Brukerveiledning for den elektroniske valgløsningen ved Universitetet i Oslo.

1. Innledning
Universitetsstyret vedtok våren 2006 at det skulle utvikles en løsning for elektronisk avvikling av valg ved UiO.  Dette skjedde etter et rektorvalg preget av kritikk rundt hvordan valget forløp, hvor elektronisk valgavvikling ble satt frem som en løsning på mange av de aktuelle problemstillinger.

Løsningen er bygget på universitetets eksisterende IT-infrastruktur, med de begrensninger og de muligheter det innebærer. En av disse er at det er en forutsetning for å kunne avgi en stemme at man har en IT-bruker ved UiO.

Nedenfor følger en innføring i hvordan systemet fungerer og en trinnvis veiledning for hvordan man avgir stemmer i det.


2. Valgportalen

Innlogging
Ved å starte applikasjonen blir du transportert til FEIDE-innloggingssiden.  FEIDE er et rammeverk for autentisering i UoH sektoren i Norge, og du skal bruke ditt vanlige UiO-brukernavn og passord her.  For mer informasjon om FEIDE, se www.feide.no.  

 På denne siden skal man angi sitt vanlige UiO-brukernavn med tilhørende passord.  Pass på at det står "Universitetet i Oslo" i feltet organisasjon.

Lokaliser valg
Etter vellykket autentisering blir man transportert til første side  av selve valgapplikasjonen.

Det man skal gjennomføre på denne siden er å velge hvilket valg man ønsker å avgi et valg i.

Siden har en meny med valg i tre forskjellige kategorier, hhv. "nye valg", "åpne valg" og "andre valg".  I de fleste tilfeller vil en finne det aktuelle valget under "nye valg" og det er da ingen grunn til å bry seg om de andre kategoriene.  I noen tilfeller vil man imidlertid ikke finne valget en ønsker å stemme på her, det er hvor man allerede har avlagt stemme i valget, hvor man ikke finnes i manntallet eller hvor valget er stengt.

Hvor valget er stengt er det ikke lengre anledning til å stemme.  Hvor man allerede har avgitt stemme, men valget fortsatt er åpent vil man finne valget under "åpne valg".  Ved å velge det kan man stemme igjen.  Det vil fungere på samme måte som første gang man avga stemme.  Den tidligere avgitte stemmen vil da bli forkastet av systemet.

Hvis man ikke er i manntallet til et valg vil det kun dukke opp under "andre valg".  I de tilfellene hvor man mener dette er feil, mao. at man skal være i manntallet og at man skal ha stemmerett i dette valget, skal man begrunne dette og avgi stemme gjennom å velge valget fra "andre valg".  Denne stemmen vil da bli behandlet av valgstyret.

Preferansevalg

Når man skal avgi stemme i et preferansevalg gjøres dette ved å rangere kandidater fra en og oppover.

Man behøver ikke rangere flere enn en kandidat, men man kan rangere alle om man skulle foretrekke det.  

Rangering av en kandidat foregår ved å angi en rang i boksen "Nr." på den raden der den aktuelle kandidaten er oppført.  Rangen 1 (en) er best, 2 (to) nest best etc.  Man kan kun angi en rang med heltall.

Listevalg
Når man skal avgi stemme i et listevalg er det første man må gjøre å velge hvilken liste man skal ta utgangspunkt i.  

Ved å markere en liste og deretter trykke på knappen "Vis info" får man opp informasjon om en liste.  Når man har bestemt seg for hvilken liste man vil levere markerer man den og så trykker man enten på knappen ""Lever liste" (for å levere listen som den er) eller på knappen "Modifiser liste" for å legge til slengere, endre kumuleringer eller foreta strykninger.

Om man heller vil levere en blank stemme trykker man på knappen "Lever blank".  

Uansett vil man få anledning til å se over sin stemmeseddel (og gå tilbake for å foreta endringer) før man endelig avgir stemmen.

Modifikasjon av liste i listevalg
Om man ønsker å modifisere listen og dermed velger "Modifiser liste" kommer man til en side med forskjellige verktøy for å oppnå dette.  Midt på siden finnes de enkelte kandidatene på listen, i fallende rang.  Hver rad har et felt hvor dennes rang er angitt, samt en boks for å hake av kumulering eller strykning. Kandidater som er forhåndskumulerte er oppført på to rader.

For å endre rang angis ny rang ved en kandidat.  Deretter trykkes det på "Oppdater". For å styrke eller kumulere en eller flere kandidater hakes det av boksene for dette.  Det trykkes deretter på "Oppdater". Man kan ikke kumulere forhåndskumulerte kandidater.  Hvis man vil stryke forhåndskumulerte kandidater kan man velge å stryke bare kumuleringen (en linje) eller hele kandidatens oppføring (begge linjene).

Legge til slenger i listevalg
For å legge til en slenger velges først den listen denne skal komme fra, i menyen "Legg til slenger". Tilgjengelige kandidater kommer da opp i en rullemeny til høyre for "Legg til slenger" -menyen.

For å legge til en slenger velger man først hvilken kandidat man ønsker å legge til, deretter hvilken rang denne skal ende opp med, tilslutt trykker man på knappen "Legg til".

Om man underveis angrer og vil ha listen tilbake i den stand den var foreslått, kan man trykke på knappen "Nullstill".  Da forsvinner alle endringer.

Når all ønsket modifikasjon av listen er foretatt skal man trykke på knappen "Vis stemmeseddel".  

Kontroll av stemmeseddel før levering
Til slutt (både ved listevalg og preferansevalg) får man et bilde av sin stemmeseddel slik den ser ut etter eventuelle endringer.

Ønsker man å levere denne trykker man på knappen "Avgi stemme".  Ønsker man å endre noe trykker man på knappen "Tilbake".

Ved avgivelse av stemme sendes det en kvittering til din UiO-epostkonto.  Denne inneholder informasjon om at du har stemt og når dette skjedde.  Om du skulle motta en slik kvittering uten at du har stemt, kan det være en indikator på at din brukerkonto er kompromittert.  Du bør da ta kontakt med ditt valgstyre eller evalg-drift@usit.uio.no.


3. Noen egenskaper ved valgsystemet
Avgivelse av stemmer temming innenfor og utenfor manntall
Det er ikke sannsynlig at et manntall produsert for et valg ved UiO vil være i overensstemmelse med et hvert UiO-tilknyttet individs oppfatning av hvem som er stemmeberettiget i et konkret valg.  Forbedrede rutiner, erfaring og opprydning i kildesystemer vil alle sammen forhåpentligvis bidra til å minimere eventuell diskrepans mellom et produsert manntall og ideelt manntall.  
I et konkret tilfelle hvor det reises spørsmål om stemmerett er det imidlertid valgstyret som skal foreta en vurdering og saksbehandling, ikke en elektronisk valgapplikasjon.  Av denne grunn er det, via "andre valg" lagt inn en mulighet for individer som ikke befinner seg i manntallet å allikevel avgi stemme i et valg.  Denne stemmen (dog ikke innholdet i den) blir da sendt til valgstyret for saksbehandling.

Anledning til å stemme gjentatte ganger
IT-infrastrukturen ved UiO tilbyr ingen total sikkerhet på individnivå.  Erfaringsmessig er særlig det at enkeltbrukere selv kan komme til å kompromittere sin konto ved å oppbevare passord legg tilgjengelig et problem.  Det kan heller ikke utelukkes at andre årsaker, f.eks. kompromittering av infrastruktur eller misbruk av rettigheter fra systempersonale, kan forårsake at en eller flere brukerkonti blir kompromittert. Om en konto blir kompromittert vil det teoretisk sett vedkommende som har kompromittert den være i stand til å avgi en stemme på vegne av vedkommende.  

Fordi muligheten for at dette kan skje er tilstede har valgsystemet måtte inneholde noen egenskaper for å takle dette.  For det første er det klart at om et individ nekter for å ha avgitt en stemme er det ikke sikkert at man kan imøtegå dette.  Hvis denne stemme da er avgitt og man ikke kan kansellere den har man et problem.  Konsekvensen av dette er at man i et elektronisk valgsystem enten må ha så rigid sikkerhet rundt tilgangskontrollen av hvem som får avgi stemmer at man kan operere med en ikke-benektelses policy rundt det å avgi stemmer, eller at man rent teknisk må kunne nå stemmen i etterkant for å kansellere den.

UiO har ikke en IT-infrastruktur som kan sikre god nok kontroll i forkant via et webbasert system for stemmeavgivelse.  Av denne grunn har man i stedet valg en løsning hvor alle stemmeberettigede som avgir en stemme (eller om noen kompromitterer deres konto og gjør det på vegne av dem, eller de hevder dette) når som helst kan avgi en ny stemme i samme valg frem til valget stenges.  Den gamle stemmen blir da kansellert.

Kvittering for avgitt stemme
Når valgsystemet mottar en stemme sendes en kvittering for at en stemme er avgitt (dog ikke hva det er stemt på) til vedkommende stemmeberettiget sin UiO-tilknyttede e-postadresse.  Ved mottak av slik e-post uten at en har avgitt stemme i det aktuelle valget bør en straks bytte passord og deretter avgi ny stemme.

Koblingen mellom identiteten til stemmegiverne og innholdet i stemmen
Når en stemme blir avgitt, skjer det to ting.  For det første genereres det et unikt løpenummer som blir lagret sammen med informasjon om hvem som har avgitt stemmen i en database.  Et helt annet sted blir innholdet i stemmen (altså hva man har stemt på) lagret sammen med løpenummeret.  Denne siste er kryptert og dermed ikke leselig uten en nøkkel, som oppbevare på en separat maskin.

Valgstyret kan avgi stemmer for individer
Fordi det i et valg med mange stemmeberettigede er sannsynlig at minst en av disse av ulike årsaker ikke kan anvende den elektroniske valgløsningen, og fordi man selvsagt ikke kan utelukke disse fra å utøve sin stemmerett, kan valgstyret levere stemmer på vegne av individer.  Slik avgivelse av stemmer vil nødvendigvis avsløre hva vedkommende stemmer på til det konkrete medlemmet av valgstyret som vil assistere med stemmeavgivelsen.  Når slik stemming på vegne av andre forekommer vil det fremgå av valgprotokollen.

Sikkerheten i valgsystemet er ikke absolutt.
Sikkerheten i både et elektronisk og et analogt valgsystem er aldri absolutt.   På samme vis som i det analoge valgsystemet er det alltid en risiko for at integriteten til valget eller anonymiteten til de som avgir de enkelte stemmer blir kompromittert.  En viktig årsak til dette er at man aldri greier å lage et system hvor man ikke må stole på noen.  Hvor det i et analogt valg primært var valgstyret og tellekorpset som kunne påvirke et resultat er det i dette systemet valgstyret og  visse systemteknikere på USIT som fyller denne rollen.
Valg ved UiO har ikke samme behov for sikkerhet som f.eks. et stortingsvalg.  Valg ved UiO har imidlertid helst andre problemer, slik som svært lav valgdeltakelse, særlig blant studenter.   Av denne grunn er et elektronisk nettbasert valgsystem, som kanskje ikke er egnet for et stortingsvalg, funnet å være velegnet for et valg ved UiO.

Relevante lenker til Universitetsstyrets behandling av saken.

http://www.admin.uio.no/kollegiet/moter/kart_prot2006/5/protokoll.xml
http://www.admin.uio.no/kollegiet/moter/kart_prot2006/5/vsak-14.pdf
http://www.admin.uio.no/kollegiet/moter/kart_prot2006/5/vsak-14-vedlegg.pdf

Kildekoden til UiOs valgsystem vil i løpet av høsten 2006 bli lagt ut under valg.uio.no, slik at den kan undersøkes av alle som ønsker det, og dermed gi mulighet for innsyn i mange av de sikkerhetsmessige aspektene, som de rent valgtekniske rundt opptelling mv.

Spørsmål eller andre henvendelser i relasjon til det elektroniske valgsystemet kan rettes til evalg-drift@usit.uio.no.

---

Enhet: USIT, webredaksjon@usit.uio.no
Dokument opprettet: 13.09.2006, verifisert: 03.10.2006