Proč jsou internetové volby riziko pro demokracii

Problém není v kryptografii, ta je dobře zvládnutá. Problém je principiální a technika ho neodstraní.

Co volby musí splnit

Svobodné volby musí splnit pět vlastností najednou. Papírové hlasování ve volební místnosti je zvládá díky fyzickému prostoru a dohledu lidí. Internet každou z nich oslabuje a některé si navzájem odporují.

Vlastnost	Co znamená	Volební místnost	Hlasování z domova
Tajnost	Nikdo nezjistí, jak jsem hlasoval.	Plenta, anonymní lístek v urně.	Hlas prochází zařízením, sítí a serverem, kde se dá spárovat s identitou.
Svoboda (odolnost proti nátlaku)	Nikdo mě nemůže donutit ani zaplatit, abych volil určitě.	Za plentou jsem sám a nemám jak dokázat, jak jsem volil.	Za zády může stát manžel, šéf nebo kupec hlasů.
Integrita	Sečte se přesně to, co voliči odevzdali.	Lístky fyzicky existují a dají se přepočítat.	Hlas je jen data. Kdo ovládne software, ovládne výsledek.
Ověřitelnost	Kdokoli může zkontrolovat, že výsledek sedí.	Veřejné sčítání, zástupci stran, přepočet.	Kontrola vyžaduje kryptografické důkazy, které běžný volič neověří.
Srozumitelnost	Postup pochopí každý, ne jen odborníci.	Urnu a hromádky lístků pochopí i dítě.	Systému rozumí jen hrstka specialistů.

Výhoda papíru není v tom, že by byl neprůstřelný. Spočívá v tom, že každý podvod je fyzický, lokální a viditelný.

Kde se dá zaútočit

U papíru musí podvodník ovlivnit tisíce nezávislých míst a nechá fyzickou stopu. U internetu stačí zasáhnout zařízení voličů nebo jeden centrální server.

Zařízení voliče: nejslabší článek

Při internetové volbě se hlas rodí na telefonu nebo počítači voliče. To je zařízení, které stát nevlastní, neaktualizuje a nekontroluje. Šifrování chrání hlas až od chvíle, kdy opustí aplikaci. Malware, který běží na zařízení, ho může změnit dřív.

• Rozsah problému. Miliony voličů mají staré Androidy bez bezpečnostních záplat, pirátské Windows nebo podezřelé rozšíření prohlížeče. Botnety s desítkami tisíc nakažených počítačů jsou běžný obchodní artikl.
• Neviditelná změna. Malware může voliči ukázat volbu, kterou zadal, a serveru poslat jinou. Volič nic nepozná.
• Ověřovací triky nestačí. Ověřitelné systémy nabízejí kontrolu na druhém zařízení nebo takzvaný Benalohův test (zašifruj, nech si to dokázat, a pak hlasuj znovu). Funguje to jen tehdy, když to voliči opravdu dělají. V praxi to dělá jen malá menšina.

V bance tento problém řeší zpětná kontrola: klient vidí výpis a podvodnou platbu reklamuje. U tajné volby žádný výpis existovat nesmí, protože by ho šlo ukázat kupci hlasů.

Nátlak a kupování hlasů

Plenta ve volební místnosti není formalita. Je to jediný nástroj, který spolehlivě brání kupování hlasů a nátlaku. Obývák ani kancelář ho nenahradí.

• Rodinné hlasování. Dominantní partner nebo rodič může „pomoct“ s hlasováním a dohlédnout na výsledek.
• Nátlak v práci a v závislosti. Zaměstnavatel, majitel ubytovny nebo lichvář může žádat hlasování „před ním“.
• Kupování hlasů ve velkém. Kupec už nemusí nikoho vozit k urně. Stačí si koupit přihlašovací údaje nebo nechat hlasovat před kamerou.

Estonsko to zmírňuje tím, že volič může hlas později přepsat a platí poslední. To ale pomáhá jen voliči, který má čas, soukromí a odvahu hlasovat znovu. Kdo si vezme jeho přihlašovací prostředky, může hlasovat poslední sám.

Tajnost proti ověřitelnosti

Volič by měl mít jistotu, že se jeho hlas započítal správně. Zároveň ale nesmí být schopen dokázat někomu jinému, jak hlasoval. Tyto dva požadavky jdou proti sobě.

• Moderní end-to-end ověřitelné systémy (Helios, Belenios, ElectionGuard) umí matematicky dokázat, že se šifrované hlasy sečetly správně. Je to skutečný pokrok.
• Tyto systémy ale řeší hlavně sčítání na serveru. Nedokážou zaručit, že do šifry vstoupil hlas, který volič opravdu chtěl (viz zařízení voliče).
• Systémy odolné proti nátlaku existují hlavně v odborných článcích. Vyžadují od voličů falešné přihlašovací údaje nebo složité postupy, které běžný člověk nezvládne.

Ve volební místnosti tento rozpor řeší fyzika: hlas je v urně, identita zůstala u stolku komise. Na internetu ho musí řešit kryptografie a lidé, kteří jí rozumí.

Centralizace: jeden útok místo tisíců komisí

Kdo chce zfalšovat papírové volby, musí ovlivnit tisíce okrskových komisí, v nichž sedí zástupci soupeřících stran. Kdo chce zfalšovat internetové volby, potřebuje ovládnout jeden systém.

• Papír se falšuje ručně, okrsek po okrsku. Každý zapojený člověk je riziko prozrazení. Velký podvod nechává velkou stopu.
• Software se falšuje jednou, pro celou zemi. Jedna chyba nebo jeden zasvěcený programátor u dodavatele může změnit výsledek všude.
• Jedna zranitelnost všude. Všichni voliči používají stejnou aplikaci a stejné servery. Kdo najde chybu, může ji využít plošně.
• Dostupnost. DDoS útok nebo výpadek v den voleb může hlasování znemožnit cíleně v regionech, kde vede soupeř.

Papírové volby přirozeně rozkládají riziko do tisíců nezávislých míst. Internetové volby ho soustředí do jednoho bodu, který se vyplatí napadnout i státním aktérům s rozpočtem v milionech.

Důvěra poražených

Volby nemusí jen správně sečíst hlasy. Musí přesvědčit i ty, kdo prohráli, že prohráli férově. To je jejich skutečná funkce v demokracii.

• Papír se dá ukázat. Když poražený kandidát zpochybňuje výsledek, lístky se přepočítají před kamerami a pod dohledem obou stran.
• Kryptografický důkaz se ukázat nedá. „Věřte nám, matematika sedí“ přesvědčí pár set odborníků, ne naštvané voliče poražené strany.
• Nejde dokázat neexistenci útoku. I když systém napadený nebyl, nedá se to přesvědčivě prokázat. Pro dezinformační kampaň je to ideální terč.

Útočící stát tak nemusí výsledek vůbec změnit. Stačí, když zaseje pochybnost, kterou nikdo nedokáže vyvrátit.

Zkušenosti ze světa

Kdekoli se internetové volby podrobily nezávislé kontrole, našly se vážné chyby. Několik zemí proto pokusy ukončilo nebo zrušilo.

Rok	Země	Co se stalo
2023	Švýcarsko	Nový, plně ověřitelný systém Švýcarské pošty se vrátil jen ve třech kantonech, ve federálních volbách pro zhruba 65 000 voličů (swissinfo).
2023	Estonsko	Přes internet přišlo 51,1 % hlasů ve volbách do parlamentu. Analýza z roku 2014 přitom našla v systému vážné architektonické slabiny a mezery v postupech (ERR, Springall a kol.).
2022	Austrálie (NSW)	Nejvyšší soud zrušil výsledky voleb ve třech obvodech kvůli výpadku systému iVote. Už v roce 2015 výzkumníci našli v iVote zranitelnost přes cizí analytický skript (NSW Electoral Commission, iTnews).
2020	USA	Studie MIT našla v „blockchainové“ aplikaci Voatz chyby umožňující měnit, blokovat nebo odhalit hlasy. Audit Trail of Bits to potvrdil: 79 nálezů, třetina vysoké závažnosti (MIT, StateScoop).
2019	Švýcarsko	Revize zveřejněného kódu odhalila v systému Švýcarské pošty kryptografickou chybu, která rušila ověřitelnost. Systém byl stažen a zrušen (CyberScoop).
2017	Francie	Ministerstvo zahraničí zrušilo internetové hlasování krajanů v parlamentních volbách kvůli „extrémně vysoké hrozbě“ kybernetických útoků (France 24).
2014	Norsko	Po pokusech v letech 2011 a 2013 vláda internetové volby ukončila. Důvodem byly bezpečnostní obavy a žádný růst účasti (VentureBeat).
2010	USA (Washington, D.C.)	Při veřejném testu ovládli výzkumníci z Michiganu server do 48 hodin, změnili všechny hlasy a odhalili téměř všechny tajné hlasy. Test byl zastaven (Wolchok a kol.).

Časté protiargumenty

Argument	Proč neobstojí
„Bankovnictví přes internet taky funguje.“	Banka zná klienta, vede výpis a podvodné platby vrací. Také počítá se ztrátami z podvodů jako s nákladem. Volba musí být anonymní, bez výpisu a bez možnosti vrátit ji zpět. Ztráta z podvodu se tu neměří v korunách, ale v legitimitě vlády.
„Zvýší to účast.“	V Estonsku, Norsku a Švýcarsku účast měřitelně nevzrostla. Nejlepší výsledek má Ontario v Kanadě, asi +3,5 procentního bodu v obecních volbách (Goodman a Stokes, 2018). Internet využívají hlavně lidé, kteří by volili i tak.
„Vyřeší to blockchain.“	Blockchain řeší jen to, aby se uložená data nedala změnit. Nedělá nic s infikovaným telefonem, s nátlakem ani s tajností hlasu. Aplikace Voatz, která se jím chlubila, měla vážné bezpečnostní chyby.
„Estonsko to dělá a funguje to.“	Estonsko má malý počet obyvatel, vysokou důvěru ve stát a desetiletí vyladěnou elektronickou identitu. Ani tam systém bezpečnostní odborníci nepovažují za bezpečný a jeho legitimita se politicky zpochybňuje.
„Pomůže to voličům v zahraničí a s postižením.“	Reálná potřeba. Lepší řešení je korespondenční volba, přenosná urna nebo přístupná volební místnost. Ty neohrozí celostátní výsledek jednou zranitelností.

Co dělat místo toho

Technika může volby zrychlit a zpřesnit, pokud zůstane pod kontrolou papíru. Osvědčený postup má tři kroky:

1. Ručně vyplněný papírový lístek jako jediný závazný záznam hlasu. Ne lístek vytištěný strojem, protože voliči si ho většinou nekontrolují. V experimentu Bernharda a kol. (2020) si vytištěný lístek prohlédlo jen 40 % lidí a podvrženou změnu nahlásilo 6,6 %.
2. Optické skenery pro rychlý předběžný výsledek ve volební noci.
3. Povinný audit s omezením rizika (risk-limiting audit): před vyhlášením výsledků se veřejně vylosuje a ručně přepočítá statisticky dostatečný vzorek lístků. Když nesedí, přepočítá se víc.

Hacknutí všech skenerů v zemi pak nezmění výsledek, jen ho zdrží. Decentralizace zůstává tam, kde je důležitá: u fyzických lístků v tisících okrsků.

Pro voliče v zahraničí nebo s omezenou mobilitou existují menší zla než internet: korespondenční volba, hlasování na ambasádě nebo přenosná urna. I ty mají svá rizika, ale jsou decentralizovaná a zanechávají fyzickou stopu. Česko tuto cestu zvolilo: korespondenční volba ze zahraničí byla schválena v roce 2024 a poprvé se použila ve volbách do Sněmovny v říjnu 2025.

Závěr

Internetové volby nejsou špatné proto, že by je zatím nikdo neuměl naprogramovat. Jsou špatné proto, že obětují tajnost a svobodu hlasu za pohodlí a celý výsledek soustředí do bodu, který se vyplatí napadnout. Navíc nedávají poraženým žádný srozumitelný důkaz, že prohráli férově.

Americké Národní akademie věd, inženýrství a medicíny v roce 2018 doporučily internetové volby nepoužívat, dokud nebudou existovat velmi robustní záruky tajnosti, bezpečnosti a ověřitelnosti. Takové záruky dnes nikdo nemá.

Demokracie nepotřebuje nejrychlejší sčítání. Potřebuje výsledek, kterému uvěří i ti, kdo prohráli. Papír, skenery a povinné audity to umí už dnes.