Erki Savisaar: mobiilse hääletuse usaldusväärsus ja turvalisus sõltub tehnilistest lahendustest

Valitsus plaanib juba järgmistel valimistel lubada nutiseadmetega hääletamist. Kas saab hinnata, kui turvalised ja riskivabad need mobiilvalimised ehk m-valimised on? Sellest räägib intervjuus Keskerakonna liige ja IT-spetsialist Erki Savisaar.

Valitsus teatas, et juba järgmistel valimistel lubatakse hääletada ka nutiseadmetega, senini seda teha ei saa. Mida see tähendab puhtpraktilises mõttes, kuidas see saab toimida tehniliselt hääletaja jaoks?

Konkreetset tehnilist lahendust ma ei ole veel näinud, samuti ei ole näinud tehnilist kirjeldust selle lahenduse kohta, mis seal täpselt tehakse. Erinevatele platvormidele laienemine on loomulik osa tarkvara arendusest ja moderniseerimisest. Kui jäädakse kinni ainult PC tüüpi arvutitesse, siis varsti võime e-valimised maha kanda, sest PC tüüpi seadmete osakaal tarbimises väheneb.

Kas see, et mobiilhääletamist seni ei olnud, on tingitud tehnoloogilistest või muudest põhjustest?

Ma arvan, et see on olnud peamiselt mõtlemises kinni. Tänane seadus ei keela ju mobiiliga hääletamist. Tegemist on olnud minu teada Vabariigi valimiskomisjoni otsusega, et turvakaalutlustel mobiilide peale hääletamine lihtsalt ei laiene. See on pigem ideoloogiline tõke, mitte tehniline probleem. Valimiskomisjonil oli veendumus, et nad ei suuda mobiilseid valimisi piisavalt turvalisteks teha.

Kas Teie arvates on mobiilsed valimised tõesti turvalised ja riskivabad?

Lõpuks sõltub kõik tehnilisest lahendusest. Laias plaanis ei ole suurt vahet, kas hääletatakse mingisuguse PC tüüpi arvutiga või mobiilse seadmega. Erinevus on selles, milliseid võimalusi rakenduse levitamiseks ja kasutaja tuvastamiseks saab kasutada. Näiteks kui me räägime PC tüüpi arvutitest, millega alustati, seal saab kasutada kasutaja tuvastamiseks ID-kaarti. Mobiilsele seadmetele tihtipeale ID-kaardi lugejat külge panna ei saa, mis tähendab, et tuleb kasutada mingisuguseid teisi meetodeid kasutaja tuvastamiseks.

Mis probleem saaks olla peaprobleemiks mobiilsete valimiste juures?

Läbiv probleem e-valimistega üldse, millele on ka palju tähelepanu juhitud, on see, et tegelikult ei veenduta, kas valija on see, kes ta väidab ennast olevat. Valimisjaoskondades on kontroll märksa suurem, kui lihtsalt dokumendi näitamine või PIN sisestamine – püütakse ikkagi veenduda, kas dokumendi esitaja on ka selle dokumendi omanik ning seejärel juba liigutakse edasi. Seda kontrolli mingil põhjusel meie e-valimistesse ei ole pandud, kuigi sellest on tõesti palju juttu olnud.

Tegemist ei ole ju raketiteadusega. Kui me vaatame teisi elektroonilisi lahendusi, mis meil riigis toimivad, näiteks e-Notarit, seal on see küsimus lahendatud. E-Notarisse saab sisse logida samuti oma elektroonilise identiteediga, aga seejärel küsitakse ka pilti sinu dokumendist, ehk sa pead oma arvuti kaameraga pildistama oma dokumendi ning samuti tuleb teha foto endast. Selle taga on kratt ehk tarkvara, mis kontrollib, kas pildid kaamerast, dokumendilt ja Rahvastikuregistrist on ühtivad. Ehk kas arvuti taga ikkagi istub isik, kes ainu isikuliselt peaks neid PIN koode teadma. Kui jah, liigutakse edasi. Minu hinnangul selleks, et elektrooniliste valimiste turvalisust ja usutavust tõsta, peaksid kõik need sammud olema ka e-valimistel, sealhulgas ka mobiilsete valimiste orgaaniline osa.

Kuigi sellistes keskkondades nagu e-Maksuamet või e-pangad on sissepääs võimalik kas Smart-ID või Mobiil-ID põhjal ning näopilte ei nõuta.

Ei nõuta jah, aga nendes keskkondades ei ole riskid nii suured, näiteks pangaülekanded on jälgitavad ja mingis mahus isegi tagasi keeratavad. Valimiste salajasuse printsiibist tulenevalt valimistel sellist jälitamist teha ei saa. Seost, kes kuidas hääletas ei tohi jälgida. Seetõttu tulebki kasutada teistsuguseid meetodeid, et usutavust ja turvalisust säilida. Lõppkokkuvõtteks jääb küsimus: kui meil elektroonilistel valimistel inimesele näkku ei vaadata, miks siis seda valimisjaoskondades tehakse? Miks me ei luba minna maskis kohale, visata mingi dokument ja siis hääletada. Milleks on seal vaja täiendavat kontrolli? Me kõik mõistame, et on põhjused, miks seda tehakse ja ega ma ei mõista, miks neid samu põhimõtteid ei soovita järgida ka elektroonilistel valimistel.

Tõsi, e-valimiste kohta tihti öeldakse, et keegi ei saa kontrollida, kes hääletab vanaema ID-kaardiga, kas vanaema ise või tema pojapoeg.

Just. Ja neid riske saaks sellesama lihtsa tuvastusega minimeerida, mida näiteks e-Notari keskkond kasutab. Teiseks, igasuguste vaidluste lahendamisel, ükskõik, kas neid lahendab siis Vabariigi valimiskomisjon või riigikohus või mis see pädev asutus on, ka nemad saaksid seda infot inimestena kontrollida. Näiteks kas tõesti hooldekodu puhul on see inimene arvuti taga olnud, kas ikka hooldust vajavad inimesed on iseseisvalt hääletanud See asi annaks järelevalve organitele valikuid juurde ning vähendaks riski, et keegi kasutab elektroonilist identiteeti selle omaniku teadmata. Loomulikult ei ole ükski selline meede võluvits, mis lahendab kõik probleemid. Aga küberturvalisus on nagu sibul, see on kihiline. Mida rohkem kihte, seda keerulisem on seda süsteemi lubamatult manipuleerida.

Omaette küsimus puudutab juba mainitud salajasuse ehk hääletamise anonüümsuse printsiipi. Ühte arvutit saab kasutada palju inimesi, mobiiltelefon on aga seotud konkreetse isikuga. Kas see ähvardab salajasuse printsiipi?

See, et nutiseade on seotud ühe isikuga, on pigem positiivne. Tõesti, inimestel mobiilsed seadmed on enamasti enda isiklikud, kuid arvuteid jagatakse. Mida aeg edasi, seda rohkem jagatakse. PC tüüpi arvuteid ei omata enam niipalju kui 10-15 aastat tagasi. Küsimus on pigem selles, kuidas uuel platvormil – mobiilsel seadmel kõiki neid turvanõudeid tagada. Mobiilse seadme operatsioonisüsteem on olemuselt veidi teistsugune, kui need varasemad, mille peal valimisrakendus on töötatud. Samuti tekib hääletamise kontrolli küsimus, mida on ka viimastel valimistel rakendatud. Hääletamise kontrollimiseks peab inimesel olema veel teine seade, millega saab kontrollida, kas sinu hääl jõudis nii öelda tervelt kohale. Sisuliselt on inimesel kahte seadet vaja.

Eriti räägitakse sellest, et kui hääletatakse nutiseadmega, siis meie peame toetuma välismaalt juhitud Google’i ja Apple’i rakendusepoodidele. Kas see on probleem?

Sõltub rakenduse arhitektuurist, kas seda tehakse äpina või tavalise veebirakendusena. Kui me vaatame tänast valimisrakendust, see on tõesti äpina tehtud. Eks loojad on arvestanud, et see on turvalisem lähenemine, kui mingisuguse veebiportaali tegemine. Mina arvan, et seda debatti tasub pidada, kas me peame mingisuguse äpi kusagile ülesse panema või saab seda teha ka teisiti, tagades need samad turvalisuse nõuded. Kui võtame e-Notari rakenduse, siis see on veebirakendus, pole eraldi äpp, mille sa pead endale alla tõmbama ja käivitama. Tehniliselt on võimalik nii ja teisiti.

On Teil veel nõuandeid, kuidas tõsta e-valimiste usaldusväärsust?

E-valimiste parendamiseks ja turvalisuse tõstmiseks on mitmeid võimalusi. Üks nendest oleks näiteks nn näotuvastus, mida eelnevalt kirjeldasin. Teiseks olen rääkinud nö topeltserveritest. Täna neid valimiskeskusi, kus elektroonilisi hääli loetakse, on ainult üks, see ongi Vabariigi valimiskomisjon. Minu nägemuses võiks olla vähemalt kaks sõltumatut keskust, kus loetakse täpselt samu hääli. Elektrooniline hääl läheb mõlemasse valimisjaoskonda – elektrooniliselt siin pole mingit probleemi saata sama asja kahte kohta. Mõlemad valimisjaoskonnad loevad hääli iseseisvalt. Kui häältega vahepeal manipuleeritud ei ole, siis annavad nad täpselt sama tulemuse. Minu nägemuses see teine sõltumatu organisatsioon, mis häälte lugemisega tegeleks, võiks olla moodustatud ülikoolide baasil. Neil on teadmised selle jaoks olemas. Lisaks sellele on neil kindlasti mingisuguseid häid ettepanekuid, kuidas seda süsteemi veelgi paremaks muuta.

Meil on tihti juttu sellest, et Lääne demokraatia jaoks eriliseks ohuks on Vene ja Hiina riigihäkkerid, kes püüavad valimisi manipuleerida erinevatel tasemetel. Eriti Hiina, kus toodetakse nutiseadmed, nt Huawei. Kas on tõenäoline, et mobiilne hääletamine saab olla piiratud ka selles aspektis? Et teatud brändi nutiseadmetega hääletada lihtsalt ei saa?

Tehniliselt on kõike võimalik teha, siin ma takistusi ei näe. Küsimus on selle asja mõistlikkuses ja, taaskord, riski tõenäosuses. Erinevaid ründevektoreid on palju, viis või kuus aastat tagasi sai neid kaardistatud, võimalikud ründed vaenulike riikide poolt olid ka selles analüüsis olemas. Selle riskiga tuleb tegeleda, jälgida seda olukorda. Teiselt poolt vaadates, ükskõik mis tootjale on paras väljakutse sellise pisikese riigi äpi vastu rünnakuid suunata, aga see ei ole võimatu. Tasub sellele riskile otsa vaadata. Võib-olla see oligi üks neist põhjustest, miks seni Vabariigi valimiskomisjon ei ole soovinud nende mobiilsete platvormide peale minna.

On mulje, et mobiilsete valimiste võimalusega püüab valitsus meelitada valimistele ka nooremaid, kes kasutavadki valdavalt nutiseadmeid. Kas siin võib näha tänase koalitsiooni kõrgendatud poliitilist huvi?

Poliitiline mõõde on kindlasti sealjuures olemas, aga ma ei usu, et elektroonilised valimised üleüldse ja sinna juurde ka mobiilsed valimised kuidagi uusi valijaid meelitavad või inimesi aktiivsemalt valima tõmbavad. Inimesed, kes ikkagi soovivad oma kodanikukohust täita, lähevad valimistele nii või teisiti. Vaevalt see soov jääb ära puhtalt sellepärast, et „ilma mobiilita ma ei saa üldse valida, noh ei lähe“. Aga loomulikult annavad mobiilsed valimised paindlikkust juurde. Inimesed liiguvad, reisides telefon on ikka kaasas ja saab sellega oma kodanikukohuse mugavalt ära täita. Mugavus on teatud mõttes ikkagi oluline nende teenuste kasutamise juures.