Avamprogetto (Allegato)

Allegato del Regolamento tecnico Voto elettronico della Cancelleria federale del ... (RS ...)

Ipotesi di affidabilità nel modello astratto (verificabilità individuale del verbale): per la

verificabilità individuale in questo modello si suppone che ausili tecnici affidabili, il sistema di VE e la tipografia siano affidabili. La piattaforma utenti e una quota significativa degli aventi diritto di voto si suppone siano inaffidabili. Fra i canali di comunicazione, unicamente piattaforma utenti↔ sistema di VE e sistema di VE ↔ tipografia si suppone siano inaffidabili.

Obiettivo di sicurezza nel modello astratto (verificabilità individuale del verbale): considerate le

ipotesi di fiducia date, l’aggressore non può raggiungere i seguenti obiettivi senza che un votante abbia la possibilità di riconoscere con grande probabilità un avvenuto attacco:

− modifica del voto prima della registrazione

− sottrazione del voto prima della registrazione

− espressione di un voto

Per raggiungere l’obiettivo di sicurezza, nel verbale si impiegano esclusivamente elementi crittografici considerati sicuri.

Verificabilità individuale del sistema di VE nell’attuazione: Il sistema di VE attua un verbale

crittografico che adempie l’obiettivo di sicurezza per la verificabilità individuale nel modello astratto. Laddove necessario, si giustifica mediante pertinenti misure di sicurezza il fatto di ipotizzare l’affidabilità dei partecipanti al sistema e dei canali di comunicazione.

La sezione 4.2 mette in relazione le disposizioni dell’articolo 3 con l’obiettivo di sicurezza nel modello astratto e le esegue laddove necessario. Inoltre, essa contiene requisiti di sicurezza riguardanti i partecipanti al sistema e i canali di comunicazione che nel modello astratto si suppone siano affidabili.

4.2. Disposizioni supplementari inerenti alla verificabilità individuale

D2.05 (ad art. 3 cpv. 1) La prova non deve avvenire in un’unica transazione, ma può essere

anche ripartita su diversi messaggi che il votante riceve durante il processo di espressione del voto. (In questo caso, l’ultimo di questi messaggi conferma la registrazione quale voto espresso conformemente al sistema.) Qualora, prima della espressione del voto definitiva (e dunque prima di ricevere l’ultimo messaggio), il votante decida di interrompere il

processo, deve potere continuare a disporre dell’espressione del voto convenzionale.

D2.06 (ad art. 3 cpv. 2) L’obiettivo consiste nell’impedire che partecipanti al sistema inaffidabili

possano esprimere un voto di soppiatto. La disposizione va interpretata in tal senso e il verbale esaminato di conseguenza.

D2.07 (ad art. 3 cpv. 4) La prova è valida se serve ai votanti per poter riconoscere manipolazioni

del loro voto nel senso dell’obiettivo di sicurezza e considerate le ipotesi di affidabilità

date. In questo modo l’aggressore non può ingannare i votanti confezionando una prova,

con l’aiuto dei partecipanti al sistema inaffidabili, che lasci credere loro che il loro voto è stato registrato come voto valido nel senso del loro rilevamento. La possibilità di successo dell’aggressore di poter allestire una simile prova indovinando correttamente

(analogamente per la prova che conferma che non è stato espresso alcun voto) può

essere al massimo dello 0,1%.

D2.08 (ad art. 3 cpv. 4) Per aventi diritto di voto disabili si possono prevedere facilitazioni per

verificare le prove. Esclusivamente riguardo a questo caso è possibile scostarsi

dall’obiettivo di sicurezza: più precisamente, la validità delle prove in questo caso può

dipendere dall’affidabilità della piattaforma utenti. Ciò consente ad esempio lo scanning del riferimento di verifica prima di esprimere il voto. Le facilitazioni devono essere dirette esclusivamente a un piccolo gruppo di aventi diritto di voto che senza di esse non sarebbero in grado di interpretare la prova nella sua piena validità. Gli aventi diritto di voto per i quali ciò non vale vanno, di massima, incitati a verificare le prove in conformità con la

procedura prevista.

D2.10 (ad art. 3 cpv. 4) Qualora i votanti utilizzino un ausilio tecnico per verificare, esso deve

essere stato sviluppato specificatamente per memorizzare in sicurezza elementi segreti ed eseguire operazioni crittografiche, ad esempio apparecchi impiegati per l’homebanking sicuro. Inoltre, i votanti devono potersi convincere del corretto funzionamento dell’ausilio esprimendo voti di prova.

D2.20 (ad art. 3 cpv. 3 e 4) Oltre al catalogo «Esigenze per le stamperie», vige la seguente

disposizione: tutti i macchinari che in qualsivoglia forma partecipano al trattamento di dati del riferimento di verificabilità devono essere sorvegliati fisicamente secondo il principio del doppio controllo durante l’intero periodo di calcolo. Sono ammessi solamente

collegamenti di rete i cui partecipanti sono collegati attraverso cavi fisici in modo tale che,

fino alla distruzione dei dati confidenziali, nessun altro macchinario può accedervi in

maniera evidente.