Rapporto esplicativo

che un verificatore segnali un difetto scoperto. La corrispondente suddivisione delle responsabilità si ritrova nei gruppi di componenti di controllo: un aggressore dovrebbe portare tutte le componenti di controllo sotto il suo controllo per causare un danno. Questo risulta però particolarmente difficile se le componenti di controllo si differenziano a livello di software e di modalità operative.

Le ipotesi ammissibili concernenti l’affidabilità dei singoli partecipanti al sistema e dei canali di comunicazione sono elencate nel numero 2.9.

I requisiti posti all’esercizio delle componenti affidabili sono illustrati nel numero 3.

In questo quadro un messaggio è descritto come autentico se il destinatario del messaggio può fare affidamento sul fatto che il mittente corrisponde al partecipante al sistema specificato dalla definizione del canale.

N. 2.5: Le note di conferma possono essere efficaci solo se gli aventi diritto di voto le esaminano effettivamente e, in caso di dubbio, si rivolgono all’autorità competente. In quale misura lo facciano e quali provvedimenti potrebbero contribuire a garantire che gli aventi diritto di voto esaminino le note di conferma secondo le istruzioni potrebbero essere oggetto di ricerca e di un accompagnamento scientifico. Alcuni requisiti dell’OVE potrebbero contribuire a rendere le note di conferma uno strumento efficace: ad esempio, la suddivisione delle note di conferma in note di conferma parziali secondo i numeri 2.12.5-2.12.10 permette agli aventi diritto di voto, in caso di difficoltà al momento della verifica, di interrompere anticipatamente l’operazione di voto elettronico e di ricorrere al voto per corrispondenza o al voto di persona. A differenza delle note di conferma parziali iniziali, la verifica della nota di conferma parziale che conferma il voto definitivo deve essere particolarmente semplice da realizzare. Il requisito di cui al numero 8.10 mira a rendere più difficili gli attacchi di ingegneria sociale volti a impedire agli elettori di effettuare correttamente la verifica delle note di conferma. Inoltre, il numero 8 impone ulteriori requisiti per le informazioni e l’assistenza agli aventi diritto di voto. Gli attacchi di ingegneria sociale devono essere valutati nel quadro dell’analisi dei rischi di cui al numero 13.

Una nota di conferma corretta conferma agli aventi diritto di voto che almeno la componente di controllo, che secondo il numero 2.9.1 può essere considerata affidabile, ha registrato il voto come espresso conformemente al sistema. Mediante la verifica delle note di conferma secondo il numero 2.6, i verificatori stabiliscono che anche il voto è stato conteggiato correttamente e quindi conformemente alla nota di conferma di cui al numero 2.5 visualizzata dall’avente diritto di voto. Affinché la verifica della nota di conferma secondo il numero 2.6 avvenga correttamente, tutte le componenti di controllo devono aver registrato gli stessi voti come espressi conformemente al sistema. I casi in cui le componenti di controllo mostrano incoerenze a questo proposito devono essere anticipati secondo il numero 11.11 e la procedura da seguire va determinata in anticipo.

La disposizione non prescrive come interpretare i casi in cui le note di conferma sono visualizzate in modo scorretto o non vengono affatto visualizzate. In particolare, sarebbe ipoteticamente possibile per il gruppo delle componenti di controllo registrare un voto espresso conformemente al sistema anche se questo non è stato espresso conformemente al sistema. Il numero 2.6 impone però che tali voti siano selezionati per essere successivamente vagliati in modo da permettere ai verificatori di assicurarsi che l’aggressore non abbia inserito voti non espressi conformemente al sistema. Inoltre, secondo il numero 10, il sistema NA (non necessariamente il gruppo di componenti di controllo) deve rilevare comunque tali voti quando vengono espressi e non deve trattarli come se fossero voti espressi conformemente al sistema.

Per quanto riguarda la precisazione «... l’aggressore non ha espresso abusivamente a nome dell’avente diritto alcun voto successivamente registrato e conteggiato quale voto espresso conformemente al sistema»: durante lo scrutinio tale nota di conferma sarebbe solo parzialmente utile dato che l’aggressore avrebbe ancora tempo per esprimere un voto. Pertanto è sufficiente se gli elettori possono richiedere questa nota di conferma dopo lo scrutinio. Per motivi di efficienza, è sufficiente che il servizio competente del Cantone confermi all’avente diritto di voto che non è stato espresso alcun voto a suo nome. Per la verifica da parte del servizio competente, si applicano le ipotesi sul grado di fiducia di cui al numero 2.9.1; in questo quadro anche l’ausilio tecnico del verificatore può essere considerato affidabile. Inoltre, questo requisito va oltre il modello di fiducia nella misura in cui l’aggressore non deve assolutamente poter accedere alle caratteristiche di autenticazione client. Per quanto riguarda il presente requisito, si deve supporre che l’aggressore abbia accesso ai dati di autenticazione client di alcuni aventi diritto di voto.