[논문 리뷰] On the security of ballot marking devices

Dan S. Wallach|arXiv (Cornell University)|2019. 08. 05.

Internet Traffic Analysis and Secure E-voting참고 문헌 11인용 수 5

한 줄 요약

이 논문은 전자 투표 마킹 장치(BMD)에서 악성 소프트웨어를 탐지하기 위한 실용적인 감사 프레임워크를 제안하며, 인쇄된 투표용지가 유권자의 진짜 의도를 반영함을 보장한다. 조기 투표소에서 폐기된 투표용지의 실시간 감사와 조기 투표소 전역의 통계적 표본 추출을 조합함으로써, 악성 소프트웨어의 유병률이 1%일 경우에도 99% 이상의 탐지 확률을 달성한다. 이는 안전하고 접근 가능한 투표를 가능하게 하면서도 종이 기반 감사 가능성을 유지한다.

ABSTRACT

A recent debate among election experts has considered whether electronic ballot marking devices (BMDs) have adequate security against the risks of malware. A malicious BMD might produce a printed ballot that disagrees with a voter's actual intent, with the hope that voters would be unlikely to detect this subterfuge. This essay considers how an election administrator can create reasonable auditing procedures to gain confidence that their fleet of BMDs is operating correctly, allowing voters to benefit from the usability and accessibility features of BMDs while the overall election still benefits from the same security and reliability properties we expect from hand-marked paper ballots.

연구 동기 및 목표

• 감염된 BMD가 유권자의 의도와 다를 수 있는 투표용지를 출력함에도 불구하고 이를 탐지하지 못할 위험을 해결하기 위해.
• 손으로 작성한 종이 투표용지의 보안을 유지하면서도 BMD의 사용성과 접근성을 보장하는 감사 절차를 설계하기 위해.
• 고조회율의 실제 선거 환경에서 실시간 감사의 타당성과 효과성을 정량화하기 위해.
• 특히 근소한 승리 여부의 선거에서 인간 중심의 설계와 감사가 BMD의 악성 소프트웨어 위험을 완화할 수 있는지 평가하기 위해.
• 기존 선거 인프라가 주요 하드웨어나 소프트웨어 변경 없이도 BMD에 대한 강력하고 확장 가능한 감사를 지원할 수 있는지 탐색하기 위해.

제안 방법

• 메서드는 조기 투표 기간 동안 폐기된 투표용지의 실시간 감사를 활용하며, 각 조기 투표소에서 훈련된 감사원이 무작위 점검을 수행한다.
• 감사는 조기 투표소와 선거 당일 투표소 전역에 분산되어 있으며, 팀당 하루 평균 감사 수가 1건 이하로 추정된다.
• 감사 빈도와 승리 여부의 격차를 바탕으로 BMD 악성 소프트웨어 탐지 확률을 추정하기 위해 통계적 표본 추출 모델을 사용한다.
• 실제 배포를 모델링하기 위해 2018년 텍사스주 허리스 카운티 선거 분포(조기 투표 63%, 선거 당일 투표 29%, 우편 투표 8%)를 가정한다.
• 감사 스크립트는 적응형으로, 초도 결과에서 잠재적 문제 발생 가능성이 확인되면 표본 추출 강도를 높일 수 있다.
• 이 방법은 폐기된 투표용지의 추적과 공식 기록 간의 불일치를 감지함으로써 BMD 조작을 식별하기 위해 의존한다.

실험 결과

연구 질문

• RQ1 실제 선거 조건에서 폐기된 투표용지의 실시간 감사가 BMD에서 악성 행동을 높은 확률로 탐지할 수 있는가?
• RQ2 일반적인 조기 투표 및 선거 당일 투표 분포를 고려할 때, BMD 악성 소프트웨어를 높은 확률로 탐지하기 위해 필요한 감사 작업량은 얼마인가?
• RQ3 특히 장애가 있는 유권자들을 고려할 때, BMD는 손으로 작성한 종이 투표용지에 비해 사용성, 오류 감소, 접근성 측면에서 어떻게 비교되는가?
• RQ4 승리 여부의 격차가 작고 악성 소프트웨어 유병률이 낮을 경우, 감사 절차가 선거 무결성을 얼마나 유지할 수 있는가?
• RQ5 기존 선거 인프라는 주요 하드웨어나 소프트웨어 변경 없이도 BMD에 대한 확장 가능한 인간 중심의 감사를 지원할 수 있는가?

주요 결과

• 조기 투표소당 한 명의 감사원이 배치되고, 2018년 허리스 카운티 선거와 유사한 투표 분포를 가정할 경우, 약 104명의 감사원이 선거 기간 동안 약 500건의 실시간 감사를 수행할 수 있다.
• 감사 방법은 승리 여부의 격차가 작을지라도, BMD의 1% 확률로 악의적인 행동을 하는 경우에도 99.34%의 탐지 확률을 달성한다.
• 감사 작업량은 추가 훈련이 최소한인 일반 투표원이 수행하기에 실현 가능하며, 팀당 하루 평균 감사 수가 1건 이하이다.
• BMD는 특히 복잡하거나 긴 투표용지에서 투표자 오류인 과다 투표, 미투표, 모호한 표기 등을 크게 줄인다.
• BMD에서 사용되는 열처리 프린터는 레이저 프린터보다 전력 효율이 높아 전력 장애 발생 시 더 견고하며, 이는 투표 센터에 매우 중요하다.
• 실시간 감사와 폐기된 투표용지 추적의 조합은 악성 소프트웨어 조작이 감지되지 않을 수 있는 효과적인 승리 여부 격차를 줄여, 선거 보안을 강화한다.