- การลงคะแนนผ่านอินเทอร์เน็ตเป็น ระบบที่ไม่สามารถทำให้ปลอดภัยได้ในเชิงเทคนิค และตลอดหลายทศวรรษของงานวิจัยก็ยังไม่พบวิธีแก้ไข
- การโจมตีสามารถบิดเบือนคะแนนได้ผ่าน มัลแวร์บนสมาร์ตโฟน·คอมพิวเตอร์, การแฮ็กเซิร์ฟเวอร์, การเจาะระบบเซิร์ฟเวอร์บริหารการเลือกตั้ง และผู้โจมตีเพียงคนเดียวก็สามารถบิดเบือนผลในวงกว้างได้
- แม้แต่ E2E-VIV (การลงคะแนนผ่านอินเทอร์เน็ตแบบตรวจสอบได้ตั้งแต่ต้นทางถึงปลายทาง) ก็ยังมีจุดอ่อนพื้นฐานจากความน่าเชื่อถือของแอปตรวจสอบ, การป้องกันใบเสร็จ, และการไม่มีระบบยุติข้อพิพาท
- VoteSecure ของ Mobile Voting Foundation ก็มีปัญหาเหล่านี้ทั้งหมด และแม้แต่นักพัฒนาเองก็ยอมรับว่าไม่มีทั้งความปลอดภัยที่สมบูรณ์หรือโปรโตคอลยุติข้อพิพาทที่ครบถ้วน
- นักวิทยาศาสตร์ย้ำว่า ควรตรวจสอบความน่าเชื่อถือของการลงคะแนนผ่านอินเทอร์เน็ตผ่าน งานวิจัยที่ผ่านการทบทวนโดยผู้ทรงคุณวุฒิเท่านั้น ไม่ใช่จากรายงานข่าวหรือสื่อประชาสัมพันธ์
ความไม่มั่นคงเชิงโครงสร้างของการลงคะแนนผ่านอินเทอร์เน็ต
- การลงคะแนนผ่านอินเทอร์เน็ตมี ความเสี่ยงต่อการบิดเบือนสูงกว่าการลงคะแนนด้วยบัตรกระดาษอย่างมาก
- มัลแวร์สามารถเปลี่ยนตัวเลือกที่ผู้มีสิทธิเลือกตั้งกดเลือกไว้บนอุปกรณ์ของตนได้
- ยังสามารถถูกบิดเบือนโดยเซิร์ฟเวอร์หรือบุคคลภายในระบบบริหารการเลือกตั้งได้เช่นกัน
- การโจมตีผ่านอินเทอร์เน็ตสามารถดำเนินการในวงกว้างได้จากทุกที่ทั่วโลก
- แม้การลงคะแนนด้วยบัตรกระดาษจะไม่สมบูรณ์แบบ แต่ การทุจริตในวงกว้างมีโอกาสสูงที่จะถูกตรวจพบและลงโทษ
- ในทางตรงกันข้าม การลงคะแนนผ่านอินเทอร์เน็ตสามารถเปลี่ยนคะแนนจำนวนมหาศาลได้ด้วยการโจมตีเพียงครั้งเดียว
ข้อจำกัดของ E2E-VIV (การลงคะแนนผ่านอินเทอร์เน็ตแบบตรวจสอบได้ตั้งแต่ต้นทางถึงปลายทาง)
- E2E-VIV ถูกออกแบบมาเพื่อให้ผู้มีสิทธิเลือกตั้งตรวจสอบได้ว่าคะแนนของตนถูกนับอย่างถูกต้องหรือไม่ แต่มี ปัญหาเชิงโครงสร้างดังต่อไปนี้
- หากแอปตรวจสอบติดมัลแวร์ ก็อาจแสดงข้อมูลเท็จได้
- หากไม่มีคุณสมบัติ receipt-free ก็อาจเกิด การซื้อเสียงในวงกว้าง ได้
- การออกแบบแอปที่ตอบโจทย์ทั้งความน่าเชื่อถือและการป้องกันใบเสร็จพร้อมกันนั้นทำได้ยากมาก
- แม้จะต้องรันแอปตรวจสอบแยกต่างหาก แต่ในความเป็นจริง ผู้มีสิทธิเลือกตั้งที่ทำเช่นนั้นมีน้อยมาก
- ต่อให้ผู้มีสิทธิเลือกตั้งบางส่วนตรวจพบการบิดเบือน ก็ ไม่มีวิธีพิสูจน์ได้ จึงไม่สามารถทำให้การเลือกตั้งเป็นโมฆะได้
- ดังนั้นฟังก์ชัน “การตรวจสอบ” ของ E2E-VIV จึง ไม่มีผลช่วยเพิ่มความปลอดภัยอย่างแท้จริง
- ในแวดวงวิทยาศาสตร์ ข้อจำกัดเหล่านี้ได้รับการยอมรับเป็นมุมมองร่วมกันมาหลายปีแล้ว
วิเคราะห์กรณี VoteSecure
- Mobile Voting Foundation ของ Bradley Tusk ประกาศว่าร่วมกับ Free and Fair พัฒนา SDK สำหรับการลงคะแนนผ่านอินเทอร์เน็ตชื่อ VoteSecure
- ในข่าวประชาสัมพันธ์อ้างว่า “การลงคะแนนผ่านมือถือที่ปลอดภัยและตรวจสอบได้กลายเป็นจริงแล้ว”
- แต่ผู้เชี่ยวชาญด้านความปลอดภัยหลายคนได้ชี้ให้เห็น ช่องโหว่ร้ายแรงของ VoteSecure
- นักวิจัยของ Free and Fair ซึ่งเป็นผู้พัฒนาเองก็ยอมรับว่า “ปัญหาที่ถูกชี้นั้นเป็นความจริง และเราไม่รู้วิธีที่ดีกว่านี้”
- VoteSecure ไม่มีคุณสมบัติ receipt-free, มีโปรโตคอลยุติข้อพิพาทที่ไม่เพียงพอ, และ หากอุปกรณ์ติดมัลแวร์ การตรวจสอบก็ไร้ความหมาย
- นอกจากนี้ยังมีความเป็นไปได้ของ การโจมตีซื้อเสียงแบบอัตโนมัติในวงกว้าง และ การขโมยคะแนนเสียง (clash attack)
- Free and Fair อธิบายว่า “VoteSecure ไม่ใช่ระบบลงคะแนนที่สมบูรณ์ แต่เป็นเพียงแกนเข้ารหัสลับระดับคอร์”
ฉันทามติทางวิทยาศาสตร์และข้อเสนอแนะ
- จากผลการวิจัยตลอดหลายทศวรรษ ยังไม่มีเทคโนโลยีที่ทำให้การลงคะแนนผ่านอินเทอร์เน็ตปลอดภัยได้
- งานวิจัยด้าน E2E-VIV ก็ไม่สามารถแก้ปัญหารากฐานนี้ได้
- เจ้าหน้าที่การเลือกตั้งและสื่อต้องระวัง “วิทยาศาสตร์ที่อิงข่าวประชาสัมพันธ์”
- การตรวจสอบความน่าเชื่อถือทำได้ผ่าน งานวิจัยวิชาการที่ผ่านการทบทวนโดยผู้ทรงคุณวุฒิ เท่านั้น
- ข่าวประชาสัมพันธ์หรือสื่อส่งเสริมการขายของบริษัทไม่อาจใช้เป็นหลักฐานตัดสินความน่าเชื่อถือของระบบเลือกตั้งได้
กลุ่มผู้เชี่ยวชาญที่ลงนาม
- แถลงการณ์นี้มี นักวิทยาการคอมพิวเตอร์ด้านความมั่นคงการเลือกตั้ง 21 คน ร่วมลงนาม
- ผู้ลงนามรวมถึงนักวิจัยสำคัญอย่าง Andrew Appel (Princeton), Ronald Rivest (MIT), และ Bruce Schneier (Harvard)
- การลงนามเป็นการลงนามในนามส่วนบุคคล ไม่ใช่จุดยืนอย่างเป็นทางการของสถาบันต้นสังกัด
4 ความคิดเห็น
ถ้าใช้บล็อกเชนล่ะ??
อ้อ ถ้าเป็นปัญหาเรื่องความน่าเชื่อถือแบบต้นทางถึงปลายทาง ก็คงไม่ค่อยเกี่ยวกันเท่าไรนะครับ
ความเห็นจาก Hacker News
ฉันอาศัยอยู่ในออสเตรเลีย ที่นี่ลงคะแนนด้วยกระดาษและดินสอในคูหากระดาษแข็ง ค่าใช้จ่ายเพิ่มขึ้นแบบเชิงเส้น แต่ในแง่ความไว้วางใจของชุมชน ฉันยังคิดว่าการลงคะแนนด้วยกระดาษดีกว่าเครื่องจักรมาก
ที่สหราชอาณาจักรเคยมีข้อเสนอเรื่องการลงคะแนนจากระยะไกล ถ้าเป็นการลงคะแนนออนไลน์ที่ปลอดภัยบนพื้นฐาน homomorphic encryptionก็น่าจะยินดีรับได้ เพราะได้ส่ง KYC ให้ภาครัฐไปแล้ว จึงมองว่าไม่มีปัญหาเรื่องการยืนยันตัวตน
ออสเตรเลียให้คนตรวจบัตรลงคะแนนทุกใบ และพรรคการเมืองมีสิทธิ์เฝ้าดู จึงแทบไม่มีข้อสงสัยเรื่องความสมบูรณ์ของการเลือกตั้งและมีการตรวจสอบเป็นประจำ สำหรับสหรัฐ ฉันคิดว่าคำถามสำคัญคือ “มันจะดีขึ้นจากวิธีปัจจุบันได้แค่ไหน?”
วิธีโกงการลงคะแนนด้วยกระดาษเป็นสิ่งที่รู้กันมาหลายศตวรรษแล้ว ดังนั้นขั้นตอนรับมือก็มีการวางไว้ชัดเจน ทั้งหีบเลือกตั้งที่ปิดผนึก ผู้สังเกตการณ์ที่เป็นกลาง และการนับคะแนนแบบเปิดเผยเพื่อสร้างความเชื่อมั่น
ในทางกลับกัน วิธีโกงการลงคะแนนผ่านอินเทอร์เน็ตไม่เป็นที่รู้กันในหมู่คนทั่วไป ต่อให้ปลอดภัยสมบูรณ์แบบ ความเชื่อใจก็ยังย่อมต่ำกว่าอยู่ดี ตราบใดที่การลงคะแนนลับยังเป็นสิ่งจำเป็น การลงคะแนนด้วยกระดาษก็ยังดีที่สุด
องค์ประกอบที่สำคัญที่สุดของการเลือกตั้งคือความเชื่อถือ ส่วนประสิทธิภาพเป็นเรื่องรอง การเปลี่ยนไปใช้การลงคะแนนอิเล็กทรอนิกส์ทำลายความเชื่อถือและเปิดทางให้ฝ่ายไม่หวังดีบิดเบือนได้ง่ายขึ้น การลงคะแนนผ่านอินเทอร์เน็ตจะยิ่งทำให้แย่ลง เราควรกลับไปใช้การลงคะแนนด้วยกระดาษ
ข้อชี้ว่ามัลแวร์อาจเปลี่ยนคะแนนบนอุปกรณ์ของผู้มีสิทธิ์เลือกตั้งนั้นสมเหตุสมผล แต่ทุกวันนี้สมาร์ตโฟนก็ถูกใช้ในธุรกรรมที่ต้องการความปลอดภัยในชีวิตประจำวันเกือบทั้งหมดอยู่แล้ว
ฝั่งความเสี่ยงจากการถูกแฮ็กเซิร์ฟเวอร์ก็มีเช่นกัน แต่เหตุผลที่รัฐยังเก็บข้อมูลส่วนบุคคลก็สุดท้ายเป็นเรื่องของการวิเคราะห์ผลตอบแทนเทียบกับความเสี่ยง
ตอนนี้ผลตอบแทนของการลงคะแนนออนไลน์ยังน้อยกว่าความเสี่ยง แต่ถ้าจินตนาการถึงโมเดลประชาธิปไตยแบบมีส่วนร่วมเรียลไทม์ เรื่องก็อาจเปลี่ยนไปได้ อย่างไรก็ตาม ปัญหาใหญ่ที่สุดคือความไม่สนใจและอัตราการมีส่วนร่วมต่ำ
การลงคะแนนผ่านอินเทอร์เน็ตเอื้อต่อการบิดเบือนครั้งใหญ่ได้ง่าย แต่การทำธนาคารออนไลน์ก็เสี่ยงคล้ายกัน สุดท้ายหัวใจคือการชั่งดุลข้อดีข้อเสีย ข้อดีของการลงคะแนนผ่านอินเทอร์เน็ตจะชดเชยข้อเสียได้หรือไม่?
ต้นทุนและความไร้ประสิทธิภาพของการลงคะแนนด้วยกระดาษกลับเป็นข้อดี เพราะทำให้โกงได้ยาก และทำให้พลเมืองมีส่วนร่วมกับกระบวนการเลือกตั้งโดยตรง จึงเพิ่มน้ำหนักของการตัดสินใจ
การลงคะแนนมีสามขั้นตอน: การลงคะแนน, การนับคะแนน, การเก็บรักษา ทั้งสามขั้นตอนต้องโปร่งใสและตรวจสอบบัญชีได้จึงจะเกิดความเชื่อมั่น
กรณีของเม็กซิโกเป็นตัวอย่างที่ดี
ระบบกลางทำหน้าที่แค่รวมผล และใครก็สามารถเทียบผลหน้างานกับผลออนไลน์ได้
ด้วยโครงสร้างแบบกระจายนี้ จึงได้ผลลัพธ์เร็วและน่าเชื่อถือสูง แม้จะยังมีวิธีบังคับอย่าง**‘การลงคะแนนแบบประตูหมุน’**อยู่ก็ตาม
วิดีโอของ Tom Scott เรื่อง “ทำไมการลงคะแนนอิเล็กทรอนิกส์ถึงแย่” เป็นสิ่งที่ควรดูอย่างยิ่ง
วิดีโอภาค 1 / วิดีโอภาค 2
ปัญหาไม่ใช่เทคโนโลยี แต่คือผู้เล่นที่ไม่น่าเชื่อถือ การลงคะแนนไม่ได้ทำเงิน จึงยากจะทุ่มงบด้านความปลอดภัยระดับธนาคาร
ยิ่งไปกว่านั้น ทุกวันนี้ก็มีทั้งการบิดเบือนข้อมูลและกิจกรรมของบอตที่ทำให้ความคิดเห็นสาธารณะบิดเบี้ยวอยู่แล้ว การลงคะแนนด้วยกระดาษดีกว่า แต่ความเป็นจริงตอนนี้ก็อยู่ในสภาพความขุ่นมัวทางดิจิทัลไปแล้ว
ฉันเป็นผู้เขียนร่วมของบทความนี้และเป็นศาสตราจารย์ที่ Georgia Tech ทำวิจัยด้านความปลอดภัย ความเป็นส่วนตัว และนโยบายสาธารณะ ดู CV ของฉัน ได้ ถ้ามีคำถามก็ยินดีตอบ
ผมมองว่าระบบลงคะแนนเสียงอิเล็กทรอนิกส์ไม่สามารถแก้ปัญหาการตรวจสอบความน่าเชื่อถือแบบสุ่มโดยสาธารณชนในวงกว้างได้
การตรวจสอบโค้ดของระบบทำได้เฉพาะในกลุ่มพิเศษที่ถูกคัดเลือกเท่านั้น และก็ยากจะเชื่อถือได้ด้วยว่าโค้ดที่ตรวจสอบนั้นเป็นโค้ดเดียวกับที่ถูกนำไปใช้จริงในภาคสนามหรือไม่
เมื่อดูว่าประเทศเกาหลีใต้ซึ่งทำเพียงแค่นำกระบวนการรวบรวมผลโหวตจากบัตรกระดาษมาแปลงเป็นระบบอิเล็กทรอนิกส์นั้น เคยเกิดข้อถกเถียงอะไรขึ้นและสร้างความสับสนวุ่นวายทางสังคมแบบใด ก็พอจะอนุมานได้คร่าว ๆ ว่าหากมีการนำระบบลงคะแนนอิเล็กทรอนิกส์แบบเต็มรูปแบบมาใช้ จะเกิดความปั่นป่วนทางสังคมแบบไหนตามมาได้บ้าง