← Всички статии

От вашата избирателна секция до телевизионния екран: крехкия канал зад числата от изборната нощ

Вашият глас преминава през дузина ръце и три различни системи, преди да стане число по телевизията — и поне един от тези етапи вече е събарал президентските избори.

Вечер на 8 август 2017 г. национално избирателното разчетно място на Кения се пълни с цифри. Избирателните секции по цялата страна са затворени. Председателите на секциите са преброили бюлетините ръчно, попълнили розова форма, наречена Form 34A, я снимали и предали образа електронно до Найроби. Законът е недвусмислен: всяка отделна форма трябва да пристигне по този начин, едновременно, преди председателят на Независимата избирателна комисия да может да обяви победител.

Цифрите продължават да пристигат. Председателят обявява резултат. Действащия президент Уру Кенята е победител, казва той, с 54,27% от гласовете.

Двадесет и четири дни по-късно Върховният съд на Кения отхвърли цялата работа.

Предаването, което не се случи

Решението на съда в Raila Odinga & another v IEBC — Петиция за президентски избори No. 1 от 2017 г., решено с мнозинство 4-2 на 1 септември и обяснено подробно на 20 септември 2017 г. — определи конкретно, материално пропадане в канала. Не всички Forms 34A бяха електронно и едновременно предадени на национално разчетното място, както закона изисква. Резултатните формуляри нямаха последователни охранителни мерки. Окончателната национална разчетна форма нямаше водяна мярка или серийния номер. И председателят бе обявил победителя, преди дори да получи всички базови документи.

Никой съд не установи, че разчетите са фабрикувани. Никой съд не установи, че гласовете са откраднати в избирателните секции. Това, което съдът установи, е нещо структурно по-разкриващо: веригата на отговорност между местното броене и национална сума беше прекъсната достатъчно, че окончателното число не можеше да бъде независимо проверено спрямо първичното доказателство.

Когато не можете да проверите дали числото на екрана е същото число, което излезе от избирателните секции, числото на екрана не е резултат. То е твърдение.

Съдът заповеда нови избори в рамките на 60 дни. Прочетете пълното решение.

Преброй ръцете преди екрана

Повечето хора мислят за резултата на избори като за един единствен събитие: бюлетините отиват, числа излизат, обявява се победител. Реалността е щафета с седем или осем различни етапа, всеки един потенциална точка на отказ.

Ето какво действително се случва между вашия глас и числото, което се появява по телевизията.

Етап 1: Вие отбелязвате бюлетина. Тя отива в кутия.

Етап 2: При затваряне на избирателната секция, работниците преброяват тези бюлетини ръчно или ги прокарват през скенер. Разчетът на секцията се записва на разчетна лента или хартиен формуляр. Копие често се поставя на вратата на избирателната секция.

Етап 3: Този формуляр се транспортира — физически или дигитално — до окръжен разчетен офис. В много системи човек въвежда числата в компютър. Тук Антрим Каунти, Мичиган, спъткна се през 2020 г.: след последнообхватна промяна на местна раса, някои табулатори не бяха правилно преконфигурирани и неофициалната компилация беше погрешна. Грешката беше открита само защото резултатът беше толкова неправдоподобен — Байдън печелеше един от най-надеждните републикански окръзи на Мичиган — че привлече незабавна проверка. По-финосвързана грешка в по-близок окръг може да не е. И когато Антрим проведе своя ръчен одит през декември, окончателното ръчно броене все още се различаваше от машинното табулиране с около дузина гласове от приблизително 15 700 подадени. Открита грешка, да. Доказателство за съвършенство, не.

Етап 4: Окръжните разчети се качват на държавната система за резултати. В много щатски системи това се прави чрез мрежова връзка с използване на преносима медия — USB флаш памет, карта памет, преносим компютър пренесен в паркинг. Всеки трансфер е точка, в която грешка при преписване, грешна конфигурация на софтуера или комуникационен отказ могат да въведат разлика.

Етап 5: Системата на държавните резултати събира и публикува неофициални разчети. Това е това, което виждате в изборната нощ. Комисията за помощ при избори на САЩ е недвусмислена: резултатите от изборната нощ са неофициални и никога не са окончателни. Те се променят, когато пощенските, предварителните и заморските гласове се преброят и разчета е завършен.

Етап 6: Разчета кръстосано проверява разчетите спрямо първични документи. Това може да отнеме дни или седмици.

Етап 7: Сертификация. Само сега резултатът е официален.

Етап 8, ако е необходимо: Одит извлича физически бюлетини спрямо табулирания резултат да даде статистическа уверност, че етапи 2-4 не въведоха грешки достатъчно голяма, за да променят резултата.

Това е поне осем трансфера, всеки един място, където честна грешка, софтуерен баг или умишлена промяна могат да въведат число, което никой няма да лови, освен ако някой се върне към първоначалния материал.

Какво Кения и Антрим имат общо

Те са разделени с 8000 мили, различна правна система и различен мащаб на избори. Но структурния проблем е идентичен: резултат, който не може да бъде проследен, етап по етап, до защитени от подправяне първични документи, които всеки може независимо да провери.

В Кения първичните документи — розовите Form 34As — съществуват и юридически бяха изисквани да бъдат предадени. Передаването се провали или беше непълно. Без способност да сравни национална сума с отделни формуляри, съдът не можеше да определи дали обявеният резултат отразява това, което действително се случи в избирателните секции.

В Антрим първичните документи съществуват — печатаните табулаторни ленти — и те не съответстват на публикуваните разчети. Несъответствието беше видимо, но само защото някой ищеше. Нищо в системата автоматично не повдигна тревога, преди неправилните числа да бъдат публикувани.

И в двата случая отказът е не в броенето. То е в компилирането и предаването на канала: незрелищната инфраструктура, която свързва местното броене с публикувания резултат. Този канал е най-малко наблюдаваната част на процеса и, точно защото е ненаблюдавана, най-уязвима както за грешка, така и за манипулация.

Часовникът в 2 сутрин

Има една обща грешна представа, че бавни резултати са знак, че нещо не е наред. Не са. Те често са знак, че законът работи както е проектиран.

Шест щата на САЩ — Алабама, Мисисипи, Ню Хамшир, Пенсилвания, Západна Вирджиния и Уисконсин — могат да не начинат преработката на пощенски бюлетини до изборния ден. Никой щат не може да освободи резултати на пощенски бюлетини, преди избирателните секции да затворят. Когато избори завършат с милиони необработени пощенски бюлетини, официалния брой отнема дни не защото нещо е скривано, а защото законът създава физическо тясно място в полунощ.

Това не е защита на непрозрачност.

То е аргумент, че тясното място трябва да бъде видимо. Ако искате публиката да приеме, че резултат, който се променя няколко дни, отразява легитимно броене според правилата — и не тихото въвеждане на фалшиви числа в канала — отговорът не е да молите хората да доверят на служители и чакат. Отговорът е да публикуват резултатите на всяка секция в момента, когато те са окончателни, в машинно четим формат, който всеки може да изтегли, проверя и съгласува спрямо държавния разчет самостоятелно.

Собното ръководство на EAC съветва служителите да направят резултатите изтегляеми в общи формати като .csv и .xml и да уточнят кои типове гласи всеки доклад включва. Официалният портал на Айдахо вече публикува резултати на ниво секции с изтегляеми първични данни. NCSL съобщава, че повечето щати вече докладват на ниво секции.

Повечето щати. Не всички. И "докладват на ниво секции" не значи "публикува машинно четими файлове в момента, когато резултатите са сертифицирани." Има широка разлика между PDF, който можете да прочетете, и .csv, който можете да одитирате.

Каналът е толкова силен, колкото неговото най-слабо звено

Помислете какво би отнело да въведе неправилно число на Етап 4 — качването от окръг на щат — по такъв начин, че стандартния разчет не би откривал.

Разчета сравнява разчета, докладван от всеки окръг, спрямо собствените му записи. Ако качването въвежда грешка, която е вътрешно последователна с подправена окръжна справка, разчета не открива нищо. Грешката се разпространява към сертификация. Тя се обявява като резултат.

Това не е хипотетичен вектор на атака. Това е точната структура, която кенийския върховния съд определи като жива слабост. Forms 34A бяха предполагани да направят канала одитируем: снимана, предадена първична документ на всяка избирателна секция, която всеки наблюдател можеше, в принцип, да сравни с национална сума. Когато тези предавания бяха непълни или непоследователни, функцията на одита се срина.

Решението не е по-добри служители. Решението е система, която публикува първичните документи — секция по секция, в машинно четим вид, с криптографски времеви печат — в момента, когато са окончателни. Всеки журналист, всеки наблюдател на кандидата, всеки независим изследовател може след това да реконструира национална сума от файловете на ниво секции и да я сравни с обявения резултат. Ако съответстват, каналът е проверен. Ако не съответстват, несъответствието е видимо на всеки едновременно, не само на служител, който може или не може да избере да разследва.

Федералния конституционен съд на Германия постави този принцип в конституционна доктрина през 2009 г.: гласуването е легитимно само, когато обикновени граждани, без специалистичния знания, могат независимо да разглеждат съществени етапи на броенето. Немското решение беше за избирателни машини. Принципът се прилага с еквивалентна сила на предаването и компилирането на канала.

Одитът не поправя прекъсната тръба

Одитите с ограничени рискове — Колорадо проведе първия щатски през 2017 г. — са мощен инструмент за потвърждение, че машинното броене е точно. Ръчното преброяване на Джорджия през 2020 г. на приблизително 5 милиона бюлетини потвърди машинния разчет с около десета от един процент.

Но одит е толкова полезен, колкото записите, които той одитира.

Ако каналът между избирателната секция и одитната извадка е непрозрачен — ако няма независимо проверяемо записване, свързващо всяка физическа бюлетина със разчет на секция към окръжен разчет към щатски разчет — тогава одит потвърждава вътрешната последователност на системата, а не нейната връзка с бюлетините, които избирателите действително подадоха. Той проверява дали разчета съответства на извадката. Той не може да проверя дали разчета беше правилно събран от секциите на първо място.

В Кения одит на национално обявения резултат спрямо извадка на секции би потвърдил нищо, защото каналът между тези секции и национална сума беше частта, която беше прекъсната.

Надежна система имате нужда от двете: хартиени записи, които издържат като физическо доказателство на намерението на избирателя, и предаване и компилирането на канала, което е толкова прозрачно, че всеки может проверя всеки етап без да верва на служителите, които го управляват.

Тези две неща не са замени един за друг.両 са необходима.

Какво действително би направило това проверяемо

Ето какво независимо проверяемото тръба изглежда.

В момента, когато секция завърши своето броене, тя публикува подписан файл с резултати — име на секция, тип бюлетина, разчети на кандидати, времеви печат, криптографски подпис — на публично хранилище. Файлът е четим от човек и машинно разбираем. Подписът го прави защитен от подправяне: всяка промяна на файла разчупва подписът, който всеки член на публиката може проверя със свободни инструменти.

Окръжни и щатски разчети се изчисляват от тези файлове, не се въвеждат ръчно. Аритметиката е публична. Всеки може проверя събирането.

Хартиените бюлетини остават като резервна възможност: ако резултатите на електронна секция са поставени под въпрос, физическите бюлетини са там, за да бъдат отново преброени, и ръчния брой може да бъде сравнен с подписания файл.

Това не е утопичен дизайн. EAC вече просит служителите да публикуват .csv и .xml. Криптографския подпис на държавни файлове е рутинната технология. Разликата е политическа воля и стандартизация, не техническа способност.

Докато тази разлика не се затвори, всяка изборна нощ включва верване в тръба, чиито най-критични трансфери — етапи на компилиране и качване — са невидими за всеки с изключение на служителите, които ги управляват.

Кенийския върховния съд разбра трудния път какво се случва, когато тази вяра е неправдоподобна. Съдът можеше да заповяда нови избори. Никой не може да даде на кенийците назад седмиците на несигурност, насилието или правния разход на откриване, че тръбата беше прекъсната.

Хората, които проектираха тази тръба, верваха, че формулярите ще пристигнат. Те не построиха система, която го докаже.

Това е разликата между вяра и проверяемост. Вярата не изисква нищо от системата. Проверяемостта изисква системата да се докаже самата себе си, на всеки, във всеки момент, без да иска разрешение.

Един от тези е избори, които можете защитават в съд. Другото е избори, които можете защитават само като молите хората да вземат вашата дума за това.

Разликите в прозрачността на резултатите са изобразени в няколко щата и десетки страни в Tracker за разлики на TrustVoting. Кенийския случай и случаят Антрим и двамата се появяват в Atlas of Election Integrity cases. За двуминутния вариант на защо моментното докладване на ниво секции е важно, вижте /simple.

Източници

Вижте всички статииРазгледай пропуските