MultiBallot: Verifiable and privacy-preserving E-Collecting in the Swiss setting

Riepilogo Tecnico: MultiBallot: Raccolta Elettronica Verificabile e Riservata nel Contesto Svizzero

Enunciato del Problema
Il documento affronta le sfide di sicurezza e riservatezza intrinseche nei sistemi di raccolta firme elettroniche (raccolta elettronica), specificamente nel contesto della democrazia diretta svizzera. A differenza del voto elettronico (e-voting), dove le elezioni sono eventi discreti con elettorati fissi, la raccolta elettronica coinvolge campagne continue e parallele in cui l'idoneità cambia dinamicamente (ad esempio, a causa dell'età, del trasferimento o del decesso).

I sistemi esistenti di raccolta elettronica, come il sistema dell'Iniziativa Europea dei Cittadini (ECI) o l'imminente sistema cantonale di San Gallo, mancano di garanzie di sicurezza all'avanguardia. Nello specifico, spesso si affidano a server completamente fidati o non forniscono verificabilità end-to-end. Un divario critico identificato è la riservatezza della partecipazione: nella raccolta elettronica, firmare una petizione equivale a un voto "sì", il che significa che l'atto di partecipazione rivela di per sé la posizione dell'elettore. Le definizioni standard di riservatezza nel voto elettronico (che presuppongono una scelta tra opzioni) non si applicano direttamente. Inoltre, ottenere la riservatezza della partecipazione nel voto elettronico richiede tipicamente un canale anonimo, un'ipotesi forte e spesso irrealistica. Il documento nota che in Svizzera molte raccolte parallele sono attive simultaneamente, un fattore attualmente non sfruttato per il potenziamento della privacy.

Metodologia e Progettazione del Protocollo
Gli autori propongono MultiBallot, un protocollo progettato per ottenere verificabilità e riservatezza della partecipazione senza assumere un canale anonimo. La metodologia si fonda su un modello di fiducia realistico derivato dalle normative svizzere sul voto elettronico, utilizzando componenti di controllo distribuito (Bachetto, Tallieri, Registro Elettorale) piuttosto che un singolo server fidato.

L'innovazione tecnica centrale è la struttura del voto parallelo:

1. Composizione del Voto: Per ogni raccolta attiva ($C_1, C_2, \dots, C_n$), un elettore mantiene un unico voto contenente un cifrato dedicato per ogni raccolta.
2. Meccanismo di Partecipazione: Per firmare una specifica raccolta, il dispositivo dell'elettore cifra il valore 1 per il cifrato di quella raccolta. Per tutte le altre raccolte attive, il dispositivo esegue una ricifratura (randomizzazione) dei cifrati esistenti.
3. Prove a Conoscenza Zero (ZKP): L'elettore genera una ZKP che dimostra che per ogni raccolta, il nuovo cifrato è o una cifratura di 1 (firma) o una ricifratura del cifrato precedente (non firma). Crucialmente, la prova non rivela quale operazione è stata eseguita per quale raccolta.
4. Indistinguibilità: Poiché molte raccolte sono attive in parallelo, un osservatore non può distinguere se un elettore ha firmato la Raccolta A, la Raccolta B o nessuna, poiché il voto dell'elettore contiene sempre cifrati validi per tutte le raccolte attive. La partecipazione a una specifica raccolta è nascosta all'interno dell'insieme di tutte le raccolte attive.

Contributi Chiave

1. Derivazione del Contesto Realistico: Il documento stabilisce un contesto formale per la raccolta elettronica basato sulle leggi svizzere sul voto elettronico, tenendo conto del funzionamento continuo, dell'idoneità dinamica (tramite un Registro Elettorale) e dell'assenza di revoca.
2. Privacy senza Canali Anonimi: Il protocollo ottiene la riservatezza della partecipazione sfruttando la natura parallela delle raccolte. Nasconde una partecipazione specifica tra le potenziali partecipazioni in altre raccolte attive, eliminando la necessità della forte ipotesi di un canale anonimo.
3. Verificabilità: Il sistema fornisce Verificabilità End-to-End (E2E):
   • Verificabilità Individuale: Gli elettori possono verificare tramite un Dispositivo di Audit indipendente che il loro voto contenga le scelte intenzionate (decifrando i cifrati associati alla loro chiave pubblica).
   • Verificabilità Universale: Il conteggio finale è calcolato aggregando omomorficamente i cifrati per ogni raccolta ed eseguendo una decifratura distribuita da parte dei Tallieri. Il risultato è auditabile da terze parti.
4. Supporto Ibrido: Il protocollo è progettato per funzionare in un contesto ibrido dove le firme fisiche (carta) sono convertite in voci digitali da un Canale Ibrido (HC). I Tallieri possono auditare queste voci per garantire che non avvengano "imbottiture" (firme false) o "omissioni" (dropping), senza apprendere i dettagli specifici della partecipazione degli elettori che non hanno utilizzato il canale ibrido.
5. Idoneità Dinamica e Rotazione delle Chiavi: Il protocollo supporta il funzionamento continuo, consentendo la rotazione delle chiavi degli elettori e cambiamenti nell'idoneità (ad esempio, un elettore che si trasferisce in un nuovo comune) senza interrompere l'integrità delle raccolte in corso.

Risultati e Affermazioni di Sicurezza
Il documento fornisce un'analisi di sicurezza formale sotto un modello di avversario Dolev-Yao.

• Verificabilità: Il protocollo garantisce che se un elettore verifica la propria partecipazione, questa viene conteggiata. La verificabilità universale vale a condizione che il Registro Elettorale, il Canale Ibrido (se utilizzato) e i Tallieri siano onesti.
• Privacy: La riservatezza della partecipazione è garantita assumendo che il Dispositivo di Partecipazione e il Dispositivo di Audit siano onesti. Le ZKP assicurano che l'avversario non possa distinguere tra una ricifratura e una cifratura di 1.
• Assunzioni di Fiducia: Il sistema richiede un setup distribuito in cui è necessario fidarsi di solo un componente per gruppo di controllo (ad esempio, un Talliere onesto, un nodo di Bachetto onesto). Evita esplicitamente la necessità di un server completamente fidato.

Significato e Limitazioni
Il documento afferma che MultiBallot porta la sicurezza della raccolta elettronica al livello dei sistemi di voto elettronico all'avanguardia. Il suo significato principale risiede nella risoluzione del problema della riservatezza della partecipazione in un contesto realistico senza affidarsi a canali anonimi impraticabili.

Tuttavia, gli autori sono modesti riguardo alle limitazioni di questo modello di privacy. Riconoscono che mentre il protocollo nasconde quale raccolta un elettore ha firmato, non nasconde completamente se un elettore abbia partecipato affatto. Se una raccolta ha un periodo unico di grande popolarità o se il conteggio avviene frequentemente, l'analisi statistica potrebbe ancora permettere a un avversario di inferire la partecipazione a raccolte specifiche. Inoltre, il documento nota che ottenere una privacy più forte (nascondere la partecipazione totale) richiederebbe agli elettori di eseguire regolarmente azioni "finte" (ricifratura senza firma), il che pone sfide di usabilità, o richiederebbe assunzioni di fiducia più forti (ad esempio, un canale nascosto verso un'autorità), che il protocollo attuale evita.

In sintesi, MultiBallot offre un framework pratico, verificabile e rispettoso della privacy per la raccolta elettronica che si allinea ai requisiti legali svizzeri e sfrutta la struttura parallela unica delle campagne di firma per migliorare la sicurezza.