इंटरनेट वोटिंग सुरक्षित नहीं है और इसे सार्वजनिक चुनावों में इस्तेमाल नहीं किया जाना चाहिए

• इंटरनेट वोटिंग तकनीकी रूप से सुरक्षित तरीके से लागू नहीं की जा सकने वाली प्रणाली है, और दशकों के शोध के बाद भी इसका समाधान नहीं मिला है
• स्मार्टफोन·कंप्यूटर malware, server hacking, election management servers में घुसपैठ आदि के कारण वोट में हेरफेर संभव है, और एक ही हमलावर बड़े पैमाने पर हेरफेर कर सकता है
• E2E-VIV(एंड-टू-एंड वेरिफायबल इंटरनेट वोटिंग) भी verification app की विश्वसनीयता, receipt prevention, और dispute resolution की अनुपस्थिति जैसी वजहों से मूलभूत कमजोरियाँ रखती है
• Mobile Voting Foundation का VoteSecure इन सभी समस्याओं से ग्रस्त है, और इसके developers भी मानते हैं कि इसमें पूर्ण सुरक्षा या dispute resolution protocol नहीं है
• वैज्ञानिक ज़ोर देते हैं कि इंटरनेट वोटिंग की विश्वसनीयता की जाँच मीडिया रिपोर्ट या प्रचार सामग्री से नहीं, बल्कि केवल peer-reviewed research से की जानी चाहिए

---

इंटरनेट वोटिंग की मूलभूत अस्थिरता

• इंटरनेट वोटिंग में पारंपरिक पेपर बैलेट की तुलना में कहीं अधिक हेरफेर का जोखिम है
  • malware मतदाता के डिवाइस पर चुने गए वोट को बदल सकता है
  • server या election management system के insiders द्वारा भी हेरफेर संभव है
  • इंटरनेट के ज़रिए हमले दुनिया में कहीं से भी बड़े पैमाने पर किए जा सकते हैं
• पेपर बैलेट पूर्ण नहीं हैं, लेकिन बड़े पैमाने की धांधली के पकड़े जाने और दंडित होने की संभावना अधिक होती है
  • इसके विपरीत, इंटरनेट वोटिंग में एक ही हमले से बड़ी संख्या में वोट बदले जा सकते हैं

E2E-VIV(एंड-टू-एंड वेरिफायबल इंटरनेट वोटिंग) की सीमाएँ

• E2E-VIV को इस तरह डिज़ाइन किया गया है कि मतदाता यह जाँच सके कि उसका वोट सही तरीके से गिना गया या नहीं, लेकिन इसमें निम्नलिखित संरचनात्मक समस्याएँ हैं
  • verification app अगर malware से संक्रमित हो जाए, तो वह झूठी जानकारी दिखा सकता है
  • receipt-free सुविधा न होने पर बड़े पैमाने पर वोट-खरीद संभव हो जाती है
  • ऐसा app डिज़ाइन करना जो एक साथ विश्वसनीयता और receipt prevention दोनों दे, बहुत कठिन है
  • verification app को अलग से चलाना पड़ता है, लेकिन व्यवहार में ऐसा करने वाले मतदाता बहुत कम होते हैं
  • कुछ मतदाता हेरफेर पकड़ भी लें, तब भी उसे साबित करने का कोई तरीका नहीं होता, इसलिए चुनाव रद्द नहीं किया जा सकता
• इसलिए E2E-VIV का ‘verification’ फ़ीचर वास्तविक सुरक्षा बढ़ाने में असरदार नहीं है
  • वैज्ञानिक समुदाय इन सीमाओं को कई वर्षों से एक साझा निष्कर्ष के रूप में स्वीकार करता आया है

VoteSecure मामले का विश्लेषण

• Bradley Tusk की Mobile Voting Foundation ने Free and Fair के साथ मिलकर VoteSecure नाम का इंटरनेट वोटिंग SDK विकसित करने की घोषणा की
  • प्रेस रिलीज़ में दावा किया गया कि “सुरक्षित और verify किया जा सकने वाला mobile voting अब संभव हो गया है”
• लेकिन कई सुरक्षा विशेषज्ञों ने VoteSecure की गंभीर कमजोरियों की ओर इशारा किया
  • Free and Fair के शोधकर्ताओं ने भी माना कि “उठाई गई समस्याएँ सही हैं, और हमें इससे बेहतर तरीका पता नहीं है”
  • VoteSecure में receipt prevention नहीं है, dispute resolution protocol अपर्याप्त है, और malware संक्रमण की स्थिति में verification अर्थहीन हो जाती है
  • इसके अलावा बड़े पैमाने के automated vote-buying attacks और vote hijacking (clash attack) की संभावना भी मौजूद है
• Free and Fair ने समझाया कि “VoteSecure कोई पूर्ण voting system नहीं है, बल्कि encryption core के स्तर का घटक है”

वैज्ञानिक सहमति और सिफारिशें

• दशकों के शोध के नतीजे बताते हैं कि इंटरनेट वोटिंग को सुरक्षित बनाया जा सके, ऐसी कोई तकनीक मौजूद नहीं है
  • E2E-VIV पर शोध भी इस मूल समस्या को हल नहीं कर पाया है
• चुनाव अधिकारियों और मीडिया को ‘press release based science’ से सावधान रहना चाहिए
  • विश्वसनीयता की जाँच केवल peer-reviewed academic research के माध्यम से ही की जा सकती है
  • प्रेस रिलीज़ या कॉर्पोरेट प्रचार चुनाव प्रणालियों की विश्वसनीयता का आकलन करने का आधार नहीं हो सकते

हस्ताक्षर करने वाला विशेषज्ञ समूह

• इस बयान पर election security क्षेत्र के 21 computer scientists ने संयुक्त रूप से हस्ताक्षर किए
  • हस्ताक्षरकर्ताओं में Andrew Appel(Princeton University), Ronald Rivest(MIT), Bruce Schneier(Harvard University) जैसे प्रमुख शोधकर्ता शामिल हैं
  • हस्ताक्षर व्यक्तिगत क्षमता में किए गए हैं, और ये उनके संस्थानों की आधिकारिक राय नहीं हैं

[bbulbum]

अगर blockchain इस्तेमाल किया जाए तो??

[bbulbum]

आह, यह end-to-end trust की समस्या है, इसलिए शायद इसका ज़्यादा संबंध नहीं होगा।

[GN⁺]

Hacker News की राय

• मैं ऑस्ट्रेलिया में रहता/रहती हूँ। यहाँ हम कागज़ और पेंसिल से वोट देते हैं, और कार्डबोर्ड बूथ में यह प्रक्रिया होती है। लागत रैखिक रूप से बढ़ती है, लेकिन सामुदायिक भरोसे के लिहाज़ से मुझे अब भी लगता है कि पेपर बैलेट मशीनों से कहीं बेहतर है
  यूके में मुझे एक बार remote voting का प्रस्ताव मिला था, और अगर वह homomorphic encryption आधारित सुरक्षित online voting होता तो शायद मैं उसका स्वागत करता/करती। मैंने पहले ही सरकार को KYC जमा किया है, इसलिए पहचान सत्यापन की समस्या नहीं दिखती
  ऑस्ट्रेलिया में हर मतपत्र की इंसान द्वारा समीक्षा होती है, और राजनीतिक दलों को निगरानी का अधिकार होता है। चुनावी अखंडता पर लगभग कोई संदेह नहीं है, और नियमित रूप से सत्यापन होता है। अमेरिका के मामले में मुझे लगता है कि मूल सवाल यह है: “यह मौजूदा तरीके से कितना बेहतर हो सकता है?”

  • मैं भी पेन से डाक मतपत्र भरता/भरती हूँ। optical scanner से गिनती होती है, और इंसान द्वारा पढ़ा जा सकने वाला रिकॉर्ड बचा रहता है। यह बहुत किफायती है और बड़े पैमाने पर हेरफेर करना मुश्किल है। मैं internet voting पर कभी भरोसा नहीं करूँगा/करूँगी। पेन और कागज़ काफी हैं
  • समस्या यह है कि अगर मतदाता यह साबित कर सकता है कि उसका वोट सही तरह से गिना गया, तो वह किसी दबाव डालने वाले व्यक्ति को भी यह साबित कर सकता है। यानी गुप्त मतदान के सिद्धांत के टूटने का खतरा है
  • “यह बस अच्छी तरह काम करता है” का सबसे बड़ा कारण यह है कि Australian Electoral Commission (AEC) सरकार से स्वतंत्र है। इसके साथ अनिवार्य मतदान और preferential voting जुड़ जाते हैं, जिससे लोकतंत्र स्वस्थ बना रहता है
  • मैंने सुना है कि भारत का चुनाव आयोग भी इसे बहुत गंभीरता से लेता है। भारत की चुनाव प्रबंधन व्यवस्था काफ़ी प्रभावशाली है
  • पेपर सिस्टम स्थानीय स्तर पर, शोर के साथ विफल होते हैं, लेकिन internet systems चुपचाप, बड़े पैमाने पर विफल होते हैं

• पेपर वोटिंग में धांधली के तरीके सदियों से ज्ञात हैं। इसलिए उनके खिलाफ प्रतिक्रिया प्रक्रियाएँ भी अच्छी तरह स्थापित हैं। सीलबंद मतपेटियाँ, निष्पक्ष पर्यवेक्षक, सार्वजनिक मतगणना आदि भरोसा पैदा करते हैं
  इसके उलट internet voting में धोखाधड़ी के तरीके आम लोगों को अच्छी तरह ज्ञात नहीं हैं। वह पूरी तरह सुरक्षित भी हो, तब भी भरोसा कम रहेगा। जब तक गुप्त मतदान अनिवार्य है, पेपर वोटिंग अब भी सबसे अच्छा विकल्प है

  • संदर्भ के लिए, 1946 में अमेरिका के टेनेसी राज्य की Battle of Athens घटना दिखाती है कि बंद कमरे में की गई धांधलीपूर्ण गिनती क्या नतीजे ला सकती है। Wikipedia लिंक
  • अगर चुनाव इतना ध्रुवीकृत हो कि निष्पक्ष पर्यवेक्षक ही न हों, तो हर दल के पर्यवेक्षक रखें और कैमरे से मतगणना प्रक्रिया रिकॉर्ड करें
  • एक और उदाहरण Box 13 scandal है। Wikipedia लिंक. आरोप है कि LBJ ने सीनेट की सीट पाने के लिए पेपर वोटों में हेरफेर की थी
  • पेपर वोटिंग इतनी सरल है कि कोई भी उसे सत्यापित कर सकता है। electronic voting अपारदर्शी है, remote voting में स्वतंत्र इच्छा की गारंटी कठिन है, और केवल गुप्त मतदान ही vote-buying की रोकथाम संभव बनाता है। आखिरकार भरोसा वहीं से आता है कि “कोई भी खुद जांच कर सकता है”
  • मैं उलटा सोचता/सोचती हूँ। अगर कोई सिस्टम पर्याप्त रूप से पारदर्शी और सत्यापन योग्य हो, तो उस पर भरोसा किया जा सकता है। लेकिन privacy preservation सबसे बड़ी चुनौती है

• चुनाव का सबसे महत्वपूर्ण तत्व भरोसा है, दक्षता द्वितीयक है। electronic voting पर जाने से भरोसा कमजोर हुआ है और शत्रुतापूर्ण ताकतों के लिए हेरफेर आसान हो गया है। internet voting इसे और खराब करेगी। पेपर वोटिंग पर वापस जाना चाहिए

  • अमेरिका पहले से ही ज्यादातर पेपर वोटिंग + electronic tabulation मॉडल का उपयोग कर रहा है। वापस जाने की ज़रूरत नहीं है
  • हम पहले से पेपर वोटिंग कर रहे हैं। पूरी तरह manual प्रणाली पर लौटने से उल्टे गलतियाँ और invalid votes बढ़ेंगे। यह विडंबना है कि voting machines पर अविश्वास फैलाने वाली ताकतों ने अतीत में recount को भी रोका था
  • अमेरिका के 95% से अधिक मतदाता पेपर-आधारित मतदान करते हैं। Verified Voting आँकड़े
  • जॉर्जिया में कंप्यूटर से वोट डालने पर पेपर रसीद निकलती है, जिसे scanner में डालकर गिनती की जाती है। पुराने Diebold machines hacking के लिहाज़ से कमजोर थे
  • कैलिफ़ोर्निया में mail-in ballot identity verification सिर्फ़ signature similarity के आधार पर की जाती है। व्यवहार में यह लगभग honor system है। संबंधित कानूनी प्रावधान

• यह बात सही है कि malware मतदाता के डिवाइस पर वोट बदल सकता है। लेकिन smartphones पहले से ही रोज़मर्रा के अधिकांश सुरक्षित लेन-देन के लिए इस्तेमाल हो रहे हैं।
  server hacking का जोखिम भी है, लेकिन सरकारें निजी जानकारी इसलिए संभालती हैं क्योंकि अंततः यह risk-reward analysis का मामला है।
  अभी online voting का reward जोखिम से कम है, लेकिन अगर हम real-time participatory democracy model की कल्पना करें तो बात बदल सकती है। फिर भी सबसे बड़ी समस्या उदासीनता और कम भागीदारी है

• internet voting में बड़े पैमाने पर हेरफेर आसान है। लेकिन internet banking भी इसी तरह जोखिमभरी है। अंततः फायदे-नुकसान का संतुलन ही मुख्य है। क्या internet voting के लाभ उसके नुकसान की भरपाई कर सकते हैं?

  • बैंक hacking लगभग असंभव है। SWIFT जैसे systems के ज़रिए लेन-देन trace और reverse किए जा सकते हैं। चुनावों में ऐसी विफलता-सहनशील गुंजाइश नहीं होती। चुनाव हैक होना सीधे लोकतंत्र के ढहने जैसा है
  • बैंकिंग fraud को insurance से सुधारा जा सकता है, लेकिन चुनावी भरोसा बहाल नहीं किया जा सकता
  • internet banking में anonymity नहीं होती, लेकिन मतदान में anonymity अनिवार्य है

• पेपर वोटिंग की लागत और अक्षमता वास्तव में उसकी ताकत हैं। इससे हेरफेर मुश्किल होता है, और नागरिक चुनावी प्रक्रिया में सीधे भाग लेते हैं, जिससे निर्णय का वजन बढ़ता है

• मतदान तीन चरणों से बना है: मतदान, मतगणना, भंडारण। भरोसा तभी बनता है जब तीनों चरण पारदर्शी और audit योग्य हों।
  मेक्सिको का उदाहरण अच्छा है।

  1. सभी लोग स्थानीय मतदान केंद्र पर कागज़ से वोट देते हैं
  2. स्वयंसेवक और पार्टी पर्यवेक्षक वहीं पर मतगणना करते हैं
  3. नतीजों को electronic रूप से भेजा जाता है, और पेपर परिणाम एक हफ्ते तक प्रदर्शित किए जाते हैं
     केंद्रीय सिस्टम केवल जोड़ने का काम करता है, और कोई भी स्थानीय परिणामों और online परिणामों का मिलान कर सकता है।
     इस distributed structure की वजह से परिणाम तेज़ भी आते हैं और भरोसा भी ऊँचा रहता है। हालांकि ‘rotating-door voting’ जैसी दबावपूर्ण विधियाँ अब भी मौजूद हैं
  • मुझे समझ नहीं आता कि केवल अमेरिका में ही मतदान प्रक्रिया इतनी विवादास्पद क्यों है। अगर आप पेपर वोटिंग की मांग करें तो उसे नस्लवाद कहा जाता है, और अगर मतगणना की समयसीमा तय करें तो उसे विदेशी-विरोध कहा जाता है। यूरोप इसे कहीं अधिक तार्किक ढंग से चलाता है
  • Idaho में पेपर वोटिंग के बाद electronic tabulation होती है, और ज़रूरत पड़ने पर manual recount संभव है। internet connection के बिना तेज़ और audit योग्य यह एक आदर्श संयोजन है
  • अगर गुप्त मतदान छोड़ दिया जाए, तो पारदर्शिता की समस्या का बड़ा हिस्सा खत्म हो जाता है। लेकिन यह लोकतंत्र की बुनियाद हिला देने वाला विकल्प है
  • electronic voting में भी कई verification layers रखकर समान स्तर का भरोसा हासिल किया जा सकता है
  • फ्रांस भी लगभग इसी तरह संचालित होता है

• Tom Scott का “क्यों electronic voting खराब है” वीडियो ज़रूर देखना चाहिए
  भाग 1 वीडियो / भाग 2 वीडियो

• समस्या तकनीक नहीं, बल्कि अविश्वसनीय संस्थाएँ/पक्ष हैं। मतदान से पैसा नहीं बनता, इसलिए बैंकिंग-स्तर की सुरक्षा में निवेश करना मुश्किल है।
  ऊपर से सूचना-हेरफेर और bot activity पहले से ही जनमत को विकृत कर रही है। पेपर वोटिंग बेहतर है, लेकिन हकीकत यह है कि हम पहले ही digital pollution की स्थिति में हैं

  • मेरा अनुमान है कि 2026 में Trump administration “election security” के नाम पर केवल electronic voting की अनुमति देने की कोशिश करेगी। राजनीतिक रूप से अनुकूल कंपनियाँ सिस्टम देंगी, फिर मुकदमे चलेंगे और भ्रम लंबा खिंचेगा। आखिरकार यह जोखिम बड़ा है कि दोनों दल नतीजों पर अविश्वास करने लगें

• मैं इस लेख का सह-लेखक और Georgia Tech में प्रोफेसर हूँ। मैं security, privacy, और public policy पर शोध करता/करती हूँ। मेरा CV देखा जा सकता है। सवाल हों तो मैं जवाब दूँगा/दूँगी

  • क्या आपने Swiss Post e-voting system की verification method को देखा है?
  • मतदान ऐसा होना चाहिए कि हर मतदाता खुद सत्यापित कर सके। हाथ से गिनती से अधिक जटिल कोई भी सिस्टम भरोसा खो देगा

[brilliant08]

मेरा मानना है कि electronic voting systems आम जनता द्वारा की जाने वाली यादृच्छिक विश्वसनीयता जाँच की समस्या का समाधान नहीं कर सकते।
सिस्टम के code का सत्यापन केवल चुने हुए विशेष वर्ग तक सीमित रह सकता है, और यह भी भरोसेमंद तरीके से नहीं कहा जा सकता कि सत्यापित किया गया code वही है जो वास्तव में इस्तेमाल हुआ।
दक्षिण कोरिया में, जहाँ केवल paper ballot के नतीजों को electronic system से एकत्र करने की प्रक्रिया का ही इलेक्ट्रॉनिकीकरण किया गया था, वहाँ कैसी बहसें हुईं और किस तरह का सामाजिक भ्रम पैदा हुआ, इसे देखें तो मोटे तौर पर अनुमान लगाया जा सकता है कि अगर पूरी तरह electronic voting system लागू किया जाए तो किस प्रकार का सामाजिक भ्रम पैदा हो सकता है।