超级会员免费看
互联网端到端投票系统：安全与验证的新探索
在当今数字化时代，选举的安全性和可验证性变得至关重要。随着互联网技术的发展，线上投票成为了一种趋势，但也带来了诸多安全挑战。本文将深入探讨两种不同的投票系统：Scratch, Click & Vote（SC&V）和为光学扫描投票系统添加端到端可验证性的方法，分析它们的工作原理、安全问题以及应对策略。
一、SC&V 投票系统概述
SC&V 是一种允许在互联网上进行安全且可验证投票的系统，具有无条件的完整性。在该系统中，选举管理机构（EA）会对选票进行一系列处理，最终计算出选举结果。
（一）计票方式
当有 4N 个选票列（意味着进行了 N 次投票），且在最终部分 R 的所有选票列的第 j 行共有 M 个标记 × 时，第 j 位候选人获得的票数为 M - 2N。
（二）选举后审计
- 选民检查 ：每个选民可以根据验证预令牌 t 找到包含 H(t) 的正确行，以此检查与收据对应的选票列是否出现在表 R 中。若缺失或内容与收据不符，则可能存在欺诈行为。
-
审计人员检查
：审计人员会公开检查表 R 的完整性和选举结果。具体步骤如下：
- 随机选择 2n 行 R，并要求 EA 打开这些行的承诺 ρ1(i)。对于中间部分中已公开 ρ1(i) 的每一行，打开承诺 π′i，检查起始部分的选票列经过 (π′i)−1 置换后是否与中间部分的选票列一致。
- 对于中间部分中未被任何已公开承诺 ρ1(i) 指向的每一行 j，EA 需打开对 ρ2(j) 和 π′′ 的承诺。中间部分第 j 行的选票列经过 π′′−1 置换后应与第 ρ2(j) 行最终部分的选票列相等。
二、SC&V 系统的安全问题及应对
（一）选民电脑不当行为
- 完整性 ：若选民的电脑被恶意软件感染，试图操纵选民的选择，其成功的概率极低。电脑需要先以 1/k 的概率猜出选民所选候选人对应的行，再以 1/3 的概率猜出未选的三列中对应标记 Y 的列。即便如此，选民仍可通过发现收据与选择不符来检测欺诈，成功且未被检测到的选票更改总概率仅为 1/4k。
- 隐私性 ：即使选民的电脑将所知信息发送给攻击者，攻击者也无法确定选民的选择，因为攻击者既不知道编码卡上 Y 的配置，也不知道选票上使用的置换。
（二）选举管理机构（EA）不当行为
- 完整性 ：EA 在选票准备和计票过程中的不当行为会受到选举前和选举后的审计限制。在将选票列插入表 R 时进行替换是有风险的，因为选民会收到由 EA 签名的收据，若收据与表 R 内容不符，EA 可能会被发现。
- 隐私性 ：与 Punchscan 类似，若 EA 知道选民使用的选票，就可能知道选民的投票。因此，采用适当的选票分发程序至关重要，如混合选票、将敏感信息隐藏在刮刮乐表面，且选民不应直接向 EA 发送选票信息，而应通过代理进行通信。
（三）代理不当行为
- 完整性 ：代理在知道 Sr 之前就对选民的点击进行承诺，因此无法更改选民的选择。若代理更改 Sl 以改变选票的置换，选民会获得与选票上不同的确认令牌，从而立即发现问题。
- 隐私性 ：代理知道 Y 和 n 的分配情况，因此知道与选民选择对应的行，但由于不知道选票上使用的置换，无法将投票与特定候选人关联起来。
（四）外部观察者视角
外部观察者 Charlie 获得选民的选票、编码卡、收据及点击信息，但由于收据不包含 Sr，Charlie 无法确定选民实际使用的编码卡，其情况与代理不同。
（五）选票买卖问题
- SC&V 的优势 ：在 SC&V 中，选民由代理进行电子身份识别，认证协议可保证选民不会将电子身份泄露给买家，这使其优于邮政投票程序。
- 买家面临的问题 ：即使选民自己投票并记录投票过程，买家也可能面临诸多问题。选票可以被扫描并篡改，展示的编码卡可能不是实际使用的。若认证协议基于零知识协议，买家甚至无法确定选民是否在投票，除非直接控制选民的电脑。买家唯一能确定的是收据和公告板上的匹配条目，这又回到了外部观察者的情况。
（六）诱饵服务
为了增加选票买卖和胁迫的难度，可以启动诱饵服务。选民可以访问诱饵服务的网页，下载具有任意序列号和任意 Y 和 n 排列的假编码卡，并将其与收据和选票一起展示给胁迫者或选票买家，以证明自己的投票情况。
（七）可用性问题
SC&V 方案可能存在使用不便的问题，例如选民需要在每个候选人旁边点击，且需要在排列的候选人列表中找到自己支持的候选人。使用候选人列表的移位可以提高可用性，但会对隐私产生不良影响。为解决隐私问题，可以使用掩码选票列，表 R 存储对应的 k 个掩码选票列，每个掩码选票列除了第 j 行（若原选票列在第 j 行有 × 标记）外，其他行均无 × 标记。
三、为光学扫描投票系统添加端到端可验证性的方法
在一些国家，光学扫描投票系统是主要的投票技术，但目前存在一些问题。例如，美国的光学扫描系统有两种计票方式：选区扫描和手动重新计票。选区扫描依赖软件安全，而近期的安全审查显示其存在严重漏洞；手动重新计票速度慢且易出错，无法检测选票是否被替换或修改。
（一）新方法概述
该方法为任何光学扫描投票系统添加了第三种更优越的计票方法，即端到端可验证性。具体做法是在每张光学扫描选票上打印序列号和与每个候选人配对的一组字母，选民所选候选人旁边的字母会被发布到公告板上，并作为 Punchscan 可验证计票方法的输入。这些字母不会泄露选民所选的候选人，该方法可作为独立的验证机制，确保每张选票都未被修改地计入最终计票。
（二）方法优势
该方法不干扰光学扫描程序的机械操作，允许选民像在原有系统中一样标记选票，候选人可以按固定顺序列出，电子计票可在同一设备上进行，必要时也可进行手动重新计票。中央选举管理机构只需在每张选票上打印额外信息，并在投票结束后遵循一些额外程序，选区的程序基本不变，因此不会增加设备故障的风险，成本增加也很有限。
（三）方法改进
该方法从 Punchscan 投票系统演变而来，对前端进行了重大修改，在每张选票上为候选人名称配对符号，所选候选人对应的符号会被发布到公告板上。后端仅在语义上进行了改变，以可验证的方式解码每个字母的含义，而不是解码选票上标记的位置。此外，还提供了一个在投票结束后解决争议的过程。
四、总结
无论是 SC&V 系统还是为光学扫描投票系统添加端到端可验证性的方法，都在努力解决互联网投票中的安全和验证问题。SC&V 系统通过严格的计票和审计方式、应对各种不当行为的策略以及诱饵服务等措施，确保了投票的安全性和可验证性。而为光学扫描投票系统添加可验证性的方法则为传统投票技术注入了新的活力，提高了选举的可信度。这些方法的出现为民主选举的公平、公正和安全提供了有力保障。
以下是一个简单的流程图，展示了 SC&V 系统选举后审计的过程：
graph LR
A[选举结束] --> B[选民检查]
B -->|不符| C[可能存在欺诈]
B -->|相符| D[审计人员检查]
D --> E[随机选行并要求打开承诺]
E --> F[检查起始与中间部分选票列]
F -->|不一致| C
F -->|一致| G[检查未指向行的承诺]
G --> H[检查中间与最终部分选票列]
H -->|不一致| C
H -->|一致| I[审计通过]
在实际应用中，这些投票系统仍需不断完善和优化，以应对不断变化的安全挑战，确保选举的顺利进行和选民的权益得到保障。未来，随着技术的不断发展，相信会有更多创新的投票解决方案出现，为民主选举带来更多的可能性。
互联网端到端投票系统：安全与验证的新探索
五、方法的具体实现与操作流程
（一）SC&V 系统操作细节
-
选票准备环节
- 选举管理机构（EA）生成选票，每张选票包含多个选票列，每个列对应候选人相关信息。
- 编码卡上的 Y 和 n 标记被随机分配，同时生成对应的验证预令牌 t。
-
投票过程
- 选民在自己的电脑上操作，根据编码卡选择候选人，点击相应位置。
- 选民的点击信息通过代理发送给 EA，代理在不知道 Sr 的情况下对选民的点击进行承诺。
-
计票过程
- 当所有投票结束后，EA 按照计票规则计算每个候选人的票数。如前文所述，若有 4N 个选票列，第 j 行共有 M 个标记 ×，则第 j 位候选人获得的票数为 M - 2N。
-
以下是一个简单的计票示例表格：
| 候选人编号 | 第 j 行标记 × 数量（M） | 总选票列数（4N） | 获得票数（M - 2N） |
| ---- | ---- | ---- | ---- |
| 1 | 10 | 20 | 0 |
| 2 | 15 | 20 | 5 |
| 3 | 12 | 20 | 2 |
（二）光学扫描投票系统新方法操作细节
-
选票印刷环节
- 中央选举管理机构在每张光学扫描选票上打印序列号和与每个候选人配对的一组字母。
-
投票过程
- 选民在选票上标记自己选择的候选人，与传统光学扫描投票方式相同。
-
计票与验证过程
- 选民所选候选人旁边的字母被收集并发布到公告板上。
- 利用 Punchscan 的可验证计票方法，根据公告板上的字母信息计算选举结果。
六、不同角色在投票系统中的作用与责任
| 角色 | 作用 | 责任 |
|---|---|---|
| 选民 | 进行投票操作，获得收据 | 检查收据与表 R 内容是否相符，保障自身投票权益 |
| 选举管理机构（EA） | 准备选票，进行计票，维护表 R | 确保选票的正确准备和计票的准确性，接受审计人员的检查 |
| 代理 | 传递选民的点击信息，对点击进行承诺 | 不更改选民的选择，保障信息传递的准确性 |
| 审计人员 | 检查表 R 的完整性和选举结果 | 公正、准确地进行审计工作，发现并报告可能存在的欺诈行为 |
七、安全问题的深入分析与应对策略
（一）常见攻击类型及风险评估
- 选民电脑被攻击 ：如前文所述，攻击者试图操纵选民的选择，但成功且未被检测到的概率仅为 1/4k。
- EA 不当行为 ：EA 在选票准备和计票过程中的不当行为可能影响选举结果，但受到选举前和选举后的审计限制。
- 代理泄露信息 ：代理虽然知道 Y 和 n 的分配情况，但由于不知道选票上使用的置换，无法将投票与特定候选人关联起来，降低了信息泄露的风险。
（二）应对策略总结
- 加强审计机制 ：通过选举前和选举后的审计，对 EA 的行为进行监督，确保选票的准备和计票过程合规。
- 保护选民隐私 ：采用适当的选票分发程序，如混合选票、将敏感信息隐藏在刮刮乐表面，避免选民直接向 EA 发送选票信息。
- 增加攻击难度 ：引入诱饵服务，使攻击者难以确定选民的真实投票情况。
八、未来发展趋势与展望
随着互联网技术的不断发展，投票系统也将不断演进。未来可能会出现以下发展趋势：
1.
更先进的加密技术
：采用更强大的加密算法，进一步提高投票系统的安全性和隐私性。
2.
多因素认证
：结合生物识别技术、短信验证码等多种认证方式，增强选民身份验证的准确性和安全性。
3.
智能合约的应用
：利用智能合约自动执行投票规则和计票过程，减少人为干预，提高选举的公正性和透明度。
以下是一个简单的流程图，展示了未来投票系统可能的发展方向：
graph LR
A[现有投票系统] --> B[引入更先进加密技术]
A --> C[采用多因素认证]
A --> D[应用智能合约]
B --> E[更安全的投票系统]
C --> E
D --> E
综上所述，互联网端到端投票系统的发展为选举的安全和验证带来了新的机遇和挑战。通过不断完善系统设计、加强安全措施和引入新技术，我们有望实现更加公平、公正、安全的选举环境。
扫一扫
33
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
