[论文解读] User Experience Design for E-Voting: How mental models align with security mechanisms

Marie-Laure Zollinger, Verena Distler+4 more|arXiv (Cornell University)|May 31, 2021

Privacy, Security, and Data Protection被引用 5

一句话总结

本文提出了一种以用户为中心的移动界面，用于Selene电子投票协议，通过使用简单的追踪编号系统替代复杂的密码学验证，以提升可用性和信任度。用户测试显示，尽管选民理解隐私概念（如秘密性与强制抵抗性），但许多人误解了验证流程，凸显了在电子投票设计中需加强用户心智模型的一致性。

ABSTRACT

This paper presents a mobile application for vote-casting and vote-verification based on the Selene e-voting protocol and explains how it was developed and implemented using the User Experience Design process. The resulting interface was tested with 38 participants, and user experience data was collected via questionnaires and semi-structured interviews on user experience and perceived security. Results concerning the impact of displaying security mechanisms on UX were presented in a complementary paper. Here we expand on this analysis by studying the mental models revealed during the interviews and compare them with theoretical security notions. Finally, we propose a list of improvements for designs of future voting protocols.

研究动机与目标

• 通过以用户为中心的UXD流程，设计并实现Selene协议的移动电子投票界面，以提升可用性和信任度。
• 探究用户对隐私和可验证性的认知模型与Selene协议实际安全机制的一致性。
• 识别验证流程中的可用性缺陷，这些缺陷可能削弱信任或导致系统误用。
• 基于用户反馈和心智模型分析，为未来电子投票协议提出设计改进建议。

提出的方法

• 应用用户体验设计（UXD）流程，为Selene电子投票协议开发智能手机界面，重点隐藏密码学复杂性。
• 实现一种追踪编号系统，选民通过与公共公告板上其选票关联的唯一私有标识符来验证其投票。
• 通过问卷和半结构化访谈对38名参与者开展用户研究，评估可用性、感知安全性及心智模型。
• 分析访谈数据，提取用户对隐私、强制抵抗性和可验证性的概念理解，并与理论安全概念进行对比。
• 评估界面设计选择对用户信任及任务表现（特别是在验证阶段）的影响。
• 基于用户反馈提出设计改进建议，包括更早访问公告板，以及对验证目的的更清晰解释。

实验结果

研究问题

• RQ1 用户对隐私和可验证性的认知模型与Selene电子投票协议中的安全机制在多大程度上一致？
• RQ2 选民在使用追踪编号机制验证其投票时面临哪些可用性挑战？
• RQ3 验证界面的设计如何影响用户对系统安全性和信任度的感知？
• RQ4 如何改进界面设计，以更好地支持用户理解并正确执行投票验证？

主要发现

• 参与者普遍理解了诸如选票秘密性与强制抵抗性等隐私概念，与协议的理论安全目标保持一致。
• 许多用户误解了验证阶段的目的，部分人认为追踪编号表示支持同一候选人的选民人数。
• 对验证过程缺乏清晰说明导致信任问题，参与者质疑该流程的完整性及验证步骤的必要性。
• 用户对验证的时机和原因感到困惑，特别是当验证必须在投票后立即进行、结果尚未公布时。
• 研究表明，若能更早地让参与者访问公告板，将有助于提升理解度，并减轻对验证时机的焦虑。
• 参与者建议，应更强调胁迫风险，并阐明验证在保护选举完整性中的作用，以提升理解度与接受度。