Avamprogetto (Allegato)

Allegato del Regolamento tecnico Voto elettronico della Cancelleria federale del ... (RS ...)

D2.30 (ad art. 3 cpv. 3 e 4) Per il sistema di VE lato server non vigono disposizioni

supplementari. Nell’attuare i requisiti fondamentali e i requisiti di sicurezza (cfr. art. 5 e 6)

occorre tuttavia considerare che la confidenzialità dei dati connessi con il riferimento di verifica è decisiva per la correttezza del risultato, il segreto di voto e l’esclusione di risultati precoci.

D2.40 (ad art. 3 cpv. 3 e 4) L’affidabilità del canale tra tipografia e aventi diritto di voto è

giustificata soltanto mediante richiesta, attraverso la notifica fisica, nello specifico per il

tramite della Posta svizzera, oppure attraverso la consegna fisica.

4.3. Modello astratto completo riguardante l’articolo 4

Il modello astratto completo concepisce il sistema di VE come inaffidabile. Contempla invece esaminatori che valutano la corretta determinazione dei risultati sulla base di un ausilio affidabile e sulla base di «componenti di controllo» indipendenti.

In questo modo identifica i seguenti partecipanti al sistema supplementari:

Componente Interagisce con il sistema di VE e le rimanenti componenti di controllo cosi di controllo che esso alla fine della votazione possa approntare una prova valida che

confermi la corretta determinazione dei risultati.

Esaminatori Dopo il conteggio ricevono dal sistema di VE una prova che conferma la

corretta determinazione dei risultati.

Ausilio tecnico degli Gli esaminatori possono utilizzare un ausilio tecnico per valutare la prova.

esaminatori

Il protocollo crittografico può prevedere i seguenti canali di comunicazione supplementari per lo scambio di messaggi:

− componente di controllo ↔ sistema di VE;

− sistema di VE ↔ ausilio tecnico degli esaminatori;

− ausilio tecnico degli esaminatori ↔ esaminatori;

− canali bidirezionali per la comunicazione tra le componenti di controllo.

Ipotesi di affidabilità nel modello astratto (verificabilità individuale del verbale): si impiegano

varie componenti di controllo che vengono riassunte in uno o pochi gruppi. Come per il sistema di VE, si deve ipotizzare che una singola componente di controllo sia inaffidabile. Può tuttavia valere l’ipotesi che almeno una componente di controllo per gruppo è affidabile, senza tuttavia stabilire di quale si tratti. La quantità di gruppi di componenti di controllo costituisce la parte affidabile del sistema, la cui affidabilità è definita dall’affidabilità di almeno una componente di controllo in ognuno dei suoi gruppi. La validità della prova che un esaminatore riceve in virtù dell’articolo 4 può dipendere solamente dall’affidabilità della parte affidabile del sistema e del suo ausilio tecnico. Si ipotizza poi che almeno un esaminatore affidabile verifichi la prova con l’aiuto di un ausilio tecnico affidabile. Eventuali ulteriori esaminatori e i loro ausili tecnici sono considerati inaffidabili. Tra i canali di comunicazione supplementari si può ipotizzare che sia affidabile unicamente quello tra gli esaminatori e i loro ausili tecnici. Il sistema di VE è da ritenere inaffidabile.

Obiettivo di sicurezza nel modello astratto (verificabilità completa del verbale):

• considerate le ipotesi di affidabilità riguardanti la verificabilità completa del verbale date, l’aggressore non può raggiungere i seguenti obiettivi senza che un votante o un esaminatore affidabile abbia la possibilità di riconoscere con grande probabilità un avvenuto attacco:

− modifica del voto prima della registrazione mediante la parte affidabile del sistema;

− sottrazione del voto prima della registrazione mediante la parte affidabile del sistema;

− espressione di un voto;

− modifica di un voto espresso conformemente al sistema, la cui espressione è stata registrata mediante la parte affidabile del sistema;

− sottrazione di un voto espresso conformemente al sistema, la cui espressione è stata registrata mediante la parte affidabile del sistema;

− inserimento di un voto espresso non conformemente al sistema;

• considerate le ipotesi di affidabilità riguardanti la completa verificabilità del verbale date, l’aggressore non può né infrangere il segreto di voto né rilevare risultati precoci parziali senza corrompere a tale scopo gli aventi diritto di voto o la loro piattaforma utenti.