Hvorfor det tog så lang tid at skabe digitale valgsystemer, der rent faktisk virker

Hvad hvis du trygt kunne stemme fra din telefon? Forestil dig: ingen køer, ingen valgsteder. Din stemme afgives fuldt ud sikkert, og dit valg forbliver absolut hemmeligt. Der er ingen stemmetællere, fordi ikke engang regeringen har lov til at se, hvem du stemte på. Og alligevel kan enhver, hvor som helst i verden, uafhængigt verificere, at valgresultaterne er legitime, helt ned til den allersidste stemme.

Tilliden til valgsystemer og institutioner er faldende, hvilket udgør en reel trussel mod demokratiet. Borgere, der tvivler på nøjagtigheden af stemmeoptællingen, er mindre tilbøjelige til at stemme og har mindre tillid til deres ledere. Autoritære kræfter udnytter mistilliden til at erklære valg for snyd, se bort fra resultater og gribe magten. For at modvirke denne tendens har der i årtier været talrige forsøg på at skabe et fuldt sikkert og beskyttet digitalt valgsystem, men hvert eneste forsøg er stødt mod den samme mur.

Indtil nu.

Hvorfor alle digitale valgsystemer hidtil har fejlet

Kirkegården af mislykkede digitale valgeksperimenter viser os, at hvert forsøg på at digitalisere demokratiet stødte mod det samme umulige trilemma. Man kunne have privatliv, transparens eller skalerbarhed, men aldrig alle tre på én gang.

Fejlene

Da West Virginia forsøgte blockchain-afstemning med Voatz i 2018, måtte vælgerne blindt stole på, at virksomhedens servere ikke var kompromitterede, på trods af blockchainens formodede transparens. Schweiz suspenderede sit e-valgsystem i 2019, efter at forskere fandt kritiske sikkerhedsbrister. Moskvas blockchain-valgeksperiment fra 2019 blev knækket af en fransk forsker på blot 20 minutter. Iowa-demokraternes primær-app kollapsede spektakulært i 2020, forsinkede resultaterne i dagevis og gødede jorden for konspirationsteorier.

Trilemmaet

Hvert fejlslag afslørede det samme grundlæggende problem. For at gøre systemer hurtige nok til millioner af vælgere skåret udviklerne ned på privatlivet. For at sikre privatlivet opgav de transparens. For at tilføje transparens eksponerede de vælgeridentiteter.

Det var ikke bare et spørgsmål om dårlig implementering. Det var en matematisk umulighed. Da forskere foreslog zero-knowledge systems som en løsning, stødte de mod en beregningsmæssig mur. At verificere millioner af stemmer ville tage uger og koste formuer. Teknologien kunne simpelthen ikke skalere.

Dommen

I 2018 var konsensus klar. National Academies-rapporten erklærede i det væsentlige problemet for uløseligt og fastslog, at ingen kendt teknologi kunne garantere den hemmeligholdelse, sikkerhed og verificerbarhed, der kræves til valg. Enhver regering, der forsøgte det, lærte den samme hårde lektie. Matematikken fungerede simpelthen ikke.

Det var inden vores team hos Shutter – og flere andre valgplatforme – viste, hvordan nye kryptografiske teknikker kunne løse det, der tidligere syntes umuligt.

Tilgangen der ændrer alt

Vi indså, at branchen havde forsøgt at løse det forkerte problem.

I årevis jagede udviklerne Fuldt Homomorf Kryptering (FHE) – en teknologi, der muliggør enhver beregning på krypterede data. Det er som at bygge en Formel 1-bil til at køre i supermarkedet. Imponerende, men fuldstændig unødvendigt og upraktisk til dette formål. FHE er stadig for langsom og for dyr til virkelige valg. Den kræver massive computermæssige ressourcer for hver eneste stemme.

Derfor fokuserede vores team (og andre teams som Secure Internet Voting og DAVINCI) i stedet på ElGamal homomorf kryptering. Konceptet er enkelt: Der er ingen grund til at udføre enhver mulig beregning på krypterede stemmer, fordi det eneste, der er brug for, er et endeligt og præcist stemmetal.

Når ElGamal-kryptering kombineres med moderne zero-knowledge proofs og threshold encryption, skabes noget bemærkelsesværdigt. Stemmerne forbliver krypterede for evigt, men enhver kan verificere, at den endelige optælling er matematisk korrekt. Det er som at tælle stemmesedler i forseglede kuverter uden at åbne en eneste.

Hvordan teknologien virker

Shutters Permanent Shielded Voting-system sikrer stemmer ved hjælp af ElGamal homomorf kryptering. Det er en særlig type kryptering, der giver mulighed for at addere stemmer, mens de stadig er krypterede. Valgmyndigheden behøver aldrig at dekryptere individuelle stemmer for at tælle dem. Den lægger blot alle krypterede stemmer sammen og dekrypterer kun slutsummen.

Det indlysende opfølgningsspørgsmål: Kunne krypterede stemmer ikke indeholde hvad som helst – ugyldige valg eller flere stemmer fra den samme vælger? Det er her, zero-knowledge proofs kommer ind i billedet. Når du indsender din krypterede stemme, vedlægger du også et matematisk bevis, der dokumenterer, at din stemme er gyldig, uden nogensinde at røbe dit valg. Beviserne er knyttet til vælgerens unikke identitet og sikrer, at hver stemmeberettiget vælger kun kan indsende ét gyldigt bevis pr. valg. Hvis nogen forsøger at stemme to gange, opdager systemet, at der allerede findes et bevis fra den pågældende vælger, og afviser duplikatet. Systemet afviser enhver stemme uden gyldigt bevis og alle dobbelte indsendelser, hvilket gør valgfusk og dobbeltstemmer umulige.

Dekrypteringsprocessen bruger threshold cryptography, hvor dekrypteringsnøglen fordeles mellem flere uafhængige parter – såsom valgobservatører, borgerorganisationer og internationale observatører. Et forudbestemt antal af disse parter (for eksempel tre ud af fem) skal samarbejde for at dekryptere den endelige optælling, da ingen enkelt enhed alene kan dekryptere stemmerne. Denne distribuerede tilgang fjerner behovet for en central myndighed, der gjorde tidligere digitale valgsystemer sårbare.

Resultatet? Et system der er permanent privat, offentligt verificerbart og praktisk skalerbart til millioner af vælgere.

Hvorfor det betyder mere end nogensinde nu

Tilliden til valg kollapser globalt. Det venezuelanske valg i 2024 føjer sig til en voksende liste af omstridte resultater. En Gallup-undersøgelse viste, at 43 % af amerikanerne var “ikke særlig sikre” eller “slet ikke sikre” på nøjagtigheden af amerikanske præsidentvalg. Sociale medier forstærker enhver uregelmæssighed til en konspirationsteori. I Nepal valgte unge demonstranter deres interimspremierminister via Discord – en gamingplatform – efter at have mistet tilliden til traditionelle institutioner. Det var første gang, en verdensleder blev valgt via en virtuel afstemning. Papirstemmesedler, der engang var guldstandarden, afvises nu som let manipulerbare.

Den triste virkelighed er, at et forsøg på transparens kan udsætte vælgere for tvang, og hemmeligholdelse avler mistanke. Brevstemmer kan købes eller afpresses, fordi vælgere kan bevise, hvordan de stemte. Elektroniske valgsystemer er sorte bokse, som vælgere blindt må stole på. Selv papirsystemer skal håndteres manuelt, hvilket med rette skaber tvivl.

Et bedre system er endelig muligt

Shutters Permanent Shielded Voting-system eliminerer disse afvejninger. Det er permanent privat. Det er også offentligt reviderbart, hvilket betyder, at enhver kan verificere resultaterne uden at stole på en enkelt myndighed.

Systemer, der tidligere krævede centraliserede servere sårbare over for hacking, kan nu køre på standard smartphones, hvilket eliminerer enkeltpunkter for angreb, da der ikke er nogen central server at kompromittere.

Shutters system fungerer via enkle API’er, hvilket betyder, at enhver eksisterende valgplatform kunne integrere det uden at bygge om fra bunden. Lande, der bruger elektroniske valgsystemer, kunne tilføje systemet som et privatlivs- og verifikationslag. Selv papirstemmesystemer kunne bruge det til udlandsboende og militærvælgere, der i dag står over for de dårligste afvejninger mellem tilgængelighed og sikkerhed.

Det giver også mening ud fra et omkostningsperspektiv, da den beregningsmæssige omkostning vokser lineært med antallet af vælgere og ikke eksponentielt. At verificere 100 millioner stemmer er ikke væsentligt dyrere end at verificere 1.000 stemmer. I en tid, hvor valgomkostninger overstiger 2 milliarder dollars i USA alene, kunne denne teknologi dramatisk reducere udgifterne og samtidig faktisk forbedre sikkerheden.

Denne teknologi kunne også problemfrit kombineres med digitale identitetsverifikationssystemer, som kryptografiske pas, for at skabe en ende-til-ende sikker afstemning fra identitetsverifikation til den endelige optælling (som Freedom Tool fra Rarimo i øjeblikket gør). Det giver en løsning, der er markant bedre end fysisk afstemning, fordi den har privatliv, kan revideres pålideligt og er bestikkelsesresistent.

En tilbageværende udfordring er, at selvom al kode er åben, er de fleste vælgere ikke teknisk kyndige nok til realistisk at kontrollere de zero-knowledge proofs, der viser, at valget blev optalt korrekt. De er stadig afhængige af andre til at udføre det arbejde. Den gode nyhed er, at enhver med de rette kompetencer kan gennemgå disse beviser og dele deres resultater, hvilket skaber tillid gennem mange uafhængige kontroller frem for en enkelt myndighed. Og efterhånden som personlige AI-kodningsassistenter bliver udbredte, kan den gennemsnitlige vælger snart bruge værktøjer som ChatGPT til selv at verificere resultaterne.

Digital afstemning i stor skala er nu klar til at blive lanceret

Efter årtiers mislykkede forsøg, halvhjertethed og teoretiske artikler er det umulige blevet uundgåeligt. Shutters Permanent Shielded Voting-system – og arbejde udført af andre – viser, at private og verificerbare digitale valg ikke længere er teoretiske og er klar til at skalere.

Vi har nu valgteknologi, der er matematisk garanteret at være fair, permanent privat og fuldstændig verificerbar.

Demokratiets fremtid er her.