← Всички статии13 юли 2026 г.

232 гласа изчезнаха в компютър, и съд нареди нови избори

Съд нареди нови избори — не защото някой доказа измама, а защото 232 избиратели натиснаха "потвърди" и техните гласове просто никога не пристигнаха.

Е сутрин на 9 април 2009 г., и един съдия в Хелзинки току-що направи нещо, което Финландия никога не е правила преди: нареди на три община да преведат избори отначало.

Никакви бюлетини не бяха изгорени. Никакви пълни кутии. Никаква конспирация. Само 232 човека, които влязоха в избирателен участък, направиха своя избор на сензорен екран и си отидоха вярвайки, че са гласували — когато в действителност машината беше отхвърлила това, което направиха.

Техните гласове бяха изчезнали, и те никога не разбраха.

Финландския Върховен административен съд, в решение KHO:2009:39, беше безапелационен: пилотния проект на електронното гласуване в Каркила, Каунияйнен и Вихти по време на общинските избори през 2008 г. беше фатално дефектен. Избирателите, които избраха електронния вариант, трябваше да чакат финален步ъп на потвърждение след направянето на своя избор. Много не чакаха. Инструкциите бяха дефектни. Дизайнът на машината беше объркващ. Така че някои извадиха своята смарт карта преди гласът да бъде запазен — и бюлетината изчезна безшумно в нищото.

Системата им не даде никакъв квитанция. Никакво „вашият глас беше записан." Никакъв начин да разберат дали машината е запазила това, което й дадоха.

Това мълчание е за което е тази публикация.

Машината взе твоя глас и не каза нищо

Помисли какво „гласуване" всъщност означава на механичното ниво. Правиш избор. Записваш този избор в трайна форма. Някой — или нещо — преброява трайния запис. Преброяването става резултатът.

Всяка една от тези стъпки трябва да работи. Разпадни всяка връзка в тази верига, и преброяването вече не е преброяване на това, което избирателите решиха. Това е преброяване на това, което машината случайно запази.

В финландския пилот прекъсването се случи между стъпка първа и стъпка втора. Избирателите направиха своя избор. Но 232 от тях си отидоха преди машината да потвърди че е запазила — защото нищо в дизайна им не каза че трябва да чакат, и нищо им не каза после че е неудачно.

Двеста тридесет и два гласа, изчезнали. Безшумно. Против волята на избирателите.

Съдът откри, че това не е незначителен административен пропуск. Това беше структурен дефект в самия метод на гласуване. Той отмена избирателните процеси. Финландия не повтори електронния пилот.

Това решение трябва да се чете бавно. Съдът не нуждаеше доказателства за измама. Не трябваше да доказва че липсващите гласове биха променили резултата. Стандартът, който прилагаше, беше по-прост и по-строг: метод на гласуване е легитимен само ако всяко отдадено гласение е проверимо записано. Ако избирателите не могат потвърдят че тяхната бюлетина е уловена, методът се проваля — точка.

„Потвърждение" не е UX проблем. То е конституционен проблем.

Лесното обяснение е, че Финландия имаше софтуерна грешка. Поправи инструкциите, добави по-ясен екран на потвърждение, пусни по-добър пилот следния път. Проблемът решен.

Но това обяснение пропуска какво съдът всъщност каза.

Въпросът не беше дали интерфейсът можеше да се подобри. Въпросът беше: какво има избирателят право да проверява, и кога? В финландската система отговорът беше: нищо, и никога. Избирателят натиснал бутон и се доверил на машината. Нямаше независим, трайн артефакт — никакъв документ, никакъв криптографски квитанция, никакъв участъчен запис — че избирателят можеше разгледа да потвърди че машината направи това, което попроси.

Това не е поправима UX проблема. Това е категорийна грешка в начина, по който системата беше проектирана.

Сравни го със стандарта, който Германския федерален конституционен съд артикулира в същата година — 3 март 2009, само седмици преди финландския преценка — когато отмена употребата на Nedap електронни машини за гласуване на 2005 választásban в Bundestag. Германския съд заяви че съществените стъпки на гласуване и преброяване „могат да бъдат разгледани от гражданина надежно и без специализирани познания." Не разгледани от одиторов. Не разгледани от поставчика. От обикновени граждани. Защото всичко по-малко от това прави демократичната легитимност зависима от доверието в правилните експерти — което не е демокрация, то е делегиране.

Финландските 232 липсващи гласа са точно това, което германския съд описваше в абстрактното. Когато стъпката на записване е невидима и непроверима, избирателят няма опция. Те не могат разберат дали техния глас е един от 232-те, които изчезнаха. Никой друг не може, докато някой не пусна числата и открие че 232 човека са записани че са начали процеса но не го завършиха.

Забележи: грешката беше открита само защото системата логираше незавършени сесии. Какво ако не беше? Какво ако машината просто не бе броила без оставяне следа? Как всеки би разбрал?

Числото, което трябва да те безпокои

Двеста тридесет и два гласа. В три малки община. Звучи управляемо.

Сега прави математиката в различна посока.

Финландския пилот включваше скромен брой избиратели на местни избори. 232-те загубени бюлетини представляват приблизително 2% от електронните гласове отдадени. Два процента не е грешка при закръгляване. При затвора надпревара — и много надпревари се решават с по-малко от 2% — безшумно отпадане при този процент обръща резултати.

По-важното: това беше стопроцентът на отказ на система, която беше уловена. Единственото причина мы знаем за тези 232 гласа е че системата пази достатъчно метаданни да пресъздаде какво се случи. Съдът имаше нещо да разглежда.

Сега помисли за случаите където нямаше нищо да разглеждаш.

В Sarasota County, Флорида през 2006, приблизително 18 000 гласа бяха неброени в един конгресионален надпревара решена от 369 гласа. Машините бяха безпапирни сензорни екрани — никакъв независим запис, никаква следа. GAO тестирал системите и не могъл идентифицира злополука, отчасти защото нямаше независимо против кой да се тестира. Недостига при гласуване могли да бъдат избирателев избор. Те могли да бъдат машинен отказ. Никой не можеше да каже.

Финландския грешка беше уловена. Sarasota никога не беше. Разликата не беше качеството на официалите. То беше какво системата оста зад себе си.

Какво „проверимо от избирателя" всъщност трябва да означава

Ето където става прецизен — и където повечето обсъждания за избори се объркват.

„Проверимо от избирателя" стана фраза, която официали и поставчици прикрепват към почти всичко с хартиен компонент. Но не вся хартия е същата.

Устройство за маркиране на бюлетина, което печата твоите избори и depois ги кодира в QR код, ти дава парче хартия. Но през 2020, федерален съд преглеждащ системата на Джорджия открив че системата „не осигурява проверима и ревизионна бюлетинна запис защото разчита на QR код за преброяване на гласове и че код сам не може да бъде прочетен и проверен от избирателя." Машината табулира от баркода. Избирателят чете човешкия текст. Ако тези две неща не съвпадат, избирателят няма начин да разберет. Преброяване с ръка на хартията ревизионира баркода резултат, не волята на избирателя.

То е хартиена следа. То не е проверка от избирателя.

Истинска избирателска проверка означава артефактът, който е преброена е същия артефакт, които избирателят независимо може разгледа и потвърди. Ръчно маркирана хартиена бюлетина задоволява това. Човешка четима разпечатка, която е табулирана от човешка четима запис задоволява това. QR код, който избирателят не може прочетат, нямам. Сензорен екран без хартия — като Sarasota — нямам.

Холандска правителства 2007 Korthals Altes Commission го поставят явно в неговия доклад „Stemmen met vertrouwen" (Гласуване с доверие): „Няма тайни в изборния процес." Всеки електронен метод е приемлив само ако произведе хартиев глас, които избирателят може проверят. Холандия спадна неговия машини за гласуване напълно и се върна към ръчно маркирани хартиени бюлетини. Не защото беше измама. Защото стандартът на проверимост не беше отговарен.

Финландците достигнаха същия пункт две години по-късно, чрез различна маршрута. Техния сензорни екрани произведоха никакъв проверима запис всичко. Комисията теоретична стандарт стана истински съдът конкретния мандат: преведи избирателния процес отново.

Проблемът, който не обявява себе си

Ето истински безпокойната част на финландския случай: системата отказа тихо.

Никакъв алерт не отидоха. Никакво съобщение за грешка не се появи. Никакъв работник в участък забеляза. 232-те избиратели си отидоха от избирателният участък имащи направила всичко, което вярваше че беше необходимо. Отказът беше невидим за хората, което го наредил, невидим за официалите управляващи избирателния процес, и невидим за всеки друг докато някой разгледа логовете след факта.

Тиха отказ е най-лошия вид отказ в система за гласуване, защото до момента когато го намираш, избирателния процес е финален и щетата е нанесена.

Сравни това със сценарий където куп хартиени бюлетини издува от избирателния участък в ветър. Явна. Восстанавливаема. Свидетели. Верига на поведение която може пресъздаде или, в най-лошия случай, документирана като разпадната. Съд може разглежда физическия запис. Наблюдатели могат преброили какво остава.

Електронна тиха отказ оставя нищо от това. То оставя число, което изглежда пълно, произведено от процес, което изглежда че работеше, в система, което дава никакъв външни сигнал, че нещо отиде неправилно.

Ето защо случаят за проверима от избирателя потвърждение не е дизайнерско предпочитание. То е минимално изискване за знание дали избирателния процес се случи всичко.

Когато независими изследователи разгледаха Естония национално интернет-гласуване системата по време на 2013 община избори, те открили че добре recursos атакер или нечестен инсайдер можеше вероятно нарушили гласовете или избирателя приватност без откритие. Публикуваният лист препоръчал Естония прекратява система. Естония официали спорити заключенията — но критична дума в това обмяна е без откритие. Тиха атака на жив национално избирателния процес. Никакъв алерт. Никакъв грешка логове. Никакъв 232 избиратели идентифицирани след факта.

Изследователите можеха повдигна заботата точно защото поне някои система код и процедури бяха достъпни за независимо разгледа. Проверимост е какво направи заботата твърда. Без неговия, въпросът „направи ли то работиш правилно?" има само един достъпна отговор: доверие ни.

„Ревизията потвърди это" е твърдение, не доказателство

Има версия на тази история, което завършва удобно. Официали откривам проблема. Съдът действа. Нови избори са проведени. Системата е подобрена. Чек.

Но та версия просит да третираш откритието и отговора като уроката, когато по-твърда урока е какво беше не открито.

В Antrim County, Мичиган през 2020, неправилни резултати бяха публикувани и уловени — но те бяха уловени защото те бяха невероятно неправилни за окръг чиято политика всеки знаеше. По-фин грешка, един която движи затвора надпревара от няколко сто гласове без правене окръг изглежда че се беше обърнала партии, могли преминат незабелязан. И следващия преброяване с ръка — „金標準" чек — още различава от машина преброяване от около дузина гласове от приблизително 15 700 отдадени. Разлика от дванадесет гласа, произведено от най-доверена ръчна метод достъпна.

В надпревара решена от дванадесет гласа, метод, което е само от дванадесет гласа не може уреди въпроса. „Ревизията потвърди это" и „Секретарят на състояние казва, че той е добре" са успокояния. Те не са доказателство. Доказателство изисква че лежи процес да бъде независимо проверима от всеки — не само официали чиято работа е да те казва, че всичко е добре.

Финландския съд разбра това. То не чака доказателство за измама. То не приеме официално успокояния че системата имаше общо работи. То просит: може ли един избирателят независимо потвърди техния бюлетина беше уловена? Отговорът беше не. Че беше достатъчно.

Джорджия през 2020 пусна пълна ръчна преброяване на приблизително пет милион гласове — най-голямо такова упражнение в САЩ история — и вариация между машина преброяване и ръчна преброяване беше около една десета един процент. Че е доказателство че хартия плюс ревизия позволява всеки чек затвора резултат. То е моделът: трайна, човешка четима запис, преброена независимо, от наблюдатели който могат види всяка бюлетина. То работи защото артефактът бронирала е същия артефакт всеки может разглежда.

Въпросът после Финландия, после Sarasota, после Antrim County, е винаги същия: какво остатък системата оставя, и който може проверят него?

Какво би направил это действително проверимо

Финландския случай е чист в един отношение: един път съдът нареди нови избори, грешката беше поправена. 232-те избиратели имаше средств.

Но средства после факта не е същото като система, което не може отказ тихо на първо място. Ево какво „не може отказ тихо" изисква:

Първо: избирателят трябва да бъдат способни проверят, преди оставянето из избирателния участък, че техния бюлетина беше записана. Не екран, което казва „благодаря за гласуване." Потвърждение, което пътува към независимо проверима артефакт — физическа хартия, което избирателят може разглежда, криптографска обещание, което избирателят може проверят по-късно против публичен запис, или и двете.

Второ: артефактът бронирала трябва да бъде същия артефакт избирателят потвърди. QR код, който избирателят не може прочетат, отказа това тест. Ръчно маркирана хартиена бюлетина, което избирателят маркирал те, пропуска то.

Трето: независими ревизори — не официали, не поставчици, не партийни представители, но истински независимо външни партии — трябва да бъдат способни проверят пълна верига от избирателя потвърждение към финална преброяване. Не място-чек. Не доверие сертификат. Действително чек, с достъп към необработена записи, във всяко време.

Четвърто: резултатите трябва да бъдат публикувани на зернисто ниво — участък от участък, в машина четима форма — момента всеки участък преброяване е пълна. Не после канвас. Не снопо в състояние целия. Участък-ниво резултати, което всеки може изтегли, сума, и кръст-чек против официално целия, са минимално единица публична проверимост.

Нищо от того не е теоретична. Колорадо награждение риск-ограничение ревизии осигурява статистическо доверие, което е пътувал към як затвора надпревара всъщност е — повече проверка в по-затворена надпревари, по-малко в разтвор, всичко основния в хартиена запис. Фреймуърка съществува. Липса парче, почти всички, е политическа воля да прилагам того всеобщо и инфраструктура да публикувам резултати достатъчно бързо за ревизия да случай преди новини цикъл движи напред.

Делимия извод

Един глас е само доверча ако то е проверимо записана — проверена от избирателя, потвърдена в трайна артефакт, и проверима от всеки против публична запис.

Финландския съд не нуждаеше да докажа измама. То доказа нещо по-основа: избирателни където избиратели не могат потвърдят техния бюлетини бяха уловена не е проверима избирателни. То е преброяване на колкото машина случайно запази.

232 гласа. Три община. Един мандат. Но принципът то установи прилагам към всяка юрисдикция пусна всяка система — електронна или хартия — където избирателят няма независимо начин потвърди техния избор направи него чрез.

Въпросът, който трябва да просиш за твоя собствено избирателния система не е „е ли измама доказана?" То е: „какво трябва имат да покажа мне, точно сега, че моя глас беше записана както напусках його?"

Ако отговорът е „нищо" — или „доверие ни" — че е пропуста, което трябва затворя.

Вижте как обичайно тази пропуста е по света | Прочет 2-минутния версия | Разгледай специфични проверка откази

Източници

Вижте всички статии Разгледай пропуските