ABSTRACT
CONTENTS 10.1 Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 239
10.1.1 Key Properties . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 239 10.1.2 Outline . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 241 10.1.3 Organization of This Chapter . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 241
10.2 The Punchscan Voting System . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 242 10.2.1 Voter Experience . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 242 10.2.2 Election Set-Up . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 242 10.2.3 Ballot Printing and Voter Privacy . . . . . . . . . . . . . . . . . . . . . . . . . . . 244 10.2.4 The First Binding E2E Election . . . . . . . . . . . . . . . . . . . . . . . . . . . . 244 10.2.5 Lessons Learned . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 246
10.3 The Scantegrity II Voting System . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 246 10.3.1 Ballot Features . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 247 10.3.2 The Scantegrity Back-End . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 248 10.3.3 Election Day . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 249 10.3.4 Posting and Tallying . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 250 10.3.5 Auditing the Results . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 250 10.3.6 Dispute Resolution . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 252
10.4 The 2009 Takoma Park Election . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 254 10.4.1 Requirements . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 254 10.4.2 Mock Election . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 255 10.4.3 The Election . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 256
10.5 The Remotegrity Voting System . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 259 10.5.1 Voter Experience . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 260 10.5.2 Security Properties . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 260
10.6 Audiotegrity . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 262 10.6.1 The Voting Process with Audiotegrity . . . . . . . . . . . . . . . . . . . . . . 263
. . . . . . . . . . . . . . . . . 10.7 Takoma Park Election, 2011 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 264 10.8 Usability Studies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 266
10.8.1 Related Studies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 266 10.8.2 Methodology . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 267 10.8.3 Known Limitations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 268 10.8.4 Voter Response . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 269 10.8.5 Observational Results . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 269 10.8.6 Election Judge Response . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 271 10.8.7 Study Findings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 272
10.9 Current Status of the Project . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 274 10.10 Conclusions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 274
Acknowledgments . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 276
10.1 Introduction The Scantegrity project began with a simple question: is it possible to design a voting system offering the strong security properties of cryptographic end-to-end (E2E) election verification with the intuitive look and feel of a paper optical-scan ballot? This chapter recounts a decade-long research effort toward answering this question, from the design of Scantegrity’s precursor Punchscan, all the way to the first governmental election run by an E2E voting system.
