← Всички статии29 юли 2026 г.

Федералните одитори предупредиха, че защитните механизми за гласуване не са завършени. През 2005 г.

През 2005 г. федералните одитори казаха на Конгреса, че защитните механизми, предназначени да осигурят сигурността на вашия електронен глас, все още не съществуват напълно — и "ние използваме сертифицирани системи" беше обещание без работещ контрол зад него.

Е септември 21, 2005 г., и някъде във Вашингтон един 107-страничен доклад току-що е предаден на конгресните комисии. Той няма партийна подпис. Беше написан от кариерни одитори на Управлението за отчетност на американския федерален кабинет — същото агенство, на което Конгресът се обръща, когато иска да узнае дали правителството наистина прави това, което е обещало.

Докладът е озаглавен Избори: Федералните усилия за подобряване на сигурността и надежността на системите за електронно гласуване вървят, но ключови дейности трябва да бъдат завършени.

Прочетете отново този заглавие. Не "усилията са успешни". Не "ключови дейности са завършени". Трябва да бъдат завършени.

Годината е 2005. Пет години след като един висящ халат почти спря американската демокрация поради преброяване във Флорида. Три години след като Конгресът прие Закона за помощ на Америка при гласуване и създаде Комисията за помощ при избори специално за да реши това. И федералните одитори казват на Конгреса: механизмът за гарантиране, че системите за електронно гласуване са сигурни и надежни, все още, прямо сега, се строи.

Това слово — незавършено — е предмет на този пост.

Проверката, която щеше да съществува

Ето какво "ние използваме сертифицирани системи" е предназначено да ви убеди.

Трябва да означава: преди вашата юрисдикция да внедри този сензорен екран или оптичен скенер, независимо тяло го е проверило спрямо публикувани технически стандарти, е проверило, че софтуерът и хардуерът отговарят на тези стандарти, и е издало сертификат. Когато машината брои вашия глас, не е просто обещането на продавача, в което се доверявате — това е документирано, одитирано констатиране.

Това е теорията.

През 2005 г. GAO проучи действителността. Откри, че ключови дейности остават незавършени. По-конкретно, препоръча на Комисията за помощ при избори да предприеме действия за:

Подобряване на стандартите за системи за гласуване — защото тези на място не са напълно адекватни на предизвикателствата за сигурност, която представляват електронните системи.
Установяване на процедури за сертификация — защото тези процедури все още не са завършени.
Създаване на хранилища за сертифициран софтуер — за да могат юрисдикциите, одиторите и изследователите независимо да проверят, че това, което работи на машина, наистина е това, което е было сертифицирано.
Споделяне на информация за уязвимостите на системата — защото когато се открояват проблеми, няма надежден канал да се предостави тази информация на хората, които управляват машините.
Разпространение на препоръчаните практики за безопасност — защото добрите практики съществуват, но донасяне им до местни избирателни служители не е все още работеща система.

Прочетете пълния доклад на GAO тук.

Всеки елемент на този списък е строителен блок на твърдението "нашите системи са сертифицирани". Всеки незавършен елемент е дупка в това твърдение. Не партийно твърдение. Не конспирация. Констатиране на собствените независимите одитори на федерално правителство, отправено към Конгреса, на обикновен език.

Защо проверката имаше значение — и какво се случи без нея

За да разберете защо констатациите на GAO ударяха така силно, трябва да разберете какво се внедряваше в американските избирателни участъци по онова време.

През 2006 г. — една година след доклада на GAO — изследователи от Принстънския университет придобиха реална машина за сензорно гласуване Diebold AccuVote-TS. Ариел Фелдман, Дж. Алекс Халдърман и Едвард Фелтън демонстрираха, че нападател със около минута физически достъп може да инсталира злонамерен код, който би откраднал гласове, докато изменя всички вътрешни записи, логове и брояля, за да останат съвместими. Те построиха работещия вирус за машина за гласуване, който може да се разпространи от машина на машина при нормална избирателна дейност. Машините от семейството AccuVote-TS бяха в онова време сред най-широко използваните в Съединените щати.

Тези машини са били сертифицирани.

Сертификатът съществуваше. Стандартите, спрямо които е измерена — това бяха тези, които GAO открива все още се нуждаят от подобрение. Софтуерните хранилища, които биха позволили на всеки да провери сертифицираният код съответства на работещия код — това бяха тези, които GAO открива все още се нуждаят да бъдат построени. Каналите за споделяне на уязвимости, които биха разпространили констатиране както на Принстън до всяка юрисдикция, използваща тези машини — това бяха тези, които GAO открива все още се нуждаят да бъдат създадени.

Сертификация без завършена, принудена, публично проверяема рамка не е гарантия. Това е етикет.

Изчезналите гласове — и нищо за проверка против тях

През същата година, когато изследователи от Принстън провеждаха тестовете си, нещо се случи в окръг Сарасота, Флорида.

През ноември 2006 г. избиратели хвърляха бюлетини в един от най-близките конгресни избори в страната — Флоридския 13-и округ, в крайна сметка решен с 369 гласа. В окръг Сарасота приблизително 18 000 бюлетини показаха никакъв записан избор в този избор. Тринадесет процента от всички бюлетини, хвърлени в окръга. Машините бяха ES&S iVotronic сензорни DRE — без хартия, без независим одобрен от избирател запис.

GAO е призван. Тестовете му не открияха отказ на машина, който е причинил недостатъка на гласовете. Но — и това има значение — в собствения доклад на GAO относно разследването се отбелязва, че одобрена от избирател хартиена следа би могла да осигури независимо потвърждение, че сензорните екрани правилно записаха гласовете.

С други думи: единственият начин да узнаете дали 18 000 гласа са изчезнали в машинна грешка, софтуерен дефект или конструктивна странност беше да проверите машините срещу независим запис. Нямаше независим запис. Процесът на сертификация, който щеше да хване проблеми като този, беше един, за който GAO допълнително беше казал на Конгреса, че е незавършен.

Избора е сертифициран. 18 000-те недостатъци на гласовете никога не бяха обяснени.

Доклад на GAO при тестване относно недостатъците на гласовете в Сарасота.

На какво действително е построена "сертификацията"

Законът за помощ на Америка при гласуване от 2002 г. — приет в спешното наследство на Bush v. Gore — създаде Комисията за помощ при избори и наложи минимални стандарти за системи за гласуване. Уставът е истински. Парите бяха присвоени. Намерението беше истинско.

Но HAVA създаде архитектурата за режим на сертификация. Той сам по себе си не построи един. Комисията за помощ при избори трябваше да напише стандартите. Наеме лабораториите за тестване. Установи процедурите. Построи софтуерните хранилища. Създаде каналите за споделяне на уязвимости. Проектира разпространението на практики за безопасност.

До септември 2005 г. — три години след HAVA — GAO открива тези задачи все още незавършени. И междувременно щатите購ваха и внедряваха системи под рамка на сертификация, чиито основи все още се наливаха.

Това не е скандал в драматичния смисъл. Бюрократиите се движат бавно. Тела за стандарти се препират по технически детайли. Лабораториите отнемат време, за да получат акредитация. Нищо от това не е доказателство за лоша вяра.

Но то е разрушително за специфичното успокоение, което чиновниците даваха на публиката: нашите системи са сертифицирани. Процес на сертификация, който сам по себе си е незавършен, не може напълно сертифицирам нищо.

По-дълбокият проблем, който диагностицира GAO

Ето изречението, което си струва да се направи скриншот: "Ние използваме сертифицирани системи" е твърдение. Дали това означава нещо зависи напълно от това дали проверката зад него действително съществува.

Ролята на GAO е институционална проверка — тяло, което не се доверява на официални заявления, но отива и гледа. Когато отива и гледа безопасността на системата за гласуване и се връща казвайки, че ключовите дейности, необходими за подкрепа на надежността на тези системи, са все още незавършени, това не е аномалия в системата. Това е системата работещи както е предназначена, издигайки пропуск, който в противен случай би останал невидим.

Това, което GAO откри през 2005 г., е структурно същия проблем, който съдилища и независимите изследователи са открили всеми където електронното гласуване е било разгледано без дефиниция към официалните уверения.

В Германия през 2009 г. Федералния конституционен съд постанови, че използването на машини за електронно гласуване изисква, че съществените стъпки на гласуване и броене могат да бъдат проверени от обикновени граждани без специалистични познания — стандарт, по отношение на който машините в употреба не успяха. Съдът не каза, че е събрала измама. Той каза, че дизайнът на системата прави проверката невъзможна, и че демокрацията не може да провежда избори, чиято коректност може да бъде взета само на вяра. (Bundesverfassungsgericht, 3 март 2009 г.)

В Ирландия независима комисия проучи системата Nedap/Powervote, която правителството беше закупило, открива, че не може да се удовлетвори относно точността и тайната на системата, и отказа да препоръча използването й. Машините никога не бяха внедрени и в крайна сметка бяха изхвърлени. (Комисия при електронното гласуване, междинен доклад.) Заключението на комисията не беше "системата ще откаже". Было: системата не е была доказана да работи по наше удовлетворение. Това е правилния епистемичен стандарт — и стандартът, който GAO също прилагаше.

В Нидерландия, една правителствена комисия заключи през 2007 г., че прозрачността и проверяемостта са неотменни основи на надежданото броене, и че електронното гласуване е приемливо само ако произвежда хартиен запис, който избирателят може проверить. Страната е отпаднала от компютри за гласуване. (Adviescommissie inrichting verkiezingsproces, 'Stemmen met vertrouwen.')

Всяко от тези преценки говорешеше, в различна правна и културна език, точно какво каза GAO на обикновен американски английски през 2005 г.: рамката за независимо проверяване на тези системи не е завършена, и докато не е, официалните уверения са твърдения без работещ контрол зад тях.

Какво действително изглежда завършване

Възможно е да се построи един режим на сертификация и проверка, който означава нещо. Собствените препоръки на GAO са чертеж: завършите стандартите, установете процедурите, построите хранилищата, споделите уязвимостите, разпространите практиките. Всеки стъпка е постижима.

Вътрешно отвъд това, няколко юрисдикции са показали какво действително е проверяемостта в практиката.

Колорадо през 2017 г. стана първият щат, който завърши одит на риск на щатско ниво — статистичен метод, който размерва ръчния образец за проверка спрямо близостта на избора, осигурявайки определено ниво на увереност вместо фалшивото утешение на фиксиран процент точка-проверка. Секретар на щата Колорадо, ноември 2017 г. Джорджия през 2020 г. ръчно брои приблизително 5 милиона бюлетини като част на щатски одит и открива, че машинните суми съответстваха в рамките на десета на процент — не защото чиновниците казаха така, но защото всеки наблюдател щеше да може да гледа броенето. Georgia Public Broadcasting, ноември 2020 г. Окръг Лос Анджелес построи публично собственост, система с отворен код за брой на гласове — първата сертифицирана в Калифорния — така че кодът четящ гласове може да бъде прочетен и проверен от всеки, не просто продавача. California Secretary of State, август 2018 г.

Това не са теоретични решения. Те съществуват. Те са били управляни. Те произвеждат резултати, които всеки може независимо да проверить, вместо резултати, чиято коректност зависи от това да се верувате, че един процес на сертификация — някъде, в някакъв момент — е був завършен.

Това е разликата между успокоение и доказателство.

Какво все още не е проверяемо

Докладът на GAO сега е почти две десетилетия стар. Комисията за помощ при избори е продължила своята работа. Стандарти са били разработени и обновени. Някои щати провеждат строги постизборни одити. Други не.

Но основното предизвикателство на GAO никога не е било напълно разрешено на национално ниво, и структурния проблем, който идентифицира — че механизмът за проверка е това, което има значение, не присъствието на етикета за сертификация — остава жив.

Ето какво все още не е независимо проверяемо в повечето американски юрисдикции:

Дали софтуерът, работещ на сертифицирана машина, е същия софтуер, който е был сертифициран. Без функциониращо, публично софтуерно хранилище свързано с всяка сертифицирана версия, юрисдикция и нейни избиратели не могат независимо да проверят това. Сертификацията на версия X е безсмислена, ако версия X+1 е това, което работи на Избирателния ден.

Дали машина, която разрешува одит преди избори, се е държала идентично на Избирателния ден. Сертификацията тества машина в един момент от време. Без непрекъснат, независимо проверяем одитни следи, свързани с физически бюлетини, поведението на Избирателния ден е удостоверено от самата машина.

Дали недостатък като Сарасота 2006-та е била предпочитание на избирател или отказ на машина. Само хартиена следа одобрена от избирател, одитирана срещу електронните суми от някой независим от продавача и юрисдикцията, може да отговори на този въпрос. В близък избор, отговорът е избора.

Поправката не е по-добър преносител от избирателна власт. Не е заявление, че избора е бил най-сигурния в историята. Поправката е система, чиито резултати — на ниво прецинкт, в машиночитаем формат, свързани с хартия одобрена от избирател — могат да бъдат свалени, проверени и помирени от всеки член на публиката, всеки момент, без да прави на всеки разрешение.

Това е онова, което GAO беше питало през 2005 г. Това е все още правилния въпрос.

Виждане на как този пропуск се появява в различни страни и системи →

Прочетете двуминутния резюме на това, което проверяемите избори наистина изискват →

Источники

Вижте всички статии Разгледай пропуските