מי אני ולמה דעתי חשובה
שמי רן בר-זיק ויש לי תפקיד דואלי – אני גם ארכיטקט תוכנה ומתכנת עם לא מעט שנים בפיתוח מערכות גדולות – פרונט אנד ובק אנד בתאגידים גדולים מאוד וגם כיועץ המתמחה בתהליכי CI. בנוסף לכך, אני גם עיתונאי טכנולוגיה בדה מרקר (לא כותב טור, לא פרשן, עיתונאי אמיתי כחלק ממערכת) וחשפתי, גיליתי או סיקרתי פרשות רבות של כשלונות ממשלתיים ודליפות מידע. אני לא מומחה סייבר אבל מבין מספיק בתכנות, בפיתוח, בנטוורקינג ובדבאופס כדי לגלות פרצות וחורי אבטחה משל עצמי.
מטרת המאמר הזה
מטבע הדברים אני כל הזמן נדרש להגיב לעיתונאים, פרשנים, מומחי בחירות ואנשים מזדמנים ששואלים שאלות על למה אין בחירות דיגיטליות בישראל. כתבתי על כך לא מעט מאמרים ופוסטים אבל הגיע הזמן לרכז את הכל במאמר אחד, פתוח לקריאה, שיכול להבהיר גם לאנשים לא טכניים למה בחירות דיגיטליות בישראל הן אסון וקטסטרופה. במאמר יש הרבה מאוד רפרנסים נוספים, קישורים ומידע והוא באמת מרכז את הכל. אני גם אעדכן אותו בהתאם לתגובות כאן ובמקומות אחרים.
ארוך מדי, אין לי כוח לקרוא
מכירים את המשפט: ״צריך אלף חכמים בשביל להוציא אבן אחת שמישהו זרק לבאר״? אז ככה גם עם בחירות דיגיטליות. קשה להסביר למה זה קשה. ממש. אני אסביר למשל עם השאלה: ״מה הבעיה להרים אתר כמו גוגל?״ בפועל מדובר באתר פשוט מאוד – יש שדה חיפוש, כפתור ״חפש״ וזה הכל. מה הבעיה לבנות אחד כזה? בפועל זה משהו קשה מאוד אבל כן נדרש ידע טכני והבנה על מנת להסביר למה כל כך קשה לבנות מנוע חיפוש.
אז אם אתם מסתפקים בהסבר של ״תשמע, אני אדם טכני עם ניסיון וזה מורכב מאוד ואני חושב שזה רעיון מאוד רע לביצוע במדינת ישראל בשנים הקרובות״ אז אין לכם מה להמשיך לקרוא. אולי תסתפקו בשני ההסברים הפשוטים הבאים.
הראשון של XKCD, רנדל מונרו הוא מתכנת, איש פיתוח ומהנדס מאוד מוערך. הנה הטייק שלו שידוע כ״2030״:
הסבר פשוט נוסף הוא המשפט הקבוע שלי: איך מדינה שלא יכולה להרים אפילו אתר שמציג את תוצאות הבחירות יכולה להרים בחירות דיגיטליות?!? Come on. מישהו ניסה להוציא דרכון בזמן האחרון? מה גורם לכם לחשוב שבחירות דיגיטליות לא יגמרו בפיאסקו?
ההסבר הזה לא מספיק טוב לכם? רוצים משהו טוב יותר אבל לא טקסט באורך הגלות? בפרק חגיגי לכבוד הבחירות הפודקאסט סייברסייבר מכיל 45 דקות של הסברים שלי, של נעם רותם, פרופסור אור דונקלמן וד״ר אייל רונן.
הפרק בפודקאסט לא מספיק? יש את הסרטון הקצר הזה של טום סקוט:
לא מספיק טוב? רוצים להעמיק? בואו ונמשיך להסבר נרחב יותר. נתחיל בלהסביר על האתגרים, נכנס קצת לראש של ארכיטקט תוכנה כשמבקשים ממנו לממש פרויקטים קשים ואז נמשיך להסברים נוספים על פרויקטים דומים בעולם.
למה זה כל כך מסובך? למה זה שונה ממערכות אחרות?
לפני הכל – צריך להבין את המורכבות העצומה של מערכת כזו. מערכת לניהול בחירות דיגיטיליות היא מערכת יותר מורכבת דרמטית ממערכות אחרות שאנו משתמשים בהן כמו קניות, מסחר בבורסה, או כל דבר אחר.
למה? כי בבחירות דיגיטליות יש לנו שני עקרונות חשובים:
הראשון הוא אנונימיות. הבחירה שלי חייבת להיות אנונימית ולאיש, כולל המערכת, אסור לקשר בין הזהות שלי לבחירה שלי. בניגוד למשל לקניות או מסחר. כשאני קונה בבורסה, אני לא נדרש לשמור על אנונימיות מוחלטת. אפילו כשאני קונה ביטקוין, התיעוד של הקניה נשאר ויכול להיות מוצמד לזהות האמיתית שלי – במיוחד אם אני קונה דברים פיזיים. אפילו עם Tor אנו לא משיגים אנונימיות מוחלטת משחקן ששולט על הרשת. פה אנו צריכים אנונימיות מוחלטת גם כלפי המערכת וגם משחקנים אחרים. זה דבר מאוד מאוד מסובך להשגה וייחודי מאוד.
השני הוא שאין אפשרות ל-Rollback. כלומר אי אפשר לבצע תיקוני שגיאות בטרנזאקציה. אם למשל אני רוכש בטעות מוצר, או קונה בטעות מניה, או תורם בטעות כספים – אני יכול לבקש החזר, למכור את המניה שרכשתי בטעות או לבצע זיכוי אחר. זה אולי יהיה קשה, או כרוך בעלויות מסוימות, אבל לגמרי אפשרי. בבחירות אין. גם בגלל האנונימיות וגם בגלל שהבחירה שלי יכולה להשתנות בהתאם לתוצאות. אין Rollback. נגעת? נסעת. אין גם אפשרות לבצע Rollback אם יש שגיאות במערכת. למשל אם אני יודע שעשרים אלף הצבעות לא נכנסו למערכת בגלל עומס או תקלה במסד הנתונים, בגלל עקרון האנונימיות אני לא יכול לבצע הכנסה מחדש כי אני לא יודע ללמי הצבעתי.
סיכון משמעותי נוסף: זו זכות אזרחית מהותית
ישנו עוד סיכון משמעותי וזה העובדה שבניגוד למערכות אחרות, כל כשל במערכת הזו יכול להביא לכשל משמעותי בזכות אזרחית מהותית. אם אני לא מצליח לבצע רכישה של חפץ בשעה הקרובה, אני יכול לבצע את הרכישה בעוד שעה. גם אם המחיר ישתנה, עדיין אני אוכל לקנות ולאחר מכן אולי להחליף ברוקר או מערכת. אם אני לא מצליח להוציא דרכון כי המערכת כושלת, אני אוכל להוציא אותו מחר. אם בטעות הבקשה לא הצליחה, אז אני אוכל להוציא דרכון חירום בנתב״ג ולצאת מהארץ. זה אולי יעלה עוד כסף (שאפשר לבקש כהחזר). אבל הזכות המהותית שלי לא תפגע. פה, אם כתוצאה מכשל כלשהו ההצבעה שלי לא תעבור או תרשם. או לחלופין אני לא אצליח להכנס למערכת ההצבעות או שההצבעה שלי תחשף – יש כאן פגיעה בזכות מהותית ממש לדמוקרטיה. גרוע מכך, אפילו רמז לכשל במערכת הבחירות יכול להביא לאובדן אמון כולל במערכת ולהתפוררות הדמוקרטיה. עוד על כך בסעיף על פוסט אמת.
אחרי שהבנו את מורכבות המערכת ולמה היא שונה באופן מהותי ממערכות אחרות שמשמשות אותנו כמו מסחר, קניה, הוצאת מזומן וכו׳. אנחנו צריכים להכנס בכובד ראש לכלל הבעיות המקיפות שיש. נתחיל בבעיות התפעוליות, שיכולות להראות את מורכבות המערכת, נעבור דרך אבטחה, קריפטוגרפיה וכן בעיות אחרות שייחודיות למערכת הזו.
לפני פתרון הבעיות – הערכת הכוחות בשטח או איכות כוח האדם שיש לך
כארכיטקט תוכנה, הדבר הכי חשוב שאני בודק כששואלים אותי אם אפשר לפתח מערכת מסוימת היא כוח האדם שיש לי. למשל, אם אני צריך לפתח ממשק צד לקוח פשוט אבל הצוות הוא צוות אנשי Devops מיומנים ומעולים – עדיין הערכת הזמן שלי תהיה גבוהה ואם מדובר בממשק צד לקוח מסובך יותר זה יהיה מורכב לאין שיעור ואפילו בגבול הבלתי אפשרי. כי אם אני אלמד אנשי דבאופס לעבוד עם ריאקט רובם יתפטרו.
אם רוצים לפתח קוד CDK שמבצע דיפלוימנט לשרתים (זה הליך טכני שיכול להיות מסובך של פריסת תוכנה לשרתים) אבל הצוות ברובו הוא אנשי צד לקוח מיומנים וחדים, עדיין הערכת הזמן תהיה גבוהה וסיכויי הכשלון של הפרויקט מאוד גבוה. נכון, לעין הרגילה כל המתכנתים והאנשים הטכניים נראים אותו דבר. אבל בדיוק כמו שעם מפתח L אי אפשר לפתוח כל מנעול, כך גם עם צוותי פיתוח – גם אם הם מנוסים מאוד, אי אפשר תמיד לפתח כל דבר עם כל כוח אדם שיש לך. במקרה הזה מדובר באתגר משמעותי מאוד וכשאנו ניגשים להערכת הסיכונים ולוח הזמנים הדבר הראשון שאנו בודקים הוא איכות כוח האדם, המומחיות שלו והניסיון שלו. סאן טסו אמר שהנצחון מובטח אם אתה מכיר את עצמך ומכיר את האויב. הנצחון הוא 50/50 אם אתה לא מכיר את עצמך ומכיר את האויב, או אם אתה מכיר את עצמך ולא מכיר את האויב. ההפסד הוא ודאי אם אתה לא מכיר את עצמך ולא מכיר את האויב. אם אנו רוצים להצליח בפרויקט מורכב, אנחנו חייבים להכיר את עצמנו ואת המשאבים שיש לנו.
במקרה של הממשלה, יש איים של מצוינות פה ושם, אני לא רוצה להעליב חלק מהמתכנתים הטובים של הממשלה שבאמת עמלים ופועלים לטובת כולנו. אבל להשתמש בממשלה כגוף פיתוח זה לאו דווקא רעיון טוב במיוחד. אוסף הכשלים והכשלונות הטכנולוגיים הממשלתיים היא עצומה. ממשלת ישראל, ויש שיגידו כל ממשלה, היא לא מספיק טובה בפיתוח פתרונות. במערכת הבחירות של שנת 2022 היו תקלות אפילו במערכת שנועדה להציג למשתמשים איפה הם מצביעים.
הממשלה לא מצליחה אפילו לשלוח הודעות לבוחר בדואר. טכנולוגיה בת 200 שנה כמעט.
סיקרתי כל כך הרבה כשלים ממשלתיים ודליפות מידע שאני אפילו לא יודע איך להתחיל להסביר עד כמה הממשלה הישראלית לא טובה בהתמודדות עם פרויקטי תוכנה מורכבים ממש. פרויקט ניהול בחירות דיגיטליות הוא משימה כבדת משקל וקשה מאוד, שרוב המדינות כן נכשלות בה (על כך בהמשך) ושהוא שונה ממערכות רבות אחרות. כרגע אני לא רואה את הממשלה הישראלית מצליחה לעשות פרויקט כזה.
זה לא אומר שאי אפשר שהממשלה תשקיע הון עתק ותרים סיירת פיתוח שמורכבת מאנשי DevOps מצוינים, אנשי צד לקוח מיומנים ואנשי בקאנד אדירים יחד עם מנהלים מוכשרים מאוד, מעצבים, אנשי תוכן וממשק יוצאי דופן שיצליחו להתגבר על אתגר טכנולוגי משמעותי מורכב. אבל מה הסיכוי לכך? גם כשהממשלה משקיעה מאות מיליוני שקלים – זה נגמר לא טוב.
ומה עם מיקור חוץ? מעבר לכך שזה רעיון מאוד מאוד רע להעביר את פעילות הליבה שלך למיקור חוץ – גם פרויקטי מיקור החוץ של הממשלה נוטים להכשל. מערכת הזמנת הדרכונים הכושלת והידועה לשמצה? היא במיקור חוץ.
אבל אנחנו אומת הסטארטאפ!
זו הטרגדיה הישראלית. בישראל יש לא מעט כשרונות מכל הסוגים – יש כאן מאות מרכזי פיתוח של מיטב התאגידים והחברות מגוגל ועד אמזון. יש לנו יחידות צבאיות של סייבר התקפי מצוינות וחברות סייבר הגנתי נפלאות ומומחים בסדר גודל עולמי. אבל רובם המוחלט והמוחץ? עובד במגזר הפרטי שמייצא לחו״ל ולא עובד במגזר הממשלתי או זה שפונה לשוק הישראלי וגם לא יעבוד. גם אם ישלמו לו הון עתק (ובגלל זה צריך להודות ולהעריך מתכנתים טובים שעובדים בממשלה). זה לא רק עניין של משכורת, זה עניין של תרבות עבודה ואופק מקצועי. אם אתם הייתם מפתחים מאוד מוכשרים, היכן הייתם עובדים? במגזר גלובלי המציע עבודה עם המנהלים והמתכנתים הטובים בעולם או בממשלה, על האילוצים הפוליטיים, יו״ר הועד המשופם הזועם ומנהל שהוצנח לתפקידו כי הוא בן הדודה של חיימון המנכ״ל? אני לא רוצה לזלזל שוב במתכנתים הממשלתיים וגם לא באלו של המגזר הפרטי וההייטק הגלובלי אבל כל הדוגמאות שהבאתי קודם מראות שנכון, בישראל יש חברות טובות ומתכנתים טובים, אבל רובם לא נמצאים בממשלה. ומה עם אלו ביחידות הצבאיות? צריכים אותם ביחידות הצבאיות וגם כשרון של סייבר התקפי הוא לא כשרון פיתוח.
חמושים בתובנה שאנחנו ניגשים לקרב עם צבא שעלול להיות לא מתאים למשימה המאוד גדולה הזו, בואו ונראה למה שדה הקרב הוא בעייתי ולמה יש קשיים רבים מעבר למערכות רגילות בכלל ומערכות ממשלתיות בפרט. גם אם הבעיות האלו פתירות, וחלקן כן, הן לא ניתנות לפתרון על ידי ממשלת ישראל.
הזווית התפעולית: בעיות ביצועים
בעיות ביצועים וזמינות מלוות כל אתר גדול מרגע הקמתו. כאשר יש לנו בעצם שתי בעיות – בעיית זמינות. אתר שקורס ולא עובד בכלל ובעיית ביצועים כאשר הכל איטי עד כאב. אתרים קורסים בדרך כלל בגלל עומס מבקרים. יותר מדי מבקרים בזמן אחד ואז האתר לא מצליח לתת מענה לכולם ואז בעצם קורס. ראינו את זה בלא מעט מערכות ממשלתיות – למשל אתר הגרלת הדירות של משרד השיכון שקרס כי לפני ההגרלה לא מעט אנשים נכנסו אליו.
בעיות ביצועים קורות לא מעט פעמים באתרי אינטרנט בעומסים נקודתיים. למשל במבצעים באתרי קניות או כאשר כולם רוצים להרשם בדקה התשעים.
מדובר בתקלה מאוד לא נעימה שמתרחשת כל הזמן. אבל ״לא נעים״ עלול לקבל תפנית אחרת לגמרי כאשר מדובר באתר בחירות. מה יקרה כאשר בשעה 21:50, כאשר כל אלו שנזכרו שלא הצביעו ייכנסו ואז הכל יתחיל לג׳עג׳ע? להגיע לקלפי פיזית כבר יהיה מאוחר מדי. וזכות מהותית תיפגע בגלל שעברנו לדיגיטלי.
גרוע מכך, בעיות ביצועים לפעמים גורמות למידע לא להקלט או להקלט בצורה שגויה. האתר/אפליקציה עובדים – אבל כאשר אנו משגרים את הצבעתנו, יש תצוגה של ״שולח…״ שלעולם לא מתבצעת וייתכן שלא תהיה אינדיקציה שההצבעה לעולם לא הגיעה ליעד. אם זה קורה מייד לאחר שיש עומס במערכת כי אחד מהמתמודדים למשל הצליח בקמפיין בחירות מוצלח בדקה ה-90 לעורר את אנשי המחנה שלו – אז שוב אנו בבעיה מהותית.
אפשר לפתור כמובן בעיות כאלו עם auto scaling. אבל תמיד יש סיכון שמידע ילך לאיבוד. אני רק מזכיר את הנחת היסוד שאין Rollback או ניסיון חוזר במקרה של בעיית ביצועים. אני לא יכול לאגור את המידע באיזה תור ואז לשגר שוב את ההצבעה אחרי שעתיים. וכמובן, אנו צריכים לזכור שיש לנו את עניין כוח האדם הלא מיומן. כלומר הממשלה, שכושלת שוב ושוב בבניית מערכות שיכולות לשאת עומס, צריכה לבנות מערכת שתעמוד בכל עומס – גם כזה של מיליונים בשניה. לא בדיוק דבר שהייתי סומך עליו כשמדובר בממשלה הישראלית שלה אין ניסיון בכך.
הזווית התפעולית: בעיות UI
בעיה נוספת היא בעיית ה-UI. כלומר ממשק המשתמש. יש בכל בחירות יותר משלושים מפלגות. אי אפשר להציג את כולן על המסך. איך יבחרו מה להציג בפני הבוחר? אם ישתמשו בחיפוש טקסטואלי למשל, יש לנו בעיות עם קהל שאינו שולט היטב בעברית, ערבית או שפה אחרת. אם יציגו את הפתקים – נשאלת השאלה באיזה סדר וכמובן יש מפלגות שיופיעו בדף השני והשלישי (שטח המסך מוגבל). יש פה משמעות כבדה לממשק ואפשרות או להפלות מפלגות, או לבלבל משתמשים.
בנוסף, יש לנו Dark Patterns. שזו דרך לכוון משתמשים לכיוונים שהם לאו דווקא רוצים לעשות. כתבתי על כך כמה פעמים ודוגמה טובה לכך אפשר למצוא בסמסים של משלוחים שמבקשים ממך בהתחלה לבחור נקודת משלוח ולמטה בסוף כתוב שאם לא תבחר, יגיע שליח אליך. הנה דוגמה מהירה שתמחיש את הבעיה:
זו כמובן דוגמה מאוד מוטית שלא תקרה אבל תעלולי ממשק או שגיאות בממשק בהחלט יכולים לגרום לבעיות שונות ומשונות. מהצגת מפלגה מסוימת באופן בולט או מיקום של חלק מהמפלגות בשולי הממשק בצורה שעלולה להפריע למבוגרים להקליק על ההצבעה. אפשר כמובן להקים כמה צוותים ויועצי UI כדי להמנע מהבעיה הזו, אבל אנחנו מדברים על הממשלה, כן?
בנוסף, בעיות UI יכולות לגרום גם בעיות ביצועים שונות וממשק בעייתי ומעצבן שעובד היטב רק בפלטפורמה מסוימת ולא עובד באחרת, עלול גם הוא לחבל בהצבעה. חישבו למשל על מצביע שנכנס לתומו עם מכשיר האייפון שלו רק כדי לגלות שהממשק לא תומך בספארי. והשעה 21:50. או על המשתמש המבוגר שלא שם לב שיש חלון של ״הצבעתך נשלחת״ וסוגר את האפליקציה מבלי לדעת שזכותו נשללה.
הכל פתיר – אבל אני מחזיר אתכם לסעיף שבו אנו מסתכלים על הכוח הפיתוחי שלנו. ומדובר במשימה מאוד מאוד כבדה גם לכוח פיתוחי חזק.
בעיות נוספות – נתונים, התממה ו-Audit
חלק גדול מתכנון מערכת הוא לתכנן מה יקרה אם יש outage או Data corruption במערכת. מה קורה למשל אם בשל תקלה, מה קורה כאשר חלק ממסד הנתונים נמחק? ישנן כמה אסטרטגיות לטפל בבעיה כזו. אבל רובן נשענות על גיבויים וזו בעיה כאשר אנו בעצם מחייבים אנונימיות מוחלטת. נניח שחלק ממסד הנתונים נמחק – איך נדע עד איזה רשומה לשחזר? במסד נתונים של אפליקציה רגילה זה קל – נשחזר עד הרשומה האחרונה שנקלטה ונדע זאת לפי הזמן. פה אם נשמור רשומת זמן, אנו עלולים לשבור את האנונימיות.
בעיה נוספת היא התממת המידע (התממה היא אנונימזציה של המידע, כלומר לגרום למידע לא להיות מקושר אל המשתמש) – חלק מתכנון המערכת הוא לוודא שלא נגרם נזק משמעותי אם המערכת נפרצת. זו הסיבה למשל שאנו מגבבים את הסיסמאות במסדי נתונים – נזק משמעותי כזה יכול להיות הסרת האנונימיות. זו הסיבה שצריך מאוד להזהר שלא לשמור לוגים – אותם רישומים שנוצרים במהלך פעילות מערכת תקינה. אנחנו גם צריכים לוודא שאין TimeStamp בהצבעות, כיוון שזמן מדויק של רישום קול יחד עם זמן מדויק של מי שנכנס למערכת מאפשר למי שישיג גישה למסד הנתונים כתוצאה מפריצה/דליפה גישה לפירוט של מי הצביע.
מערכות מודרנית שומרת לוגים ו-Audit על כל פעולה שהיא עושה. זה נועד לאפשר לי לתחקר כל פעולה במערכת. למשל, אם לקוח מתלונן שהוא ביצע הזמנה באתר אך לא קיבל את המוצר – שימוש במערכת הלוגים מאפשר לי לדעת בדיוק איפה אירע הכשל. במאמר הזה אני מסביר למה לוגים חשובים וגם איך הם איפשרו לי לחדור לאתר מערכת הבחירות של ש״ס למשל. בעוד שלוגים הם לא בעייתיים במערכות רגילות, אפילו כספיות ממש. כאשר בונים מערכת שחייבת להיות אנונימית כמו מערכת בחירות, צריכים לוודא מצוין מה נכנס ללוג ומה לא כי לוגים נוטים לדלוף או להאסף במקומות לא צפויים והם לעתים הרבה פחות מאובטחים. דרך לוגים אפשר למצוא לא מעט מידע ובמערכת ממוחשבת שהאנונימיות היא חלק משמעותי ממנה – חשוב לחשוב גם על הלוגים כדי למנוע מצב שלוגים פשוטים ישברו את האנונימיות של המערכת.
סיכום ביניים: בעיות תפעוליות
עד עכשיו דיברנו על הקשיים המרובים שיש במערכת בחירות שנובעת מכך שמדובר במערכת שבניגוד לשאר המערכות בעולם היא אנונימית לחלוטין מצד אחד ומהצד השני לא ניתן לבצע Rollback. הקשיים האלו הם קשיים טכניים שניתן לפתור אבל, וזה אבל חשוב, היכולת הטכנית של ממשלת ישראל היא לא משהו בכלל ולאור הכשלים הטכניים המרובים של כמעט כל המערכות שהממשלה בונה, אולי צריך לחשוב פעמיים.
אבטחה – למה סיכוני האבטחה במערכת בחירות דיגיטליות יותר גדולים
הבעיות שיכולות להגרם למערכות ההצבעה הן לא רק תפעוליות (וזו בעיה גדולה – אני רק מזכיר שמדובר במערכת שהיא שונה ממערכות מסחר רגילות בגלל האנונימיות וחוסר האפשרות לבצע שחזור לאחור) אלא גם אבטחתיות. מן הסתם סיכוני אבטחה יש בכל מערכת אבל סיכוני ההתקפה במערכת בחירות דיגיטלית כלל ארצית ובמיוחד בישראל הם גדולים מאוד. כשאנו מבצעים Threat Modeling כדי להעריך את סיכוני ההתקפה אנו מנסים למפות את השחקנים השונים של המערכת ולמי יש אינטרס לבצע התקפה. יש לא מעט שחקנים שרוצים לפגוע במערכת הבחירות האלו. מגורמים חיצוניים שעושים זאת אולי לשם רווח, דרך גורמים חיצוניים שתוקפים לשם רווח פוליטי/תדמיתי וגם המפלגות עצמן ואפילו המצביעים שישמחו לחבל בתהליך ההצבעה כדי להרוויח עוד קול או למנוע ממישהו אחר להצביע כרצונו.
הזווית האבטחתית: התקפות מרחוק
אני לא הולך לסקור כאן את כל ההתקפות השונות והמשונות מרחוק שאפשר לעשות למערכת כזו. יש המון. למשל התקפת DDOS: התקפת מניעת שירות מבוזרת שבמסגרתה שרתים רבים שולחים בקשות מרובות לשרתי המערכת ומפילים אותה. ההתקפה הזו נחשב התקפה קצת מגוחכת כי ההשפעה שלה זמנית. אבל כיוון שהבחירות הן מוגבלות בזמן. דווקא הפעלה שלה ביום הבחירות היא אפקטיבית. לא צריך להשבית את המערכת לתמיד, אלא רק לשעה. למשל מ-21:00 עד 22:00. השעה שבה התהליך נסגר. התוקף ישיג כאן כמה מטרות – מעבר להצלחה מורלית, גם לקיחת זכויות מהותיות מאזרחים ישראלים.
ישנן גם התקפות נוספות – קוד זדוני שמושתל במערכת בדרכים שונות – ויש לא מעט כאלו שעלול לשנות את ההצבעה של המשתמשים. קוד שמושתל אצל המשתמשים עצמם בדמות תוסף או קוד שמופעל אך ורק ביום הבחירות כשהם נכנסים לאתר או לאפליקציה. התקפת MiTM שבמסגרתה התוקף מבצע התחזות לאתר הבחירות כדי לסכל או לגנוב הצבעה. ברגע שהבחירות הן דיגיטליות, החגיגה מאוד מאוד מתרחבת.
גם כאן, הכל פתיר. מדובר בקשיים טכניים מרובים – כי אפשר לבצע את ההגנה הזו אבל צריך לזכור שהיא מסתבכת אפילו יותר כי יש כאן אנונימיות מוחלטת. למשל ההתקפה שמתוארת במאמר הזה שכתבתי שבמסגרתה חוקרים הצליחו לפצח אנונימיות של מערכת באמצעות האזנה היא לא התקפה מהותית במקרה של אתר סחר כלשהו אבל כן התקפה מאוד מהותית כאשר מדובר על מערכת שצריכה להיות אנונימית. אולי אפשר להתגבר על זה, יחד עם הקשיים התפעוליים המרובים – אבל אני אחזיר אתכם לסעיף של היכולת של המדינה. האם ישראל, במצבה הנוכחי, יכולה להתגבר גם על הקשיים הטכנולוגיים וגם האבטחתיים של פיתוח מערכת כזו?
סכנת האבטחה של מי שעומד מאחוריך
כמובן שכאשר אנו מדברים על בחירות דיגיטליות אנחנו גם מתעלמים מסכנת האבטחה הגדולה מכולן – שפשוט אדם שעומד ליד הטלפון / מכשיר / מחשב יכול להכריח אותך להראות מה אתה מצביע ולבחור בשבילך. זה יכול להיות המטפל של סבא שבא לו להרוויח עוד קול. זה יכול להיות המעסיק שלך, מנהל בית הספר או הישיבה שמכנס את כל התלמידים, בן או בת הזוג או אבי החמולה. במקרה הזה זה לא סיכון אבטחה טכנולוגי אלא סיכון אבטחה ופרטיות שתמיד יהיה בהצבעות מרוחקות.
אז למה אי אפשר לסמוך על זה שהמערכת תהיה מנותקת מהאינטרנט או על מכונות הצבעה?
לא מעט אנשים מבינים שהצבעה דיגיטלית מרחוק עלולה להיות בעייתית ומציעים פתרון של מכונות הצבעה: מכשירים מאובטחים שנמצאים בתוך הקלפי. מכשירים כאלו לא פותרים את הבעיה כי בעידן של היום אבטחה באמצעות ניתוק מהאינטרנט היא כבר פחות מעשית ולא מעט פעמים היא מגן של נייר. כאשר אנו מדברים על טאבלט או מכשיר מנותק מהרשת החיצונית אנחנו נכנסים לעולם חדש של כאב מבלי לפתור את הכאבים במערכת אינטרנטית. ראשית, יש לנו עדיין את הבעיות התפעוליות (ביצועים, UI) – אבל אליהן מצטרפות בעיות אחרות – למשל מי פורס את התוכנה על המכשירים האלו? מי מוודא שהתוכנה על המכשירים האלו רצה על מערכת הפעלה מאובטחת ומעודכנת? מה ימנע מהטכנאי שפורס את התוכנה להכניס בה דלת אחורית או קוד זדוני? אם יש ניתוק של החשמל – מה קורה למידע ומי מוודא שהמידע הזה בהחלט נשאר? (לא לשכוח את בעיית הלוגים). אם המכשיר מחובר לרשת פנימית מבודדת מהרשת – אז גם לא מעט פעמים לא בטוח שהרשת הפנימית מבודדת. לא מעט פעמים באמצעות shodan הצלחתי להכנס לרשתות פנימיות מאובטחות דרך המדפסת למשל, או דרך מכשיר אחר. תוקפים הצליחו להסתנן לרשת פנימית סגורה באמצעות רספברי פיי שהכניסו אותו לגג. מי יבטיח לנו שזה לא יקרה פה.
יש את ה-Voting village ב-DefCon. חוקרי אבטחה בכנס בודקים מכונות הצבעה אלקטרוניות שאמורות להיות מבודדות וחסינות ומצליחים שוב ושוב לחדור אליהן באמצעים פשוטים – למשל השגת גישת ניהול באמצעות לחיצה על שני כפתורים בבת אחת כמה שניות, או ריסוט המערכת חשמלית ואז העלאה שלה מחדש במצב של ניהול.
בנוסף, חלק מהרכיבים האלקטרוניים יכולים להסגיר ואפילו בקלות את הקלט שמקלידים או משתמשים בהם. ממקלדות שדרך הרעש האלקטרוני שלהן אפשר לפענח בקלות מה קורה ועד רכיבי חומרה מרושעים שיכולים להעביר את המידע שיש עליהן לצד שלישי. זו הסיבה שחברות המייצרות ציוד רגיש, צריכות לבצע בדיקה מקיפה ואישור של ה-NIST (או גוף ביון מקביל) לחומרה שלהן לפני שהן משחררות את המערכות שלהן. כאמור יש לזה פתרון אבל זו עוד רמה של מורכבות שאני מאמין שחלק מהקוראים פשוט לא מכירים.
כאמור כל הבעיות האלו פתירות באופן טכני – אבל זה לא שיש איזה כדור כסף – להיפך. דווקא מכונות הצבעה מבודדות הן יותר פגיעות בהרבה מקרים ממערכת הצבעה מבוזרת כיוון שבנוסף לבעיות שיש – יש גם בעיות חדשות.
הזווית האבטחתית: בעיות של קריפטוגרפיה
קריפטוגרפיה היא מדע ההצפנה וגם מהכיוון הזה יש כמה בעיות. ראשית, הבעיה של פיצוח צפנים פוסט-קוונטי. מה זה אומר? בגדול זו הבעיה שכל ההצפנה כיום ניתנת לפיצוח על ידי מחשב פוסט קוונטי עתידי. לא מעט חברות משקיעות זמן ומאמץ איך להתגבר על זה. למה זה חשוב עכשיו? כיוון שתוקף יכול להקליט את התנועה עכשיו ולפתוח אותה בעתיד. כלומר תוקף יכול בעתיד לדעת מי ולאן כל אחד מאיתנו הצביע ולהשתמש במידע הזה. הסכנה הזו היא לא תיאורטית. יש צפנים שבתיאוריה אפשר להשתמש בהם כבר עכשיו על מנת להערך לעתיד הפוסט קוונטי אבל כלום לא בטוח. אני מזכיר שכל התנועה המוצפנת חשובה, אבל במערכת בחירות דיגיטלית היא אולטרא חשובה. לתוקף אין מה לעשות עם המידע המוצפן שאני חולק עם אתר הבורסה שלי בעוד כשנתיים. אבל המידע על ההצבעה של כלל תושבי המדינה יהיה חשוב מאוד עוד שנתיים, ארבע או אפילו עוד עשור (תחשבו למשל – אם מסתבר שבן גביר הצביע לחד״ש לפני כעשרים שנה למשל). אני רק מזכיר את ההנחות שמספיק אפילו רק רמז להתקפה כזו על מנת לבצע דיכוי הצבעה או חשש מגילוי הצבעה. המערכת צריכה להתמגן גם מסיכונים כאלו. אני מוכן להמר על כך שחלק מכם בכלל לא היו מודעים לכך.
בלוקצ׳יין
בלוקצ׳יין לא נחשב כפתרון מוצלח במיוחד לבחירות דיגיטליות. לא כולם חושבים ככה אבל במקרה הזה אני אתן את הבמה למומחה אמיתי: מר ויטלי בוטרין, ממציא האת׳ריום. בוטרין הוא אדם שאי אפשר להאשים אותו בחוסר תמיכה בעתיד הדיגיטלי ובטח לא בשנאה או טינה לטכנולוגית הבלוקצ׳יין והוא כתב מאמר ארוך ומעניין על בלוקצ׳יין בבחירות שמומלץ לקרוא. הוא טוען במאמר שבלוקצ׳יין הוא מילת קסם שאנשים שאינם מבינים מספיק מפריחים באוויר כדי להצדיק בחירות דיגיטליות. הוא טוען שבעתיד אפשר להשתמש בבלוקצ׳יין באופן מבוקר בבחירות (במאמר יש גם קישורים למאמרים של אנשים שלא מסכימים איתו). אבל הוא גם טוען באופן מפורש שכרגע בחירות דיגיטליות הן משהו שעוד לא בשל למערכת בחירות מלאה וצריך, עם הפרוטוקול המתאים, להיות רק בהיקפים קטנים כניסוי. וזה אדם שבאמת מבין בתחום הזה ואוהד אותו.
סיכום הטיעונים בהרצאה
כדי לסכם את כל הטיעונים כאן, אפשר לראות את ההסבר הנהדר של פרופסור אור דונקלמן מאוניברסיטת חיפה – לא קצר, אבל בהחלט שווה:
הזווית האבטחתית: יש בעיות גם בבחירות עם פתקים
חלק מהתומכים בבחירות דיגיטליות מכירים בבעיות העמוקות שיש בבחירות כאלו אבל טוענים שלא הכל מושלם בבחירות עם פתקים וגם ששם יש בעיות. אכן, אין שיטה חסינה וגם בחירות מסורתיות מועדות להפרעות ולפורענות – אבל כיוון שמדובר בשיטה ותיקה, גם הפתרונות הם ותיקים – חיזוק נוכחות משטרתית בנקודות ההצבעה, איפשור של תצלומי וידאו מחדרי הספירה וכמובן נוכחות משקיפים רבים בקלפיות ובנקודות הספירה של המעטפות הכפולות.
בניגוד לבחירות עם פתקים, ששם הרמאויות וההפרעות תמיד יהיו מקומיות בלבד וניתנות לפתרון באמצעים שכולם מכירים – במקרה הדיגיטלי תוקף נחוש יכול להפריע באופן ארצי לכלל הבחירות. לא לרמות בסדרי גודל קטנים אלא בסדרי גודל עצומים ויותר גרוע מכך – לא צריך התקפה ממשית שעובדת. כל מה שצריך זה לזרוע ספק ולנטוע חשד. וזה מביא אותנו לסעיף הבא.
הזווית של יחסי הציבור/ עיתונות: בעיות בעידן הפוסט אמת
לפני כמה שנים, ראש הממשלה נתניהו אמר שהוא זכר שבילדותו הוא ראה צנחנים בריטיים. הוא כמובן הפך להיות מטרה כי נתניהו נולד בשנת 1949, אחרי שהמדינה הוקמה.
יש רק בעיה אחת קטנה עם זה – הוא מעולם לא אמר את הביטוי הזה. מדובר בטעות. הבהירו את זה לא מעט פעמים ועדיין, אם תתפוס מישהו ברחוב ותשאל אותו – הוא יהיה בטוח שנתניהו אמר את זה.
בשנת 2022 כ-40 אחוז מהאמריקאים היו בטוחים שהבחירות נגנבו והתוצאות שונו למרות שאין הוכחה בנושא וה״הוכחות״ ניתנו על ידי עורכי דין ואנשים לא טכניים בכלל.
עידן הפוסט אמת הוא עידן שבו מאוד מאוד קל להפיץ שקרים בוטים שנראים ממש כמו אמת. בלחיצת כפתור כל אדם רהוט מספיק יכול להפיץ שקרים שלוקח המון זמן להפריך אותם. מומחים להכל ופרשנים יכולים לכתוב דברים לא מבוססים ולהדהד אותם ועד שהמומחים האמיתיים יוציאו הבהרות והסברים ארוכים, זה כבר לא ישנה וגם התהודה שלהם קטנה בהרבה.
יותר גרוע מכך, ממצאים טכניים לגיטימיים של פרצות או חולשות אבטחה במערכת שנמצאים על ידי חוקרים אמיתיים יכולים להיות מוצגים כבעיות אמיתיות או כהתקפות אמיתיות. אם מומחה אבטחה או פרטיות לגיטימי מוצא ליקויים או דליפות בלוגים של המערכת ומפרסם אותם כחלק מהליך גילוי תקין, זה יכול להיות מופץ על מנת לחבל או לערער על המערכת או לדכא הצבעה. כך למשל ממצא על חשיפה אפשרית של משתמשים בגלל לוג לא סגור או הצפנה לא מספיק חזקה יכול להיות מופץ על ידי מפלגות סקטוריאליות כדי לגרום לקהל המצביעים שלהם לחשוש שההצבעה שלהם תחשף. בעוד שלי לא אכפת אם ידעו שהצבעתי למפלגה מסוימת, יש קהילות שרק ידיעה שאדם הצביע למפלגה כלשהי יכולה לגרום לנזק חברתי או פיזי. חולשת אבטחה שהתגלתה במערכת ומעולם לא נוצלה, יכולה להיות מפורסמת על ידי אחד מהצדדים כהוכחה לכך שהוא הפסיד בבחירות כי הבחירות בעצם נגנבו.
בניגוד למערכות אחרות, כאן לכל אחד מהשחקנים יש אינטרס לעשות נזקים כאלו. כפי שציינתי מוקדם יותר – באתר מסחר מי שירצה לתקוף הם פושעים, אבל לא בעלי האתר, לא חברת כרטיסי האשראי ולא הלקוחות רוצים לבצע התקפה. במערכת הצבעות? לכולם יש אינטרס לחבל במערכת: מדינות, ארגוני פשיעה, מפלגות וגם המצביעים עצמם שלהם יש אינטרסים פוליטיים. כל חולשה תיתרגם לשמועות וחדשות שעם הרשתות החברתיות יופצו בגלים.
ואם זה נשמע לכם מדע בדיוני – ההתקפה על גבעת הקפיטול היא דוגמה מצוינת. לא מעט בוחרי טראמפ מאוכזבים תודלקו על ידי שמועות כזב בנוגע לדומיניון, מערכת ההצבעה האלקטרונית שהשתמשו בה בחלק מהמדינות. למרות שזה לא נכון.
זה סיכון משמעותי שאין אותו במערכות אחרות. עכשיו תוסיפו את הסיכון הזה מעל הקשיים התפעוליים והאבטחתיים הניכרים שיש במערכת לניהול בחירות דיגיטליות שהיא ייחודית, כפי שהסברתי קודם.
אז למה יש את זה במדינות אחרות?
יש כמה מדינות שבחרו במערכות לניהול בחירות דיגיטליות או מכונות הצבעה אלקטרוניות. מטבע הדברים אנו מכירים יותר את ההצלחה היחידה: אסטוניה. מדינה קטנה באירופה בת 1.3 מיליון תושבים. אסטוניה היא מדינה מאוד מתקדמת דיגיטלית שעובדים על הדיגיטיזציה של שירותי הממשל שלה בערך כ-15 שנה. יכולת הביצוע והתפעול שלהם לא נמצאים באיזור של ישראל.
אבל כל מי שיציץ בויקיפדיה, יראה שאפילו שם יש ביקורות מאוד עזות מצד מומחים טכנולוגיים, כולל עדויות לפריצת המערכת ואפשרות למניפולציה בהצבעות. ויש דוגמה לחולשות. כמו פה.
אז למה ממשיכים? כי מדובר במדינה קטנה מאוד, הומוגנית מאוד ויותר חשוב – מבחינת דיגיטיזציה היא נמצאת במקום מאוד מאוד מתקדם יותר מישראל. ישראל (וגם מדינות אחרות) הן לא אסטוניה. אולי כדאי לשמוע את נשיאת אסטוניה (Kersti Kaljulaid) שגם היא התבטאה בנושא ואמרה באופן מפורש שאי אפשר לבצע העתקה של המערכת של אסטוניה בכל מדינה. ראשית חשוב להשקיע בתשתיות דיגיטליות משמעותיות לפני שבכלל מדברים על בחירות דיגיטליות. באסטוניה למשל, תעודת הזהות הדיגיטלית מאפשרת להזדהות מול כל שירות ממשלתי ולקבל שירותים מהממשלה. אפשר לפתוח עסק מלא באינטרנט, להעביר דירה ורכוש באינטרנט. אנחנו בכלל לא שם.
בנוסף, הבחירות הדיגיטליות באסטוניה לא מחליפות את בחירות הנייר הרגילות ורק כ-40 אחוז מכלל האסטונים בבחירות האחרונות מממשים את ההצבעה הדיגיטלית. 60 אחוז, אפילו במדינה המתקדמת הזו, בוחרים שלא.
ומה עם מדינות אחרות שהן לא אסטוניה?
רוב הבחירות הדיגיטליות בעולם נעשו ברמות מקומיות ורובן נכשלו והופסקו. בואו ונתחיל:
בשנת 2021 ניסיון לבחירות דיגיטליות באוסטרליה נכשל בגלל שהמערכת קרסה.
בארצות הברית, או יותר נכון בוירג׳יניה, מערכת הצבעה שנעשית יחד עם בלוקצ׳יין איפשרה מתקפה והרשויות עצרו את הבחירות. בשנת 2020, מסמך משותף של NIST, משרד בטחון המולדת האמריקאי וה-FBI הודיע שהסכנות בבחירות דיגיטליות הן עצומות ומוטב להמנע מהן. האקדמיה הלאומית למדעים בארצות הברית גם היא חיברה דו״ח מקיף מאוד ששולל בחירות דיגיטליות.
בשוויץ פרויקט של בחירות דיגיטליות הופסק ב-2019 לאחר שורה של בעיות תפעול ואבטחה.
לבלגים הספיק באג משמעותי כדי להפסיק את הניסויים בבחירות דיגיטליות.
טוב, יש המון דוגמאות לכשלונות ונמאס לי. כאמור למעט אסטוניה שום מדינה לא מאפשרת בחירות דיגיטליות והכשלונות רבים. זה לא שאנחנו השריד היחידי לעולם קדום שמשתמש בפתקים.
ומה עם מערכות בחירות קטנות יותר?
חלק מהפריימריז בישראל מתבצעות באמצעים דיגיטליים. בניגוד לבחירות רגילות, פריימריז הם מצומצמים יותר וכן (בלי להעליב), הבעיות שיש בבחירות דיגיטליות במפלגת העבודה (4 מנדטים) הן לא בעיות שיכולות להיות בבחירות ארציות. גם אני בקבוצה של הבניין שמח להשתתף בבחירות בווטסאפ. אגב, בשנת 2008 הליכוד נאלץ להאריך את שעות הבחירות בגלל תקלה משמעותית בפריימריז (שם השתמשו במערכת הצבעה) ואם מסתכלים על מעבר לים, אז באיווה היו שיבושים קשים בפריימריז של הדמוקרטים בגלל תקלות טכניות.
אז לנצח נתקע עם פתקים?
אז מה? תמיד תמיד תמיד נהיה עם פתקים מנייר, התורים בקלפי והבעיות שיש בשיטת בחירות מבוססת נייר? התשובה היא לא. פשוט כרגע לא. הממשלה הולכת ומתקדמת מבחינת יכולת דיגיטלית, התשתיות שלנו הולכות ומתקדמות ומתישהו זה יגיע. פשוט לא עכשיו ולא בישראל. בשנת 2000 בועת הדוט קום התפוצצה כי האינטרנט והתשתיות שהיו אז, לא יכלו לתמוך בחלום. בשנת 2003, עם הופעת הסמארטפון והאינטרנט הסלולרי, כל החלומות הישנים התגשמו כי סוף סוף היתה תשתית ויכולת. בעבר הייתי צריך לחכות בדואר כדי לבצע רכישת רכב. היום אני יכול לעשות את זה בקלות באתר של ממשלת ישראל שעובד גם כשורה. זה יקרה, אבל צריך סבלנות. שלא קונים בכל חנות.
אלו תנאים צריכים להתממש כדי שיהיו בחירות דיגיטליות אצלנו? לדעתי לא הרבה:
- מדינה אחרת, בסדר גודל ומאפיינים דומים של ישראל שיש לה בחירות דיגיטליות בהיקף מלא כמה שנים.
- מערכת לניהול מערכת בחירות כמוצר או קוד פתוח שמשתמשים בה במדינה אחרת כמה שנים ללא תקלות.
- אלגוריתם קריפטוגרפי מקובל על התעשיה לשימוש בבחירות דיגיטליות.
אולי גם צריכים לחשוב, לפני שרצים לפתרון הדיגיטלי – למה זה טוב?
חשוב לציין שבחירות דיגיטליות זה לאו דווקא דבר רע. זה יאפשר השתתפות רבה יותר בבחירות, אולי חסכון כספי (כנראה שלא מהותי כי עדיין צריך להשקיע בתחזוקת המערכת ואני בהחלט חושב שבעתיד זה יהיה. אבל פשוט לא בשנים הקרובות ולא בישראל.
גם בתסריט האופטימי – בחירות דיגיטליות לא מאפשרות ספירה יותר מהירה של הקולות. כאמור גם באסטוניה המתקדמת, 60 אחוז מהאוכלוסיה מצביעה בקלפי רגיל. ואם נעבור לבחירות עם מכשירים אלקטרוניים – האם בשביל לקבל את התוצאות תוך כמה שעות ולא תוך גג שלושה ימים אנחנו מוכנים לקבל את כל הסיכונים האלו?
באופן מפתיע חלק גדול מהטיעונים של בחירות דיגיטליות הן: ״אנחנו בשנת 2022 ולא ייתכן שאנו מצביעים כמו אבות אבותינו״. אנחנו בשנת 2022 ועדיין הולכים לשירותים ומשתמשים באסלה, נכון? למרות שביפן יש אסלה יפנית משוכללת, ברוב המדינות מדובר עדיין באותה אסלה שבה אבות אבותינו ישבו ועשו את מה שעושים. הטיעון של ״חייבים להתקדם״ הוא לא טיעון.
👈 סיכום (או, מתישהו התייאשתי וגללתי לפה) 👉
סביר להניח שלא קראתם את אלפי המילים האלו והתייאשתם באמצע ומתישהו התחלתם לגלול והגעתם לכאן. אז אני אסכם את החפירה:
- בחירות דיגיטליות זה דבר מסובך תפעולית יותר ממערכות אחרות בגלל שתי סיבות עיקריות: הבחירה אנונימית ואין אפשרות לשחזור.
- בחירות דיגטליות מועדות יותר לפורענות אבטחתית יותר ממערכות אחרות בגלל שלא מעט גופים רוצים להתערב בסיפור הזה: שחקנים זרים, מפלגות ואפילו המצביעים עצמם.
- בחירות דיגיטליות בעייתיות במיוחד כי בעידן הפוסט אמת של היום מספיק חשד לבעיות אבטחה או ביצועים כדי לגרום לאובדן אמון בשיטה.
- בהתחשב באתגר הטכנולוגי העצום של 1-3, ממשלת ישראל לא יכולה לעמוד באתגר הטכנולוגי של לפתח או ליישם מערכות דיגיטליות. אנחנו נהנים לחשוב על עצמנו כאומת הסטארטאפ, אבל אנחנו לא שם.
- בחירות דיגיטליות קיימות גם באסטוניה, מדינה קטנה ממש. גם שם יש בעיות. בשאר המדינות אין בהיקף מלא הודות לאסונות רבים.
- מתישהו נגיע לבחירות דיגיטליות. אבל כרגע אנחנו רחוקים ממש. כדאי שניתן למדינות אחרות לעשות את הבושות שלהן בינתיים.
יש לכם שאלות? השגות? אנא כיתבו אותם פה למטה ואני אנסה לענות או אשלב אותן ממש במאמר! עם קרדיט כמובן.
פינת הניטפיקרים או אלו שרוצים לריב
אני יכול לפתור את הבעיות האלו!
לא מעט בדיונים אינטרנטיים לא מעט מתכנתים (במיוחד כאלו עם ניסיון מועט) מנסים להציג תכנון של מערכת גאונית שתפתור את כל הבעיות. למשל: ״נעשה שני מסדי נתונים שאחד מהם יהיה מותמם והשני לא״ או ״נשתמש בפרוטוקול חדש שהמצאתי הרגע של בלוקצ׳יין אבל אנונימי״ וכו׳ וכו׳. אם אני אתמודד עם כל הצעה כזו, המאמר הזה יהיה באורך 100,000 מילה. אם גם לכם מדגדג הצורך בלייצר תכנון של מערכת מדהימה משלכם שתפתור את כל הבעיות אבל מעולם לא תכננתם מערכת כזו – אולי כדאי שתקחו אוויר ותחשבו שוב. בכל מקרה, אני בטוח שיום יבוא ויהיה דיזיין עמיד. אבל הוא לא יבוא מדיונים באינטרנט. העניין הוא לא דיזיין זה או אחר שאולי הוא יהיה כדור הכסף שאיש לא חשב עליו אלא שמדובר במערכת מורכבת. גם הדיזיין הכי מדהים בעולם לא יכול לפתור בעיות אבטחה, דיפלוימנט, קריפטוגרפיה או סתם עומס כי הדבאופס היה רשלן.
מענה ברשתות חברתיות לאנשים רגילים
מטבע הדברים חלק גדול מהדיונים על בחירות דיגיטליות נמצא ברשתות החברתיות. מאנשים שבאמת תוהים ברצינות ובכנות למה אפשר לעשות קניות ברשת, לקרוא חדשות ברשת, לשמוע מוזיקה ברשת ולעשות מסחר בורסאי ברשת אבל לא להצביע דרך האינטרנט. לאנשים שתוהים ברצינות – אפשר להזמין אותם למאמר הזה. משהו בסגנון:
בחירות דיגיטליות כרגע בישראל זה רעיון רע, אפשר לקרוא במאמר הזה בדיוק למה https://internet-israel.com/?p=10170 – אם יש שאלות אפשר לשאול בתגובה למאמר.
או:
בחירות דיגיטליות זה אתגר טכני גדול יותר מקניות ברשת או מסחר בבורסה – גם בגלל האנונימיות הנדרשת וגם בגלל שאין אפשרות לשחזור של הפעולה. זה באמת מורכב ואפשר לקרוא למה במאמר הזה https://internet-israel.com/?p=10170
אני שם את התגובות האלו יותר בשביל עצמי כי כל הזמן מתייגים אותי על הנושאים האלו.
מענה לפרשנים פוליטיים/ מומחים להכל
יש כמובן כל מיני פרשנים פוליטיים שזורקים בזלזול ״למה באומת הסטארטאפ והסייבר מצביעים עם נייר?!? בחבחבחבח״. הם לא מעוניינים בדיון כמובן אלא בטראפיק. מזה הם חיים. יש כמובן טורי דעה לא משוחדים בכלל של מומחים טכניים (שלרוב מסתבר שהם לא מומחים אלא מנהלים אלו ואחרים) שבמקרה עובדים בחברות המספקות פתרון הצבעה אינטרנטי. הפתעה ענקית (😱) שהם תומכים ביישום בחירות דיגיטליות עכשיו ומייד. במקרה הזה לא צריכים להיות עדינים מדי ואפשר פשוט לענות בכנות:
מה גורם לך לחשוב שמדינה שלא מצליחה להרים אתר המציג את תוצאות הבחירות היא מדינת הסטארטאפ? בחירות דיגיטליות זה עניין מורכב. אפשר לקרוא על זה עוד במקום לקשקש על פוליטיקה: https://internet-israel.com/?p=10170
29 תגובות
הייתי שמח לשמוע את דעתך על מערכת סגורה שנמצאת במקומות יעודיים/קלפיות כמו שיש היום ללא תקשורת .
ובסוף יום הבחירות הוספים אותם ומקבלים את הנתונים בחיבור ידני בצורה מאובטחת .
כך שזה פותר את בעיית העומס כי זה מאוחסן מקומי וכל פעם יכול לגשת מצביע בודד .
וכמובן אם אין תקשורת זה פותר את רוב בעיות האבטחה שיש.
בנוסף נוכל להשים איש it בכל קלפי (כמו המזכירים שנמצאים היום) שיעזור למשתמשים וכו.
התועלת בזה היא ספירה אוטומטית וקבלת נתונים אמינה ומהירה .
ללא טעויות אדם.
אבל הוא כתב בדיוק על הענייו הזה בחלק על ״אז למה אי אפשר לסמוך על זה שהמערכת תהיה מנותקת מהאינטרנט״.
נראה לי שאת זה אפשר לפתור עם חומרה ותוכנה יעודית בקוד פתוח שכוללים סט מינימלי של חיבורים, וכולם עם גישה רק עם מנעולים פיזיים. הייתי מוסיף נעילה פיזית של הזיכרון לקריאה בלבד (בסיום ההצבעה) ולאחר סיום ההצבעה שמירה של המערכות בארכיון שמאפשר גישה של מומחי אבטחת מידע לנסיון איתור מניפולציות בדיעבד. אבל אני לא משוכנע שהמאמץ מצדיק את הרווח (לעומת מערכת הספירה הידנית שפגיעה למניפולציות וטעויות, אבל בהיקף מצומצם כל הגוף שמפקח על הבחירות הוא ישר). מערכת אופליין גם לא תאפשר הצבעה ב"מעטפות כפולות" ומקשה על קשישים למשל – מה שמשאיר חלק מהקולות שחייבים להישאר בשיטה הקלאסית.
אתה עדיין פגיע להתקפות UI וגם המידע הזה יכול להכיל את הרישום של האנשים שהצביעו ולדלוף.
איך אני בתור בעל זכות בחירה יכול לוודא שאני מצביע במערכת אמיתית ולא מזוייפת?
אם אדם אחד יחליט לנסות להשבית מכונות הצבעה באזור תמיכה של מפלגה יריבה,
איך אפשר למנוע ממנו לעשות את זה?
או לפחות לצמצם באופן משמעותי את היקף הנזק.
מאמר יפה ומאוד שמסביר למה לעולם לא נצביע מהמחשב בבית.
אבל בדיוק כמו ששלמה אמר. למה לא להחליף רק את הפתקים בדיגיטזציה?
תקרא את החלק "אז למה אי אפשר להסתמך על מערכת מנותקת מהאינטרנט"
מה עם הצבעה באמצעות בלוקצ'יין שכל אזרח יריץ אצלו במחשב? כל אזרח יוכל לג'נרט מפתח פרטי על ידי הגעה חד פעמית למקום ספציפי שבו מקבלים אישור לג'נרט מפתח שאותו הוא יצור מתי שירצה ואיך שירצה. זה אנונימי לגמרי וגם יאפשר לך לשלוט על הקול שלך אפילו אחרי הבחירות למקרה שראש המפלגה שלך זה בנט
הוספתי הסבר על בלוקצ׳יין כולל מאמר של ממציא האת׳ריום. בגדול הוא עונה לטענה שלך ב״לא״.
חוץ מזה שזה קצת בעייתי להניח שלכל אזרח יש מחשב וידע טכני לעשות את מה שאתה רוצה שייעשה 🙂
מה לגבי העובדה הפשוטה שלא לכל אחד יש גישה למחשב או סמארטפון (והפרויקט המהמם של מחשב לכל ילד לראיה)?
תודה רבה, מאמר מעולה.
לשלמה ומאור — בנוסף לתשובות שכבר קיבלתם, למערכת מהסוג הזה יש בעיה נוספת, שרן לא הזכיר: עלויות גבוהות מאוד. כדי להבין כמה גבוהות, צריך לחשוב על שני פרטים:
אחד הוא בעיות ה־UI שרן הזכיר, שגורמות לזה שבשביל לעשות מערכת כזו צריך כנראה חומרה ייעודית (למשל ולפחות, מסכים גדולים, שאולי הם גם מסכי מגע).
השני, שקצת נשכח בשנים האחרונות, הוא שאנו מצפים לבחירות בסך הכל פעם בארבע שנים (אולי אפשר להוסיף גם את הבחירות המקומיות לאותה מערכת — ואפילו אז, זה פחות מפעמיים בארבע שנים). בארבע שנים, מערכת מחשוב מתיישנת, ואפילו סתם חומרה מתקלקלת, וצפוי שנצטרך להרכיב הרבה מחדש.
ואז, מול העלות, ניצבת התועלת מהדיגיטציה הזו. ואם לא חסכנו את הצורך להגיע לקלפי ולעבור אימות פיזי — היא ממש לא כזו גדולה.
את חישובי הכדאיות האלה עשו ועושים בועדת הבחירות המרכזית; נגעו בזה בפרק „גלגולו של פתק" בפודקאסט של דפנה ליאל.
https://www.osimhistoria.com/osim-politica/ep135-petek
אדון רן,
אתה צודק, יש המון בעיות שצריך לפתור בהצבעה דיגיטלית, אך הבעיות שקיימות בהצבעה כיום הרבה יותר גדולות וכמות ההצבעות שנפסלות גדולה מאד רק משום שמדובר בבעיות פיזיות (כמו מעטפה שנקרעה במעט).
אין לי ספק שבחירות דיגיטליות אפשריות בהחלט, והפיתרון הוא למצוא פתרונות לכל מה שאמרת שזה לא בעיה גדולה. אבל הטעות הגדולה זה להפריך ולהרחיק אותנו מחדשנות..
איזו תגובה עלובה וחובבנית. אין לך ספק? אתה בטוח שזה קל? על בסיס מה אתה קובע את זה?
אני מצטער, אבל באמת נפלא מבינתי איך הבנת מכל המאמר הזה ש:״הפיתרון הוא למצוא פתרונות לכל מה שאמרת שזה לא בעיה גדולה״. זו כן בעיה גדולה, ואני בניגוד אליך גם אדם טכני וגם עם ניסיון במערכות גדולות. זה מורכב, ממש מורכב.
גם "כמות ההצבעות שנפסלות גדולה מאוד רק משום שמדובר בבעיות פיזיות"?
בבחירות האחרונות מספר הקולות הפסולים (מכל סיבה שהיא) היה 29,851 מתוך 4,764,742 – קצת יותר מ 0.006%
מאמר מצוין!!
תודה רבה על ההשקעה.
תודה רבה! 🙏
בדיוק היה לנו דיון החבר'ה על הנושא הזה. דגלתי בכך שלא כדאי להיכנס לזה.
חיפשתי בין בליל הציוצים את הסימוכין שלך, אז הכי טוב שיש לי את זה מרוכז. תודה.
אני חושב שגם קצת התעלמנו במאמר על מה עשויה להיות התועלת בבחירות דיגיטליות או אלקטרוניות, ביחס ל"רווח" הנמוך שאפשר לקבל הסיכונים שהצגת כאן ממש לא משתלמים
גם אני כבר הלכתי לאיבוד בין כל ההתנגדויות אז המאמר הזה במיוחד בשבילי. 🙂 הוספתי, גם בגלל ההערה שלך וגם בגלל אחרים הסבר על מה כן בחירות דיגיטליות. מיתנתי גם את הכותרת.
תודה
בעיקר על החסכון בזמן,
במקום להתווכח עם אנשים,
פשוט לשלוח אותם לקרוא.
יאי! שמחתי מאוד לסייע 🙏
מאוד אהבתי את המאמר ושמחתי לקרוא.
מעכשיו יהיה לי מה לשלוח בעברית כל פעם שהעניין הזה עולה! 😁
cvxv
בואו נתחיל במשהו פשוט כמו כניסה לקלפי על פי אימות דיגיטלי, לפחות למי שיש תעודה ביומטרית ושנוכל להצביע בכל קלפי בארץ. זה לפחות יקל על המצביעים ואני לא באמת רואה את הבעייתיות בזה.
לחשוב להשתמש כבסיס במערכת של מפעל הפייס.
היא בגורה. מאמין שיש כסף אז היא מאובטחת. נמצאת בפריסה רחבה ועם ניסיון רב
הוא דיבר המון על ההבדל המהותי בין אבטחה מעולה – מצויה לבין הדרישות במערכת בחירות, בדגש על אנונימיות ושחזור מידע.
רן בר-זיק,
תודה על המאמר המושקע, החכמתי ונהניתי כאחד.
האם משהו יודע להגיד כמה כשלים יש בצורת הבחירות הרגילות. יתכן שלא. משום שאין מידע עליהם. זה כמו להגיד פעם: אנשים היו יותר אדיבים ומוסריים. אבל זה משום שהיום אנו מפיצים כמות מידע עצומה על אירועים ותקריות. אנו נחשפים להרבה יותר מידע. תור בכלפיי שקול לקריסה של מערכת אנטרנטית, החלפת פתקים של מפלגה מסויימת בכלפיי לפתקים שהאות שלהם מתנדפת לאחר כמה שעות שקולה לפריצת האקרים. כמה טעויות יש בספירת הקולות בכלפיי רגילה? בספירת קולות דיגטאילת אין טעויות (האומנם?). וזה נעשה בשניות.
אסלה היא מכשיר די מודרני. שנית, NIST הוא לא גוף ביון