6.1 Безопасные выборы
Компьютерное голосование никогда не будет использовано для обычных выборов, пока не появится прот о-
кол, который одновременно предохраняет от мошенничества и защищает тайну личности. Идеальный протокол
должен обладать, по меньшей мере, следующими шестью свойствами :
1. Голосовать могут только те, кто имеет на это право .
2. Каждый может голосовать не более одного раза .
3. Никто не может узнать, за кого проголосовал конкретный избиратель .
4. Никто не может проголосовать вместо другого. (Это оказывается самым тяжелым требованием .)
5. Никто не может тайно изменить чей-то голос .
6. Каждый голосующий может проверить, что его голос учитывался при подведении итогов голосования .
Кроме того, для некоторых схем голосования может понадобиться следующее требование :
7. Каждый знает, кто голосовал, а кто нет.
Прежде чем описывать сложные протоколы, имеющие приведенные характеристики, давайте взглянем на
рад протоколов попроще.
Упрощенный протокол голосования 11
(1) Каждый голосующий шифрует свой бюллетень открытым ключом Центральной избирательной комиссии
(ЦИК).
(2) Каждый голосующий посылает свой бюллетень в ЦИК .
(3) ЦИК расшифровывает бюллетени, подводит итоги и опубликовывает результаты голосования .
Этот протокол просто кишит проблемами . ЦИК не может узнать, откуда получены бюллетени, и даже, пр и-
надлежат ли присланные бюллетени правомочным избирателям . У нее нет ни малейшего представления о том,
не голосовали ли правомочные избиратели больше одного раза . Положительной стороной является невозмо ж-
ность изменить бюллетень другого человека , но никто и не будет пытаться это сделать, потому что гораздо г о-
лосовать повторно, добиваясь нужных результатов выборов .
Упрощенный протокол голосования 12
(1) Каждый голосующий подписывает свой бюллетень своим закрытым ключом .
(2) Каждый голосующий шифрует свой бюллетень открытым ключом ЦИК .
(3) Каждый голосующий посылает свой бюллетень в ЦИК .
(4) ЦИК расшифровывает бюллетени, проверяет подписи, подводит итоги и опубликовывает результаты г о-
лосования.
Этот протокол обладает свойствами 1 и 2 : Только правомочные избиратели могут голосовать, и никто не
может голосовать более одного раза - ЦИК может записывать бюллетени, полученные на этапе (3). Каждый
бюллетень подписан закрытым ключом голосующего, поэтому ЦИК знает, кто голосовал, а кто нет, и, как гол о-
совал каждый избиратель. Если получен бюллетень, который не подписан правомочным пользователем, или
бюллетень, подписанный избирателем, который уже проголосовал , то такой бюллетень игнорируется
комиссией. Кроме того, из-за цифровой подписи никто не может изменить бюллетень другого избирателя, даже
если сумеет перехватить его на этапе (2).
Проблема этого протокола в том, что подпись добавляется к бюллетеню, ЦИК знает, кто за кого голосовал .
Шифрование бюллетеней открытым ключом ЦИК мешает посторонним злоупотреблять протоколом и узнавать,
кто за кого голосовал, но вам придется полностью доверять ЦИК Это как будто в кабинке для голосования вам
через плечо заглядывает электронный судья .
Два следующих примера показывают, как трудно обеспечить хотя бы первые три требования к протоколу
безопасного голосования.
Голосование со слепыми подписями
Нам нужно как-то отделить бюллетень от голосующего, сохранив процедуру идентификации личности .
Именно это можно сделать с помощью протокола слепой подписи .
(1) Каждый избиратель создает 10 наборов сообщений , каждый набор содержит правильный бюллетень для
каждого возможного результата (например, если бюллетенем является один из ответов "да"-"нет", то ка ж-
дый набор состоит из двух бюллетеней, одного для "да", а другого для "нет" ). Каждое сообщение содержит
также случайным образом созданный идентификационный номер, достаточно большой, чтобы избежать
путаницы с другими избирателями.
(2) Каждый избиратель лично маскирует все сообщения (см. раздел 5.3) и посылает их в ЦИК вместе с ма с-
кирующим множителями.
(3) ЦИК по своей базе данных проверяет, что пользователь не присылал раньше для подписания свои зама с-
кированные бюллетени. ЦИК открывает 9 из наборов, проверяя, что они правильно сформированы . Затем
она индивидуально подписывает каждое сообщение набора и посылает их обратно избирателю, сохраняя
имя избирателя в своей базе данных.
(4) Избиратель снимает маскировку с сообщений и получает набор бюллетеней, подписанных ЦИК . (Эти
бюллетени подписаны, но не зашифрованы, поэтому избиратель легко увидит, какой из бюллетеней - "да",
а какой - "нет". )
(5) Каждый избиратель выбирает один из бюллетеней (о, демократия!) и шифрует его открытым ключом
ЦИК.
(6) Избиратель отправляет свой бюллетень .
(7) ЦИК расшифровывает бюллетени, проверяет подписи, проверяет по базе данных уникальность идентиф и-
кационного номера, сохраняет последовательный номер и подводит итоги. Она опубликовывает результ а-
ты голосования вместе с каждым последовательным номером и соответствующим бюллетенем .
Мэллори, избиратель-жулик, не может обмануть эту систему. Протокол слепой подписи обеспечивает еди н-
ственность его бюллетени. Если он попытается отправить тот же бюллетень дважды, ЦИК обнаружит дублир о-
вание последовательных номеров на этапе (7) и не будет учитывать второй бюллетень . Если он попытается по-
лучить несколько бюллетеней на этапе (2), ЦИК обнаружит это на этапе (3). Мэллори не может создать свои
собственные бюллетени, потому что он не знает закрытого ключа комиссии . По той же причине он не может
перехватить и изменить чужие бюллетени.
Протокол "разрезать и выбрать" на этапе (3) должен обеспечить уникальность бюллетеней. Без этого этапа
Мэллори мог бы создать точно такой же, за исключением идентификационного номера, набор бюллетеней и
заверить их все в ЦИК.
Мошенническая ЦИК не сможет узнать, как голосовал конкретный избиратель. Так как протокол слепой
подписи маскирует последовательные номера бюллетеней до момента подведения итогов , ЦИК не сможет уста-
новить связь между подписанным ею замаскированным бюллетенем и подытоживаемым бюллетенем . Опубли-
кование перечня последовательных номеров и связанных с ними бюллетеней позволяет пользователям убедит ь-
ся, что их бюллетени были правильно учтены.
Но проблемы все еще остаются. Если этап (6) не анонимен, и ЦИК может записать, кто какой бюллетень
прислал, то она сможет узнать, кто за кого голосовал . Однако, это невозможно, если комиссия получает бюлл е-
тени в запечатанной урне для голосования и считает их позже . Хотя ЦИК и не сможет установить связь между
избирателями и их бюллетенями, она сможет создать большое количество подписанных и правильных бюлл е-
теней и смошенничать, прислав их сама себе . И если Алиса обнаружит, что ЦИК подменила ее бюллетень, она
не сможет доказать этого. Аналогичный протокол, пытающийся устранить эти проблемы, описан в [1195, 1370].
Голосование с двумя Центральными комиссиями
Одним из решений является разделить ЦИК пополам . Ни у одной из них не будет достаточно власти, чтобы
смошенничать по своему усмотрению .
В следующем протоколе используется Центральное управление регистрации (ЦУР), занимающееся прове р-
кой пользователей, и отдельная ЦИК для подсчета бюллетеней [1373].
(1) Каждый избиратель отправляет письмо в ЦУР, запрашивая регистрационный номер.
(2) ЦУР возвращает избирателю случайный регистрационный номер. ЦУР ведет список регистрационных
номеров. Кроме того, ЦУР хранит список получателей регистрационных номеров на случай, если кто-то
попытается проголосовать дважды.
(3) ЦУР отправляет список регистрационных номеров в ЦИК.
(4) Каждый избиратель выбирает случайный идентификационный номер. Он создает сообщение с этим ном е-
ром, регистрационным номером, полученным в ЦУР, и своим бюллетенем. Он посылает это сообщение в
ЦИК.
(5) ЦИК проверяет регистрационные номера по списку, полученному от ЦУР на этапе (3). Если регистрац и-
онный номер есть в списке, ЦИК вычеркивает его (чтобы избежать повторного голосования). ЦИК доба в-
ляет идентификационный номер к списку тех, кто проголосовал за определенного кандидата, и прибавляет
единичку к соответствующему итоговому числу.
(6) После того, как все бюллетени будут получены, ЦИК публикует результаты вместе со списками, содерж а-
щими идентификационные номера и соответствующие бюллетени.
Как и в предыдущем протоколе каждый избиратель может увидеть список идентификационных номеров и
найти в нем свой собственный. Так он может убедиться, что его бюллетень учтен . Конечно, все сообщения, ко-
торыми обмениваются участники протокола должны быть зашифрованы и подписаны, чтобы помешать кому-
нибудь выдать себя за другого или перехватить сообщения .
ЦИК не может изменить бюллетени, потому что каждый избиратель будет искать свой регистрационный н о-
мер. Если избиратель не находит свой регистрационный номер или находит его в итоговом списке с другим р е-
зультатом голосования, он немедленно узнает, что произошел обман. ЦИК не может добавить бюллетень в у р-
ну, которая находится под наблюдением ЦУР . ЦУР знает, сколько избирателей зарегистрировалось, их регис т-
рационные номера и обнаружит любые изменения .
Мэллори, не обладающий избирательными правами, может попытаться смошенничать, угадав правильный
регистрационный номер. Угроза этого может быть минимизирована, если множество возможных регистрацио н-
ных номеров намного больше, чем множество реальных регистрационных номеров : 100-битовое число для мил-
лиона избирателей. Конечно же, регистрационные номера должны генерироваться случайным образом .
Несмотря на это, ЦУР должна быть заслуживающим доверия органом власти - ведь она может зарегистр и-
ровать неправомочных избирателей . Она также может зарегистрировать правомочных избирателей несколько
раз. Этот риск может быть сведен к минимуму, если ЦУР опубликует список зарегистрировавшихся избират е-
лей (но без их регистрационных номеров ). Если число избирателей в этом списке меньше, чем число подсч и-
танных бюллетеней, то что-то не так. Однако, если зарегистрировалось больше избирателей, чем было прислано
бюллетеней, то это, возможно, означает, что ряд зарегистрировавшихся избирателей не проголосовал . Многие,
зарегистрировавшись, не утруждаются бросить в урну свой бюллетень .
Этот протокол беззащитен перед сговором ЦИК и ЦУР. Если они действуют вместе, они могут объединить
свои базы данных и узнать, кто за кого голосует .
Голосование с одной Центральной комиссией
Чтобы избежать опасности сговора между ЦУР и ЦИК можно использовать более сложный протокол [1373].
Этот протокол идентичен предыдущему с двумя изменениями :
— ЦУР и ЦИК являются единой организацией, и
— для анонимного распределения регистрационных номеров на этапе (2) используется ANDOS (см. раздел
4.13).
Так как протокол анонимного распределения ключей не позволяет ЦИК узнать, у какого избирателя какой
регистрационный номер, У ЦИК нет способа связать регистрационные номера и полученные бюллетени . Но
ЦИК должна быть надежным органом, чтобы не выдавать регистрационных номеров неправомочным избират е-
лям. Эту проблему также можно решить с помощью слепых подписей .
Улучшенное голосование с одной Центральной комиссией
В этом протоколе также используется ANDOS [1175]. Он удовлетворяет всем шести требованиям хорошего
протокола голосования. Он не удовлетворяет седьмому требованию, но обладает двумя свойствами, дополня ю-
щими перечисленные в начале раздела шесть свойств :
7. Избиратель может изменить свое мнение (т.е., аннулировать свой бюллетень и проголосовать заново )
в течение заданного периода времени .
8. Если избиратель обнаруживает, что его бюллетень посчитан неправильно, он может установить и и с-
править проблему, не рискуя безопасностью своего бюллетеня .
Вот этот протокол:
(1) ЦИК публикует список всех правомочных избирателей .
(2) В течение определенного срока каждый избиратель сообщает в ЦИК, собирается ли он голосовать .
(3) ЦИК публикует список избирателей, участвующих в выборах .
(4) Каждый избиратель получает идентификационный номер , I, с помощью протокола ANDOS.
(5) Каждый избиратель генерирует пару открытый ключ/закрытый ключ : k, d. If Если v - это бюллетень, то
избиратель создает и посылает в ЦИК следующее сообщение :
I,Ek(I, v)
Это сообщение должно быть послано анонимно .
(6) ЦИК подтверждает получение бюллетеня, публикуя :
Ek(I, v)
(7) Каждый избиратель посылает ЦИК :
I, d
(8) ЦИК расшифровывает бюллетени. В конце выборов она публикует их результаты и, для каждого варианта
выбора, список соответствующий знач ений Ek(I, v).
(9) Если избиратель обнаруживает, что его бюллетень подсчитан неправильно, он протестует, посылая ЦИК :
I, Ek(I, v), d
(10) Если избиратель хочет изменить свой бюллетень с v на v', он посылает ЦИК:
I, Ek(I, v'), d
Другой протокол голосования использует вместо ANDOS слепые подписи, но по сути мало чем отличается
[585]. Этапы (1) - (3) являются предварительными. Их цель состоит в том, чтобы узнать и опубликовать всех
действительных избирателей. Хотя некоторые из них, вероятно, не примут участи в голосовании, это уменьшает
возможность ЦИК добавить поддельные бюллетени .
На этапе (4) два избирателя могут получить один и тот же идентификационный номер . Эта возможность мо-
жет быть минимизирована, если число возможных идентификационных номеров будет гораздо больше, чем
число реальных избирателей. Если два избирателя присылают бюллетени с одинаковым идентификатором,
ЦИК генерирует новый идентификационный номер, I', выбирает одного из избирателей и публикует :
I',Ek(I, v)
Владелец этого бюллетеня узнает о произошедшей путанице и посылает свой бюллетень снова, повторяя
этап (5) с новым идентификационным номером .
Этап (6) дает каждому избирателю возможность проверить, что ЦИК правильно получила его бюллетень .
Если его бюллетень неправильно подсчитан, он может доказать это на этапе ( 9). Предполагая, что бюллетень
избирателя на этапе (6) правилен, сообщение, которое он посылает на этапе (9) доказывает, что его бюллетень
был неправильно подсчитан.
Одной из проблем этого протокола является то, что жульническая ЦИК сможет воспользоваться людей, к о-
торые сообщили о намерении голосовать на этапе (2), но не голосовали в действительности . Другой проблемой
является сложность протокола ANDOS. Авторы рекомендуют разбивать избирателей на меньшие группы, н а-
пример избирательные округа.
Еще одной, более серьезной проблемой является то, что ЦИК может не подсчитать какой-нибудь бюллетень .
Эта проблема неразрешима: Алиса утверждает, что ЦИК намеренно пренебрег ее бюллетенем, а ЦИК утве р-
ждает, что Алиса никогда не голосовала .
Голосование без Центральной избирательной комиссии
В следующем протоколе ЦИК не используется, избиратели следят друг за другом . Этот протокол, созданный
Майклом Мерриттом [452, 1076, 453], настолько громоздок, что возможность его реализации больше чем для
пяти человек сомнительна, но все же познакомиться с ним будет полезно .
Алиса, Боб, Кэрол и Дэйв голосуют (да/нет или 0/1) по какому-то вопросу . Пусть у каждого избирателя есть
открытый и закрытый ключи. Пусть также все открытые ключи известны всем .
(1) Каждый голосующий решает, как голосовать, и делает следующее:
(a) Добавляет случайную строку к своему бюллетеню.
(b) Шифрует результат этапа (а) открытым ключом Дэйва.
(c) Шифрует результат этапа (b) открытым ключом Кэрол.
(d) Шифрует результат этапа (c) открытым ключом Боба.
(e) Шифрует результат этапа (d) открытым ключом Алисы.
(f) Добавляет новую случайную строку к результату этапа ( e) и шифрует получившееся открытым кл ю-
чом Дэйва. Он записывает значение случайной строки.
(g) Добавляет новую случайную строку к результату этапа ( f) и шифрует получившееся открытым кл ю-
чом Кэрол. Он записывает значение случайной строки.
(h) Добавляет новую случайную строку к результату этапа ( g) и шифрует получившееся открытым кл ю-
чом Боба. Он записывает значение случайной строки.
(i) Добавляет новую случайную строку к результату этапа ( g) и шифрует получившееся открытым кл ю-
чом Алисы. Он записывает значение случайной строки.
Если E - это функция шифрования, Ri - случайная строка, а V - бюллетень , то его сообщение будет выгля-
деть следующим образом:
EA(R5,EB(R4,EC(R3,ED(R2,EA(EB(EC(ED(V,R1 ))))))))
Каждый голосующий сохраняет промежуточные результаты на каждом этапе вычислений. Эти результаты
будут использоваться на дальнейших этапах протокола для подтверждения, что бюллетень данного изб и-
рателя будет учтен.
(2) Каждый голосующий отправляет сообщение Алисе.
(3) Алиса расшифровывает все бюллетени, используя свой закрытый ключ, и удаляет все случайные строки
на этом уровне.
(4) Алиса перетасовывает все бюллетени и посылает результат Бобу.
Теперь каждый бюллетень будет выглядеть сл едующим образом:
EB(R4,EC(R3,ED(R2,EA(EB(EC(ED(V,R1 )))))))
(5) Боб расшифровывает все бюллетени, используя свой закрытый ключ, проверяет, есть ли его бюллетень
среди присланных бюллетеней, удаляет все случайные строки на этом уровне, тасует бюллетени и посыл а-
ет результат Кэрол.
Теперь каждый бюллетень будет выглядеть сл едующим образом:
EC(R3,ED(R2,EA(EB(EC(ED(V,R1 ))))))
(6) Кэрол расшифровывает все бюллетени, используя свой закрытый ключ, проверяет, есть ли ее бюллетень
среди присланных бюллетеней, удаляет все случайные строки на этом уровне, тасует бюллетени и посыл а-
ет результат Дэйву.
Теперь каждый бюллетень будет выглядеть сл едующим образом:
ED(R2,EA(EB(EC(ED(V,R1 )))))
(7) Дэйв расшифровывает все бюллетени, используя свой закрытый ключ, проверяет, есть ли его бюллетень
среди присланных бюллетеней, удаляет все случайные строки на этом уровне, тасует бюллетени и посыл а-
ет результат Алисе.
Теперь каждый бюллетень будет выглядеть сл едующим образом:
EA(EB(EC(ED(V,R1 ))))
(8) Алиса расшифровывает все бюллетени, используя свой закрытый ключ, проверяет, есть ли ее бюллетень
среди присланных бюллетеней, подписывает все бюллетени и посылает результат Бобу, Кэрол и Дэйву.
Теперь каждый бюллетень будет выглядеть сл едующим образом:
SA (EB(EC(ED(V,R1 ))))
(9) Боб проверяет и удаляет подписи Алисы. Он расшифровывает все бюллетени, используя свой закрытый
ключ, проверяет, есть ли его бюллетень среди присланных бюллетеней, подписывает все бюллетени и п о-
сылает результат Алисе, Кэрол и Дэйву.
Теперь каждый бюллетень будет выглядеть сл едующим образом:
SB(EC(ED(V,R1 )))
(10) Кэрол проверяет и удаляет подписи Боба. Она расшифровывает все бюллетени, используя свой закрытый
ключ, проверяет, есть ли ее бюллетень среди присланных бюллетеней, подписывает все бюллетени и п о-
сылает результат Алисе, Бобу и Дэйву.
Теперь каждый бюллетень будет выглядеть сл едующим образом:
SC(ED(V,R1 ))
(11) Дэйв проверяет и удаляет подписи Кэрол. Он расшифровывает все бюллетени, используя свой закрытый
ключ, проверяет, есть ли его бюллетень среди присланных бюллетеней, подписывает все бюллетени и п о-
сылает результат Алисе, Бобу и Кэрол.
Теперь каждый бюллетень будет выглядеть сл едующим образом:
SD(V,R1 )
(12) Все проверяют и удаляют подпись Дэйва. Они убеждаются, что их бюллетени находятся среди получе н-
ных (находя свою случайную строку).
(13) Все удаляют случайные строки из каждого бюллетеня и суммирует бюллетени.
Этот протокол не только работает, он сам является своим арбитром . Алиса, Боб, Кэрол и Дэйв немедленно
узнают, если кто-нибудь из них попытается мошенничать . Не нужно никаких ЦИК и ЦУР. Чтобы увидеть, как
это работает, попытаемся смошенничать .
Если кто-нибудь пытается добавить бюллетень, Алиса обнаружит эту попытку на этапе (3), когда она полу-
чит бюллетеней больше чем количество людей, участвующих в голосовании . Если Алиса попытается добавить
бюллетень, Боб обнаружит это на этапе (4).
Более ловкой является подмена одного бюллетеня другим . Так как бюллетени шифруются различными о т-
крытыми ключами, каждый может создать столько правильных бюллетеней, сколько нужно . Протокол дешиф-
рирования состоит из двух частей : первая включает этапы (3)-(7), а вторая - этапы (8)-(11). Подмена голоса на
различных этапах обнаруживается по разному.
Если кто-нибудь заменит один бюллетень другим во второй части, его действия будут обнаружены неме д-
ленно. На каждом этапе бюллетени подписываются и посылаются всем избирателям . Если один избиратель
(или несколько) обнаруживает, что его бюллетеня больше нет среди набора бюллетеней , он немедленно пре-
кращает выполнение протокола. Так как бюллетени подписываются на каждом этапе , и так как каждый может
вернуться во второй части протокола на несколько шагов назад , то обнаружить мошенника, подменившего бю л-
летени, легко.
Замена одного бюллетеня другим в первой части протокола более тонка . Алиса не может сделать замену на
этапе (3), потому что Боб, Кэрол и Дэйв обнаружат это на этапах (5), (6) или (7). Боб может попробовать на эта-
пе (5). Если он заменит бюллетени Кэрол и Дэйва (помните, он не знает, какой бюллетень чей ), Кэрол или
Дэйв заметят это на этапах (6) или (7). Они не будут знать, кто подменил их бюллетени (хотя это должен быть
кто-то, уже обработавший бюллетени) , но они будут знать, что их голоса подменены . Если Бобу повезло, и ему
удалось подменить бюллетень Алисы, она не заметит этого до второй части протокола. Тогда она обнаружит
исчезновение своего голоса на этапе (8), но не сможет узнать, кто подменил бюллетень . В первой части бюлле-
тени перетасовываются на каждом этапе и не подписываются, поэтому никто не сможет отработать протокол
обратно и определить, кто подменил бюллетени.
Другой формой мошенничества является попытка узнать, кто за кого проголосовал . Из-за перетасовки бюл-
летеней в первой части никто не сможет отработать протокол обратно и связать бюллетени и голосующих . Уда-
ление случайных строк в первой части также является решающим для сохранения анонимности. Если строки не
удаляются, перемешивание голосов может быть инвертировано при помощи повторного шифрования получа е-
мых голосов открытым ключом того, кто их тасовал . Когда протокол остановится, конфиденциальность бюлл е-
теней сохранится.
Более того, из-за начальной случайной строки , R1, даже одинаковые бюллетени шифруются по разному на
каждом этапе протокола. Никто не может узнать значение бюллетеня до этапа (11).
Каковы проблемы этого протокола ? Во первых, для выполнения протокола нужны грандиозные вычисления .
В приведенном примере в голосовании принимают участие только четверо, но и он уже сложен. Такой прото-
кол не сможет работать при реальных выборах с десятками тысяч голосующих . Во вторых, Дэйв узнает резуль-
таты выборов раньше остальных . Хотя он и не может повлиять на результат, он получает определенное пр е-
имущество. С другой стороны такое также возможно и при централизованной схеме голосования .
Третья проблема заключается в том, что Алиса может скопировать бюллетень другого участника, даже не
зная его содержания заранее. Чтобы понять, почему это может стать проблемой, рассмотрим выборы для трех
голосующих - Алисы, Боба и Евы . Еве не важны результаты выборов, но она хочет знать, как голосовала Алиса .
Поэтому она копирует бюллетень Алисы, и результат выборов будет соответствовать бюллетеню Алисы .
Другие схемы голосования
Было предложено много сложных безопасных протоколов выборов . Их можно разделить на два типа . Суще-
ствуют протоколы с перемешиванием , как "Голосование без Центральной избирательной комиссии ", в которых
все бюллетени перемешиваются, чтобы никто не мог связать бюллетень и избир ателя.
Также существуют протоколы с разделением , в которых личные бюллетени делятся между различными
счетными комиссиями так, что ни одна из них не сможет обмануть избирателей [360, 359, 118, 115]. Эти про-
токолы Эти протоколы защищают анонимность избирателей только, если различные "части" правительства (или
кто бы не проводил голосование) не сговариваются против избирателя . (Идея разбить центральный орган на
несколько частей, которые пользуются доверием, только когда они действуют параллельно, пришла из [316].)
Один из протоколов с разделением предложен в [1371]. Основная идея состоит в том, что каждый избир а-
тель делит свой бюллетень на несколько частей . Например, если бы бюллетень содержал "да" или "нет", 1 обо-
значала бы "да", а 0 - "нет", избиратель мог бы создать несколько чисел, которые в сумме давали бы 0 или 1 .
Эти доли посылаются счетным комиссиям, каждой по одной, и также шифруются и сохраняются . Каждый центр
суммирует полученные доли (существуют протоколы, обеспечивающие правильность итога ), и окончательный
итог является суммой всех промежуточных итогов . Существуют также протоколы, гарантирующие, что доли
каждого избирателя будут сложены для получения 0 или 1 .
Другой протокол, предложенный Дэвидом Чаумом [322], позволяет проследить избирателя, который пытае т-
ся мошенничать. Однако, выборы придется проводить повторно, исключив мешающего пользователя. Этот по д-
ход не применим на практике для выборов с большим числом избирателей .
Еще один, более сложный протокол, решающий некоторые из этих проблем можно найти в [770, 771]. Су-
ществует даже протокол, использующий шифры со многими ключами [219]. Другой протокол, который, как
утверждается, подходит для крупномасштабных выборов, приведен в [585]. А [347] позволяет избирателям не
голосовать.
Протоколы голосования работают, они даже облегчают продажу и покупку голосов . Когда покупатель может
быть уверен, что продавец проголосует, как обещал, стимул купить голоса становится еще сильнее . Ряд прото-
колов были спроектированы без подтверждения, не позволяя избирателю доказать кому-либо еще, что он пр о-
голосовал определенным образом [117, 1170, 1372].