← Всички статии

Бразилия предизвиква публиката да атакува машините й за гласуване — нарочно

Избирателният съд на Бразилия не само сертифицира машините си за гласуване — публикува правилата и предизвиква публиката да ги наруши. Ето как изглежда това в действителност и защо това все още не е достатъчно.

Это е работен ден сутрин в Brasília, и група хора, които не са избирателни служители — изследователи, компютърни учени, един-двама независими технолози — седят пред електронните машини за гласуване на Бразилия с една явна, одобрена от съда задача: намери пропуск.

Те не са хакери в разговорния смисъл. Всеки е подал план на тест. Всеки е бил проверен. Всеки е се регистрирал чрез официален портал на правителството. И институцията, която ги покани — Върховният избирателен съд на Бразилия, Tribunal Superior Eleitoral — не просто отвори врата веднъж и нарече това прозрачност.建立и е повтарящ се, регулиран процес и го назва Teste Público de Segurança dos Sistemas Eleitorais: Публичният тест за сигурност.

Вот как изглежда "дойди и провери сам" когато избирателната власт наистина го имала предвид.

Повечето страни никога не се приближават близо до това.

Фразата, която всяка избирателна власт обича — и което й не струва нищо да каже

"Изборите бяха сигурни." "Системите бяха сертифицирани." "Одитите потвърдиха резултата."

Всяка избирателна власт на земята казва някакъв вариант на това след всеки избор. Почти никой не ти дава начин сам да го проверишь.

Това асиметрия е проблемът. Официално изявление за сигурност има точно толкова значение, колкото независимите проверки зад него — нито повече. Когато Германския конституционен съд се произнесе против електронните машини за гласуване през 2009 г., той не намери доказателства за измама. Той намери нещо по-фундаментално: че на гражданите бе поискано да верват на резултат, който нямаха средства сами да проверят независимо. Съдът постанови, че всяка съществена стъпка от бюлетина до резултат трябва да бъде проверима от обикновен гражданин без специализирани познания. "Вярвай ми, всичко е наред" не издържа конституционния тест.

Ирландия закупи 7 500 машини Nedap/Powervote и независима комисия не можа да препоръча използването им — не защото машините бяха доказани за погрешни, а защото точността и секретността не можеха да бъдат независимо проверени според задоволството на комисията. Машините прекараха години в склад и бяха изхвърлени през 2009 г. Езикът на комисията бе прецизен и разрушителен: тя бе "в положение да препоръча" "с необходимата степен на увереност" тяхното използване.

Нидерландия достигна до същото заключение. Неговата консултативна комисия по избирателния процес, в доклад от 2007 г. наречен Stemmen met vertrouwen — "Гласуване с доверие" — определи какво всъщност изисква проверяемостта и намери, че хартиени бюлетини преброени на ръка отговарят на стандарта, докато компютрите за гласуване — не. Страната се върна към хартия.

Три различни демокрации. Три различни машини. Един идентичен пропуск: никой извън круга на продавача не можеше да провери преброя.

Бразилия се опитва да затвори този пропуск по различен начин.

Какво е Публичният тест за сигурност всъщност

Регулиран чрез Резолюция 23.444/2015 на TSE, Публичният тест за сигурност на Бразилия се провежда през годината преди общите избори. Форматът не е пресс събитие. Това е противоречив упражнение.

Всеки приемлив гражданин може да подаде план на тест. Планите, които преминат проверка, се одобряват. Одобрените разследователи получават структуриран достъп до urna eletrônica — электронната машина за гласуване — и до системите около нея: генериране на бюлетинни медии, гласуване, събирането на резултати, предаване и получаване на файлове, и системите за одит, използвани за кръстосана проверка на електронния глас. Тестването обхваща целия избирателен цикъл, не само машината в кабинката за гласуване.

Това, което разследователите намират, има значение — и не само като пресс съобщение. Находките се използват за подобряване на системите преди избора и корекциите се проверяват отново при потвърдителното тестване. Това е затворена верига: намери, поправи, провери.

Това е категорично различно от еднократна сертификация. Сертификациите са снимка. Те оценяват система в определен момент, под контролирани условия, от страни, чийто достъп е ограничен от сътрудничеството на продавача. Те също носят институционални стимули да сертифицират, а не да отхвърлят — защото неуспешна сертификация означава отложени избори и политически проблем.

Публичният тест за сигурност е противоречив по дизайн. Разследователите се опитват да наруша системата. TSE публикува правилата, не резултатите, което надяваше.

Вижте как пропускът в проверяемостта се проявява в десетки избори по света

Защо противоречивото публично тестване надминава частната сертификация

Помислете какво се случи в Вашингтон, DC през септември 2010 г. Градът беше на прага да проведе пилотна програма за интернет гласуване за чужди и военни избиратели. Преди да влезе в сила, Советът по избори на DC проведе публично изпитание и покани публиката да го провери.

Екип от университета на Мичиган начело с J. Alex Halderman придоби почти пълен контрол над пилотния сървър в рамките на примерно 48 часа, като експлоатира уязвимост на софтуера. Те можеха да променят всеки бюлетин, който бе бил гласуван. Те можеха да видят тайни бюлетини. Като демонстрация, те програмираха системата да свира университетския марш на Мичиган след всеки симулиран глас. Служителите не забелязаха това дни.

Ето което е важно: уязвимостта бе засечена, защото юрисдикцията отвори системата за публично тестване преди настоящите бюлетини да бъдат в опасност. DC отхвърли системата. Това е противоречиво тестване, което прави точно това, което трябва да прави.

Частната сертификация не засече това. Публичното приканено тестване засече.

Изследователите от Princeton, които анализираха реална машина Diebold AccuVote-TS през 2006 г., откриха, че нападател с толкова малко както една минута физически достъп можеше да инсталира код, който крадеше гласове, докато поддържаше всички вътрешни записи последователни — и че кодът можеше да се разпространи машина-машина по време на нормална избирателна дейност. Софтуерът бе затворен. Никакво публично тестване не го бе разкрило. Изследователите го откриха, защото получиха достъп до хардуера и поглеждат.

Нов Южен Уелс управлява интернет система за гласуване в своите избори в щата през 2015 г., която събра приблизително 280 000 гласове. Предишна затворена преглед на сигурност я беше одобрила. Независимите изследователи откриха сериозни дефекти — включително механизъм за проверка, който сам можеше да бъде гейман — по време на прожекцията на живо на избора. Проблемите не бяха открити преди изследователите да ги разкрият.

Моделът е последователен. Затворени системи, преглеждани частно от страни, работещи под натиска на сертификация, пропускат неща, които открива открито, противоречиво публично тестване. Това не е изненада. Това е очаквания резултат от двата различни процеса.

Моделът на Бразилия провежда противоречивия тест открито, нарочно, със структурирана цикъл на поправяне. Това е най-близкото нещо до "институционална паранойност като характеристика", което всяка избирателна власт управлява на национално ниво.

Какво прави реален модел прозрачност — и какво не може

Позволете си да бъдете прецизни относно това, което Публичният тест за сигурност всъщност доказва, защото преувеличаването му би било различен вид нечестност.

Тестът проверява дали разследователи, дадени структуриран, ограничен във времето достъп при определени условия, могат да намерят експлоатируеми слабости. Находките се поправят и проверяват отново. Това е подлинно ценно. Открива реални уязвимости. Създава отговорност за корекции. Той поставя бремето на властта да демонстрира сигурност, вместо да я твърди.

Но то не доказва, по само себе си, че машините преброиха правилно на конкретен избор. Тестването на система преди избор и проверка на нейния резултат по време на един са отделни проблеми, изискващи отделни решения. Машина може да премине всеки тест преди избор и все още да произведе грешен резултат в деня — поради софтуерна грешка, която тестът не е спусната, хардуерна повреда в конкретна кабинка за гласуване, или вектор на атака, който разследователи не намериха.

Ето защо подходът на Бразилия е модел за прозрачност, не пълно решение за проверяемост. Разликата е важна.

Система, която публикува своите правила и покани външни хора да я наруша, е по-надеждна от тази, която не го прави — но "по-надеждна" не е същото като "независимо проверима от всеки."

DC пилотът засече своя дефект, защото публичното тестване случи преди реални гласове да са в опасност. Ако същата уязвимост бе експлоатирана на избирателния ден срещу реални бюлетини, никакво тестване преди избор нямаше да възстанови правилния преброй. Трябва ви също дуална, независимо проверима документация на това, което избирателите всъщност избраха — нещо, което DC системата нямаше.

Върховният съд на Индия се захвана с точно това напрежение през април 2024 г., в Association for Democratic Reforms v. Election Commission of India. Петиции попраща съда да се върне към хартиени бюлетини или да изисква 100% кръстосана проверка на електронни броя машина срещу слипове от Voter Verifiable Paper Audit Trail. Съдът отклони да нареди едното или другото, но стегна правилата около пломбиране на верига на съхранение и позволи кандидатите да поискат проверка на изгорелата памет в 5% на машини в оспорвани раси. Дори съд, който поддържаше електронна система, признаха, че уверението трябва да тече от проверяемо доказателство, не от гарантията на властта.

Двете предпазни мерки не са алтернативи. Те работят заедно. Противоречивото публично тестване намира слабостите преди избора. Проверяемата хартиена документация позволява на всеки да проверя преброя след това.

По-трудния урок: какво "Бразилия прави това" не ти казва за твоята страна

Бразилия не е модел на идеален избор. Това е модел на конкретен механизъм на прозрачност, който повечето страни не се занимаят да провеждат. Това са различни твърдения, и смесването им би било точно вид отпускане на власт, което се опитваме да избегнем.

Публичният тест за сигурност на TSE е реален, структуриран и документиран. Фактът, че съществува, не решава дали общата архитектура на urna eletrônica е проверяема в пълния смисъл, който германския конституционен съд или холандската комисия на Korthals Altes биха изискали. Не ти казва дали специализиран нападател можеше да намери и експлоатира нещо, което разследователи на публичния тест пропуснаха. И не казва какво се случва, ако вътрешен човек манипулира системата преди тестирана версия да достигне кабинките за гласуване.

Венецуела през 2017 г. предлага полезна отрицателна мярка. Smartmatic — компанията, която предоставяше автоматизирани системи за гласуване на Венецуела от 2004 — издаде публично изявление, казвайки, че знае "без никакво съмнение", че фигурата за явка, която Национался изборния съвет съобщи, бе манипулирана, и преценихме разликата между действителната и съобщена участие на "поне един милион" гласове. Продавачът публично се отрече от официалния резултат, произведен на своя собствено оборудване. Когато дори строителят на системата не може да съгласува числата и независим одит е недостъпен, няма път към проверка.

Моделът на Бразилия предотвратява този режим на отказ, поне отчасти, чрез правене на процеса на властта противоречив преди избора. Но противоречив процес и проверим резултат все още не са еднакви. Решението за оставащия пропуск е това, което Колорадо строи от 2017 г. — първия щат да завърши одит на държавно ниво с ограничаване на риска — и какво Джорджия демонстрира през 2020 г., когато ръчно преброи приблизително 5 милиона президентски бюлетини в 159 окръга за под шест дни. Одит, който дава статистическо доверие на докладвания резултат е правилен, провеждане срещу дуална хартиена документация, която избиратели произведоха, затвара кръга, който тестване преди избор отвори.

Пълната архитектура изглежда така: открито, противоречиво, публично тестване преди избора + избирателска проверена хартиена документация по време на него + независим, статистически стегнат одит след него. Бразилия институционализира първия елемент. Повечето страни нямат нито един от трите.

Въпросът, който все още трябва да задаваш

След като Публичният тест за сигурност на Бразилия се провежда, TSE публикува какво намери и какво поправи. Това е по-добро от пресс съобщение, казвайки, че всичко е наред.

Но ето което ти, като гражданин, все още не можеш независимо да проверишь: дали софтуерът, работещ в кабинките за гласуване на избирателния ден, е същия софтуер, който разследователи тестваха. Веригата на съхранение между тестирана система и внедрена система е контрол на сигурност, който получава далеч по-малко публична внимание от самия тест. Това е също един от най-трудните за одит без независим достъп до крайната внедрена система — което не е това, което предоставя Публичния тест за сигурност.

Това не е предположение относно Бразилия специално. Това е структурно наблюдение относно всяка електронна система за гласуване на земята: целостта на тестване преди избор зависи изцяло от това дали тестирана версия е това, което работи в деня.

Coffee County, Джорджия през 2021 г. илюстрира обратния проблем: цялата собствена система за гласуване на юрисдикция бе копирана и пусната от вътрешни хора, и кодът се разпространи по начини, които никоя сертификационна власт не е предвидела. Уязвимостта не бе кодът да бъде тестван. Това бе кодът да бъде тайна — система, чиято сигурност зависеше от никой да не получи ръцете си на нея, и след това някой го направи.

Код с открит код, независима проверка на компилация, публични проверки на хеша на внедрения софтуер — това не са теоретични луксури. Те са механизмите, които затварят пропускът между "тестирахме това" и "можеш да проверишь какво работи."

Бразилия управлява най-добрата програма за противоречиво прозрачност преди избор в света. Струва си да кажеш това ясно. Струва си също да се каже ясно, че "най-добра програма за противоречиво прозрачност преди избор в света" е праг, което повечето страни не са достигнали, не финална черта.

Финалната черта е резултат, който всеки гражданин може независимо да проверя — не защото официален го каза, не защото тест беше провеждан, а защото доказателство е публично, веригата на съхранение е запечатена и проследима, и одитната математика се проверява.

Тази система напълно не съществува никъде още.

Вижте как пропусците в проверяемостта изглеждат в избори по света · Прочетете 2-минутната версия на защо това е важно · Какво TrustVoting строи за затваряне на тези пропуски

Източници

Вижте всички статииРазгледай пропуските