[論文レビュー] On the security of ballot marking devices

Dan S. Wallach|arXiv (Cornell University)|Aug 5, 2019

Internet Traffic Analysis and Secure E-voting参考文献 11被引用数 5

ひとこと要約

本稿では、電子ボールットマーキングデバイス（BMD）におけるマルウェアを検出する実用的な監査フレームワークを提案する。印刷されたボールットが有権者の真の意思を的確に反映していることを保証する。早期投票所におけるスプールドボールットのライブ監査と、早期投票所における統計的サンプリングを組み合わせることで、マルウェアの出現率が1%でさえも99%以上の検出確率を達成可能であり、安全でアクセス可能な投票を実現しながら、紙ベースの監査可能性を維持する。

ABSTRACT

A recent debate among election experts has considered whether electronic ballot marking devices (BMDs) have adequate security against the risks of malware. A malicious BMD might produce a printed ballot that disagrees with a voter's actual intent, with the hope that voters would be unlikely to detect this subterfuge. This essay considers how an election administrator can create reasonable auditing procedures to gain confidence that their fleet of BMDs is operating correctly, allowing voters to benefit from the usability and accessibility features of BMDs while the overall election still benefits from the same security and reliability properties we expect from hand-marked paper ballots.

研究の動機と目的

• 不正なBMDが有権者の意思とは異なるボールットを印刷しても検出されないリスクに対処すること。
• 手書きの紙ベースボールットのセキュリティを維持しつつ、BMDの使いやすさとアクセシビリティを確保する監査手順を設計すること。
• 高い有権者投票率を伴う現実世界の選挙環境において、ライブ監査の実現可能性と有効性を定量化すること。
• 人間中心の設計と監査が、特に僅差の選挙においてBMDのマルウェアリスクを軽減できるかどうかを評価すること。
• 既存の選挙インfraストラクチャが、大規模かつ堅牢なBMD監査を支援するようにどのように適合可能かを検討すること。

提案手法

• 本手法は、早期投票中にスプールドボールットのライブ監査を実施し、訓練を受けた監査官が各早期投票所でランダムチェックを実施する。
• 監査は早期投票所と選挙当日の場所に分散され、チームごとの作業負荷は1日あたり1件未満に見積もられる。
• 監査頻度と当選差（マージン・オブ・ヴィクトリー）に基づき、BMDマルウェアの検出確率を推定する統計的サンプリングモデルが用いられる。
• 本手法は、2018年ハリス郡・テキサス州選挙の分布（早期投票63%、選挙当日29%、郵送投票8%）を仮定し、現実世界の展開をモデル化する。
• 監査スクリプトは適応的であり、初期結果に懸念が示された場合にサンプリング強度を増強可能である。
• 本手法は、スプールドボールットの追跡と公式記録との比較に依存し、BMD改ざんを示す不一致を検出する。

実験結果

リサーチクエスチョン

• RQ1 現実世界の選挙状況下で、スプールドボールットのライブ監査は、BMDにおける不正行動を高い確率で検出可能か？
• RQ2 通常の早期投票および選挙当日の投票分布を踏まえると、BMDマルウェアの検出確率を高めるために必要な監査作業負荷はどの程度か？
• RQ3 有権者に障害がある場合を含め、BMDと手書きの紙ベースボールットの使いやすさ、誤りの低減、アクセシビリティの観点で、両者の比較はどのようになるか？
• RQ4 当選差が小さく、マルウェア出現率も低い状況下で、監査手順が選挙の完全性をどの程度維持できるか？
• RQ5 主要なハードウェアやソフトウェアの変更なしに、既存の選挙インフラストラクチャが、スケーラブルで人間中心のBMD監査を支援できるか？

主な発見

• 1つの早期投票所ごとに1人の監査官を配置し、2018年ハリス郡選挙の投票分布に類似した状況を想定した場合、約104人の監査官が選挙期間中に約500件のライブ監査を実施可能である。
• 本監査手法は、1%の不正確率を持つBMDに対しても、当選差が小さい状況下でも99.34%の検出確率を達成する。
• 監査作業負荷は、最小限の追加訓練で通常の投票所職員が処理可能であり、チームあたり平均して1日1件未満の負荷である。
• BMDは、複雑または長いボールットにおいても、一般的な有権者ミス（過投票、欠票、曖昧なマーク）を顕著に低減する。
• BMDに使用される熱処理プリンタはレーザープリンタよりも電力効率が高く、停電時にも耐性があるため、投票所にとって重要である。
• ライブ監査とスプールドボールットの追跡の組み合わせにより、不正なマルウェア改ざんに利用可能な有効な当選差が縮小され、選挙のセキュリティが強化される。