Perchè il voto elettronico è una ca**ata

Il sistema SPID (Sistema Pubblico di Identità Digitale) in Italia è utilizzato principalmente per l’autenticazione online e l’accesso a servizi digitali offerti dalla pubblica amministrazione e da altri enti convenzionati. Attualmente, non viene utilizzato per il voto elettronico in Italia. Tuttavia se ipotizzassimo uno scenario in cui il voto elettronico fosse implementato in Italia utilizzando lo SPID per l’autenticazione degli elettori, ci sarebbero diverse considerazioni da tenere in considerazione per garantire la segretezza del voto.

Anche se lo SPID viene utilizzato per l’autenticazione dell’elettore, è essenziale che il sistema di voto garantisca la separazione tra l’identità dell’elettore e il suo voto. In altre parole, il sistema dovrebbe registrare il voto senza associarlo direttamente all’identità dell’elettore. Qualora un elettore utilizzi lo SPID per autenticarsi nel sistema di voto elettronico, il sistema registrerebbe l’identità dell’elettore (in forma criptata) e la sua preferenza di voto, ovviamente in chiaro. Non sarebbe difficile generare un token anonimo a titolo di identificatore univoco utilizzato per associare il voto dell’elettore senza rivelare direttamente la sua identità nel database, anche se poi sarebbe sempre possibile invertire il processo e risalire per tentativi brute force all’identità dell’elettore.

Anche se i token anonimi sono progettati per proteggere la privacy degli elettori, esiste comunque il rischio che un attaccante possa tentare di risalire all’identità dell’elettore tramite attacchi di forza bruta o altre tecniche. Il sistema, una volta progettato, dovrebbe essere realizzato per consentire all’occorrenza la verifica e l’audit della registrazione dei voti, consentendo agli osservatori esterni di verificare che i voti siano registrati in modo sicuro, senza che sia possibile risalire all’identità dell’elettore e senza poter, nel contempo, modificare i voti dopo che sono avvenuti.

…e allora usiamo la blockchain!!1

Perchè il voto elettronico non può funzionare

Il padre degli scettici rimane senza dubbio Bruce Schneiner, che nel suo blog (già nel 2006) aveva espresso le proprie perplessità in merito. Le perplessità dell’autore in merito al voto elettronico derivano dalla difficoltà intrinseca nell’operazione di voto, non tanto ai limiti tecnologici che sono stati ampiamente superati da quando l’argomentazione è stata fatta la prima volta. Si tratta di un problema legato genericamente all’informatica e non allo sviluppo tecnologico nel suo specifico, quindi non è un qualcosa che si risolve usando computer più potenti, aumentando la memoria e così via. In primis il voto elettronico deve aumentare la precisione in termini di memoria e al tempo stesso la fiducia da parte delle persone.

Requisiti di base

Ma come avviene un’elezione, di norma? Anzitutto sfruttando sia la precisione che la sicurezza: riportando le intenzioni di ogni singolo elettore e traducendole in un conteggio, in modo tale che il voto non sia manipolabile in seguito. Un errore anche piccolo, già in questa fase, può essere fatale e invalidare l’operazione. Dovrebbe essere impossibile modificare il voto di qualcun altro, riempire schede elettorali con voti non propri, distruggere voti o influenzare in qualsiasi altro modo l’accuratezza del conteggio. Un secondo aspetto rilevante è legato alla privacy: le votazioni segrete sono fondamentali per la democrazia e i sistemi di voto devono essere progettati, per loro stessa natura, in modo da facilitare l’anonimato degli elettori. Un terzo aspetto sensibile per Schneiner è la scalabilità del voto elettronico, considerando che si tratta di far votare mediante milioni di persone, cosa che richiede un’infrastruttura adeguata e protetta, esattamente come avviene per il quarto requisito minimale che è la velocità (intesa come capacità di performare ad alte prestazioni). Merita anche menzione il fatto che la precisione, in questa sede, non è solo una questione di rappresentazione del dato digitale e di gestione dell’eventuale traboccamento (overflow), ma si lega ad un processo – tipicamente umano – di “traduzione” o interpretazione, per cui i voti sono conteggiati in modo regolare (per dirla con l’autore: “Accuracy is how well the process translates voter intent into appropriately counted votes“).

Schneiner riporta numerosi casi avvenuti nella storia, dall’inizio degli anni Duemila in poi, di elezioni con errori di conteggio causati da bug informatici, che rimangono il problema più sostanziale.

Propagazione degli errori

La tecnologia tendenzialmente tende ad andare contro la precisione, e questo perchè tende ad aggiungere passaggi in più rispetto a quelli necessari. Se ad esempio avessimo un sistema di conteggio delle schede basato su un lettore, sarebbe richiesto leggere i voti, interpretarli, salvarli in un database, conteggiarli alla fine. In questo lungo workflow possono avvenire problemi tecnici di vario tipo, da bug imprevedibili fino a cali di tensione elettrica. Ogni stadio di elaborazione, quale che esso sia, tende ad aumentare la probabilità di errori, probabilità che aumenta in modo critico se si considera la distribuzione dei seggi elettorali in tutta la nazione. Fino a questo punto si potrebbe quasi essere ottimisti, dato che resta vero che statisticamente gli errori tenderanno a propagarsi in modo uniforme per ogni candidato sui grandi numeri, risultando comunque come complicazione non da poco per decidere un vincitore che vinca su un’altra per la classica manciata di voti, specie se quest’ultima fosse dell’ordine di grandezza dell’errore medio. Cosa che peraltro non è detto che valga nei singoli casi, dato che in caso di bug l’errore tendeva a distorcere il numero di voti in favore di un candidato o di un altro, e rimane quantomeno incauto presumere che gli errori possiedano distribuzione uniforme.

Usabilità dei dispositivi

Il digitale permetterebbe di votare anche a chi non avesse la possibilità di farlo in maniera sostanziale, usando touch screen e analoghi: ma questo non può dare la garanzia che l’errore non finisca per avere la meglio in maniera subdola. I “bug” o gli errori nei software sono all’ordine del giorno, come sa bene ogni utente abituale o professionale di qualsiasi computer. I programmi informatici possono smettere di funzionare anche se ben progettati, e lo fanno spesso e volentieri in modi sorprendenti e subdoli. Questo ovviamente vale per tutti i software, compreso il software delle macchine per il voto computerizzate, ed è uno degli aspetti più convincenti sulla questione che depone contro, in definitiva, il voto elettronico.

Macchine di tipo Direct Record Electronic (DRE)

Nel maggio 2004 sono state sperimentate nelle elezioni in India delle macchine chiamate DRE, che consistevano in un computer con una serie di pulsanti per esprimere il voto. Presentavano la caratteristica che il voto una volta espresso veniva anche stampato su carta, in modo che l’elettore lo vedesse senza poterselo portare a casa e avesse la conferma che il voto era stato registrato nel modo previsto. Il software utilizzato su macchine DRE presenti e future, ovviamente, dovrebbe essere rigorosamente open source, esattamente come avviene per il software dello SPID in Italia.

Ciò permetterebbe a chiunque sia interessato di esaminare il software e trovare bug, che possono essere corretti, un’analisi pubblica che migliorerebbe la loro sicurezza e aumenterebbe la fiducia del pubblico nel processo di voto. Naturalmente questo rimane un requisito necessario ma non sufficiente di per sé, per quanto abbiamo scritto ed evidenziato in precedenza.

Antibufala: nello [Stato X] hanno usato il voto elettronico, quindi funziona!

Si sente spesso l’argomentazione che il voto elettronico è stato utilizzato in almeno un altro stato diverso dal nostro, e questo dovrebbe essere un buon motivo motivo per farne uso. Questo è un equivoco molto diffuso: il problema non è che quel sistema funziona e che quindi “di conseguenza” funzionerà anche il nostro, per lo stesso motivo per cui uno stesso modello di cellulare può funzionare una vita per una persona e smettere di funzionare all’improvviso per un’altra. Si tratta di un’attribuzione di falsa causa che manca completamente il punto della questione: il problema principale del voto elettronico sta nel fatto che i bug di un sistema del genere sarebbero inaccettabili quanto difficili o impossibili da rilevare, e questo si può rilevare nelle quattro dimensioni di cui abbiamo parlato (sicurezza mai garantita al 100%, rischio di leak e di rendere i voti pubblici quanto dovrebbero essere liberi e segreti, impossibilità di rilevare bug, difficoltà pratica di risolvere un bug sul momento, probabilità tutt’altro che spuria che un bug rimanga incorporato nel sistema senza che nessuno se ne accorga).

OpenSSL, senza andare tanto lontano, è stato buggato per anni e ce ne siamo accorti anni dopo, solo nel 2015: su un sistema elettorale che condiziona scelte e politica estera sarebbe, ovviamente, inaccettabile.

XKCD sul voto elettronico (spiegato)