[논문 리뷰] User Experience Design for E-Voting: How mental models align with security mechanisms

Marie-Laure Zollinger, Verena Distler외 4명|arXiv (Cornell University)|2021. 05. 31.

Privacy, Security, and Data Protection인용 수 5

한 줄 요약

이 논문은 세레네 전자투표 프로토콜을 위한 사용자 중심의 모바일 인터페이스를 제안하며, 복잡한 암호학적 검증을 간단한 추적번호 기반 시스템으로 대체하여 사용성과 신뢰도를 향상시킨다. 사용자 테스트 결과, 투표자의 기밀성과 강압에 저항하는 개념은 이해했지만, 검증 과정에 대한 이해가 부족한 경우가 많아 전자투표 설계에서 더 명확한 정신 모델 일치가 필요함을 시사한다.

ABSTRACT

This paper presents a mobile application for vote-casting and vote-verification based on the Selene e-voting protocol and explains how it was developed and implemented using the User Experience Design process. The resulting interface was tested with 38 participants, and user experience data was collected via questionnaires and semi-structured interviews on user experience and perceived security. Results concerning the impact of displaying security mechanisms on UX were presented in a complementary paper. Here we expand on this analysis by studying the mental models revealed during the interviews and compare them with theoretical security notions. Finally, we propose a list of improvements for designs of future voting protocols.

연구 동기 및 목표

• 사용자 중심의 UXD 프로세스를 활용해 세레네 프로토콜을 위한 모바일 전자투표 인터페이스를 설계 및 구현하여 사용성과 신뢰도를 향상시키는 것.
• 사용자들이 세레네 프로토콜의 실제 보안 메커니즘과 비교해 기밀성 및 검증 가능성에 대한 정신 모델이 어떻게 일치하는지 조사하는 것.
• 신뢰도를 해칠 수 있거나 잘못된 시스템 사용으로 이어질 수 있는 검증 과정의 사용성 격차를 특정하는 것.
• 사용자 피드백과 정신 모델 분석을 바탕으로 향후 전자투표 프로토콜을 위한 설계 개선 사항을 제안하는 것.

제안 방법

• 세레네 전자투표 프로토콜을 위한 스마트폰 인터페이스를 개발하기 위해 사용자 경험 설계(UXD) 프로세스를 적용하였으며, 암호학적 복잡성을 숨기는 데 중점을 두었다.
• 투표자가 공개 빌리티 보드에 기록된 자신의 표와 연결된 고유한 개인 식별자인 추적번호를 사용해 투표를 검증하는 추적번호 시스템을 구현하였다.
• 사용성, 인식된 보안성, 정신 모델을 평가하기 위해 질문지와 반구조화된 인터뷰를 활용해 총 38명의 참가자로 구성된 사용자 연구를 실시하였다.
• 인터뷰 데이터를 분석하여 사용자들이 기밀성, 강압에 저항하는 능력, 검증 가능성에 대해 어떻게 개념적으로 이해하고 있는지 추출하였으며, 이는 이론적 보안 개념과 비교 분석하였다.
• 특히 검증 단계에서의 인터페이스 설계 선택이 사용자의 신뢰도와 작업 성과에 미치는 영향을 평가하였다.
• 사용자 피드백을 바탕으로 설계 개선 사항을 제안하였으며, 이는 빌리티 보드에 대한 접근을 조기에 제공하고 검증 목적에 대한 명확한 설명을 제공하는 것을 포함한다.

실험 결과

연구 질문

• RQ1 사용자들이 세레네 전자투표 프로토콜의 보안 메커니즘과 비교해 기밀성 및 검증 가능성에 대한 정신 모델은 어떻게 일치하는가?
• RQ2 추적번호 기반 검증 방식을 사용할 때 투표자가 겪는 사용성 과제는 무엇인가?
• RQ3 검증 인터페이스의 설계가 사용자의 보안 인식과 시스템에 대한 신뢰도에 어떤 영향을 미치는가?
• RQ4 사용자가 투표 검증을 이해하고 정확히 수행하는 데 도움이 되도록 인터페이스에 어떤 개선을 가할 수 있는가?

주요 결과

• 참가자들은 일반적으로 표 기밀성과 강압에 저항하는 개념을 이해하였으며, 이는 프로토콜의 이론적 보안 목표와 일치하였다.
• 많은 사용자들이 검증 단계의 목적을 잘못 이해하였으며, 일부는 추적번호가 동일한 후보를 지지한 투표자 수를 나타낸다고 잘못 믿었다.
• 검증의 목적에 대한 모호함이 있었고, 이로 인해 사용자들은 과정의 무결성과 검증 단계의 필요성에 대해 의문을 제기하였다.
• 사용자들은 언제이고 왜 검증을 수행해야 하는지 혼란을 느꼈으며, 특히 결과 발표 이전에 즉시 검증을 해야 하는 경우에 특히 그러했다.
• 연구 결과, 빌리티 보드에 대한 접근을 프로세스의 조기에 제공할 경우 사용자의 이해도 향상과 검증 시기 관련 불안 감소에 기여할 수 있음을 확인하였다.
• 참가자들은 강압의 위험과 검증이 선거 무결성을 보호하는 데서 수행하는 역할을 강조할 경우 이해도와 수용도가 향상될 것이라고 제안하였다.