Kā strādā Igaunijas e-vēlēšanas

1. solis – pamatideja

Dubultā aploksne, tikai digitāla

Ja esi lasījis ceļvedi par Saeimas vēlēšanām, dubulto aploksni jau pazīsti: Latvijā tā sargā aizklātību, balsojot pa pastu vai nododot balsi glabāšanā. Anonīmā vēlēšanu aploksne ar zīmi ir ielikta ārējā aploksnē, uz kuras ir tavs vārds. Vārds vajadzīgs, lai zinātu, ka esi nobalsojis; iekšējā aploksne paliek anonīma.

Igaunijas e-vēlēšanas ir tieši tā pati ideja, pārtulkota datorvalodā:

Aizlīmēšanas vietā šifrēšana: balsi aizslēdz ar vēlēšanu publisko (aizšifrēšanas) atslēgu, bet izlasīt to var tikai ar pārī esošo privāto (atšifrēšanas) atslēgu, kura glabājas pa daļām. Vārda vietā digitālais paraksts ar ID karti: pierāda, ka balss ir tava, neatklājot izvēli. Pirms skaitīšanas parakstus atdala: kas atver balsis, neredz vārdus; kas redz vārdus, neredz izvēles.*

2. solis – izspēlē

Balss ceļojums no datora līdz rezultātam

E-balsošana notiek pirms vēlēšanu dienas: no vēlēšanu nedēļas pirmdienas 9.00 līdz sestdienas 20.00. Svētdien, kad Igaunijā ir vēlēšanu diena, internetā nobalsot vairs nevar – tikai iecirknī uz papīra.* Izspēlē visu ceļu soli pa solim:

Visa shēma vienā skatā

No sistēmas puses tas pats izskatās šādi. Ievēro sākumu: privātā atslēga jau piedzimst pa daļām – to pirms vēlēšanām īpašā ceremonijā uzģenerē uzreiz sadalītu uz viedkartēm, un veselu to saliek tikai vēlēšanu vakarā, atšifrēšanas brīdī.*

3. solis – aizsardzība bez kabīnes

Pārbalsošana ir funkcija, nevis kļūda

Iecirknī tevi sargā kabīne: neviens neredz, ko atzīmē, un neviens nevar stāvēt blakus ar prasībām. Mājās kabīnes nav. Ko darīt, ja kāds skatās pār plecu, spiež vai piedāvā naudu?

Igaunijas atbilde: balso vēlreiz. E-balsi var mainīt neierobežoti daudz reižu līdz sestdienas 20.00, un skaitās tikai pēdējā. Ja aizej uz iecirkni un nobalso uz papīra, papīrs uzvar vienmēr – kopš 2021. gada to var izdarīt arī pašā vēlēšanu dienā, kad e-balsošana jau slēgta. Piespiedējs tāpēc nekad nevar būt drošs, ka tavs balsojums paliks tāds, kādu viņš redzēja: tu mierīgi pārbalso vēlāk.*

Vēlēšanu rīkotāji to formulē tieši: iespēja mainīt e-balsi nav domāta izvēles maiņai, bet gan balsošanas brīvības nodrošināšanai.*

4. solis – drošība

Vai var uzticēties rezultātiem?

Uzticēšanās nebalstās uz “noticiet mums”. Sistēma ir būvēta tā, lai krāpšanos varētu pamanīt, un pārbaudītāju ir vairāki līmeņi*:

Sajaukšana un divi pierādījumi

Vēlēšanu vakarā balsis pirms atvēršanas sajauc. Kāpēc? Serveris tās saņēma noteiktā secībā, un blakus ir parakstu žurnāls: ja atšifrētu tajā pašā secībā, atvērtās balsis varētu pa vienai salikt kopā ar vārdiem. Un kāpēc lai ticētu pašam jaucējam? Nav jātic – katrs solis atstāj matemātisku pierādījumu, tādu kā kvīti, ko auditors pārrēķina.*

1. 📮 📮 📮 Ienāk parakstītas šifrētas balsis

   Secība zināma: kurš iesūtīja pirmo, kurš pēdējo.

2. ✂️ Vārdi nost

   Balsis kļūst anonīmas, bet vēl stāv vecajā secībā. Ja tā atvērtu, pirmā atvērtā būtu pirmā iesūtītā – un žurnālā redzams, kurš tas bija.

3. 🔀 Sajauc un pāršifrē

   Balsis samet jaunā secībā, un katra dabū jaunu “aploksni”: ārēji nepazīstamu, saturs neaiztikts.

   📜 1. pierādījums – kaudzē ir tieši tās pašas balsis: neviena nav pielikta, izmesta vai pamainīta.

4. 🔓 Atšifrē ar salikto atslēgu

   Komisija novērotāju klātbūtnē saliek privāto atslēgu no daļām un atver visas balsis uzreiz.

   📜 2. pierādījums – katra atvērtā balss tiešām atbilst savai šifrētajai.

5. 🕵️ Auditors pārrēķina abus pierādījumus

   Tie ir faili, ko var pārbaudīt arī pēc vēlēšanām – serveriem ticēt nevajag.

Kā tāds pierādījums izskatās un kā tas iespējams, ja jaukšanas kārtību neatklāj? Tas ir liels fails ar skaitļiem – kriptogrāfisks pierādījums (angliski cryptographic proof), kas balstās pašā šifrēšanas matemātikā: tā ļauj pierādīt, ka divas kaudzes satur vienu un to pašu, neparādot, kura balss ir kura. Auditora rīks failu pārrēķina un beigās pasaka tikai “pareizi” vai “nepareizi”. Tieši tāpēc Igaunija 2017. gadā nomainīja šifrēšanas shēmu – vecā tādus pierādījumus neprata.

Vājās vietas

Grūtāk novēršamais – uzbrukums vēlētāju ierīcēm: lielā mērogā grūti noslēpjams. Vājākais posms ir tavs dators: neviens serveris nevar pārbaudīt, vai tava ierīce nav inficēta, un uzbrucēja programmatūra teorētiski var nomainīt izvēli pirms šifrēšanas, bet ekrānā rādot vēlētāja izvēlēto. Tieši tāpēc ieviesta iespēja pārbaudīt balsi ar citu ierīci – telefonu. Lai šādi grozītu nevis vienu balsi, bet vēlēšanu rezultātu, vīruss būtu jāiedabū desmitiem tūkstošu datoru, un jau neliela daļa telefona pārbaužu tik plašu kampaņu, visticamāk, atklātu. Garantijas gan nav: pārbaude ir brīvprātīga, un vairums vēlētāju to neizmanto – drošība balstās tajā, ka uzbrucējs nekad nezina, kurš pārbaudīs.*

Telefons nerāda datora ekrānu – tas parāda, kas tiešām nonācis serverī. Ja telefonā parādās cits vārds, balso vēlreiz no citas ierīces un ziņo vēlēšanu rīkotājiem.

Uzbrukums centrālajām sistēmām: dārgs un balsu grozīšanu pieķertu. Centrālā sistēma ir viens vērtīgs mērķis nopietnam, valsts līmeņa uzbrukumam. Bet grozīt balsis tur neļauj augstāk aprakstītie pārbaudes līmeņi: neatkarīgais reģistrs un matemātiskie pierādījumi krāpšanos parādītu. Tāpat bažas ir cilvēki un procedūras ap sistēmu: kā saliek un glabā atslēgas daļas, kas drīkst strādāt ar serveriem un kā vēlētājiem piegādā balsošanas lietotni. 2014. gadā starptautiska pētnieku grupa atrada nopietnas nepilnības un ieteica sistēmu apturēt; Igaunija atbildēja, 2017. gadā sistēmu pārbūvējot – tagadējā versija (to sauc IVXV) pievienoja tieši pārbaudāmību: pierādījumus, ko var pārrēķināt neatkarīgi. Otra vājā vieta – lai sistēma strādā un tai var pieslēgties: uzbrukums, kas to nogāž, balsis negroza, bet var traucēt nobalsot. Arī tāpēc paralēli vienmēr strādā papīra iecirkņi.*

5. solis – salīdzinājums

Ar ko Igaunijas vēlēšanas atšķiras no mūsējām

Internets ir tikai redzamākā atšķirība. Pati vēlēšanu sistēma Igaunijā ir uzbūvēta citādi, un to redz jau vēlēšanu zīmē: Latvijā tu izvēlies sarakstu un vari vērtēt katru tā kandidātu, Igaunijā tu izvēlies vienu vienīgu kandidātu.*

Pamatprincipi abās valstīs ir vieni – arī aizklātība Igaunijā ir konstitūcijā tāpat kā mums Satversmē. Atšķirība ir viens vārds: Igaunijas konstitūcijā (pieņemta 1992. gada referendumā) vēlēšanas ir tieši nosauktas arī par brīvām – tiesības balsot bez spiediena, pēc savas gribas. Satversmē šā vārda nav, lai gan pēc būtības to sedz aizklātība. Attālināta balsošana bez kabīnes turklāt nav Igaunijas īpatnība – Latvijā tāpat balso pa pastu. Abas valstis brīvību tur sargā vienādi: vēlāks klātienes balsojums vienmēr uzvar, un Igaunija vēl ļauj pārbalsot elektroniski.*

Trīs mandātu veidi viena vietā

Latvijā visus 100 mandātus dala vienādi – ar Senlāga metodi katrā apgabalā. Igaunijā vienu 101 mandātu kopu dala trīs kārtās. Vispirms personīgie mandāti: aprēķina kvotu (apgabala balsotāji dalīti ar mandātu skaitu), un kandidāts, kas viens pats savāc pilnu kvotu, ir ievēlēts – kaut bez partijas. Tad apgabala mandāti: saraksta kopējās balsis dala ar kvotu, un vietas saņem saraksta populārākie kandidāti. Kas paliek pāri, kļūst par kompensācijas mandātiem – tos dala visā valstī ar modificētu d’Onta metodi, un vietas saņem kandidāti tādā secībā, kādā partija pati tos sarindojusi valsts sarakstā. Tātad daļa Igaunijas deputātu vietu ir partijas vadības rokās – Latvijā, kur atzīmes pārkārto visu, tas nav iespējams.*

Vēlēšanu apvienības – saraksts bez partijas

Igaunijas pašvaldību vēlēšanās sarakstu var iesniegt ne tikai partija: jebkuri divi balsstiesīgi pilsoņi var nodibināt vēlēšanu apvienību (igauniski valimisliit) un startēt savā novadā – kaimiņu komanda bez partijas biedru naudas un statūtiem. Latvijā tādas iespējas vairs nav: pašvaldību sarakstus drīkst iesniegt tikai reģistrētas partijas.*

Biežāk uzdotie jautājumi

BUJ