Schweiz udvider sit e-valgs-program.
Sidste måned tildelte det schweiziske forbundsråd kantonen Lucerne en grundlæggende licens til at gennemføre e-valgs-forsøg med et begrænset vælgerkorps. Licensen løber frem til forbundsafstemningen den 26. november 2028, og den første godkendte brug vil være forbundsafstemningen den 27. september 2026.
Betydningen rækker ud over Schweiz.
Efterhånden som europæiske kommuner, universiteter, fagforeninger, kooperativer og offentlige institutioner overvejer digitale valg, fastlægger Schweiz et vigtigt princip: verificerbarhed bør være et krav, ikke en valgfri funktion.
Schweiz viser også, hvor langt denne standard stadig har til gode. Vælgere kan allerede kontrollere, at deres eget stemmeseddel ankom korrekt, og myndighederne kan verificere det samlede resultat. Det, som almindelige vælgere endnu ikke kan, er at verificere det fulde resultat for sig selv.
Hvad fuldstændig verificerbarhed betyder
Kun fuldt verificerbare systemer kan godkendes til e-valgs-forsøg.
Fuldstændig verificerbarhed er defineret i Forbundskancelleriets bekendtgørelse om elektronisk afstemning, og den kombinerer to egenskaber. Individuel verificerbarhed betyder, at hver vælger modtager bevis for, at systemet registrerede den stemme, de havde til hensigt at afgive. Universel verificerbarhed betyder, at revisorer modtager kryptografisk bevis for, at resultatet blev bestemt korrekt ud fra de registrerede stemmer.
Definitionen følges af en streng tillidsmodel. Verifikation må aldrig afhænge af tillid til en enkelt komponent, operatør eller myndighed. Bekendtgørelsen er konkret helt ned til tallene: sandsynligheden for, at en angriber forfalsker en vælgers bevis, må ikke overstige 0,1 procent.
Tilsammen tjener disse krav to formål.
For det første sikrer det, at forsøg på at manipulere systemet pålideligt kan opdages. For det andet skaber det gennemsigtighed om, hvorvidt hele valgprocessen er gennemført korrekt, mens hemmeligholdelsen af den individuelle stemme bevares.
Schweiz understøtter dette med offentliggjort kildekode, uafhængige undersøgelser og delt ansvar på tværs af flere systemer og deltagere.
Lad os se nærmere på den verificerbarhed, der leveres.
1. Vælgere kan kontrollere deres eget stemmeseddel
Systemet giver mulighed for individuel verificerbarhed.
Hver vælger modtager unikke returkoder på papir sammen med deres valgdokumenter. Efter at have stemt online viser systemet en kode. Vælgeren sammenligner den med koden trykt ved siden af deres valgte mulighed. Når koderne stemmer overens, har vælgeren bevis for, at deres tilsigtede valg nåede korrekt frem til den elektroniske stemmeurne.
Det er en ligetil kontrol, der ikke kræver, at vælgeren forstår kryptografien bag systemet.
2. Valgmyndigheder kan verificere det samlede resultat
Systemet giver mulighed for universel verificerbarhed.
Når afstemningen lukker, anvender det schweiziske system et Bayer-Groth verificerbart blandenetværk til at blande og genkryptere stemmesedlerne, inden de tælles.
Hver blander producerer et nul-viden-bevis for, at blandingen er udført korrekt. Beviset viser, at outputtet indeholder de samme krypterede stemmer som inputtet, blot i en anden rækkefølge og under ny kryptering. Det gør dette uden at afsløre den nye rækkefølge af stemmesedlerne eller, hvordan nogen har stemt.
Verifikatoren kontrollerer disse beviser for at opdage, om stemmesedler blev tilføjet, fjernet eller ændret under blandingsprocessen.
Kantonale valgmyndigheder udfører kontrollerne ved hjælp af separat verifikationssoftware. Verifikatoren opererer uafhængigt af det primære valgsystem og kører på en offline-maskine.
Hvis alle de kryptografiske beviser består kontrollerne, bekræfter verifikatoren ægtheden af de elektroniske stemmer og deres optælling, som forklaret i Swiss Posts e-valgs-dokumentation.
Kan den gennemsnitlige person verificere det samlede resultat?
Ikke under den nuværende offentligt vendte proces.
En almindelig vælger kan verificere, at deres eget valg nåede frem til den elektroniske stemmeurne, ved at sammenligne returkoderne.
Verifikation af det samlede resultat udføres af kantonale valgmyndigheder ved hjælp af specialistsoftware. Swiss Post offentliggør kildekoden, den kryptografiske protokol, teknisk dokumentation og verifikationssoftware uden at kræve registrering. Uafhængige eksperter kan inspicere, kompilere, teste og videreudvikle disse komponenter.
Dette betyder, at Swiss Post ikke har eksklusiv kontrol over, hvordan systemet undersøges. At gøre verifikation teknisk tilgængeligt er dog ikke det samme som at gøre det anvendeligt for en almindelig vælger.
De fleste mennesker vil ikke kompilere verifikationssoftware eller fortolke kryptografiske beviser. De er stadig nødt til at stole på valgmyndigheder, revisorer eller tekniske eksperter til at udføre den fulde kontrol og forklare, hvad den viser.
Hvordan Schweiz klarer sig på verificerbarhed
Returkode-kontrollen er tilgængelig.
Men verifikation af det samlede resultat er stadig svær for ikke-specialister at udføre og fortolke.
Samlet vurdering: Schweiz opfylder en høj standard for privat og verificerbar digital afstemning. De kryptografiske beviser offentliggøres, men verifikation af dem kræver specialistsoftware, som de fleste vælgere aldrig vil anvende. At gøre verifikation tilgængelig for almindelige vælgere, ikke kun revisorer, er, hvor standarden skal nå videre.
At gøre fuld-resultat-verifikation tilgængeligt for almindelige vælgere
Shutter Governance tilbyder en mulig tilgang til at løse dette.
Shutter Governance-systemet offentliggør valgresultatet med et offentligt kryptografisk bevis, der viser, at alle gyldige stemmer er talt korrekt op. Beviset er tilgængeligt uden en konto eller særlig adgang.
En almindelig vælger kunne bruge en AI-assistent til at guide dem gennem verifikationsprocessen og forklare outputtet på almindeligt sprog. AI-assistenten ville ikke erstatte den kryptografiske verifikation eller afgøre, om resultatet er korrekt. Den ville gøre de offentlige beviser lettere for en almindelig person at forstå.
Europa bør vedtage standarden og forbedre den
Nationale valg er ikke de eneste valg, der kræver privatliv og verificerbarhed. Kommuner, universiteter, fagforeninger, kooperativer, foreninger og politiske partier træffer alle vigtige beslutninger gennem afstemninger, og deres digitale afstemningssystemer bør opfylde den samme standard.
Schweiz har vist, at fuldstændig verificerbarhed kan gøres til et formelt krav. Men den nuværende tilgang placerer stadig fuld-resultat-verifikation primært i hænderne på valgmyndigheder og tekniske eksperter.
Det næste skridt er at gøre verifikationen af de fulde resultater mulig for alle. Resultatet bør ikke accepteres på grundlag af en enkelt institutions ord. Uafhængige organisationer, journalister, revisorer og teknisk kompetente borgere kan kontrollere de samme offentlige beviser, mens enklere verifikationsværktøjer kan gøre resultatet forståeligt for alle andre.
Schweiz fortjener anerkendelse for at gøre verificerbarhed til et krav for e-valg. Nu bør resten af Europa følge trop.
Kilder
- Schweizisk forbundskancelleri: E-valgs-pressemeddelelser
- Schweizisk forbundskancelleri: Bekendtgørelse om elektronisk afstemning
- Schweizisk forbundskancelleri: Sikkerhed i e-valg
- Schweizisk forbundskancelleri: Undersøgelse af e-valgs-systemer
- Swiss Post: E-valgs-FAQ
- Swiss Post: E-valgs-fællesskabsprogram
- Swiss Post: Kryptografisk protokol og dokumentation
- Swiss Post: Afstemningsklient ElGamal-chiffertekst-implementering
- Swiss Post: Bayer-Groth blandenetværk-implementering
- Swiss Post: Separat verifikationssoftware
- Swiss Post: Fuldstændig verificerbarhed og verifikation af optællingen
Denne artikel er oversat fra engelsk ved hjælp af AI.
About Shutter Governance
Shutter Governance is a new digital voting system for municipalities, universities, unions, cooperatives, political parties, NGOs, and other organizations, where votes stay hidden from everyone while the results remain publicly verifiable.
Learn how it works →