Cosa c'è dentro le voting machine lombarde?
Ottobre 2017: in Lombardia un referendum consultivo chiede agli elettori di esprimere la propria volontà nel richiedere forme particolari di autonomia.
Nello stesso giorno anche il Veneto fa lo stesso, ma le due consultazioni differiscono tra di loro nel metodo: mentre il Veneto resta sulla tradizionale carta, la Lombardia decide di affidarsi al voto elettronico e, spendendo 23 milioni di euro, acquista 24700 macchine per il voto da Smartmatic.
23 milioni, incluso hardware, software e supporto (ovvero 931€ a macchina), la cifra non suona troppo irragionevole, soprattutto considerando la possibilità di riutilizzare i tablet per votazioni future e il plausibile costo di hardening e sviluppo della piattaforma di voto.
Presto, però, scoppia lo scandalo quando si scopre che i tablet sono stati acquistati solo per quella votazione, e il loro riutilizzo diventa un’utopia.
Per tentare di spegnere le polemiche, nel 2018 le voting machine vengono formattate e cedute gratuitamente alle scuole della Lombardia, che trovano difficile usarle a causa della loro forma e delle caratteristiche molto limitate.
Nel 2026, la Lombardia lancia un bando per l’assegnazione gratuita delle voting machine, che però non vengono ritirate dal vincitore.
Presto, le scuole, non trovandone uno scopo, decidono di sbarazzarsene e alcune finiscono sul mercato grigio: su Subito o eBay, venduti alle cifre più disparate.
Sono riuscito a acquistare le ultime 5 che ho trovato in vendita.
Dotazione
La voting machine è arrivata ancora nella scatola in cartone originale, sigillata con nastro di carta su cui era ancora visibile il timbro comunale e firma dell’incaricato. L’unica cosa che so dell’acquirente è che “ne ha un bancale intero”, ma non sono riuscito a acquistarne altre.
Abbondante schiuma espansa protegge la dotazione, che è composta da voting machine, un powerbank, un tasto dotato di cavo USB e l’alimentatore.
Considerando il prezzo di vendita (alla regione), sarebbe stata più comoda e sicura una valigetta in plastica, magari bloccabile con un lucchetto o un sigillo.
Macchina
La macchina appare più simile ad un registratore di cassa che ad un tablet, con il display troppo inclinato sia per l’uso da in piedi, che da seduti.
Ai lati sono presenti due sportelli che proteggono 3 porte USB 2.0 (montate sottosopra) e l’ingresso per l’alimentazione. Gli sportelli possono essere bloccati semi-permanentemente facendo passare un lucchetto o un sigillo attraverso degli appositi buchi.
I connettori sono difficili da raggiungere e gli sportelli sbattono contro il tavolo se vengono aperti, costringendo a ribaltare la macchina ogni volta che è necessario collegare qualcosa.
Ogni porta USB è contrassegnata con un logo differente: una chiavetta, un’urna e un tasto. Probabilmente l’urna è dotata di un sensore che certifica che ad ogni voto corrisponda un foglio inserito. Il produttore, infatti, prevede la possibilità di stampare il voto e inserirlo nell’urna, permettendo lo spoglio “digitale” istantaneo e una verifica delle votazioni “analogiche” successiva.
Sul retro della voting machine è presente una stampante termica (protocollo ESC/POS, prodotta da Brighteam Tech LTD) con una taglierina manuale, che accetta un normalissimo rotolo per scontrini. Non è presente nessun meccanismo di sicurezza che impedisca manomissioni del rotolino.
Per ottenere accesso all’interno, è necessario rimuovere 4 viti a croce. Non sono presenti adesivi o altri sigilli che segnalino l’avvenuta manomissione. La parte anteriore e posteriore si aprono “a libro”, svelando il contenuto della macchina.
Sul retro dello schermo troviamo il computer che fa funzionare il tutto. Un’etichetta indica le specifiche: Intel Atom x5-Z8350 (4x1.44GHz), 2GB di RAM, 16GB di memoria interna e un modulo Wi-Fi e Bluetooth. Da un foro nel PCB si intravede un’altra scheda di colore blu, con un connettore non montato, ed è presente una moltitudine di porte non utilizzate, tra cui USB 3.0, NFC, microfono, una scheda SD, jack audio e Ethernet.
Ciò fa pensare che questa scheda sia riutilizzata in più modelli, o sia addirittura una devboard generica del produttore a cui Smartmatic si è affidato.
Tra i componenti presenti sulla scheda:
- Genesys GL850G: hub USB 2.0 con controller GPIO
- Davicom DM9601: USB to Fast Ethernet Adapter
La porta HDMI è funzionante e permette di collegare uno schermo esterno, anche se non è utilizzabile senza smontare la macchina. La scheda è montata su una placca metallica che copre l’intero display, aiutando a raffreddare la CPU senza ventola. L’unica ventola installata è dedicata al circuito di ricarica e alimentazione, ma è montata sulla scheda “hub”.
Rimuovendo la scheda dal display e capovolgendola appare un SoM (system on module). Questi moduli sono molto popolari in ambito embedded, e permettono di integrare un computer su un PCB aggiungendo un singolo connettore SO-DIMM. Il modulo è protetto con una cover in metallo aggiuntiva, avvitata.
Su tutte le schede è presente la dicitura “MC21”, e caratteri cinesi spiccano in varie parti della scheda.
Anche cercando in modo approfondito, è impossibile trovare qualsiasi info sul produttore. Le schede che compongono l’intero sistema sono in stili e produttori diversi, ciò fa pensare a un mix di progettazione interna e fornitori esterni. La mancanza di marchi e tracciabilità, però, rende impossibile risalire ai produttori originali. Alcune schede hanno la dicitura “Brighteam Tech.”, che fa capo a un’azienda che ha tra i propri prodotti una stampante termica simile. Ciò fa pensare che possano essere uno degli OEM a cui Smartmatic si è affidata.
Tra i componenti presenti sul SoM:
- 4x SKHynix H5TC4G83CFR-PBA: Ram DDR3L, 4gbit (in totale 2GB)
- SanDisk SDINADF4-16G: NAND 16GB eMMC, memoria interna
- GigaDevice 25LQ64CVIG: 8MB NOR Flash (BIOS)
- Realtek ALC5645: Codec audio
- Broadcom AP6212A: 802.11 b/g/n WiFi+BT 4.x Combo Sip Module
- X-Powers AXP288C: Highly integrated PMIC customized for Intel SoC
Per un sistema di votazione, avere Wi-Fi e Bluetooth stona e aumenta la superficie di attacco. Curiosa anche la presenza di un codec audio e il relativo connettore per microfono.
La scheda “hub”
Al centro della macchina è presente una scheda che agisce da “hub” per tutte le connessioni, l’alimentazione, e la gestione della ricarica. Un grosso dissipatore in rame con una ventola industriale consente di spostare il calore all’esterno della macchina, attraverso delle feritoie laterali.
La ventola non ha modulazione: resta spenta fino a una certa soglia di temperatura, per poi accendersi improvvisamente al massimo della velocità. Come prevedibile, considerando che si tratta di una ventola per scopi industriali, è molto rumorosa e non adatta a un contesto di ufficio o scuola.
Il dissipatore sembra appositamente progettato per questa scheda, ma risulta evitabile con una progettazione più attenta. L’utilizzo di componenti più efficienti avrebbe permesso di risparmiare diverse lavorazioni (CNC, piegatura e saldatura dell’heatpipe, costruzione del dissipatore…) ottenendo anche una durata della batteria superiore.
Allo stesso modo, ogni interfaccia ha un connettore dedicato, rendendo obbligatorio assemblare un cavo per ogni connessione. La sostituzione di questi cavi con un singolo flat avrebbe sicuramente fatto risparmiare soldi e complessità, delegando i connettori veri e propri a componenti modulari o con alte correnti come la stampante, la batteria e i tasti.
Tra i componenti presenti sulla scheda:
- TI BQ24702PW: controller di ricarica per batterie
- Genesys GL850G: hub USB 2.0 con controller GPIO
- Microchip PIC32MX250F128D: 32-bit Microcontroller with Audio and Graphics Interfaces, USB, and Advanced Analog
- ST M24C64-F: 64-Kbit I2C-compatible EEPROM
La batteria esterna
Per evitare grovigli di cavi e la necessità di dover portare corrente elettrica alle cabine, ogni voting machine è fornita con un power bank.
Quando questo è collegato, però, la voting machine carica la batteria interna, e crea accidentalmente una doppia conversione (batteria power bank -> batteria interna -> voting machine) che rende l’intero sistema molto inefficiente.
Dopo quasi 10 anni, tutte le batterie sono ormai esaurite e risultano una zavorra all’interno della macchina, che pesa 2kg.
Il software
Le macchine sono state resettate con Ubuntu 16.04 LTS. La parte software è già stata coperta multiple volte, ed è disponibile un repository GitHub che include tutto ciò che serve.
In sintesi, però, la piattaforma Cherry Trail è conosciuta per aver avuto problemi con Linux, e per utilizzarla è necessario modificare file di configurazione, blacklistare moduli del kernel e recuperare i filtri CUPS per la stampante termica dall’immagine originale.
Il BIOS è protetto da password, perlomeno. Fortunatamente la password è pubblica: smart?ecp.
Sono riutilizzabili?
Regione Lombardia ha fornito queste macchine alle scuole, con l’idea di utilizzarle come tablet educativi. In realtà, è proprio l’utilizzo “generale” dove queste macchine peccano più di tutto.
Ottenute gratuitamente o a poco prezzo, sono dispositivi interessanti, ma a cui bisogna aggiungere il tempo e la ricerca necessari per utilizzarli al meglio. Al prezzo di fabbrica o anche solo a 100€ l’una, diventa molto più conveniente l’acquisto di un normale tablet unito ad uno stand.
Delle 5 macchine acquistate la maggior parte sono oggi in funzione permanente in varie applicazioni dove il form factor ne consente un utilizzo agevole e non sono necessarie grosse capacità computazionali.
Due macchine sono state riadattate a “gestionale” per sagre. Abbinate a due stampanti Brother, consentono agli operatori di cassa di prendere le ordinazioni e stampare i ticket da fornire ai visitatori.
La stampante interna, in questo caso, non viene utilizzata a causa della cattiva qualità e per la mancanza di una taglierina automatica.
Altre due macchine, invece, sono state riadattate nell’ambito audio video espositivo come “totem” interattivi. Aggiungendo un NFC interno, ogni partecipante può scansionare il suo badge ed effettuare varie operazioni interattive, come avanzare la storia e scoprire dialoghi dei personaggi.
Ironicamente, le stesse interfacce criticate poco fa (Ethernet, Wi-Fi, Audio…) sono proprio quelle che hanno permesso queste applicazioni, a riprova che le macchine funzionano e sono riutilizzabili, ma solo quando fanno una cosa sola e ben specifica.
L’idea fallimentare è quella di formattare questi dispositivi con Ubuntu e darli alle scuole. Niente app Android, niente app Windows, e non abbastanza memoria per gestire applicativi web moderni.
Conclusione
Ignorando per un attimo il costo al pubblico e considerando solo la parte tecnica, dal teardown emerge una macchina costruita con componenti già modesti all’epoca (2017) e scelte inefficienti.
Dal punto di vista della sicurezza, la piattaforma non fornisce garanzie particolari. Un normale computer con TPM e Secure Boot sarebbe, paradossalmente, molto più sicuro di un dispositivo del genere creato ad hoc.
In più, le interfacce interne (e non documentate) sono una superficie di attacco aggiuntiva. In un sistema di voto, a cosa serve avere il connettore per un microfono, con il circuito già pronto per montarne uno?
Implementare un sistema di voto elettronico resta una delle sfide più difficili. Per far si che il voto sia equo, è necessario sia anonimo ma allo stesso tempo verificabile, due proprietà difficili da conciliare.
L’acquisto di sistemi a “scatola chiusa” da società private ed estere crea opportunità di manomissione della supply chain che, prendendo come esempio questa macchina, non sono solo teoriche, ma persino semplici da realizzare.
Una piattaforma più semplice, air-gapped, e basata su un microcontrollore o un altro dispositivo embedded, senza la necessità di gestire un intero computer, sarebbe stata più sicura.
In Italia, ad esempio, utilizziamo stampanti fiscali che esprimono un concetto simile: un sistema sigillato e verificato da un ente statale. Molte sono costruite e assemblate qui, e sigilli e anti-tamper sono obbligatori. Una voting machine dovrebbe seguire la stessa logica, non essere basata su una piattaforma così estesa e complessa come un PC moderno.
Il problema essenziale, però, non è hardware, ma è sociale: il terminale più sicuro del mondo, senza una catena di custodia, certificazione, audit e formazione, diventa inutile nel momento in cui l’umano entra nel ciclo. Per elezioni eque e sicure serve un cambiamento culturale: processi, governance, verifica e soprattutto responsabilità di chi fornisce il sistema.
Smaltimento
A quasi dieci anni dalla votazione, resta ancora aperta la questione riciclo. Della dotazione originale, solo alimentatore e voting machine si salvano, mentre il powerbank e il bottone sono già e-waste. Il powerbank, completamente sigillato, è praticamente impossibile da riciclare in modo corretto, mentre la voting machine è già vittima del tempo e utilizzabile a malapena per applicazioni statiche.
Alla fine, ai 23 milioni spesi si aggiunge l’amarezza di aver ordinato 24700 “computer”, averli usati un singolo giorno, e poi trasformati istantaneamente in patate bollenti da rimbalzare tra scuole ed enti.
La dotazione intera pesa 3.4kg (2.0kg di macchina, 1.4kg gli accessori). Moltiplicati per le voting machine ordinate, si arriva a 84 tonnellate di batterie al litio, materiali preziosi, schede e plastiche ad iniezione. Riutilizzo o non, quelle macchine finiranno nel RAEE, e qualcuno, quello smaltimento, dovrà pagarlo.
Grazie per la lettura!