יומן אבטחה

MrM כותב רשימה מעניינת על הנושא של הצבעות אלקטרוניות ומתייחס לדרישה שהעליתי שמערכות הצבעה אלקטרוניות יהיו מקושרות ביניהן כדי לאפשר הצבעה מכל מקום. מביטול דרישה זו הוא מעלה את רמת האבטחה במערכת (לטענתו לפחות). אני לא אחזור על מה שכתב כיוון שבכך אחטא לרשימתו המעניינת, אז נא לקרוא אותה בטרם תמשיכו הלאה.

אינני מתכוון לנסות לאפיין אפילו מערכת הצבעה אלקטרונית, כיוון שמעולם לא ישבתי בצורה סדורה לחשוב על דרישות ותכנון אבטחה אלא ניסיתי להעלות בעיות מרכזיות. אעשה זאת גם בהתייחס להצעותיו של MrM.

MrM מסיק שאם המערכות לא מחוברות בזמן אמת הן מנותקות. זו טעות, שכן ניתן להחדיר קוד עוין באחת המערכות שיתפשט במערכת המרכזית ואין הכרח שיהיה קישור מקוון. במצב הקיים היום כל נציג קלפי יושב מול נציג משרד הפנים ברשות המקומית שמזין את הנתונים ידנית לתוך המערכת. בתרחיש החדש הנתונים יועברו על CD. נשארנו עם אותה כמות של נקודות גישה, אך בממשק אחר. כמובן שבניגוד לטענה של MrM בתרחיש שלו לא ניתן לספור קולות בתוך פחות משעה, כיוון שלוקח יותר משעה להגיע לנקודת האיסוף המרכזית או לנקודות האיסוף המרכזיות. ככל שיהיו יותר נקודות חיבור - התוצאות יהיו מהירות יותר, אך נקודות הממשק רבות יותר. לא דרמה, אך נקודה למחשבה.

MrM מציע ליצור שתי מערכות - לזיהוי מצביעים ולסליקת קולות בטענה שכך לא ניתן יהיה לזייף קולות מרובים. אני לא מבין כיצד. מערכת סליקת הקולות עיוורת למי מצביעה בה ולכן כל שצריך הוא לפרוץ למערכת ההצבעה ולמחוק את הצבעתו של מאן דהוא ברגע נתון, או להוסיף מצביעים למרשם המצביעים. אדם יוכל להצביע פעמיים באותה קלפי אם ירצה, בטענה שאחיו התאום הצביע קודם לכן או לאחר החלפת המשמרות - לך תתווכח עם מחשב שאומר שהוא לא הצביע. לא הבנתי את התכנון של MrM, אבל על פניו הוא לא נראה לי עונה לדרישות.

על מנת שלא ניתן יהיה להצליב מי הצביע מתי מציע MrM לבטל את הלוג במערכת הסליקה. בכך הוא מבטל את שקיפות המערכת והיכולת לבצע ספירה חוזרת של הקולות. מערכת הסליקה הופכת להיות קופסה שחורה - איננו יודעים מה קרה בתוכה, מתי וכדומה. שיעור ההצבעה בישראל עומד (אם אינני טועה) על פחות משבעים אחוזים וצונח בהתמדה. זיוף אפקטיבי לא ישנה רק את קולות המצביעים שהצביעו אלא גם ימלא את מכסת המצביעים. שוב, לך תתווכח עם מחשב.

לצורך הזיהוי מציע MrM להשתמש בטביעות אצבע. אז דבר ראשון - זה יאפשר לנטר את ההצבעות של כל מי שנתן אי פעם טביעת אצבע למשטרה או לצבא (אני חושב שאני נתתי טביעת אצבע בצו הראשון, אי שם בהיסטוריה). אבל בעייתי יותר מזה הוא שזיהוי ביומטרי אינו מתוקנן (כלומר, לא קיימת תקינה מסודרת בנושא) ולא ניתן לבנות עליו לטובת זיהוי מצביעים. מעבר להערות הללו, אני מפנה לרשימות קודמות שלי בנושא ביומטרי - עקרונות וזיופים.

אני דווקא מסכים עם MrM שניתן לבנות מערכת מאובטחת דיה. טענתי לא הייתה שלא ניתן אלא נגעה למנהל תקין. אני חושב שלמערכת כזו יש לגשת בחרדת קודש ולא בהחלטה חפוזה של הרגע. הניסיון מלמד עד כמה זה מורכב והמציאות הדמוקרטית מלמדת עד כמה האבטחה חיונית למערכת כזו. כך שבמובן זה אני ו-MrM באותה הסירה (נראה לי). אני חולק עליו ועל יהונתן קלינגר בדרישה לקוד פתוח. ארחיב על כך ברשימה נפרדת, אך בגדול אני חושב שאין תועלת בקוד פתוח, כיוון שאני ועוד שישה מליון אזרחים לא יודעים לקרוא קוד. מאלה שכן יודעים, 70% לא יודעים אבטחת מידע. מאלו שיודעים לקרוא קוד ויודעים לזהות בעיות אבטחה 80% לא מעוניינים להתעסק בזה בלאו הכי. את החמישה הנותרים ניתן לשכור שיעשו code-review על מוצר קוד סגור (תחת NDA), כפי שנעשה בחו"ל. מילה אחרונה - הייתי שמח לראות יותר דיונים כאלה ברשת ותודה ל-MrM על פתיחת הנושא לדיון.