La balotujo, kiun ĉiu
povas kontroli.
Ni ne petas vin kredi nian vorton: ni donas al vi la ilojn por ĉion kontroli. Jen la maŝinaro interne, kun siaj teknikaj nomoj kaj sen etliteroj.
Ŝanĝu unu balotilon, kaj ĉio jam ne kongruas.
Resume: Se iu ŝanĝas voĉdonon, ĉio jam ne kongruas: dum la voĉdonado la administranto kaj la kontrolantoj povas tion kontroli kiam ajn ili volas, kaj post la fermo tion povas fari ĉiu.
Ĉiu voĉdonado konstruas Merkle-arbon: la kriptografia strukturo, kiu igas ajnan ŝanĝon en voĉdono detektebla de ĉiu.
Ŝanĝu unu balotilon, kaj la radiko jam ne kongruos.
Ĉiu balotilo estas folio de Merkle-arbo, kies radiko estas sigelata ĉe la fermo per sendependa tempa aŭtoritato. Ĉiu ajn povas rekalkuli la arbon per la publikigitaj balotiloj: se ne aperas la sama radiko, la protokolo ne estas tiu, kiu estis sigelita.
La folioj estas ordigitaj laŭ hazarda identigilo: la eldon-ordo ne estas konservata ie ajn.
Gvidilo: kontrolu ĝin mem, paŝon post paŝo →Ĉiu voĉdonanto povas kontroli sian propran balotilon.
Kiam vi voĉdonas, vi ricevas anoniman konfirmilon. Per ĝi vi kontrolas, ke via balotilo estas en la fina nombrado — sen malkaŝi al iu ajn, kiel vi voĉdonis.
Se la voĉdonado havas tion aktivigita, vi ankaŭ povas aldoni al via balotilo personan ŝlosilon: per ĝi vi retrovas ĝin poste, kiam la voĉdonado estos sigelita.
Kiel funkcias la konfirmilo →Protokolo en PDF, kiu elmontras ajnan manipulon.
Je la fermo oni generas la protokolon kun la radiko de la arbo, la temposigelo kaj QR-kodo. Skaniu ĝin — aŭ enigu ĝian kodon — kaj la platformo rekalkulas ĉion antaŭ viaj okuloj.
Kontrolu protokolon nun →La samaj garantioj, sen la fumo.
Sigelita Merkle-arbo ofertas la saman kontroleblan neŝanĝeblecon, kiun promesas blokĉeno, sed sen ĝia kosto, malrapideco kaj perantoj. Ni klarigas al vi, kial tio ne estas magio — kaj kial vi ne bezonas ĝin.
La mito pri blokĉeno en voĉdonado →Teknika detalo
- Spuro de ĉiu balotilo
- SHA‑256-haŝo kalkulita el ĝia identigilo, la enhavo de la balotilo kaj ĝia pezo en la nombrado.
- Merkle-arbo
- La spuroj kombiniĝas po du ĝis restas unu sola radiko. La folioj estas ordigitaj laŭ hazarda identigilo, neniam laŭ emisordo.
- Dum la voĉdonado
- Ĉiu balotilo lasas sian spuron je la elsendmomento kaj estas sammomente kopiita en apartan registron de la datumbazo. La integreckontrolo komparas balotilon, spuron kaj kopion: ĝin lanĉas la administranto kaj la kontrolantoj kiam ajn ili volas, kaj ĉe la fermo ĝi aŭtomate ripetiĝas. Se io ne kongruas, la protokolo ne estas sigelata.
- Mezaj radikoj
- Ĉiun 100 balotilojn aŭ ĉiun horon oni fiksas mezan radikon de la arbo, kiel ateston pri tio, kio estis enĵetita ĝis tiu momento.
- Tempstampo
- Je la fermo la fina radiko estas sigelata per RFC‑3161-temposigelo de ekstera aŭtoritato: vojaĝas nur ĝia SHA‑256-spuro, neniam la balotiloj.
- Kontrolo
- La protokolo enhavas la radikon, la sigelon kaj QR-kodon. La publika kontrolo rekalkulas la arbon per la publikigitaj balotiloj kaj komparas la radikojn.
Protektita dum transito. Ĉifritaj kopioj.
Resume: Viaj datumoj vojaĝas protektitaj kaj la sekurkopioj estas konservataj ĉifritaj. Ĉi tie ni diras ĝuste kiel.
Ĉifrado laŭ malferma normo tie, kie ĝi protektas: en la konekto, en la aliro kaj en la kopioj. Jen la detaloj.
Dum transdono
La konektoj al la platformo estas ĉifritaj per TLS 1.3 (aŭ TLS 1.2 se via retumilo ankoraŭ ne subtenas ĝin). TLS estas la protokolo, kiu ĉifras la komunikadon inter via retumilo kaj la servilo — la ŝlosileto en la adresbreto —, kaj versio 1.3 estas la plej nova kaj la plej fortika. Nenio vojaĝas senĉifre.
Sekurkopioj
La ĉiutagaj sekurkopioj estas ĉifritaj per AES-256 antaŭ ol forlasi la servilon, kaj neniam estas konservata nekriptita kopio.
Dum aliro
Dupaŝa konfirmo (2FA) por administrantoj, persona, unufoje uzebla voĉdona ligilo kaj pasvortoj, kiuj neniam estas konservataj senĉifre. La identigiloj en la URL-oj ĉiam estas ĉifritaj.
Teknika detalo
- Protokolo
- HTTPS kun TLS 1.3, aŭ TLS 1.2 por malnovaj retumiloj; TLS 1.1 kaj pli malnovaj estas rifuzataj. La HTTP-kapo HSTS (unu jaro, kun subdomajnoj) igas la retumilon ne plu provi senĉifran konekton.
- Sekurkopioj
- Ĉiutaga daten-eksporto, kunpremita kaj ĉifrita per AES-256-CBC antaŭ ol forlasi la servilon; la ŝlosilo estas derivata per PBKDF2-SHA256 kun 100 000 iteracioj. Se la ŝlosilo mankas, la kopio ne fariĝas: neniam konserviĝas kopio senĉifre.
- Pasvortoj
- Ili estas konservataj per bcrypt, malrapida haŝ-algoritmo kun propra salo: eĉ kun aliro al la datumbazo oni ne povas ilin legi.
- Identigiloj
- La internaj numeroj, kiuj aperas en la retadresoj, estas ĉifritaj per AES-256 kaj malsama ŝlosilo por ĉiu zono de la aplikaĵo, por ke oni ne povu ilin diveni nek sinsekve trarigardi.
- Seanco kaj formularoj
- Kuketoj kun HttpOnly, SameSite kaj Secure; la seanca identigilo estas renovigata dum ensaluto. Ĉiu formularo kaj peto portas CSRF-ĵetonon, kiu ŝanĝiĝas ĉiun horon.
- Provoj
- Apriore, kvin malsukcesaj ensalutoj en 15 minutoj blokas la konton. La verifikaj kodoj, la voĉdonaj ligiloj kaj la publika kontrolo de protokoloj ankaŭ havas limon de nombro de provoj.
Ni scias ke vi voĉdonis. Neniam kion vi voĉdonis.
Resume: Post kiam via voĉo estas registrita, nenio plu ligas ĝin al via identeco, kaj neniu povas voĉdoni dufoje, eĉ ne per malsamaj vojoj.
La korelacio estas nuligita kiam la voĉo estas registrita.
La korelacio identeco ↔ enhavo estas detruita je la momento de voĉdono. Apartaj tabeloj, sen korelacieble ŝlosilo. Post kiam la voĉo estas registrita, eĉ administranto kun plena aliro al la datumbazo ne povas rekonstrui kiu voĉdonis kion.
Unu voĉo por ĉiu persono, sendepende de la enirvojo.
Eblas voĉdoni ensalutante per uzanto kaj pasvorto, per persona, unufoje uzebla ligilo aŭ ĉe la ĉeesta balottablo. La tri vojoj registras la partoprenon en la sama registro, kiu akceptas nur unu enskribon por ĉiu persono kaj voĉdonado: kiu jam voĉdonis per unu vojo ne povas fari tion per alia. Tiu registro diras, ke vi voĉdonis, neniam kion.
La protekto kontraŭ duobla voĉdono, simple klarigita →Teknika detalo
- Konservado
- Kiu voĉdonis kaj pri kio oni voĉdonis estas konservataj en apartaj tabeloj, sen ajna ŝlosilo, kiu ilin rilatigus.
- Ordo de voĉdonado
- Ĝi ne estas konservata: la balotiloj estas identigitaj per hazarda valoro, do oni ne povas kruci la horon de voĉdono kun la horo de aliro.
- Duobla voĉdono
- Unika limigo (persono + voĉdonado) en la partopren-registro, ene de la sama transakcio, kiu konservas la balotilon: se du voĉoj alvenas samtempe, nur unu eniras. Krome, ĉe la voĉdono per ligilo, la ligilo estas markata kiel uzita en tiu sama transakcio.
- Rezervo
- La verifika kodo estas hazarda kaj ne rilatas al via konto: nur tiu, kiu ĝin havas, povas trovi sian balotilon.
Kontrolantoj de ĉiu kandidataro, kun nurlega aliro.
Resume: Ĉiu kandidataro povas havi iun, kiu rigardas la procezon vive, sen povi ĝin tuŝi.
Travideblo ne estas PDF fine: ĝi estas la ebleco rigardi la procezon dum ĝi okazas.
Nurlega aliro por tiu, kiu gardas.
La kontrolantoj monitoras la voĉdonantaron, la partoprenon kaj la fermon en reala tempo, sen povi tuŝi la administradon. Ĉiu kandidataro povas nomi siajn proprajn.
Ĉeesta balotujo, ciferecaj garantioj.
Por ĉeesta, asistata voĉdonado la balotkomisiono markas, kiu jam voĉdonis, kaj la balotiloj estas enmetataj poste, ne ligitaj al iu persono. La balotsekreto konserviĝas ankaŭ ekster la ekrano.
- Identigo La balotkomisiono serĉas la personon en la voĉdonantaro kaj markas tiun. Ekde tiu momento tiu jam ne povas voĉdoni rete.
- Balotilo en la balotujo Voĉdonu sur papero kaj enĵetu la balotilon en la fizikan balotujon.
- Malfermo Je la fino la balotkomisiono malfermas la balotujon kaj nombras la balotilojn.
- Nombrado La balotiloj estas enmetataj unu post alia, sen ajnaj datumoj pri tio, kiu ilin enmetis.
- Fermo kaj protokolo La protokolo komparas la markitajn personojn, la nombrigitajn balotilojn kaj la enmetitajn balotilojn. Se ili kongruas, ĝi indikas «Kongruas»; se ne, ĝi rimarkigas tion kune kun la notoj de la balotkomisiono.
Viaj datumoj troviĝas en Eŭropo. Kaj ili restas ĉi tie.
Resume: Viaj datumoj restas en Hispanio, oni uzas ilin nur por via voĉdonado kaj neniam vendas ilin.
Ĉiuj niaj serviloj estas alojitaj en datumejoj ene de la Eŭropa Unio (Hispanio). Ni plene konformas al la GDPR ekde la unua minuto: la datumoj de viaj voĉdonadoj —voĉoj, voĉdonantaro kaj partoprenantoj— estas prilaborataj sen transdono ekster la Eŭropa Ekonomia Areo kaj sen triapartneroj. Sen etlitero kaj sen surprizoj.
Konforme al RGPD
Ni prilaboras nur la nepre necesajn datumojn por la balotprocezo, kun klara jura bazo kaj difinitaj konservperiodoj.
Neniuj transdonoj ekster la EEE
La datumoj pri voĉdonado ne eliras el la Eŭropa Ekonomia Areo. (Se vi elektas identigi vin per via konto de Google aŭ Microsoft, tiu aŭtentigo pasas tra ili.)
Ni neniam vendas viajn datumojn
Sen reklamoj, sen profilado kaj sen transdono al triaj. Via voĉdonantaro kaj viaj rezultoj estas viaj — kaj nur viaj. Punkto.
Neniu voĉdona sistemo protektas ĉion.
Ni preferas diri tion al vi klare. Garantio, kiu ne plenumiĝas, estas pli malbona ol ne proponi iun ajn.
| Risko | Ĉu kovrita? | Kiel |
|---|---|---|
| Ke iu ŝanĝu voĉon post la fermo de la voĉdonado | Jes | La radiko de la arbo estas sigelita per temposigelo: ĉiu povas rekalkuli ĝin kaj vidi, ĉu ĝi koincidas. |
| Ke via voĉo ne estu nombrata | Jes | Per via kontrolkodo vi povas kontroli, ke via balotilo estas en la nombrado, ĝuste kiel vi ĝin markis. |
| Ke iu voĉdonu dufoje | Jes | Ĉiu persono havas unuuzan aliron, kiu konsumiĝas kiam li/ŝi voĉdonas. |
| Ke oni rilatigu vian identecon kun via voĉo post kiam ĝi jam estas registrita | Jes | Ili estas konservataj aparte, sen ajna ŝlosilo, kiu ilin kunligus, kaj sen la ordo, laŭ kiu oni voĉdonis. |
| Kio okazas en la servilo ĝuste en la momento de voĉdoni | Parte | Tiu, kiu regas la servilon dum la voĉdonado estas malfermita, povus asocii voĉdonanton kaj balotilon antaŭ ol ĝi estas registrita. Tial la sekreto rilate al la persono, kiu mastrumas la platformon, estas engaĝiĝo en niaj kondiĉoj; sed rilate al la organizo kaj al triaj ĝi ja estas teknika garantio. |
| Ke iu uzu vian personan aliron | Parte | La aliro estas unuuza, sed se iu eniras vian retpoŝton aŭ vian poŝtelefonon antaŭ vi, tiu povus ĝin uzi. Protektu ilin, kaj informu la organizon se vi ricevas aliron, kiun vi ne atendis. |
| Kiu havis rajton voĉdoni | Ne | Pri la voĉdonantaro decidas la organizo. La kontrolantoj povas revizii ĝin antaŭ ol malfermi la voĉdonadon. |
| Voĉo, kiu neniam eniris la sistemon | Ne | Oni komparas la registritan kun la sigelitan: io, kio ne estis konservita, ne lasas videblan truon. |
| Ke iu premu vin dum vi voĉdonas de hejmo | Ne | Neniu distanca voĉdono tion evitas. Se tio estas risko en via procezo, kombinu la retan voĉdonon kun la ĉeesta balotujo. |
| Ke via aparato estu infektita | Ne | Tio dependas de viaj aparatoj: voĉdonu per ĝisdatigita aparato. |
Via balotprocezo, protektita ekde la unua voĉo.
Elektu vian sekvan paŝon.