Avamprogetto (Allegato)

Allegato del Regolamento tecnico Voto elettronico della Cancelleria federale del ... (RS ...)

Per raggiungere l’obiettivo di sicurezza si impiegano esclusivamente elementi crittografici considerati sicuri.

Verificabilità completa del sistema di VE nell’attuazione: vigono le medesime condizioni come per la verificabilità individuale.

La sezione D.4 mette in relazione le disposizioni dell’articolo 4 con l’obiettivo di sicurezza nel modello astratto e le esegue laddove necessario. Inoltre, essa contiene requisiti di sicurezza riguardanti i partecipanti al sistema e i canali di comunicazione che nel modello astratto si ipotizza siano affidabili.

4.4. Disposizioni supplementari inerenti alla verificabilità completa

D4.10 (ad art. 4 cpv. 1) L’impiego di esaminatori serve alla trasparenza. Gli aventi diritto di voto

devono potere partire dal presupposto che, in caso di dubbio, gli esaminatori li

renderebbero attenti a irregolarità. Si lascia tuttavia consapevolmente aperto da quali cerchie vanno incaricate persone di svolgere il ruolo di esaminatori.

D4.20 (ad art. 4 cpv. 2a) In virtù delle informazioni nella parte affidabile del sistema (tra le quali

può trovarsi lo stesso voto crittografato), esaminatori possono accertare se un voto è stato considerato in forma immutata quale immissione per il rilevamento dei risultati. I votanti devono così poter confidare nel fatto che i dati nella parte affidabile del sistema non vengono eliminati o manipolati. Nella letteratura tecnica si trovano in merito proposte di pubblicare i voti crittati su un «albo» elettronico (ingl. public board). Un albo viene realizzato includendo varie componenti affidabili, così che le immissioni vengono cancellate o modificate di soppiatto soltanto se varie di queste componenti sono corrotte. Con l’aiuto di una piattaforma utenti affidabile i votanti possono in ogni momento constatare che il loro voto si trova nella massa dei voti espressi. Alla fine della votazione l’albo contiene il risultato e la prova della corretta determinazione dei risultati, confezionata nell’ambito della verificabilità universale. I votanti potrebbero così, nello spirito della massima trasparenza possibile, assumere il ruolo degli «esaminatori». Varie considerazioni sui rischi, non da ultime connesse con l’ipotesi, orientata alla prassi, che le piattaforme utenti debbano essere considerate inaffidabili, possono far propendere per una pubblicazione non illimitata dei dati rilevanti per la verificabilità dalla parte affidabile del sistema. È perciò ammesso mettere a disposizione i dati a una cerchia limitata di esaminatori. Nella terminologia della letteratura tecnica, il requisito può perciò essere inteso in questa maniera: i votanti ricevono dalle componenti competenti per l’albo una prova che esse hanno ricevuto il loro voto (o dati sufficienti per la verifica universale). La sua validità non può dipendere dall’affidabilità di una piattaforma utenti inaffidabile o dal sistema di VE. Al più tardi dopo la determinazione dei risultati (ma prima della pubblicazione), gli esaminatori ottengono l’accesso all’albo e constatano che il risultato considera ogni voto sull’albo in conformità con le norme vigenti. D4.30 (ad art. 4 cpv. 2b) L’obiettivo consiste nell’impedire che partecipanti al sistema inaffidabili

possano esprimere un voto di soppiatto. La disposizione va interpretata in questo senso e il verbale esaminato di conseguenza.

D4.40 (ad art. 4 cpv. 2c) La confidenzialità dei dati inerenti a un eventuale riferimento di verifica

può così dipendere, anche in seno all’infrastruttura del VE, solamente dalla parte affidabile del sistema.

D4.50 (ad art. 4 cpv. 3a) L’indipendenza e l’isolamento dell’ausilio tecnico garantiscono che la

valutazione della prova non può essere influenzata dal sistema di VE. Si lascia tuttavia consapevolmente aperto se gli ausili tecnici e i corrispondenti programmi debbano essere messi a disposizione dal sistema di VE o dagli esaminatori. Gli esaminatori devono

tuttavia poter constatare facilmente che l’ausilio funziona correttamente. Ciò si può ad esempio conseguire se gli esaminatori possono scrivere i programmi o per lo meno

analizzarli in anticipo. Prima di verificarli, potrebbero realizzare l’ausilio assieme ai

responsabili del sistema e compilare e installare i programmi di verifica. Di massima, ai fini della trasparenza, i programmi per verificare devono essere facili da scrivere.

D4.60 (ad art. 4 cpv. 3b) Un voto è valido soltanto se i dati di autenticazione client utilizzati a tale

scopo corrispondono a dati di autenticazione server definiti nella fase di preparazione e «attribuiti» a un avente diritto di voto prima che si recasse alle urne. La prova deve perciò contenere la conferma che non sono stati generati dati per esprimere voti non validi. A tale scopo, durante la preparazione della votazione, alle componenti di controllo o agli

esaminatori devono essere stati consegnati dati pertinenti quale termine di paragone. Gli esaminatori devono constatare che il numero dei dati di autenticazione corrisponde al