RIA analüüsi- ja ennetusosakonna analüütikud on andnud hinnangu e-hääletamise esimese päeva tehnilistele tõrgetele ning nende võimalikule mõjule valimistel osalemisele. Kuigi RIA ei vastuta e-hääletamise süsteemi ja valijarakenduse arenduse eest, toetame valimisteenistust tehniliselt ning vastutame valimiste infosüsteemi, sh valijarakenduse majutuse ja häälte kogumise eest.
RIA hinnangu andmise ajend on portaalis Geenius ilmunud Ronald Liive arvamuslugu „KOV valimiste e-hääletus on kobarkäkk, mis enam kunagi korduda ei tohi”.
Juhtum nr 1
11 minuti jooksul kuvas valijarakendus hääletajatele lõpus teksti, et tegu on testhäälega, mis arvesse ei lähe. Hääled tegelikult arvestati, tegu oli kasutajate teavitamist mõjutava konfiguratsiooniveaga (testhääletuse lõpu kellaaeg oli teavitussüsteemis seadistatud tund aega hilisemaks), mis mõjutas ainult näidatavat teksti. Viga parandati ja rohkem ei ilmnenud.
Mõju: ükski hääl ei jäänud eksituse tõttu lugemata, seega puudub mõju valimiste läbiviimisele. Intsidendil on samas mõju valimiste korraldajate usaldusväärsusele. E-hääletamine jätkus aga tavapäraselt ning pärast testhääletuse intsidenti e-hääletas esimese päeva õhtuks enam kui 45 000 valijat, teisipäeva õhtuks veel ligi 30 000. See tähendab, et ka mõju valimiste korraldajate usaldusväärsusele oli pigem madal.
RIA hinnang: otsest mõju pole, sest valijad said hääle anda ja hääl läks arvesse ka nimetatud aja jooksul. Tegemist on maine/usaldusväärsuse intsidendiga, mille mõju valimiste läbiviimisele ja valimistulemusele võib olla kaudne: madalama usaldusväärsuse puhul võib osa hääletajaist hääletamisest loobuda.
Oluline on ära märkida, et tegemist on konfiguratsiooniveaga, mille puhul pole põhjust kahtlustada pahatahtlikku või ebapädevat käitumist. Seega RIA hinnangul ei mõjuta intsident oluliselt e-hääletuse läbiviimist ega selle küberturvalisust.
Juhtum nr 2
Paljudel MacOSi uusima platvormi kasutajatel ei toiminud valijarakendus koos ID-kaardiga. Valijarakendusel ei olnud vaikimisi õigust kaasata teiste rakenduste teeke. Valijarakendus ise toimis, kuid selle puudulik signeerimine mõjutas lõpptulemust. Probleem tuvastati, lahendati ja loodi uus valijarakenduse versioon.
Mõju: MacOSi kõige viimase operatsioonisüsteemi versiooni Big Sur kasutajad ei saanud ID-kaardiga e-hääletusel kuni esmaspäeva lõunani osaleda. Selle tõttu võis jääda paljudel e-hääletamata, kuniks esmaspäeva pärastlõunal tehti avalikuks uue signatuuriga valijarakendus (kasutajatugi registreeris üle 30 pöördumise, kuid tõenäoliselt võis probleem mõjutada sadu kasutajaid või rohkem). Kõik need kasutajad said uuesti katsetada ja e-hääletada alates esmaspäeva pärastlõunast ja saavad seda teha laupäeva õhtuni.
Mõju on olemas ka e-hääletuse korraldajate usaldusväärsusele. Riigi valimisteenistuse (RVT) juht Arne Koitmäe ütles usutluses väljaandele Geenius.ee, et viga avaldus seetõttu, et rakendust ei testitud vastavalt.
RIA hinnang: intsident takistas umbes kolme tunni jooksul e-hääletamist teatud valijagruppide jaoks (ID-kaardiga MacOS Big Suri kasutajad). Samas on e-hääletuse protseduur ja eelhääletamise aeg Eestis niimoodi seatud, et valijad said oma hääle anda pärast intsidendi lahendamist. Samuti oleks neil olnud võimalik minna ja anda füüsiline hääl jaoskonnas. Seega intsident e-hääletust oluliselt ei mõjutanud.
Maine/usaldusväärsuse osas tuleb märkida, et intsidendile on meedias pööratud kõrgendatud tähelepanu. Ent ka varasemate valimiste ajal on teatud operatsioonisüsteemide-kaartide koosmõju e-hääletust takistanud, kuniks e-hääletuse korraldajad on intsidendi ära lahendanud ja genereerinud uue valijarakenduse. Seega ei mõjuta intsident e-hääletuse mainet oluliselt ega uudselt.
Juhtum nr 3
MacOSi valijarakenduse dokumentatsioon valimised.ee leheküljel oli ebatäpne. Valijarakenduse failinimi oli teine (dokumentatsioonis „valimine.dmg“, päriselt „KOV_2021_mac.dmg“), samuti ei langenud kokku valijarakenduse faili kontrollsumma ja dokumentatsioonis olev kontrollsumma. Erinevused tekkisid mitmel põhjusel. Kui avaldub uuesti mõni käideldavuse viga, mistõttu on vaja valijarakendust uuendada, tuleb uus fail avalikustada alati koos uue kontrollsummaga. Dokumentatsiooni ebatäpsused tulenevad suuresti inimlikust eksitusest.
Mõju: valimiste läbiviimisele mõju pole. Kõik e-hääletajad on saanud oma hääle anda ja kõigi hääled on arvesse läinud. Mõju on e-hääletuse korraldajate usaldusväärsusele ja turvaprotseduuride paikapidavusele. Teisisõnu: valimisteenistus kutsub üles usaldusväärsuse kontrolliks võrdlema valimiste koduleheküljel avalikustatud dokumentatsiooni valimisrakenduste failidega, kuid ei ole taganud, et dokumentatsioon sellele kontrollile ka vastab.
RIA hinnang: tegemist on maine/usaldusväärsuse intsidendiga, mille mõju valimiste läbiviimisele ja valimistulemusele on kaudne ja mitmetahuline. E-hääletuse üks kontrollimehhanism on protseduur, kus valija saab kindlaks teha, et tema valijarakendus on autentne, võrreldes seda dokumentatsiooniga. Kõnealusel juhul ei olnud see teatud tundide jooksul võimalik. RIA hinnangul tuleb sellistesse protseduuridesse suhtuda täie tõsidusega, sest usalda-aga-kontrolli-põhimõte nõuab ka täpsust ja kontrollimise võimalust. E-hääletuse esimeste tundide jooksul ei olnud seda võimalik aga teha. RVT kodulehel polnud ka selgitusi, miks dokumentatsioon erineb. Teiseks peab arvestama, et kui usaldus e-hääletuse vastu kaheneb (ja puudub kontrollimise funktsioon), võib osa hääletajaist loobuda e-hääletamisest või ka hääletamisest.
Kuna dokumentatsioon saadi võrdlemisi kiiresti korda, võib hinnata, et mõju e-hääletuse läbiviimisele ei olnud märkimisväärne.
Juhtum nr 4
E-hääletuse lähtekoodis esines vigu. „Kuni veel pühapäeva õhtuni GitHubis olnud iOSi kontrollrakenduse koodi readme- ja about-faili sisu ei ühtinud. Ühes oli kirjas, et tegu on Androidi äpiga, ning teises, et tegu on hoopis iOSi äpiga.“
Mõju: mõju valimiste läbiviimisele pole. Kõik e-hääletajad on saanud oma hääle anda ja kõigi hääled on arvesse läinud. Mõju pole ei käideldavusele, konfidentsiaalsusele ega terviklusele.
RIA hinnang: niisugused näpuvead ei mõjuta e-hääletuse läbiviimist, mõju usaldusväärsusele on madal.
Geeniuse ajakirjaniku seisukoht: e-hääletuse lähtekood avalikustati liiga hilja
Mõju: tegemist on ajakirjaniku hinnangul maine/usaldusväärsuse intsidendiga, varasem avalikustamine oleks parandanud e-hääletuse läbipaistvust ja andnud valijatele/arendajatele/kriitikutele võimaluse varem uuendustega tutvuda.
RIA hinnang: pole selge, mida oleks ajakirjanik lähtekoodiga teinud, kui see oleks avalikustatud nädal või kuu aega varem, ning mis olnuks ajakirjaniku hinnangul õige aeg lähtekood avalikustada. Muudatuste ajendiks on igas valimistsüklis ka konkreetse turvatestimise tulemused. See tähendab, et välised osapooled (turvatestija) on juba saanud lähtekoodiga tutvuda ja leida sealt parendamist vajavad kohad.
Teiseks avalikustatakse valimisrakendus ja selle lähtekood teadlikult võimalikult hilja, et ära hoida originaaliga sarnanevate libarakenduste valmistamist ja levitamist valimiste toimumise ajal.
Lähtekoodi avalikkus kannab e-hääletuse süsteemi läbipaistvuse väärtust, mida on RVT (ja ka RIA) korduvalt rõhutanud kui Eesti e-hääletuse tugevust. Lähtekoodi avalikustamise aeg ei ole kriitilise tähtsusega. Kuna lähtekoodi on testitud, auditeeritud ja parandatud, siis hindame, et e-hääletuse alustalad on tehnoloogiliselt jätkuvalt selged ja pole põhjust kahelda valimiste e-hääletuse läbiviimise protsessis.
KOKKUVÕTTEKS
Nimetatud intsidendid on enamasti maine ja usaldusväärsuse intsidendid, millel on mõju valimiste korralduslikule poolele ning e-hääletuse tarkvara arenduse ja konfiguratsiooni usaldusväärsusele. Vaid MacOSi valijarakenduse intsident mõjutas esimese valimispäeva esimeses pooles lühiajaliselt ka konkreetselt hääletamist, mistõttu võib hinnata, et mõju oli ka valimisrakenduse käideldavusele. Kõigil puhkudel on tegemist tavapäraste infosüsteemi parandustega, mida esineb pea igas kliendirakendusega infosüsteemis.
E-hääletuse süsteemi paigaldamist ja valijarakenduse versioone saaks alati rohkem testida, et taolisi vigu varem avastada. E-hääletuse maine nii Eestis kui ka maailmas on meie hinnangul ülioluline. Taolised apsud ei tohi jääda tähelepanuta, neid tuleb võtta arvesse järgmiste valimiste eel, kuid see tähendab ka rohkem inimressursse e-hääletuse jaoks enne valimisi ja valimistevahelisel perioodil.
Ühestki intsidendist ei nähtu pahatahtlikku tegevust, samuti ei ole intsidentidel mõju häälte konfidentsiaalsusele ega süsteemi või andmete terviklusele. Valimiste küberturvalisus pole ohus olnud.
E-hääletuse usaldusväärsus ja maine on olulised, kuid kirjeldatud juhtumid ei mõjuta meie hinnangul kriitiliselt hääletamisest osavõtmist, valimiste läbiviimist ja e-hääletuse süsteemi konfidentsiaalsust, terviklust ja käideldavust.