Uvođenje novih tehnologija na predstojećim Općim izborima u Bosni i Hercegovini – poput biometrijske identifikacije birača i optičkih skenera za glasačke listiće – u javnosti je dočekano s gotovo religijskim optimizmom. Najavljuje se konačni kraj “bugarskog voza”, dopisivanja glasova unutar biračkih odbora i noćnog prekrajanja narodne volje. Kao građanin ove zemlje, iskreno bih volio da je taj optimizam opravdan. Međutim, kao stručnjak koji se godinama bavi informacionom bezbjednošću, osjećam dužnost da javnosti i nadležnima uputim ozbiljno, alarmirajuće upozorenje: tehnologija nije čarobni štapić, a uvođenjem digitalnih sistema mi nismo eliminisali rizik – samo smo mu dramatično promijenili adresu.
Dok se javnost fokusira na ono što vidi na biračkom mjestu (fizičku kutiju i ekran skenera), u sjeni ostaje ogroman digitalni ekosistem koji sa sobom nosi skrivene, visokosofisticirane rizike. Iz ugla struke, površina napada (attack surface) sada je znatno proširena. Težište izborne krađe se s lokalnih “šerifa” koji olovkom kradu glasove premješta na nivo softverskog inženjeringa, mrežnih protokola i sistemskih IT ranjivosti.
Gdje leže stvarni, nevidljivi rizici koji mogu ugroziti tačnost konačnog izbornog rezultata?
- Kompromitacija softvera prije izbora (Supply Chain Attack)
Zbog hroničnog škripca s vremenom i proceduralnih zastoja u javnim nabavkama, oprema i prateći softver za prepoznavanje listića ulaze u implementaciju bez adekvatnog, višemjesečnog audita. Kada nemate vremena za rigoroznu provjeru izvornog koda (Source Code Review) od strane nezavisnih agencija, sistem postaje ranjiv. Ko garantuje da softver u sebi nema skrivene linije koda (backdoors) koje bi algoritamski, na velikom uzorku, mogle vršiti suptilnu redistribuciju glasova unutar same mašine, dok ekran za birača i posmatrače prividno prikazuje da je sve u redu?
- Unutrašnja prijetnja (Insider Threat) i administrativno jezgro
Tehnologija kontroliše proces na stolu, ali podaci na kraju moraju završiti u centralnoj bazi podataka Centralne izborne komisije (CIK). Najveća ranjivost svakog IT sistema na svijetu je čovjek s administratorskim pravima. Ako politički uticaji prodru do privilegovanih korisnika unutar administracije ili eksternih IT firmi koje održavaju servere i baze podataka, rezultati se mogu direktno modifikovati u samoj bazi podataka. U tom scenariju, potpuno je nebitno što je skener na terenu ispravno prebrojao listiće, ako se konačni zbir suptilno izmijeni na centralnom serveru.
- Ranjivost komunikacionih kanala
Rezultati s biračkih mjesta se prema centrali šalju digitalnim putem, uglavnom preko zakupljenih mreža domaćih telekom operatera. Bez napredne enkripcije i strogo definisanih protokola, ovi kanali su izloženi presretanju saobraćaja, blokadama ili manipulacijama tokom samog transfera podataka (tzv. Man-in-the-Middle napadi).
Kako anulirati ove rizike? (Predlog hitne strategije)
Kao stručnjak, ne želim samo kritikovati, već ponuditi jasne smjernice. Zadatak države i njenih agencija nije da nas ubjeđuju “kako je sve sigurno”, već da nam to matematički i proceduralno dokažu kroz tri preventivna koraka:
● Nezavisni Cyber Security Audit: CIK mora hitno omogućiti nezavisnom timu domaćih IT stručnjaka i bezbjednosnih agencija (SIPA i OSA) kompletan uvid u izvorni kod i firmware uređaja. Nakon provjere, mora se kreirati jedinstveni kriptografski otisak (SHA-256 hash) softvera koji će se na dan izbora nasumično provjeravati na biračkim mjestima kako bi se dokazalo da kod nije modifikovan.
● Princip četiri oka (Multi-custody): Pristup centralnoj bazi podataka i izmjene na serverima moraju zahtijevati simultanu autorizaciju iz više različitih i nezavisnih sektora. Nijedan pojedinac ne smije imati apsolutnu kontrolu nad bazom podataka u izbornoj noći.
● End-to-End verifikacija: Digitalno potpisani zbir sa svakog pojedinačnog skenera mora biti javno i transparentno objavljen odmah po zatvaranju biračkog mjesta, kako bi stručna javnost i posmatrači mogli matematički provjeriti da li prosti zbir lokalnih fajlova odgovara cifri koju CIK prikazuje kao konačnu.
Zaključak
Uvođenje digitalnih tehnologija je korak naprijed koji apsolutno podržavam, ali tehnologija bez rigoroznog bezbjednosnog protokola je samo napredniji i opasniji paravan za manipulaciju. Garancija sigurnosti i tačnosti podataka je zakonska obaveza institucija ove zemlje. Naš zadatak, kao struke i kao građana, jeste da budno pratimo svaki njihov korak, alarmiramo na prve znakove aljkavosti i ne dozvolimo da nam se pod krinkom “modernizacije” servira digitalna iluzija demokratije.