“Questo codice semplicemente non corrisponde agli standard”

Questa settimana esperti di crittografia hanno reso nota una falla nel sistema di e-voting svizzero. Gli avversari del voto elettronico vedono confermata la loro opinione. I responsabili del sistema considerano che la scoperta sia un passo importante per migliorarne la sicurezza. Ecco l'analisi della ricercatrice canadese che ha scoperto l'errore.

Si chiama Sarah Jamie Lewis la ricercatrice che ha analizzato i codici del sistema svizzero di e-voting e che per prima ha segnalato una falla. Il sistema appartiene alla Posta svizzera ed è stato realizzato dall’azienda spagnola Scytl. Oltre a rendere pubblico il punto debole del sistema da lei individuato, Lewis ha postato su Twitter una valutazione dettagliata del sistema svizzero. Abbiamo tradotto i suoi tweet:

Sono le 09:00 ora svizzera. Vanessa Teague dall’Australia, Olivier Pereira e io pubblichiamo i dettagli su una falla crittografica da noi identificata nel sistema di e-voting della Posta svizzera. Questo punto debole permetterebbe agli amministratori del sistema di manipolare i voti e di compromettere il risultato di elezioni senza che la manipolazione sia dimostrabile.

It is 9am Swiss Time, @VTeagueAusCollegamento esterno, Olivier Pereira & I are releasing details of a cryptographic trapdoor that we found in the Swiss Post #evotingCollegamento esterno system that would allows admins to falsely "prove" mixes that alter votes & undetectably compromise elections: https://t.co/ETEDuDsSAeCollegamento esterno

— Sarah Jamie Lewis (@SarahJamieLewis) 12. März 2019Collegamento esterno

Nel documento dettagliatoCollegamento esterno in cui è descritto il problema pubblichiamo anche esempi di simili prove manipolate. Gli esempi dimostrano che qualcuno potrebbe usare la falla per modificare il risultato di una votazione.

Qui di seguito esprimerò la mia opinione sul tema e inserirò il nostro lavoro nel contesto più ampio del dibattito sull’e-voting.

Ma prima di tutto: non abbiamo partecipato al concorso a premi lanciato dalla Posta Svizzera per trovare gli errori. A mio avviso le condizioni di partecipazione formulate dalla Posta non erano e non sono compatibili con un presupposto basilare: l’opinione pubblica deve essere informata su questioni critiche come questa.

Il dibattito pubblico sul voto elettronico in Svizzera ha preso avvio prima ancora che sia stata inoltrata un’iniziativa popolare in materia.

All’inizio di marzo un sondaggio Collegamento esternoha rivelato che la maggioranza degli svizzeri si aspetta vantaggi piuttosto che svantaggi dall’e-voting. Il 47% degli intervistati ha dichiarato che parteciperebbe più frequentemente alle elezioni e voterebbe se potesse utilizzare un’urna elettronica. E quasi il 70% degli intervistati ritiene che il voto elettronico dovrebbe essere disponibile per tutti gli elettori. Solo l’8% è favorevole a vietare il canale di voto elettronico.

Allo stesso tempo, lo Stato ha sottoposto il suo sistema di voto elettronico a un cosiddetto test di intrusione. La Posta Svizzera, responsabile del sistema, ha invitato hacker ed esperti di crittografia a trovare i punti deboli e offre bonus. L’obiettivo della campagna: quando si tratta di votare, la popolazione dovrebbe decidere su un sistema di voto elettronico che si può dire sia stato messo a dura prova.

Per cortesia abbiamo tuttavia informato preventivamente la Posta delle nostre scoperte.

Mi sono espressa per la prima volta alcune settimane fa su questo sistema. In quell’occasione ho segnalato alcuni ambiti critici che ci avevano messo in allarme. Ricordiamo prima di tutto brevemente come Scytl e la Posta hanno reagito:

“Inoltre negli ultimi giorni sono stati pubblicati vari commenti di diversi individui al di fuori dei canali ufficiali. Affermano che i protocolli crittografici non sono sicuri e hanno fatto commenti generici sulla qualità del codice. Commenti in questa forma non contribuiscono a creare und dialogo complessivo e costruttivo sul codice sorgente e non servono né alla sicurezza dei dati della community, né rispondono all’interesse dei cittadini. I protocolli crittografici sono il risultato di ricerche compiute e messe a disposizione del pubblico fin dall’epoca della fondazione di Scytl nel 2001. Hanno superato con successo gli esami da parti di esperti indipendenti di crittografia.”

Questo fa sorgere delle domande.

A quanto pare il sistema è stato più volte testato. Sia Scytl che la Posta svizzera non hanno esitato a riporre la loro fiducia in questo sistema. Perché i loro procedimenti di controllo non hanno individuato questo punto critico?

Non crediamo che la falla che abbiamo trovato sia stata inserita volontariamente. La Posta ha spiegato che si tratta di un errore di cui si era a conoscenza fin dal 2017 e che Scytl ha mancato di correggere.

“Com’è possibile che ci sia questa falla nel codice?” 

Ma perché analisi precedenti non hanno individuato il problema? E se lo hanno fatto, come si dice: perché due o tre anni dopo il problema esiste ancora? Com’è possibile che ci sia questa falla nel codice?

Si dice che il codice corrisponde ai più moderni criteri tecnici e tuttavia il sistema contiene almeno una vulnerabilità crittografica, rimasta aperta a quanto pare per anni.

Nel nostro lavoro di ricercatori abbiamo investito molto tempo nelle scorse settimane per analizzare i codici. Eppure ci siamo concentrati solo su una piccola parte di un sistema molto più grande. Rimane aperta la questione importante su quali altri problemi possano ancora nascondersi nelle specifiche e nell’implementazione.

Sarah Jamie Lewis è esperta di sicurezza informatica. Ha lavorato per il governo britannico e oggi è attiva nell’organizzazione Open Privacy. / Rigendinger, Balz (swissinfo)

Se vogliamo davvero vivere in un mondo con l’e-voting allora dobbiamo essere consapevoli della portata della sfida.

Dobbiamo capire che la pubblicità aggressiva, le valutazioni censurate e le operazioni di marketing basate su un premio per chi trova un errore non possono avere spazio nel processo di costruzione di infrastrutture sicure.

Dobbiamo capire che è inaccettabile che la stessa organizzazione che trae profitto dalla gestione di un’infrastruttura per il voto elettronico sia in condizione di decidere quali parti possano essere rese accessibili ai ricercatori e quando.

Quest’ultimo punto è molto importante nel contesto di un problema quale la falla che abbiamo scoperto. Non si tratta di un “hacker qualsiasi che può manipolare un’elezione”, ma della “Posta svizzera che può provare di non aver manipolato un’elezione anche se lo ha fatto.”

Ora vedo che da parte ufficiale la questione è presentata come se si trattasse di un grande successo del test pubblico di intrusione. Sono in completo disaccordo con questa interpretazione.

Non posso dire alla popolazione svizzera cosa deve fare. Spetta a lei gestire la propria democrazia. Ma posso suggerire che, viste le circostanze, cerchi dei meccanismi per fermare l’applicazione del sistema finché non giunga una risposta a tutte le questioni critiche sollevate.

“Vale la pena ricordare che la questione va al di là della Svizzera. ”

Va ripetuto in modo chiaro. Questo codice deve assicurare lo svolgimento di elezioni nazionali. La sicurezza delle elezioni ha un impatto diretto sulla distribuzione del potere all’interno di una democrazia. L’opinione pubblica ha il diritto di sapere tutto sulla struttura e la realizzazione del sistema.

Vale la pena ricordare che la questione va al di là della Svizzera. Altri paesi si muovono in direzione dell’e-voting. Molti adottano sistemi che sono collegati a questa base di codice. La natura di questa relazione è un’altra grande questione su cui varrebbe la pena di chinarsi.

Non spetta a me dire quel che dovete pensare. Ma ho un elenco di domande a cui a mio avviso è molto importante rispondere se davvero i governi vogliono dare a questi sistemi di e-voting il potere di decidere chi controlla una nazione.

“Sono a conoscenza di altri problemi nel codice? La risposta è: sì.”

Oggi ho parlato con molti giornalisti e neppure uno mi ha posto la domanda che ritengo una delle più interessanti: “È a conoscenza di altri problemi nel codice?”

La risposta è: sì. Non sono critici come l’aspetto che abbiamo menzionato, ma ci sono. Questo codice semplicemente non corrisponde agli standard che dovremmo pretendere da infrastrutture pubbliche critiche.

Mi stupisco solo di quanto rapidamente si sia passati da “persone su canali non ufficiali che non capiscono la crittografia” a “siamo riconoscenti verso quei ricercatori che ci hanno aiutati a identificare questo problema.”

E ancora una cosa: sebbene secondo quanto scritto nelle ultime settimane da alcuni media svizzeri  “ho l’aspetto di qualcuno che in passato sarebbe stato bruciato sul rogo”, vi voglio assicurare che tutto questo non si basa sulle arti magiche. È solo matematica.

Le opinioni espresse in questo articolo rappresentano il pensiero dell’autrice e non corrispondono necessariamente all’opinione di swissinfo.ch.