← Всички статии

Америка похарчи милиарди, за да поправи гласуването след 2000 г. Купи ли си това проверяемост?

Америка похарчи 3 милиарда долара за замяна на перфокарти след хаоса на избора през 2000 г. — но закупуването на ново хардуерно оборудване не е същото като закупуването на брой, който всеки може независимо да проверка.

Октомври 29, 2002 г. Един закон току-що е одобрен. За осемнадесет месеца, откакто няколко висящи чада почти приведоха американската демокрация на мъртва точка, Конгресът е направил нещо, което рядко прави с бързина: се съгласи по един проблем, издаде чек и го подпечата. Законът за помощ на Америка при гласуване — HAVA — одобрява приблизително 3,9 милиарда долара федерални средства за модернизиране на избори. Той създава нова федерална агенция — Комисията на САЩ за помощ при избори. Обещава минимални стандарти. Казва на щатите да заменят техните машини за пробиване и лостови машини.

Въпросът, за който никой не спира достатъчно дълго да попита: заменени с какво точно — и може ли публиката да проверя дали замяната наистина работи?

Този въпрос остава отворен и днес.

Законът и неговото обещание

HAVA бе, в езика на неговите спонсори, отговор на хаоса на Флорида 2000. Законът самия по себе си е ясен: федералните пари текат, за да замениха системите за гласуване с перфокарти и лостове. Ще бъдат установени минимални стандарти за администрация. Новата Комисия за помощ при избори ще тества и сертифицира оборудване за гласуване.

Прочетете този списък отново. Всеки елемент е относно процеса — финансиране, администрация, стандарти, сертификация. Нищо в текста не гарантира, че машините, които заменят перфокартите, ще произведат запис, който обикновен избирател може независимо да проверка.

Това не е циничнаа интерпретация. Това е действителната архитектура на закона.

И то е от огромно значение, защото кризата на висящите чада през 2000 г. никога не бе наистина за перфокартите. Тя бе за това, което Bush v. Gore наистина разкри: система без еднозначен, публично известен стандарт за четене на това, което гласоподавателят е отбелязал. Различни окръзи приложиха различни правила. Различни съборни съветия държаха същото чадо под различна светлина. Върховния съд установи, че идентични бюлетини бяха оценявани по различен начин в цялата държава — нарушение на равната защита, тъй като оценяваше един глас на един човек над на друг.

Проблемът не беше технологията. Това бе липсата на проверяема, еднозначна норма за това, което означава отбелязана бюлетина.

HAVA се занимаваше с технологията. По-дълбокия проблем, който пренесе, неразрешен, в цифровата епоха.

GAO погледна, три години по-късно, и установи работата незавършена

До 2005 г. машините-замени пристигаха в административни съдилища на окръзи и училищни залове по цялата страна. Електронното гласуване с докосване се разпространяваше. Федералният апарат, който HAVA обещаваше — тестващи лаборатории, процедури за сертификация, хранилища за софтуер, насоки за сигурност — трябваше да бъдат на място.

Не бяха.

В доклад издан на 21 септември 2005 г. — GAO-05-956 — федералните одитори разгледаха сигурността и надеждността на електронните системи за гласуване в пейзажа след HAVA. Техните констатации: документирани проблеми с електронните системи за гласуване повдигнаха въпроси за тяхната сигурност и надеждност. Федералните усилия бяха в ход, но ключовите дейности остаха незавършени. GAO препоръча на EAC да действа, за да подобри стандартите на системите за гласуване, да установи процедури за сертификация, да създаде хранилища за сертифициран софтуер, да дели информация за уязвимостите на системата и да разпространява препоръчаните практики за сигурност.

Помислете какво означава този списък. Три години след HAVA, агенцията, създадена за сертифициране, че системите за гласуване са сигурни, все още не е напълно построила апарата за сертифициране, че системите за гласуване са сигурни.

Парите бяха разпределени. Машините бяха отправени. Стандартите все още се писаха.

Това не е едностранна констатация. GAO е независимия одитърски кръг на Конгреса; нейната работа е да докладва какво открива, и какво открива е разлика между законодателното обещание и оперативната реалност. Замяната на хардуер не автоматично създавам проверяемост. Това създаде нов клас хардуер, чиято проверяемост все още се разбира.

Какво наистина произведоха новите машини

Ето какво беше важно относно машините, които HAVA финансира заменящи перфокартите с: много от тях не имаха хартия.

Саразота Каунти, Флорида, 2006. Едно конгресно надбягване завършва с марж от 369 гласа. Приблизително 18 000 бюлетини, хвърлени в този окръг — около 13 процента — не показват записан избор в надбягванието вообще. Окръгът използваше машини за докосване ES&S iVotronic, които не произвеждаха независим проверен от гласоподавателя запис на хартия.

Никой не можеше да проверка какво се случи. Нямаше нищо независимо за брой. GAO разгледаше системите и не можеше да идентифицира неизправност на машинта — докато отбелязваше, че хартиен тслед проверен от избиратели би предоставил независимо потвърждение, че докосването дисплей е записало гласовете правилно.

HAVA финансира замяната на неясен, аналогичен запис (чадо) с нищо.

През същата година, изследователите от Принстън Ариел Feldman, J. Alex Halderman и Edward Felten получиха Diebold AccuVote-TS — един от най-широко разпространяванеми машини за докосване в пост-HAVA Америка — и демонстрираха, че нападател със около минута физически достъп можеше да инсталира вредоносен код, който щеше да краде гласовете, докато променя всички записи, дневници и броячи, за да остане вътрешно консистентен. Те построиха работеща вирус на машинта за гласуване, която можеше да се разпространява машина към машина по време на нормална избирателна дейност.

Машинта беше финансирана от HAVA. Беше преминала процеса на сертификация, който съществуваше по това време.

Сертифицирано не е същото като проверяемо. Това са различни думи, които правят противоположното на същата работа.

Какво "сертифицирано" наистина сертифицира

Процесът на федерална сертификация на системата за гласуване, който HAVA създаде — в крайна сметка администриран чрез EAC в партньорство с акредитирани тестващи лаборатории — тества дали машините отговарят на набор от технически стандарти. Тези стандарти са еволюирали във времето и станаха по-претпритежателни. Това е истински прогрес.

Но сертификацията тества машина срещу норма. Това не прави вътрешната работа на машинта видима публично. Това не означава всеки избирател или независим изследовател може да инспектира софтуера, който брои бюлетините. Това не означава трета страна извън процеса на сертификация може да проверка дали тестираната машина е същата като разпределена машина.

Германския федерален конституционен съд разбра този преглед точно. В своя решение от 2009 г., той постанови, че електронното гласуване е конституционно само ако съществените стъпки на гласуването и определяне на резултата могат да бъдат разгледани от гражданина надежно и без специализирани познания. Немските машини бяха преминали техните собствени процеси на сертификация. Съдът постанови, че все още нарушават публичния характер на избори, защото гражданин не можеше независимо да проверка какво се случи без да верва експертни посредници.

Логиката на съда отрязва директно към рамката на HAVA: сертификация от експерти, за експерти, преглеждана от експерти, не е същото като проверяемост от публиката. Един демократичен избор трябва да бъде проверяем от хората, на които е предназначена.

Върховния съд на Индия достига подобен разклонение през 2024 г., когато затегна правилата около хартиени проверки и пломбиране на веригата на достъп за електронни машини за гласуване — дори докато отказа да ги отмени. Посоката на пътуване на съда бе ясна: увереност тече от независимо проверяемо доказателство, а не от официално уверение.

Собственото ръководство на EAC — съвместното изявление на CISA издадено след избора през 2020 г., декларирайки го "най-сигурния в американската история" — наистина доказва точката по случайност. Собственото мотивиране на изявлението почива на съществуването на хартиени записи, които позволяват независими преброявания и одити. Той твърди сигурност чрез цитиране на проверяемост. Което означава, че претенцията е само толкова силна, колкото хартиения тслед зад нея, и в юрисдикции, където този тслед е тънък, уверението плува свободно от неговия котва.

Хартиеният тслед: необходим, но не достатъчен сам по себе си

Конгресът забеляза проблема на машинта без хартия. Законодателството за доверие на гласоподавателя и увеличена достъпност, законодателството на VVPAT и в крайна сметка еволюционни стандарти на EAC натиснаха повечето юрисдикции към гласоподаватели-проверени хартиени записи — или оптични сканиращи бюлетини, които гласоподавателите отбелязват ръчно, или машини за маркиране на бюлетин, които произвеждат печатан запис.

Това е прогрес. Хартията е аудиторска. Георгия 2020 ръчна броене на приблизително пет милиона бюлетини — най-голямата ръчна проверка в американската история — потвърди брой машина до около една десета процент. Аудит на Колорадо в цял щат през 2017 г., първия от своя вид, показа, че статистическата увереност в правилен резултат е постижима, когато имате трайна хартия за проверка.

Но хартиена отпечатка не е автоматично проверяем от гласоподавателя запис. Федералния съд на САЩ в Curling v. Raffensperger установи, че машинята за маркиране на бюлетин на Георгия произвеждат QR код, който табулаторът чете — но че гласоподавателя не може да прочете. Ръчна преброева проверява результата на QR кода. Това не проверява какво е намеревал да отбелязва гласоподавателя. Ако машинта мълчаливо кодира различен избор, отколкото този, показан на екран, нито един размер на хартиена преброева го хваща.

И дори чист оптичен скан с ръчно отбелязана хартия носи неуменея човешка грешка. Windham, Ню Хемпшър, 2021: съдебен одит нареден от законодателството на щата проследи грешка в брой до гънки през целите на гласовете при отсъстващи бюлетини — машина за сгъване бе спукала бюлетини на грешното място, и сканера чете линии на гънка като попълнени овали. Нито вредоносна програма. Нито манипулация. Само прах на обектив и гънка на грешното място, мълчаливо неправилна брой от сотни валидни отбелязани бюлетини. Ръчната преброева възстановима намерението на гласоподавателя. Но ръчната преброева в Окръг Antrim, Мичиган пълна преброева през 2020 г. все още различаваше от машинния общ с приблизително дузина гласа от петнадесет хиляди хвърлени.

Метод, който самия по себе си е отключ на няколко гласа, не може определено да уреди надбягване решено с няколко гласа. "Ръчния брой потвърди" е уверение. Това не е доказателство в математическия смисъл.

Приложение за проверка, което HAVA не затвори

HAVA създаде рамка. EAC построи стандарти. Тестващи лаборатории сертифицират оборудване. Щатите трябва да отговарят на минимални за провизионни бюлетини, идентификация и бази данни за регистрация.

Какво HAVA не създаде — и какво апарата на сертификация все още не гарантира — е система, където обикновен член на публиката може независимо да проверка, без да верва някой един официален или продавач, че брой е правилен.

Този промежу се появява в конкретни начина:

Софтуерът на системата за гласуване остава собственически в повечето юрисдикции. Не можешт да прочетеш кода, който брои твоя глас. Нито твоя съсед, твоя местни журналист, или независим изследовател на сигурност, който не е подписал споразумение за неразкриване.

Сертификацията тества машини преди разпределение, а не след. Той не може потвърди, че машинта в бюлетинния кабинет на избирателния ден работи същия софтуер, който лабораторията тества. Coffee County, Георгия, показа как лесно системата за гласуване на цялата юрисдикция може да бъде копирана и отстранена от хора, които са пуснати на вратата.

След избора одити — риск-ограничаващи одити, ръчни преброявания, съдебни разгледи — провежат избирателни официални лица и се съобщават. Техните резултати са авторитетни само ако верите официалните лица, които ги провеждат. За повечето юрисдикции, член на публиката не може независимо да сваля разпредели-ниво машини-четливи резултати и да ги съгласува срещу публичен, криптографски подписан запис, момента при резултати са окончателни.

Собственото ръководство на EAC насърчава официалните лица да публикуват резултати в свалящи формати като .csv и .xml с ясно маркиране на вид бюлетин. Това е звукова практика. Някои щати го правят. Повечето не го правят в реално време, със машини-четливи данни, подписан в форма всеки може независимо да проверка.

Системата VSAP на лос Анджелес Каунти, сертифицирана през 2018 г. като първата сертифицирана система за осчетоводяване на гласове с отворен код, публично притежавана на Калифорния, е смисълен стъпка: публичното притежание означава код на броене на гласове могат да бъдат инспектирани независимо експерти, а не защитени като търговски тайни. Отворен код не е пълна гаранция — внедряване и верига на достъп все още має значение — но премахва един слой на натрапена непрозрачност. Това е посоката на пътуване архитекторите на HAVA първоначално можеха да настояват на и не.

Истинския урок на 3,9 милиарда долара

Парите на HAVA направиша реални неща. Перфокартите са отминали. Лостовите машини са отминали. Провизионни прави за гласуване съществуват. Федерална агенция установява базови стандарти. Процедури за сертификация, незавършени както бяха през 2005 г., по-развити са днес.

Но основното залог на закона бе, че замяната на хардуер щеше да реши проблем с проверяемост. Не направи — защото проверяемост не е свойство на никою отделна машина. Това е свойство на един система: веригата от отбелязване на бюлетин до публикуване на резултат, с всяко звено независимо проверяемо от всеки, който иска да го проверка.

Не можешт да закупиш проверяемост. Трябва да я построиш в архитектурата.

Нидерландия заключи, че през 2007 г. — че прозрачност и човешко-проверяем запис бяха неотложна основание, не опционни надстройки — и се върнаха на хартия и ръчна броене, докато нещо по-добро можеше да бъде доказано. Германския конституционен съд начерта линията на публична интелигентност: ако само експерт може да проверка брой, не е демократичен избор. Бразилия институционализира публичен враждебен тестване на своите машини; аутсайдерите са поканени да ги счупят преди всеки цикъл на избор, и поправи се направихахе и превкосмивахе.

Америка похарчи милиарди закупуват нови машини и строене на бюрокрация за сертификация. Бюрокрацията на сертификация тества машини в лаборатория. Това не ти дава — гласоподавателя, журналиста, независимия изследовател — начин да потвърди брой себе си.

Това е въпроса HAVA отговори с пари, но не с архитектура. И остава, две десетилетия по-късно, отворен въпроса.

Какво наистина щеше да го затвори

Поправката не е още един цикъл на замяна на хардуер. Не е по-скъпа лаборатория за сертификация. Не е по-голямо федерално агентство с повече персонал.

Това е система за гласуване, разработена така, че нейната правилност е проверяема от публиката, а не твърдена от официални лица.

Това означава: гласоподаватели-отбелязани хартиени бюлетини, чийто отбелязване е ясно и човешко-четливо — не QR код само сканера може да декодира. Това означава рутинни, задължителни одити с риск-ограничение във всяка юрисдикция, не опционни пилотни проекти в прогресивни щати. Това означава разпредели-ниво, машинно-четливи резултати публикувани момента всеки прецинкт брой е завършен, в формати всяка електронна таблица може да отвори — така публиката може съгласува резултати както се съобщават, а не след официални лица са ги обяснили. Това означава софтуер за отварящ-източник брой на гласове, че всеки изследовател на сигурност може инспектира без подписване на NDA.

И означава третиране на "Secretary of State сертифицира резултата" и "проверката го потвърди" като претенции за критика, не като заключения. Защото в надбягване решено дузинок гласа, метод, който самия по себе си е отключ чрез дузинок гласа, не може уреди въпроса. Само система публиката може независимо проверка може направи това.

HAVA бе закон. Проверяемост е инженерно изискване. Те не са един и същи документ.

Проучи как този приложение на проверяемост изглежда по различни страни и системи: разглеждайте глобалния атлас, или прочетете 2-минутния резюме на това, което липсва и защо те має значение.

Източници

Вижте всички статииРазгледай пропуските