Faq
Come avviene lo scrutinio? Solo elettronico? Solo cartaceo?
Come possiamo essere sicuri che le memorie USB non possano essere manomesse?
Come saranno garantite l'attendibilità e la correttezza delle procedure di rilevazione informatizzata dello scrutinio?
I macchinari introdotti consentono un eventuale riconteggio delle preferenze nell'ipotesi di contestazioni dei risultati emersi dalle consultazioni?
L'eventuale risparmio giustifica l'alto rischio di brogli elettorali?
Perché non avete previsto che la scheda stampata dalla macchina venga presa dall'elettore e depositata manualmente in un'urna esterna?
Qual e' l'opinione della comunità scientifica italiana e internazionale sul sistema di voto sperimentato in Trentino?
Quali sono le garanzie di sicurezza ed affidabilità quando si parla di voto elettronico?
Quanto è costata ogni singola macchina utilizzata nella sperimentazione? Quanto costerà la macchina definitiva?
Sarà possibile, a chi gestisce il meccanismo elettorale, modificare qualsiasi risultato con un semplice clic, senza che nessuno se ne possa mai accorgere?
Se è certo il risparmio di tempo nei casi di home voting, ciò non è altrettanto vero nell'ipotesi di voto elettronico espresso nelle apposite sezionilettorali. Come assorbire i costi nel lungo periodo?
Su quale ambiente operativo si basa il sistema sperimentato?
Come avviene lo scrutinio? Solo elettronico? Solo cartaceo?
Al termine delle operazioni di voto il Presidente di Seggio chiude le operazioni di voto e avvia le operazioni di scrutinio.
Questo produce:
- a video: i risultati di sintesi (schede bianche e schede nulle, totale voti validi)
- un file con i risultati di spoglio, firmato digitalmente e memorizzato sulla chiave USB
- una stampa con la sintesi dei dati di spoglio.
Al termine delle operazioni, quindi, il Presidente di Seggio raccoglie le schede stampate e le inserisce in una busta sigillata, trasmette i dati di sintesi al Comune, imbusta e sigilla la chiave USB e il verbale con la stampa dei dati di spoglio.
In caso di dubbi o contestazioni è comunque possibile procedere ad uno spoglio manuale delle schede stampate, per verificare che i dati elettronici corrispondano a quelli cartacei. Lo spoglio cartaceo può avvenire in due modi:
- ricontando i voti come già avviene per il caso cartaceo, con il vantaggio che il margine interpretativo è nullo
- utilizzando un lettore di codice a barre. Ogni voto, infatti, ha sovrimposto un codice a barre che sintetizza il voto espresso. Il conteggio con codice a barre, pur garantendo livelli di sicurezza e affidabilità analoghi allo spoglio manuale (i dati di spoglio parziale sono sempre visualizzati a schermo e, quindi, ispezionabili da tutti) è molto più rapido.
Come possiamo essere sicuri che le memorie USB non possano essere manomesse?
L'alterazione dei dati sulle memorie USB richiederebbe accesso alle firme digitali utilizzate per proteggere i dati e garantirne l'autenticità.
In ogni caso, però, l'alterazione del dato informatico sulle chiavi USB non sarebbe sufficiente. Risulterebbe infatti necessario alterare i dati anche sulle macchine di voto e le stampe prodotte.
Per quanto tutto questo sia possibile, è meno facile di quanto non sia possibile fare ora, nel caso cartaceo.
Come saranno garantite l'attendibilità e la correttezza delle procedure di rilevazione informatizzata dello scrutinio?
L'introduzione delle nuove tecnologie nel seggio cambia alcuni aspetti procedurali di “conduzione” di una votazione.
Se, da una parte, l'uso di sistemi informatici semplifica alcuni aspetti (ad esempio: apertura del seggio, chiusura, scrutinio), dall'altra è necessario predisporre apposite azioni di formazione del personale di seggio per il passaggio al nuovo sistema.
Le sperimentazioni costituiscono, in questo senso, un importante test non solo per i cittadini, ma anche per l'Amministrazione, in modo da affinare le procedure e "abituare" il personale al nuovo modo di operare.
I macchinari introdotti consentono un eventuale riconteggio delle preferenze nell'ipotesi di contestazioni dei risultati emersi dalle consultazioni?
Le schede stampante consentono il riconteggio dei voti espressi.
L'eventuale risparmio giustifica l'alto rischio di brogli elettorali?
Il rischio di brogli durante le elezioni (sia cartacee, sia elettroniche) risulta da una combinazione di diversi fattori e riguarda diverse fasi del processo elettorale, di cui l'espressione del voto è solo una parte – anche se, ovviamente molto importante. Ad esempio, si pensi alle contestazioni relative alla falsificazione di firme per la raccolta delle candidature alle ultime elezioni politiche o agli errori nella compilazione delle liste elettorali alle elezioni presidenziali degli Stati Uniti nel 2000.
Per affrontare il discorso dei possibili brogli, quindi, non è sufficiente limitarsi alle sole questioni legate alla sicurezza dei sistemi informatici, ma è piuttosto necessario affrontare il problema a “tutto tondo”, occupandosi anche degli aspetti normativi e logistico organizzativi e di formazione.
Le sperimentazioni effettuate in Trentino costituiscono un banco di prova per sperimentare gli aspetti sopra menzionati e per affinare gli aspetti che ne consentirebbero l’introduzione con valore sostitutivo del cartaceo.
Perché non avete previsto che la scheda stampata dalla macchina venga presa dall'elettore e depositata manualmente in un'urna esterna?
Per garantire la coerenza tra i dati informatici e le prove stampate.
Se infatti l’elettore potesse prendere la scheda stampata, avrebbe la possibilità di inserire annotazioni a penna sul voto stampato, o di stracciarlo o di effettuare altre azioni che potrebbero sollevare diversi problemi interpretativi (la scheda dovrebbe essere considerata nulla?) e di verifica sul dato elettronico (il sistema elettronico, ovviamente, non potrebbe sapere che una stampa è stata alterata).
Il sistema realizzato, comunque, non limita la possibilità di espressione da parte dell’elettore, garantendo comunque la possibilità di votare scheda nulla o bianca.
Qual e' l'opinione della comunità scientifica italiana e internazionale sul sistema di voto sperimentato in Trentino?
Alcune pubblicazioni, che descrivono il progetto ed il sistema di voto sperimentato in Trentino sono state presentate a conferenze nazionali e internazionali. Tra i primi articoli diffusi, segnaliamo:
- Adolfo Villafiorita, Giorgia Fasanelli,Transitioning to eVoting: the ProVotE Project and the Trentino’s experience, EGOV 2006
- Letizia Caporusso, Carlo Buzzi, Giolo Fele, Pierangelo Peri, Francesca Sartori, Transition to electronic voting and citizen participation, 2nd International Workshop on Electronic Voting
- Giorgia Fasanelli, Adolfo Villafiorita, Voto e nuove tecnologie: l’esperienza del Trentino, EGOV, Maggioli Editore
Il voto elettronico in generale ed il progetto in particolare sono stati inoltre oggetto di alcune tesi di Laurea e di Dottorato all’Università di Trento:
- Paolo Gozzer, Voto elettronico: verso un portale delle esperienze principali di voto, 2005
- Andrea Mattioli, Analisi dei processi in ambito di voto elettronico per le elezioni in Provincia di Trento, 2006
- Silvia Tomasi, Metodi formali nello sviluppo di applicazioni per il voto elettronico: l’esperienza nel progetto ProVotE , 2006
Quali sono le garanzie di sicurezza ed affidabilità quando si parla di voto elettronico?
Con sicurezza dei sistemi di voto elettronico ci si riferisce, in questo contesto, ai meccanismi utilizzati per proteggere l'espressione del voto e, quindi, difendere il sistema da possibili attacchi mirati ad alterare i voti.
Il sistema di voto elettronico sperimentato in Trentino dispone di diversi livelli di protezione fisica e informatica a garanzia dell'espressione del voto:
- le macchine di voto non sono connesse alla rete: questo impedisce attacchi da parte di hacker (cioè persone che entrano abusivamente in sistemi altrui allo scopo di danneggiarli (cracking) lasciare un segno del proprio passaggio, utilizzarli come teste di ponte per altri attacchi oppure per sfruttare la loro capacità di calcolo o l'ampiezza di banda di rete) durante la giornata elettorale
- le apparecchiature elettroniche sono chiuse all'interno di un "mobile" le cui chiavi sono in possesso del Presidente di Seggio: questo impedisce accessi non autorizzati alle apparecchiature elettroniche
- l'accesso alle funzioni della macchina di voto (per aprire il seggio, abilitare le macchine al voto, chiudere il seggio e dare avvio allo spoglio dei voti) è legato all'uso di smartcard, in possesso del Presidente di Seggio, che è quindi l’unica persona che può avviare il sistema di voto ed attivare le diverse funzioni previste; ogni operazione fatta dal Presidente viene registrata dal sistema
- i dati, seguendo le normali pratiche per questi casi, sono firmati digitalmente (la firma elettronica è un sistema di autenticazione di documenti digitali analogo alla firma autografa su carta) e cifrati (per cifratura, o crittografia, si intende un procedimento mirato a rendere un documento non leggibile da persone non autorizzate)
- il sistema si basa su Linux e Java
- tutti i voti vengono stampati, a garanzia dell’espressione di voto.
Con affidabilità intendiamo invece i meccanismi utilizzati per assicurare che le informazioni vengano accuratamente memorizzate e siano riproducibili, anche in caso di malfunzionamento della macchina di voto.
Per ridurre i rischi legati alla perdita di dati il sistema sperimentato si basa su un meccanismo di memorizzazione ridondata: i dati informatici, cioè, vengono memorizzati (cifrati e firmati digitalmente) sia sull'hard disk del PC, sia su un dispositivo di memorizzazione esterno al PC, inserito all'interno del “mobile” di voto e protetto con i meccanismi descritti sopra.
Il sistema, prima di ogni voto, verifica l'integrità dei dati memorizzati sui due dispositivi, segnalando e bloccando il dispositivo in caso d'anomalie.
La stampa dei voti garantisce, infine, un ulteriore livello di affidabilità, garantendo la possibilità di recuperare i voti espressi nel caso in cui i due sistemi di memorizzazione non funzionino.
Quanto è costata ogni singola macchina utilizzata nella sperimentazione? Quanto costerà la macchina definitiva?
Per la sperimentazione si è cercato dove possibile di contenere i costi dell’hardware, procedendo su tre direzioni:
1. riuso, ove possibile, dell’hardware utilizzato per le macchine di voto: i PC utilizzati per le macchine di voto sono stati scelti tra quelli a disposizione della Provincia autonoma di Trento. Alcuni componenti speciali (touchscreen, smartcard reader, chiavi USB e gruppi di continuità), utilizzati per macchine di voto che non sono state riusate, sono stati poi utilizzati per l’allestimento di uffici provinciali. Altri componenti (come la stampante e mobile di voto), infine, sono stati utilizzati come materiale di scorta per le macchine riusate in sperimentazioni successive.
2. riuso delle macchinedurante una sperimentazione: ogni macchina viene tipicamente utilizzata per quattro funzioni differenti, all’interno di ogni sperimentazione, cioè
- a supporto degli sviluppatori, durante l’aggiornamento del software
- per la simulazione libera, in modo che gli elettori abbiano la possibilità di provare i sistemi di voto prima di una elezione
- per la formazione del Personale di Seggio
- per la votazione, nel numero di uno/due per seggio
- tra una sperimentazione e la successiva le macchine vengono utilizzate per sviluppo e per dimostrazioni
3. riuso delle macchine da una sperimentazione alla successiva: due macchine di voto sono state utilizzate per tre diverse sperimentazioni (Comunali 2005, Daiano e Peio); altre quattro per due sperimentazioni (Comunali 2005 e Peio). Le rimanenti dieci sono state utilizzate al momento una sola volta.
Nel complesso ogni macchina di voto utilizzata per la sperimentazione del maggio 2005 è costata 4.000 euro. Questo costo, attualmente, è sceso di circa 1.000 euro, grazie alla riduzione dei costi di alcuni componenti.
L’eventuale produzione in serie dovrebbe ridurre i costi in maniera ancora più decisa (si stima al minimo un 50% dei costi attuali).
Sarà possibile, a chi gestisce il meccanismo elettorale, modificare qualsiasi risultato con un semplice clic, senza che nessuno se ne possa mai accorgere?
Il voto elettronico non cambia gli attuali meccanismi di verifica e controllo dei risultati elettorali: non è quindi possibile modificare i voti senza che nessuno se ne accorga.
Il primo livello di garanzia è fornito dalla stampa dei voti. Qualsiasi alterazione dei dati richiederebbe quindi di modificare non solo i dati informatici, ma anche le stampe dei voti prodotti durante l’elezione.
I dati elettronici sono protetti da meccanismi di firma digitale e l'alterazione dei dati da parte di terzi è improbabile e, comunque, verificabile, dal momento che i dati di scrutinio risiedono anche in formato cartaceo nei seggi.
Per quanto riguarda la possibilità di alterazioni al di fuori dei seggi elettorali, valgono gli stessi meccanismi di verifica già in atto per l’elezione cartacea. La possibilità di diffondere i risultati attraverso le nuove tecnologie, inoltre, garantisce la possibilità di applicare in modo più diffuso meccanismi di verifica del calcolo degli eletti e di verifica della correttezza dei risultati di ogni sezione da parte del Personale di Seggio.
Se è certo il risparmio di tempo nei casi di home voting, ciò non è altrettanto vero nell'ipotesi di voto elettronico espresso nelle apposite sezionilettorali. Come assorbire i costi nel lungo periodo?
Nel fornire una valorizzazione economica dei risparmi ottenibili con il voto elettronico bisogna considerare, tra gli altri, i seguenti fattori:
- potenziale riduzione del personale di seggio
- riduzione dei tempi di scrutinio
- riduzione dei tempi per il riconteggio delle schede
- eventuale riduzione dei costi associati al contenzioso/assegnazione delle schede.
Bisogna inoltre evidenziare che l'introduzione del voto elettronico consente di raggiungere altri obiettivi, più difficilmente quantificabili economicamente, quali, ad esempio, possibilità di voto in autonomia per i non vedenti e diversamente abili; "recupero" delle schede nulle per "errore" – in quanto il sistema, pur offrendo la possibilità di votare scheda bianca o scheda nulla, non consente l’espressione di un voto non previsto dalla normativa vigente (es. voto disgiunto, che nel caso di un elezione cartacea porta all’annullamento della scheda e quindi del voto); possibilità di certezza del sistema per riavvicinare l'Amministrazione al cittadino attraverso forme di democrazia "diretta".
Su quale ambiente operativo si basa il sistema sperimentato?
Per quanto riguarda l’hardware, il sistema di voto si basa su componenti standard:
- touchscreen e smartcard reader, per l’interazione con il sistema
- gruppo di continuità, per garantire le operazioni anche in caso di temporaneo black-out
- PC standard, per il funzionamento del software di voto
- chiave USB, per la memorizzazione ridondata dei voti
- stampante termica con taglierina, per la stampa dei voti.
Il software usato per la sperimentazione si basa su una versione di Linux personalizzata, ottenuta eliminando tutti i servizi non strettamente necessari al funzionamento della macchina di voto.
Il software di voto è stato sviluppato in Java.
Il BIOS dei sistemi di voto è protetto con password e l'ordine di boot è fissato per impedire l'avvio delle macchine da CD o da altro device.
