[論文レビュー] Survey on Remote Electronic Voting

Alexander Schneider, Christian Meter+1 more|arXiv (Cornell University)|Feb 9, 2017

Internet Traffic Analysis and Secure E-voting参考文献 7被引用数 13

ひとこと要約

本サーベイは、リモート電子投票システムの包括的分析を提供し、暗号的基盤、セキュリティ要件、実世界の脅威を評価している。強制抵抗性、クライアント側のマルウェア、使いやすさといった重要な課題を特定し、暗号的スキームと検証メカニズムの進展にもかかわらず、現在のシステムは高リスクの選挙には依然として不十分であると結論づけている。

ABSTRACT

Electronic and remote voting has become a large field of research and brought forth a multiplicity of schemes, systems, cryptographic primitives as well as formal definitions and requirements for electronic elections. In this survey we try to give a brief and precise overview and summary of the current situation.

研究の動機と目的

• リモート電子投票システムの研究の現状とその暗号的基盤を文書化すること。
• クライアント側のマルウェア、ネットワーク攻撃、強制といった主要なセキュリティ脅威を特定・分析すること。
• 電子投票システムにおけるセキュリティ、使いやすさ、検証可能性の間のトレードオフを評価すること。
• プラットフォームへの信頼、資格情報の配布、安全な分散アーキテクチャの欠如といった未解決問題を強調すること。
• 理論的セキュリティと大規模選挙における実用的導入の間のギャップを強調すること。

提案手法

• 暗号的プリミティブに基づいて、既存のリモート電子投票スキームおよびシステムを体系的に分類・レビューすること。
• 選挙資格、完全性、匿名性、レシートフリー、検証可能性といったコアなセキュリティ特性を定義・分析すること。
• 感染した投票者マシン、アクティブなネットワーク攻撃、ネットワーク相関技術といった攻撃ベクトルを検討すること。
• ケーススタディ（ノルウェーのSMS確認システムなど）を用いて、使いやすさと理解可能性が投票者信頼に与える影響を評価すること。
• ソフトウェア脆弱性、バックドア、不安定なインfraストラクチャへの依存といった実装レベルの脅威を評価すること。
• 単一障害点を排除するための分散型でフェイルセーフなアーキテクチャの必要性を提言すること。

実験結果

リサーチクエスチョン

• RQ1 リモート電子投票システムが信頼できると見なされるために、必須となるセキュリティおよびプライバシー特性は何か？
• RQ2 クライアントデバイスのマルウェアやネットワークベースの攻撃といった実世界の脅威が、電子投票システムのセキュリティをどの程度損なうのか？
• RQ3 現在の電子投票システムは、実際の運用において、セキュリティ、検証可能性、使いやすさのバランスをどの程度達成しているか？
• RQ4 特に強制抵抗性とプラットフォームへの信頼に関して、リモート電子投票における主な未解決問題は何か？
• RQ5 分散型で分散アーキテクチャは、従来のクライアント・サーバーモデルと比較して、電子投票システムのセキュリティとレジリエンスを向上させ得るか？

主な発見

• 未解決のセキュリティおよび信頼の問題があるため、リモート電子投票システムは、高リスクの国家選挙にはまだ準備ができていない。
• クライアント側のマルウェアは依然として主要な脅威であり、票の改ざん、票の抑圧、投票者の匿名性の侵害が可能である。
• 強固な理論的基盤があるにもかかわらず、多くのシステムがソフトウェア脆弱性や不安定な資格情報配布といった実際の脅威に対処できていない。
• 使いやすさと理解可能性は、投票者信頼に顕著な影響を与える。SMS確認のような単純なメカニズムは、暗号的利点がなくても、信頼の認識を高める。
• 安全な電子投票システムを構築するための広く採用されたオープンフレームワークが不足しており、多くのシステムが中央集権的で単一障害点を持つアーキテクチャ依存である。
• 強制抵抗性は依然として重要な未解決問題であり、特に資格情報が漏洩または売買された場合、現在のスキームは使いやすさや検証可能性を損なわずに強制を防げない。