Analisi

Tra le principali propriet`a di sicurezza che un protocollo di voto deve garantire prendiamo innanzitutto in considerazione la privacy. Come gi`a pi`u volte espresso, garantire la privacy significa che nessuno pu`o ottenere un collegamento diretto tra voto ed elettore. In letteratura si evidenzia come non sia possibile dimostrare tale propriet`a utilizzando il tool Lysa. In particolare nel protocollo proposto un poten- ziale attaccante `e in grado di conoscere sia il voto sia l’identit`a dell’elettore. Ma solo qualora l’attaccante possa collegare le due informazioni la propriet`a `e violata. Tuttavia `e stata dimostrata la privacy del protocollo utilizzando le teoria dell’equiv- alenze: se il votante V1 vota v1 e il votante V2 vota v2, allora questo `e equivalente

alla situazione in cui V1 vota v2 e il votante V2 vota v1. Tutto ci`o dimostrato ag-

giungendo una ulteriore assunzione: tutti i votanti devono aver terminato la fase di amministrazione prima di procedere con la fase di voto ([15]).

5.4. Il protocollo diviso in processi 33

E’ inoltre interessante porre l’attenzione sulla propriet`a di verificabilit`a. Ricordiamo che un sistema `e verificabile qualora tutti i votanti possano controllare in maniera del tutto indipendente che il proprio voto sia stato conteggiato correttamente. Per quanto concerne il protocollo FOO92, significa verificare l’autenticazione della lista pubblicata dal tallier. Cio`e si richiede che chi pubblica la lista sia necessariamente il tallier. Cos`ı come implementato il protocollo l’analisi del protocollo evidenzia un potenziale attacco: la lista pu`o essere pubblicata dall’attaccante. Questa falla pu`o essere corretta facendo in modo che, tramite crittografia, anche il tallier firmi la lista prima di pubblicarla.

6

Analisi di alcune implementazioni

recenti

Come pi`u volte espresso, l’interesse per i protocolli di voto elettronico `e cresciuto negli ultimi anni e si continua a cercare la soluzione migliore per sostituire le elezioni tradizionali. A scorrere vediamo due recenti lavori significativi per carpire quali soluzioni son state proposte recentemente, quali assunzioni `e necessario presentare, quali propriet`a `e necessario rispettare e quali problemi `e necessario affrontare per sviluppare protocolli di voto elettronico sicuri ed efficienti. Si pu`o cos`ı osservare come informalmente siano state validate le propriet`a di sicurezza di queste imple- mentazioni.

6.1

Un protocollo di voto elettronico per gener-

iche elezioni

Come gi`a espresso precedentemente, l’idea di sviluppare un protocollo di voto elet- tronico `e indotto dal recente utilizzo massivo della rete internet. Si cerca cos`ı di sfruttare questo canale ed introdurre una ulteriore tecnica per la votazione elettron- ica ([12]).

Immancabile la motivazione di ridurre i costi, sia in termini di denaro (risorse umane e materiali) sia in termini di tempo per portare a termine preparazione e scrutinii. Come per ogni protocollo `e necessario tener presente le difficolt`a tecniche che si presentano quando si implementano protocolli su rete aperta.

A seguire si definiscono le propriet`a che il protocollo deve rispettare per garan- tire sicurezza e si descrivono le fasi dell’implementazione. Successivamente si pone l’attenzione sulla validazione informale delle propriet`a di voto elettronico.

Implementare il protocollo significa innanzitutto risolvere i seguenti problemi: 1. Costi : economici / risorse umane;

36 6. Protocolli di voto

Riportiamo a seguire le definizioni, definite dall’autore del protocollo, delle pro- priet`a di sicurezza per capire gli obiettivi del protocollo stesso. Successivamente verifichiamo se l’implementazione descritta soddisfa tali requisiti di sicurezza.

1. Completezza: E’ una propriet`a importante in un protocollo di voto elet- tronico. In un sistema di voto tradizionale si verifica l’identit`a del votante nel momento in cui l’elettore si presenta fisicamente al seggio. In un sistema di voto elettronico `e possibile votare da diverse locazioni e ci`o pu`o generare molteplici errori in fase di identificazione. In particolare elettori che hanno diritto di voto potrebbero non poter votare senza valide ragioni.

Per definizione quindi: ad un elettore legittimo non viene mai negata la possibilit`a di votare da parte dell’amministratore.

2. Non coercibilit`a: E’ una propriet`a interessante che si desidera implementare in protocolli reali di voto elettronico. Per definizione :

(a) Un votante non pu`o dimostrare ad un terzo come ha votato; (b) L’elettore vota secondo la propria coscienza.

3. Non frode: `e una importante propriet`a per garantire la robustezza del proto- collo di voto elettronico. In particolare l’elettore deve poter accusare l’autorit`a di frode senza per`o rivelare il voto espresso dagli altri elettori.

4. Robustezza: anche questa `e una importante propriet`a per uno schema di voto elettronico. In particolare nessuno deve poter alterare, distruggere, modificare il corretto sviluppo dell’elezione. I processi devono poter essere indipendenti in modo tale che un potenziale intruso non possa interrompere l’intera elezione. 5. Unicit`a: nessun votante pu`o esprimere il proprio voto pi`u di una volta.

Per definizione: ogni elettore pu`o votare esattamente una volta.

6. Verificabilit`a: `e un’essenziale propriet`a di un protocollo di voto elettronico. In un sistema di voto tradizionale lo scrutinio permette di verificare il corretto conteggio dei voti. In una rete aperta voti non corretti non possono essere rivelati senza lo scrutinio diretto degli elettori. Pertanto per definizione: Gli elettori possono (ne hanno pieno diritto) verificare che i propri voti siano stati correttamente conteggiati.

7. Equit`a: nessuno pu`o ottenere delle informazioni sul risultato della votazione prima della fase di pubblicazione dei voti.

8. Anonimato: nessuno deve poter trovare il legame tra votante e voto espresso. 9. Semplicit`a / Convenienza : ciascun elettore deve poter votare con la

6.1. Un protocollo di voto elettronico per generiche elezioni 37

Figura 6.1: Funzione one-way

10. Efficienza: tutte le computazioni non devono essere onerose. Ciascun elettore non deve attendere molto tempo per esprimere la propria preferenza.

11. Mobilit`a: Non ci devono essere restrizioni per quanto concerne il luogo in cui l’elettore pu`o esprimere il proprio voto.