Discussion: Est-il vraiment possible d'éviter de se retirer du processus papier? / Lässt sich ein Opt-Out für den Papierprozess wirklich vermeiden?

[dune73]

Français

La collecte électronique doit empêcher qu'une personne soutienne une initiative citoyenne à la fois sur papier et électroniquement par sa signature.

Une solution simple à ce problème serait de désactiver la signature papier pour les électeurs éligibles souhaitant participer à la collecte électronique. On parle alors de « désinscription ».

Sans cette option, il est nécessaire de concilier les manifestations de soutien sur papier et en ligne. Plusieurs solutions sont envisageables. Il n'est pas indispensable de centraliser le stockage de toutes les manifestations de soutien.

Toutes les équipes ayant abordé cette question lors du hackathon ont conclu qu'il était possible d'éviter l'option de désinscription. Cela signifie qu'il est possible de gérer les signatures simultanément tout en respectant des normes élevées de protection des données (minimisation des données).

Mais est-ce vraiment le cas ?

Lien vers la discussion sur ce sujet lors du 2e événement en ligne : Enregistrement Youtube / Résumé / Transcription IA

Deutsch

E-Collecting muss verhindern, dass jemand ein Volksbegehren auf Papier und dasselbe Begehren auch elektronisch mit seiner Unterschrift unterstützt.

Eine einfache Lösung für dieses Problem bestünde darin, das Stimmberechtigte, die an E-Collecting teilnehmen möchten, nicht mehr länger auf Papier unterschreiben können. Der technische Begriff hierfür ist Opt-Out.

Ohne Opt-Out müssen papierbasierte und digitale Unterstützungsbekundungen abgeglichen werden. Das kann auf unterschiedliche Weise umgesetzt werden. Es ist nicht zwingend nötig, alle Unterstützungsbekundungen zentral aufzubewahren.

Sämtliche Teams, die sich während des Hackathons mit dem Thema auseinandersetzten, kamen zum Schluss, dass ein Opt-Out vermieden werden kann. Das heisst, dass die gemeinsame Verwaltung der Unterschriften bei gleichzeitig hohen Anforderungen an den Datenschutz (Datensparsamkeit) möglich ist.

Aber ist dem wirklich so?

Link auf Besprechung dieses Thema in der 2. Online-Veranstaltung: Youtube Aufzeichnung / Zusammenfassung / KI Transkription

[lionelsemion]

Unser Team ist zum Schluss gekommen, dass sämtliche Deduplizierung in der Verantwortung der Gemeinden geschehen sollte. Wir stellen den Gemeinden Exports in Form von CSV/Spreadsheet/PDF zur Verfügung. So können bestehende Verfahren/Tools angewendet werden, um Doppeltunterschriften zu vermeiden.

Zudem sind wir der Meinung, dass ein Opt-Out nicht viel vereinfachen würde, da dann die Gemeinden Unterschriften auf Papier mit dieser Blocklist abgleichen müssten. Ein zusätzlicher Abgleich findet also in beiden Fällen statt.

[famoser]

Ich vermute, hier ist die Entscheidung implizit bereits gefallen. Ein Opt-Out wäre zumindest im Versuchsbetrieb komplex (organisatorisch) umzusetzen, da Versuche je nach dem beschränkt (in Zeit oder Anzahl Unterschriften) sind.

Es sollte aber festgehalten werden, dass ohne ein Opt-Out eine tiefere Sicherheit des Systems akzeptiert wird:

• Das Grundproblem der Unterschriftenfälschung wird nicht gelöst. Weiterhin können die Gemeinden nur heuristisch die gefälschten physischen Unterschriften versuchen zu erkennen. Ein Opt-Out würde zumindest für diese Wahlberechtigten die Unterschriftenfälschung effektiv vermeiden. Vielleicht werden die physischen Unterschriften aber weniger, und die Erkennung wird praktikabler?
• Die Datensparsamkeit wird klar geschwächt. Konkret muss für den Abgleich die Gemeinde erfahren, wer bereits online unterschrieben hat. Das ist bei einer Opt-Out Lösung nicht der Fall, in der die Gemeinde nicht erfahren muss, wer online unterschreibt. Die Gemeinde muss nur wissen, wer "Opt-Out" gemacht hat, was aber keine Rückschlüsse erlaubt, was wirklich unterschrieben wird. Das Statement "Das heisst, dass die gemeinsame Verwaltung der Unterschriften bei gleichzeitig hohen Anforderungen an den Datenschutz (Datensparsamkeit) möglich ist." ist aus meiner Sicht also nicht richtig.

Spätestens bei einer Überführung in den Normalbetrieb sollte das Thema also neu evaluiert werden.

[dune73]

Vielen Dank für Eure Kommentare @lionelsemion und @famoser.

@lionelsemion: Wir sprechen von Exports von verschlüsselten Identitäten, die in eurer Lösung nur von den Gemeinden dechiffriert werden können. Korrekt?

@famoser: Das Team 6 (https://github.com/swiss/e-collecting-hackathon-team6) / BFH+ EPFL hat eine Lösung auf Basis eines wissenschaftlich publizierten Protokolls vorgeschlagen, das meiner Meinung nach die beschriebenen Garantien bringt: Dass also die Gemeinde (1) überprüfen kann, ob eine Unterschrift durch eine stimmberechtigte Person abgegeben wurde. Und (2) ohne zu sehen, von welcher stimmberechtigten Person sie abgegeben wurde. Hat dieser konkrete Lösungsvorschlag aus Deiner Sicht einen Haken und wenn ja, wo?

[lionelsemion]

@lionelsemion: Wir sprechen von Exports von verschlüsselten Identitäten, die in eurer Lösung nur von den Gemeinden dechiffriert werden können. Korrekt?

Ja, das stimmt so.

@famoser, alles, was du gesagt hast, stimmt aus meinen Augen so weit. Eine Komponente, die du aber vielleicht weniger berücksichtigt hast, ist das Vertrauen der Gemeinden in den Prozess. Im aktuellen System wird bereits in Teilen auf Datensparsamkeit verzichtet und stattdessen auf den Föderalismus gesetzt. Aus meinen Augen ist das zwar im Grunde irrational, aber doch auch politisch zu berücksichtigen.

Im Grunde versucht der Ansatz von Team 12, möglichst minimale Veränderungen an den Verantwortungen für die Prozesse durchzuführen, während Team 6 grössere Veränderungen zugunsten verbesserter Datensparsamkeit in Kauf nimmt.

Für beide Ansätze sehe ich bisher keine Verschlechterungen bezüglich Sicherheit gegenüber dem jetzigen System. Es gibt aber sicherlich auch bei beiden Ansätzen noch unbeantwortete Fragen.

[famoser]

@lionelsemion Ja genau, es kommt auf die Vertrauensannahmen in die Gemeinde an. Da das Setting noch nicht definiert ist (wer als ehrlich angenommen wird, und wer nicht), ist es logisch, dass da die Analysen auseinander gehen.

@dune73 Ich sehe grundsätzlich einen Hacken, der unabhängig der kryptographischen Lösung funktioniert. Das geht wie folgt: Eine neugierige Gemeinde erfasst eine physische Unterschrift im System, und observiert dabei, ob sich die Anzahl insgesamt gesammelten Unterschriften verändert. Ist die Anzahl gleich geblieben, hat die Person bereits online unterschrieben. Ist die Anzahl um eins höher, hatte die Person noch nicht unterschrieben.

Ob diese grundsätzliche Attacke berücksichtigt werden soll oder nicht, kommt auf das Setting darauf an.

[dune73]

Danke für diese Präzisierung @famoser. Das von Dir beschriebene Szenario beschreibt wie eine unehrliche / böswillige Gemeinde das "Stimmgeheimnis" analog zum bestehenden Papierprozess brechen könnte. Ich denke, das funktioniert.

In dem Sinn birgt die Digitalisierung der Unterschriften ein Versprechen in Richtung komplettem Schutz des Stimmgeheimnisses, welches aber nur mit Opt-Out vollumfänglich realisiert werden kann. Korrekt?

[phish]

Un autre aspect du op-out est qu'il force tous les commités à offrir le processus électronique. Les personnes ayant fait le opt-out ne pourront pas signer les initiatives des commités qui ne supportent pas le e-collecting. Une option serait d'offrir un opt-out par initiative, mais dans ce cas la personne qui demande le opt-out révèle quelle initiative elle veut signer.

En conséquence, dès qu'une commune ou un canton de test introduit le opt-out, tous les commité actuels et futurs devront offrir le processus électronique. Pour la phase de test il semblerait plus adéquat d'avoir quelques communes et quelques commités qui participent au e-collecting, mais dans ce cas il ne peut pas y avoir de opt-out.

[famoser]

In dem Sinn birgt die Digitalisierung der Unterschriften ein Versprechen in Richtung komplettem Schutz des Stimmgeheimnisses, welches aber nur mit Opt-Out vollumfänglich realisiert werden kann. Korrekt?

Absolute Aussagen zu treffen ist immer schwierig. Ob ein Opt-Out ein kompletter Schutz bieten kann (gegenüber einer unehrlichen Gemeinde) bin ich mir nicht sicher. Ein Opt-Out scheint aber gewissen Vorteile hinsichtlich des Stimmgeheimnisses zu haben, ja (insbesondere die Verhinderung des beschriebenen Szenarios).

[philoc]

In unserem Protokoll (Team 6) muss die Gemeinde jede Unterschrift, die sie digitalisiert, mit der entsprechenden physischen Stimme belegen können. Sowohl das Initiativkomitee als auch die Bundeskanzlei wirken als Kontrollorgane und stellen missbräuchliche (unterschlagene als auch hinzugefügte) Unterschriften fest.

Das heisst, um im Angriff von @famoser die Privatsphäre einzelner Bürger zu brechen, müsste die Gemeinde rechtswidrig digitalisierte Unterschriften hinzufügen. Dies mit dem Wissen, dass sie dabei ertappt wird und mit rechtlichen Konsequenzen rechnen muss. Ob der beschriebene Angriff somit ein realistischer ist oder in einem gegebenen Setting ausgeschlossen werden kann, kann nur abschliessend diskutiert werden, wenn das Setting/Vertrauensmodell bekannt ist.

Um diese Diskussion (und auch weitere Diskussionen) zielführend und konstruktiv zu gestalten, würden wir es begrüssen, wenn man zuerst gemeinsam ein Setting definiert, auf welches man sich bezieht. Ist ein konkreter Angriff dann im vereinbarten Setting möglich, kann darüber nachgedacht werden, wie das Protokoll/System angepasst werden muss, um den Angriff zu unterbinden.

[knr1]

Anbei noch eine detailliertere Beschreibung, ob der skizzierte Angriff mit unserem Protokoll (Team 6) überhaupt erfolgreich ist, je nach gewähltem Setting:

Wie erwähnt ist das Protokoll so konzipiert, dass damit ein Angriff der Gemeinde auf die Korrektheit der Stimmenauszählung, oder auf die Privatsphäre, entdeckt und veröffentlicht wird (insbesondere der skizzierte Angriff).

Der Einsatz des Protokolls stützt sich also auf die Annahme, dass eine Gemeinde sich nicht widerrechtlich verhält, insbesondere dann nicht, wenn dieses Verhalten aufgedeckt wird.
Kryptographisch gesprochen verhält sich die Gemeinde somit Honest but Curious, welches dem Covert Adversary Model entspricht.

Für den Schutz der Korrektheit ist dieses Modell wahrscheinlich ausreichend, da die Manipulation entdeckt würde und das Resultat entsprechend korrigiert werden kann. Für die Privatsphäre hingegen reicht dieses Modell vielleicht nicht aus. Denn obwohl das widerrechtliche Verhalten der Gemeinde öffentlich wird, ist die Privatsphäre der Stimmbürger dennoch gebrochen und kann naturgemäss nicht wiederhergestellt werden.

Soll also die Privatsphäre auch dann geschützt bleiben, wenn die Gemeinde die Aufdeckung der Zuwiderhandlung in Kauf nimmt (was kryptographisch dem standard Adversary Model entspricht), könnte das Protokoll wie folgt angepasst werden:

Die im Angriff angesprochene Duplikateentfernung findet bei unserem Protokoll nicht durch die Gemeinde statt. Die Duplikateentfernung findet im aktuellen Protokollvorschlag vor der Überprüfung der digitalisierten physischen Unterschriften durch die Kontrollorgane statt. Zur Verhinderung des Angriffs auf die Privatsphäre muss das umgedreht werden, die Überprüfung also vor der Duplikateentfernung stattfinden.

Dies zeigt, dass es das Setting ist, welches ein Protokoll/System formt. Der skizzierte Angriff von @famoser also entweder im gegebenen Setting nicht möglich ist, oder allenfalls durch eine Protokoll/Systemanpassung vereitelt werden kann.

[dune73]

J'ai inséré ci-dessus dans la question les liens vers le passage correspondant de l'enregistrement et de la transcription IA de l'événement.

I habe oben in der Fragestellung die Links auf die entsprechende Passage der Aufzeichnung und der KI Transkription der Veranstaltung eingefügt.

[famoser]

Genau, das von mir geschilderte Szenario einer neugierigen Gemeinde hat gewisse Annahmen an das Setting. Wird stattdessen ein covert adversary angenommen, der nicht ertappt werden will; oder werden die physischen Signaturen kontinuierlich noch von einer weiteren Stelle verifiziert (vor Abgleich mit den Online-Signaturen), dann trifft das Szenario nicht mehr zu. Hier mögen die Einschätzungen auseinander gehen, was realistisch ist, und was nicht; bis die BK ein klares Setting definiert.