← Всички статии

Машина за гласуване е компютър. "Сертифицирана" не означава, че можете да й вярвате

През 2004 г. Ирландия похарчи милиони за машини за гласуване, които никога не използва — защото независима комисия не можеше да докаже, че работят. Какво всъщност означава "сертифицирана" трябва да ви ужаси.

Пролетта на 2004 г., някъде в един складов комплекс в Дъблин, 7500 машини за гласуване лежат в кутиите си, почти нови, вече плащени, никога да не бъдат използвани.

Ирландското правителство беше похарчило приблизително €54 милиона за придобиване на електронната система за гласуване и броене Nedap/Powervote. Тя беше тествана. Беше одобрена от съответните органи. По всяка конвенционална мярка, беше готова.

След това независима Комисия за електронното гласуване направи внимателен преглед — и заяви, че не може да препоръча системата за използване.

Не защото беше намерила доказателство, че машините ще откажат. Не защото беше открила измама или саботаж. Заключението на Комисията беше по-осъждащо от всяко друго: установи, че не може да се убеди в точността и тайната на системата, както е представена. Машините не бяха доказани, до задоволението на независим проверяващ, че ще работят правилно. И така позицията по подразбиране на демократично правителство — правилната — беше: не ги използвайте.

Машините остават в складове в продължение на пет години и официално бяха унищожени през 2009 г., с допълнителни разходи за общественост. Ирландия се върна към хартия.

Това е историята, която сертификацията трябва да предотвратява. Не го направи.

Какво всъщност означава "сертифицирана"

Ето какво се случва, когато машина за гласуване получи сертификат в Съединените щати.

Производител подава своята система на акредитирана лаборатория за тестване — една от малкия брой частни фирми, одобрени от Комисията на САЩ за помощ при избори. Лабораторията тества системата спрямо набор от федерални стандарти (Доброволните насоки за система за гласуване, или VVSG). Ако премине, EAC я добавя към списък на сертифицирани системи. След това щатите могат да я одобрят за използване.

Тестването е реално. Лабораториите имат квалификация. Стандартите имат съдържание.

Но има един недостатък толкова голям, че можете да паркирате там ирландските машини за гласуване вътре.

Сертификацията е снимка. Отразява какво правеше софтуерът в деня, когато лабораторията го тестира. Не може — и не — да гарантира, че софтуерът, който работи на изборния ден, е същият софтуер, който лабораторията е изследвала. Не следва машината отвъд вратата, през веригата на доставки, в склада, на камиона и в избирателното място. Тества версия. Не сертифицира жива, внедрена система.

Правителственият отдел за отговорност на САЩ направи тази точка на ясен език още през 2005 г.: федералните усилия за подобряване на сигурността и надеждността на системите за електронно гласуване бяха в ход, но ключевите дейности останаха незавършени. Години след кризата, която задейства федерална реформа, машинериата за действително осигуряване на сигурност все още се изграждаше. Стандартите и сертификацията имат значение само след като съществуват и се прилагат — докато тогава, "ние използваме сертифицирани системи" е твърдение без пълно оперативно проверяване зад него.

Тази пропаст между твърдението и реалността е моделът на заплаха, на който е посветена тази статия.

Експериментът на Принстън: една минута, неоткриваемо

През 2006 г. трима изследователи от Принстън — Ариел Фелдман, Дж. Алекс Халдерман и Едуард Фелтен — получават реална машина за гласуване Diebold AccuVote-TS с екран на допир. Беше сертифицирана машина, една от най-широко разпространените в САЩ в онзи момент.

Не им трябваше месеци. Не им трябваше бюджет на нация-държава. Им трябваше приблизително шестдесет секунди физически достъп.

През това време нападателят можеше да инсталира злонамерен код на машината — код, който щеше да краде гласове, докато изменя всички записи, регистрации и броячи, за да останат вътрешно последователни. Машината щеше да докладва чисто. Регистрациите щеше да докладват чисто. Общата сума щеше да се събира. И гласовете щеше да бъдат грешни.

Още по-тревожно: те построиха работещ вирус за машина за гласуване. Код, който се разпространява автоматично от машина на машина по време на обичайната избирателна дейност — рутинната подмяна на карти за памет, която се случва във всяка юрисдикция на всеки избирателен ден. Една заразена машина. Една карта. Верига.

AccuVote-TS беше премина сертификация. Беше оценена от лаборатория за тестване. Беше одобрена за използване в избори, които засягат милиони американци.

Нищо от това не спря това, което Принстън демонстрира. Защото сертификацията тестира какво софтуерът трябва да прави — не дали нападателят можеше да го замени с нещо друго.

Това е разграничението, което има значение. Лаборатория изследва система за съответствие с функционални изисквания. Не организира противников атак. Не си задава въпроса: какво може да направи мотивиран нападателят със шестдесет секунди достъп до тази машина, преди да стигне на избирателното място? Това са различни въпроси, и процесът на сертификация не беше — и до голяма степен все още не е — предназначен да им отговори.

Тайната в "тайния изходен код"

Сега добавете още един слой.

Софтуерът вътре в тези машини е собственост. Търговска тайна на производител. Не можете да го четете. Лабораторията за тестване може да го чете — под договор за неразкриване. EAC може да получи копие за своя хранилище. Но публиката, кандидатите, партиите, независимите изследователи на сигурност, които може да уловят това, което лабораторията е пропуснала: никой от тях не може да видит какво всъщност работи на машината, която преброява техните гласове.

Това не е хипотетична паранойност. Това е документиран проблем с документирано последствие.

През януари 2021 г. фирма по компютърна криминалистика влезе в офиса на избирателна администрация на окръг Кофи, Джорджия и копира цялата система за гласуване — сървърът на системата за управление на избори, намерения устройства, маркиращи устройства за бюлетини, софтуер за скенер, системата Dominion на Джорджия в цялата държава. Всичко. По-късно офисът на държавния секретар на Джорджия го описа като неоторизиран достъп, който бивши окръжни служители позволиха, в нарушение на щатския закон. Епизодът е документиран в федерални съдебни показания в Curling v. Raffensperger и фигурира в обвинение на окръг Фултън; няколко свързани лица по-късно признаха вина.

Ето какво епизодът на Кофи кауъти казва за тайния изходен код като стратегия за сигурност: то се провали в момента, когато малка група хора получи физически достъп до стаята.

Собственическият софтуер не е защитен от неговата сложност или превъзходство. Защитен е от физическа сигурност и правни споразумения. Когато те се провалят — и в Кофи кауъти, те напълно се провалиха — кодът излиза. Повърхността на атака е разкрита за всеки, който го получи, където и да го отнесе.

Тайността-като-сигурност и проверяемостта-като-сигурност не са едно и също. Те са, всъщност, противоположности. Система, проектирана за тайност, става по-опасна, когато тайната изтече. Система, проектирана за проверяемост, става по-надеждна, колкото повече хора я проверяват.

Германския конституционен стандарт — и защо е важен за вас

През 2009 г. Федералния конституционен съд на Германия направи нещо забележително. Не чака доказана атака. Постанови по принцип: машини за електронно гласуване, чиято работа не може да бъде независимо проверена от обикновен гражданин — без специални познания — нарушават конституционния принцип на публичния характер на избори.

Съдът установи, че това изискване произтича от гарантирането на основния закон за демократична легитимност. Избори трябва да бъдат публично проверяеми. Не проверяеми от експерти под NDA. Не проверяеми от лаборатория в определен ден. Проверяеми от граждани.

Машините Nedap, които Германия беше използвала, записваха гласове само в електронна памет, без независимо проверяемо записване, което гласоподавателят можеше да инспектира. Не издържаха. Наредбата, която ги упълномощава, беше установена за безконституционна. Германия се върна към хартия.

Съдът не изискваше доказателство, че машините бяха манипулирани. Постанови, че система, чиято коректност почива на доверието към скрит софтуер, не издържа тест на публична проверяемост независимо от това дали манипулацията някога е доказана.

Прочетете това отново. Не "намерихме измама." Не "намерихме грешка." Системата не издържа, защото не можеше да бъде независимо проверена. Това само беше безконституционно.

Това е по-висок стандарт от всеки процес на сертификация на САЩ, който в момента се прилага. И е правилният стандарт.

Какво разбра ирландската комисия

Вратете се в Дъблин за момент. Заключението на Ирландската комисия за електронното гласуване не беше драматично. Беше внимателно, точно и унищожаващо.

Комисията подчерта, че нейното заключение не беше намиране, че системата не щеше да работи — беше намиране, че не беше доказано, до задоволението на Комисията, че щеше да работи. Не можеше да се убеди в точността и тайната на системата, както е представена.

Тази фраза е важна. Бремето на доказване, держава Комисията, лежи на тези, които внедряват системата. Не е достатъчно производител да каже "работи." Не е достатъчно лаборатория да каже "премина." Независим проверяващ трябва да може да потвърди, чрез инспекция, че е точна и че защитава тайната на бюлетината.

Тази проверка не можеше. Така машините никога не работиха на реални избори.

Ирландският подход по подразбиране — когато не можете независимо да проверите, не внедрявате — е правилният подход по подразбиране. Е противоположност на подхода театър-на-сертификацията, който е: ако премина лабораторията, е сертифицирана, и ако е сертифицирана, може да й се вярва.

Сертификацията е твърдение. Проверяемостта е доказателство. Това не е едно и също.

Решението: какво "независимо проверяемо" всъщност изисква

Как би изглеждала истински проверяема система за гласуване? Три неща, от които нито едно не изисква публиката да вярва на един единствен орган.

Публичен изходен код. Софтуерът, който преброява гласове, трябва да бъде четим от всеки. Не четим от лаборатория под NDA. Четим от независими криптографи, изследователи на сигурност и журналисти. Системата VSAP на окръг Лос Анджелес, сертифицирана през 2018 г., беше първата на Калифорния сертифицирана система с отворен изходен код за преброяване на гласове — което означава, че кодът, преброяващ гласове, можеше, в принцип, да бъде инспектиран от всеки. Това е базова линия, не финална линия.

Воспроизводими построяния. Публичният изходен код сам по себе си не е достатъчен. Трябва също да можете да потвърдите, че двоичният файл, работещ на машината — действителният изпълним код, нещото, което преброява — беше произведен от публикуваният изходен код и нищо друго. Това е това, което криптографи наричат воспроизводимо построяване: дадени едни и същи изходни, винаги трябва да получите един и същ двоичен файл, така че всеки може да проверява, че това, което е внедрено, отговаря на това, което е публикувано. Без това, производител можеше да публикува чист изходен код и да компилира нещо друго.

Криптографско удостоверяване. Машината, работеща на избирателния ден, трябва да произведе проверяемо записване — подписано, с времева печат, тампер-евидентно — което свързва работещия софтуер с публикуваната, инспектируемата версия. Не бумажен регистър, който може тихо да бъде преотпечатан. Криптографска верига, която независима страна може да проверява след факта без да трябва да вярва на производител, юрисдикция или лаборатория за тестване.

Тези три свойства заедно преобразуват "вярвай ни" в "проверяй сам." Не са екзотични. Това е как се боравя със сигурностна критична софтуер в други високорискови области. Случаят със Швейцария прави точката от другия кант: през 2019 г., когато Швейцарския пост публикува изходния код на своята система за интернет гласуване за публична проверка, независимите изследователи веднага намериха криптографски люк — изъян, който щеше да позволи на човек от вътрешния кръг да генерира доказателство за събъркване, което преминава проверка докато всъщност беше променил гласове. Системата беше спряна до отстранения. Изъянът беше невидим в сертифициран черен кутия. Стана намираем в момента, когато кодът беше публичен.

Това е целия аргумент. Откритостта уловља това, което сертификацията пропусна.

Въпросът, който остава открит

Ето какво официално заявление, никаква сертификация на лаборатория и никакво "одит потвърдил резултата" пресрелийс в момента не може да отговори за машините в повечето американски юрисдикции:

Софтуерът, работещ на машината на избирателното място, е ли същия софтуер, който е тестирала лабораторията?

Няма криптографска верига на опеки, която позволява на независима страна да отговори на този въпрос. Няма воспроизводим процес на построяване, който щеше да позволи проверка. Веригата на доверие преминава през производител, щата и лабораторията за тестване — и е невидима за никого след като машината оставя склада.

Съвместното заявление CISA след избори през 2020 г. твърди, че имаше "няма доказателство, че някаква система за гласуване е изтрила или загубила гласове, е променила гласове или е била каквото и да е компрометирана." Това заявление също почиваше, изрично, на съществуването на хартиени записи, които позволяват независимо преброяване и одити. Прочетете това внимателно: собственото успокоение на служителите произтича мощта си от проверяемостта, която хартията предоставя — не от сертификацията, която я предшества.

Дори най-силното официално "беше сигурно" твърдение имплицитно признава, че доверието произтича от проверяемото доказателство.

Ирландската комисия разбра това през 2004 г. Германския конституционен съд го въведе в закон през 2009 г. Швейцария научи от своите собствени криптографи през 2019 г.

Въпросът за всяка юрисдикция, която все още управлява собственически, затворен, сертифициран и внедрен софтуер за гласуване, не е дали премина лабораторията. Това е дали всеки извън стените на производителя може независимо да потвърди какво всъщност работи, в момента, на машините, които ще преброят вашия глас.

Докато отговорът не е да — проверяемо, криптографски, от всяка квалифицирана независима страна, не от официално успокоение — "сертифицирана" е снимка, не гаранция.

Това е какво TrustVoting е построена да промени.

Вижте как пропастта на тайния изходен код изглежда в различни юрисдикции →

Прочетете двуминутната версия на проблема с проверяемостта →

Проучете глобалната карта на прозрачността на системите за гласуване →

Източници

Вижте всички статииРазгледай пропуските