1. הדפסה בגלוי של ההצבעה. המצביע מכסה חלק זה של הפתק בעודו מאחורי הפרגוד.
2. הדפסה של הצפנת ההצבעה.
ההדפסה בגלוי של הפתק מוטלת מכוסה לתוך הקלפי. הפרטיות של חלק זה זהה לפרטיות המובטחת בשיטת ההצבעה הנוהגת כיום בישראל.
ההצבעה המוצפנת מועלת לאתר איסוף ההצבעות וגם ניתנת לבוחר כקבלה. אנו משתמשים במערכת הצפנה עם מפתח ציבורי. במערכת הצפנה שכזו מכונת ההצבעה יכולה להצפין את הבחירה של המשתמש, אבל אף אחד לא יכול לפענח את ההצבעה, אלא אם כן הוא מחזיק במפתח הסודי של המערכת. במערכת שלנו המפתח הסודי של מערכת ההצפנה נוצר ע"י קבוצה של נציגי ציבור (שיכולים להכיל, למשל, נציגי ממשלה, נציגי מפלגות פוליטיות, שופטים, אנשי ציבור ונציגי תנועות זכויות אזרח) שיכולים לפענח הצפנה אם ורק אם כולם משתפים פעולה. אנו מניחים שחלק מנציגי הציבור הוגנים, ולא יסכימו לפתיחת פתק הצבעה מוצפן שלא על פי הפרוטוקול. משום כך, ההצבעה המוצפנת המועלת לאתר איסוף הקולות לא מגלה מהי ההצבעה עצמה.
בסיום יום הבחירות, ולאחר ערבוב כל פתקי ההצבעה המוצפנים, קבוצת נציגי הציבור פותחת את כל פתקי ההצבעה המוצפנים. הערבוב מבטיח שלא ניתן לקשר בין הצפנה שהועלתה ביום הבחירות לאתר איסוף ההצבעות, ובין פענוח של פתק הצבעה מעורבב, ופרטיות הבוחר נשמרת.
עם זאת, נשים לב שהמצביע בוחר את מועמדיו על ידי הקשה על מסך המגע. משום כך מכונת ההצבעה האלקטרונית יודעת מה הבוחר הצביע, ואין פרטיות כלפי מכונת ההצבעה.
פרטיות
האם הצבעתי אנונימית?
המידע המודפס על גבי הפתק מכיל שני חלקים:
1. הדפסה בגלוי של ההצבעה. המצביע מכסה חלק זה של הפתק בעודו מאחורי הפרגוד.
2. הדפסה של הצפנת ההצבעה.
ההדפסה בגלוי של הפתק מוטלת מכוסה לתוך הקלפי. הפרטיות של חלק זה זהה לפרטיות המובטחת בשיטת ההצבעה הנוהגת כיום בישראל.
ההצבעה המוצפנת מועלת לאתר איסוף ההצבעות וגם ניתנת לבוחר כקבלה. אנו משתמשים במערכת הצפנה עם מפתח ציבורי. במערכת הצפנה שכזו מכונת ההצבעה יכולה להצפין את הבחירה של המשתמש, אבל אף אחד לא יכול לפענח את ההצבעה, אלא אם כן הוא מחזיק במפתח הסודי של המערכת. במערכת שלנו המפתח הסודי של מערכת ההצפנה נוצר ע"י קבוצה של נציגי ציבור (שיכולים להכיל, למשל, נציגי ממשלה, נציגי מפלגות פוליטיות, שופטים, אנשי ציבור ונציגי תנועות זכויות אזרח) שיכולים לפענח הצפנה אם ורק אם כולם משתפים פעולה. אנו מניחים שחלק מנציגי הציבור הוגנים, ולא יסכימו לפתיחת פתק הצבעה מוצפן שלא על פי הפרוטוקול. משום כך, ההצבעה המוצפנת המועלת לאתר איסוף הקולות לא מגלה מהי ההצבעה עצמה.
בסיום יום הבחירות, ולאחר ערבוב כל פתקי ההצבעה המוצפנים, קבוצת נציגי הציבור פותחת את כל פתקי ההצבעה המוצפנים. הערבוב מבטיח שלא ניתן לקשר בין הצפנה שהועלתה ביום הבחירות לאתר איסוף ההצבעות, ובין פענוח של פתק הצבעה מעורבב, ופרטיות הבוחר נשמרת.
עם זאת, נשים לב שהמצביע בוחר את מועמדיו על ידי הקשה על מסך המגע. משום כך מכונת ההצבעה האלקטרונית יודעת מה הבוחר הצביע, ואין פרטיות כלפי מכונת ההצבעה.