 407  [1]: http://www.effi.org/julkaisut/tiedotteet/lehdistotiedote-2007-08-21.html
 408  [18]: http://www.finlex.fi/fi/esitykset/he/2006/20060014
 409  [19]: http://www.vaalit.fi/14912.htm
 410  [20]: http://www.aamulehti.fi/uutiset/kotimaa/41050.shtml
 411  [21]: http://www.hare.vn.fi/upload/Asiakirjat/10514/Vihre%C3%A4%20Liitto.rtf
 412  [22]: http://www.hs.fi/kotimaa/artikkeli/1135229643350
 413  [23]: http://www.vvk.ee/english/OSCE%20report_EST_2007.pdf
 414  [24]: http://papers.ssrn.com/sol3/papers.cfm?abstract_id=917770
 415  [25]: http://www.alli.fi/sivu.php?artikkeli_id=2691
 416  [26]: http://www.effi.org/blog/kai-2005-12-16.html
 417  [27]: http://techdirt.com/articles/20080120/07521615.shtml
 418  [28]: http://it.slashdot.org/it/08/01/30/2239228.shtml
 419  [29]: http://www.effi.org/blog/kai-2008-01-26.html
 420  [30]: http://www.verifiedvoting.org/
 421  [31]: http://www.effi.org/julkaisut/lausunnot/om-vaalilaki.html
 422  [32]: http://www.schneier.com/crypto-gram-0102.html#10
 423  [33]: http://www.tietoenator.fi/default.asp?path=408,410,16095,1124,9368,27688
 424  [34]: http://192.49.229.35/E2007/s/tulos/ehdaluetulos_091001a.html
 425  [35]: http://www.schneier.com/blog/archives/2004/11/the_problem_wit.html
 426  [36]: http://usablesecurity.com/2006/02/23/the-election-software-supply-chain/
 427  [37]: http://www.freedom-to-tinker.com/?p=839
 428  [38]: http://www.effi.org/yksityisyys/vaalitietojarjestelma/
 429  [39]: http://www.om.fi/34926.htm
 430  [40]: http://www.effi.org/blog/2006-03-16-Antti-Honkela.html
 431  [41]: http://www.itviikko.fi/keskustelut/thread.jspa?threadID=70862
 432  [42]: http://www.tietokone.fi/foorumi/keskustelu.asp?threadid=67678&list=all&show=all
 433  [43]: http://sektori.com/uutiset/7820/effi
 434  [44]: http://www.electoralcommission.org.uk/elections/pilotsmay2007.cfm
 435  [45]: http://www.effi.org/julkaisut/tiedotteet/lehdistotiedote-2008-01-25.html
 436  [46]: http://www.asiantuntijat.org/~avs/blog/index.html
 437  [47]: http://www.effi.org/blog/2008-02-28-Jyri-Luostarinen.html
 438  [48]: http://www.effi.org/blog/2008-03-10-Antti-Vaha-Sipila.html
 439  [49]: http://www.effi.org/blog/2008-03-12-Tapani-Tarvainen.html
 440  [50]: http://www.effi.org/blog/2008-03-20-Tapani-Tarvainen.html
 441  [51]: http://www.effi.org/blog/2008-05-21-Antti-Vaha-Sipila.html
 442  [52]: http://www.effi.org/julkaisut/lausunnot/sahkoisen-kuulemisen-kehittaminen-080610.html
 443  [53]: http://www.effi.org/julkaisut/tiedotteet/lehdistotiedote-2008-06-19.html
 444  [54]: http://www.effi.org/julkaisut/tiedotteet/lehdistotiedote-2008-06-24.html
 445  [55]: http://www.digitoday.fi/yhteiskunta/2008/05/28/Hollanti+kielt%E4%E4+s%E4hk%F6iset+%E4%E4nestykset/200814428/66?rss=6
 446  [56]: http://www.effi.org/blog/2008-10-28-finnish-evoting-votes-lost.html
 447  [57]: http://www.effi.org/blog/2008-10-16-Timo-Karjalainen.html
 448  [58]: http://www.effi.org/blog/2008-10-03-Tapani-Tarvainen.html
 449  [59]: http://www.effi.org/blog/kai-2008-09-04.html
 450  [60]: http://www.effi.org/blog/2008-09-01-evoting-report-in-english.html
 451  [61]: http://www.effi.org/julkaisut/tiedotteet/lehdistotiedote-2008-10-28.html
 452  [62]: http://www.effi.org/julkaisut/tiedotteet/lehdistotiedote-2008-10-26.html
 453  [63]: http://www.openrightsgroup.org/2008/10/27/no-e-voting-in-next-years-elections/