Di recente è stato pubblicato uno studio sulla sicurezza
del sistema di Internet voting (I-voting) adottato alle ultime elezioni locali in
Estonia.
L’Estonia è uno dei paesi
in cui, negli ultimi anni, maggiormente si è puntato, sulla digitalizzazione della
Pubblica Amministrazione e, in generale sull’e-Government.
Il rapporto, come molti altri disponibili in letteratura sulle
esperienze di I-voting e, più in generale, di voto elettronico (e-voting), si conclude con la
raccomandazione di interrompere l’utilizzo di questi sistemi.
Le principali motivazioni
della raccomandazione, esaurientemente dimostrate nella descrizione piuttosto dettagliata
degli esperimenti effettuati, sono prevalentemente di natura tecnica e
dimostrano come sia possibile compromettere il risultato del procedimento elettorale
attraverso attacchi informatici che sfruttino vulnerabilità note (o anche non
note, come ad esempio le zero-day
vulnerabilities delle quali è appurato esistere un fiorente e redditizio mercato
illegale).
È forse inutile ricordare come, nel caso di elezioni sovranazionali
(per es. europee), nazionali o per l'amministrazione locale, esistono forti interessi
in gioco e, di conseguenza, è difficilmente evitabile che ci siano tentativi di
sfruttamento della possibilità di influenzare, anche in modo illegale, il risultato
del voto.
La tutela del procedimento elettorale nei confronti di questi tentativi deve quindi essere presa in
seria considerazione.
Tralasciamo qui i dettagli tecnici, rimandando il lettore
interessato al rapporto tecnico sopra citato e all’abbondante letteratura sull’argomento
e sull’e-voting.
È importante, invece, sottolineare che i procedimenti di voto elettronico
sono intrinsecamente controversi perché pongono questioni serie in relazione al
soddisfacimento di requisiti fondamentali di qualunque procedimento elettorale,
come, ad esempio, la segretezza del voto e l'anonimato dell'elettore, la
correttezza del conteggio dei voti e la verificabilità – da parte degli elettori
anche non in possesso di specifiche competenze
tecniche – sia della correttezza del procedimento e del suo risultato, sia del
fatto stesso che il proprio voto sia stato effettivamente acquisito dal sistema.
Quelli effettuati tramite Internet risultano ancora più problematici, proprio
per la natura distribuita e "aperta" della Rete, oltre che per la
dipendenza dalla qualità di una moltitudine di prodotti spesso concepiti,
progettati e implementati per scopi che non necessariamente richiedono un alto
grado di affidabilità e sicurezza (oltre che per la più che nota vulnerabilità
di Internet ...).
E' importante comprendere che i requisiti di sicurezza e
anonimità fanno sì che i sistemi di e-voting siano molto diversi da altri sistemi
informatici anche critici come, ad esempio, quelli bancari. In questi ultimi sistemi, giusto per fare un esempio,
ogni cliente ha la possibilità di verificare la correttezza delle operazioni che
lo riguardano semplicemente consultando le ricevute o gli estratti conto e, di
conseguenza, fare valere i propri diritti sulla base anche di tale documentazione.
Ovviamente, nel caso dell'e-vote questo non è più vero, non potendo si rilesiare
una "ricevuta di voto" che attesti nel dettaglio l'operazione effettuata.
I RISCHI INFORMATICI
Alcuni dei problemi con l'e-voting sono intrinseci alla tecnologia
hardware/software (HW/SW) e rientrano nelle problematiche inerenti all'affidabilità
dei sistemi informatici, della dimostrabilità della correttezza del SW, dell'HW
e del firmware coinvolti. Altri sono legati all'impossibilità fisica del
monitoraggio da parte delle commissioni elettorali, di tutte le fasi del
procedimento, perché alcune di queste si svolgono interamente in forma
elettronica.
Di conseguenza, i procedimenti di e-voting, quando adottati,
devono essere preceduti da una approfondita attività di testing che deve, fra l'altro,
essere formalizzata nella forma di una vera e propria certificazione da parte
di terzi indipendenti e con successiva dichiarazione di conformità da parte di
autorità abilitate. L'esistenza di tale certificazione, la descrizione di come
essa sia stata condotta tecnicamente e di quali siano stati i test effettuati e
i risultati ottenuti devono essere resi pubblici prima che il procedimento possa
avere luogo. È ovvio che queste certificazioni
richiedono del lavoro e competenze anche molto specialistiche e quindi hanno dei
costi, che possono essere anche molto alti, non necessariamente inferiori a
quelli delle elezioni tradizionali (specie se si considera anche ilcosto delle apparecchiature,
della loro protezione fisica e della loro manutenzione).
E' opportuno notare che garanzie quali quelle sopra riportate
sono contemplate.
Anche nel "Position Statement" dell'Association for Computing Machinery
(ACM), che, fondata nel
1947, è, insieme alla IEEE Computer Society, l'associazione più rappresentativa,
importante e influente nel settore informatico a livello mondiale.
Il caso dell’Estonia, però, fa capire che anche quando vengano
seguiti dei criteri e delle metodologie caratterizzati da un ragionevole o
addirittura spiccato grado di trasparenza, come, ad esempio mettere buona parte
dei sorgenti SW del sistema a disposizione della cittadinanza, possono permanere
svariate vulnerabilità che mettono a rischio l’integrità del processo e, in
ultima analisi, la democrazia.
Negli ultimi tempi, grazie anche all'aumento di consenso che
ha caratterizzato i cosiddetti movimenti della "Società Civile", nel nostro
Paese, si sta facendo avanti, con notevole forza, l'idea della possibilità ed opportunità
della consultazione popolare universale sui problemi del paese, da effettuarsi
(anche) tramite voto elettronico, ed in particolare, Internet-voting.
Chi scrive, ritiene che, sull’onda del
successo popolare di queste iniziative, il passo verso un sistema di voto elettronico,
anche in Italia, possa essere presto considerato inevitabile.
Viceversa, la comunità scientifica, e specie quella dei colleghi
che si occupano di sicurezza informatica, avrebbe la responsabilità civile e
sociale di informare onestamente i con cittadini e, in particolare quelli con
responsabilità politiche, sulle problematiche tecniche, sociali e di diritto che
l’introduzione dell’e-voting comporterebbe. Purtroppo, nel nostro Paese non ha
mai avuto luogo una seria e informata discussione sull'argomento, che invece,
altrove, è stato affrontato con estrema serietà. Giova forse ricordare qui che il
voto elettronico è già stato abbandonato in Germania, nei Paesi Bassi e in Irlanda
e che il suo utilizzo è fortemente discusso e controverso negli Stati Uniti.
Nel frattempo, qui da noi l'utilizzo dell'e-voting e soprattutto
dell'I-voting, sebbene ancora limitati all'interno di specifici gruppi,
partiti e, soprattutto, movimenti, sta prendendo piede, con la totale, passiva accettazione
da parte dei cittadini, della stampa e della comunità scientifica. È di estrema
importanza, fare crescere la consapevolezza dei problemi gravissimi legati a
questo specifico utilizzo della tecnologia informatica.
E concludo con una considerazione più generale. Negli ultimi
tempi, si parla sempre più spesso di semplificazione della Pubblica Amministrazione
italiana. Purtroppo, a volte, questa semplificazione viene identificata con la
semplice re-implementazione digitale di procedure che oggi vengono espletate in
forma cartacea. Queste pratiche, procedure business-flow, come dicono gli esperti sono spesso inutilmente complicate, incomplete, a volte contraddittorie: espressione di quanto di
peggio la burocrazia italiana sia riuscita a concepire nei decenni scorsi (e
tutt'oggi ...).
Evidentemente, questo processo,
noto come dematerializzazione non può essere, di per sé scambiato con (o
"venduto" per) semplificazione della PA. Prima di tutto vanno ridisegnate
le regole, semplificandole in modo da renderei processi più snelli, meno incerti
e più sicuri. Solo dopo ha senso chiedersi quali parti di questi processi possa
essere opportuno informatizzare e con quali tecnologie specifiche.
Ed in questa fase si potrà anche decidere che le attuali tecnologie informatiche
non danno, da sole, tutte le garanzie richieste da alcuni processi, come, ad
esempio, quelli elettorali, per i quali, sarà più saggio affiancare l'informatica alle procedure cartacee, migliorandone le
prestazioni, piuttosto che sostituire le
procedure cartacee con quelle digitali.
Limitarsi a trasferire sui bit la complessità e,
soprattutto, la farraginosità della burocrazia comporta semplicemente che a,
questa farraginosità, si aggiungono tutti i problemi di adeguatezza,
affidabilità, usabilità e vulnerabilità intrinseci dell'informatica, oltre a
quelli specifici che spesso nascono dall'utilizzo di metodologie e prodotti non
propriamente di alta qualità.
Bibliografia
1. J.A.Halderman,
H. Hursti, J. Kitcat, M. MacAlpine, T. Finkenauer, D. Springall. Security
Analysis of the Estonian Internet Voting System.Technical Report. May
2014 (disponibile all’indirizzo: www.estoniavoting.org).
2. G. Mainetto, M. Massink. Se il computer conta i voti,
tutti i voti contano? SAPERE. Ed. Dedalo, dicembre 2007.
3. G. Mainetto, M. Massink. D. Latella. E-vote, un’operazione a
perdere. SAPERE. Ed. Dedalo, giugno 2009.
4. B. Simons[2] and D. Jones. Broken
Ballots Will Your Vote Count? CSLI Publications, Stanford, CA. 2012.
5. B.Simons and D. Jones. Internet Voting in the US.Communications of the ACM.Vol. 55. n. 10 October 2012.
Ulteriori informazioni sull'argomento,
soprattutto di carattere tecnico, sono reperibili, oltre che nelle riviste e
negli atti dei convegni specializzati, per esempio in computer security, sulle Software Engineering Notes dell'ACM (ACM-SIGSOFT),
sulla raccolta dei contributi all'ACM RISKS Forum, sponsorizzata dall'ACM
Committee on Computers and Public Policy (CCPP), e nel sito del suo moderatore,
P. Neumann
