← Всички статии14 юли 2026 г.

Върховния съд на Германия: ако само експерт може да провери броенето, то това не е реален избор

Върховният съд на Германия постанови през 2009 г., че ако разбирането на резултата от избор изисква диплома по компютърни науки, то това въобще не е демократичен избор — и последствията засягат всяка избирателна система на света.

Е сутринта на 3 март 2009 г., и осем съдии в Карлсруе току-що пренарисаха линията между демократичен избор и доверен спектакъл на такъв.

Федералният конституционен съд на Германия — Bundesverfassungsgericht, най-близкото нещо до върховен арбитър на онова, което Основния закон действително означава — току-що издаде решението си относно конституционността на компютрите за гласуване Nedap, използвани на федералния избор през 2005 г. Съдиите не пишат за хак, за украден избор или за счупена машина. Те пишат за нещо по-тихо и по-фундаментално.

Те пишат за това дали обикновените граждане могат да проверят какво се е случило.

Отговорът, който Съдът даде, беше не. И затова машините трябваше да отидат.

"Без никакви специални познания по предмета"

Аргументацията на Съда е достатъчно компактна, за да я цитираме директно. Съдът постанови, че използването на електронни машини за гласуване изисква, че "съществените етапи на гласуването и определяне на резултата могат да бъдат проверени от гражданина надежно и без никакви специални познания по предмета."

Прочетете това отново внимателно.

Не проверявани от проверяващите. Не проверявани от продавача. Не проверявани от държавна сертифицирана лаборатория. Проверявани от гражданина, надежно, без специални познания.

Това изискване, обясни Съдът, произтича от Öffentlichkeit der Wahl — принципа на публичния характер на избори — вложен в членове 38 от Grundgesetz в съчетание с членове 20.1 и 20.2. Принципът не е техничност. То е изявление за това на кого принадлежат избори.

Машините на Nedap не издържаха този тест, защото съхранявали гласовете само в електронна памет. Нямаше независимо проверяемо записване, което гласоподавател да може да проверим. Когато избор беше завършен, това, което имаш, е число на екран, произведено от процес, който живееше изцяло в черна кутия. Можеш да му верваш. Не можеш да го проверш.

По мнението на германския Конституционен съд, тези две неща не са едно и също.

Защо това решение се простира по-дълбоко от това, което изглежда

Официалните реакции на решението обикновено се съсредоточаваха върху резултата: Германия се върна към хартиени бюлетини и ръчно броене, случай затворен, проблем решен.

Това е най-малко интересната част.

По-дълбокият аргумент, който Съдът правеше, е че проверяемостта не е опционална функция на легитимен избор — то е дефиниционно изискване. Избор, чийто резултат само експерт може да проверси, не е избор в никакъв значимо демократичен смисъл. То е ритуал, изпълнен с скъпо оборудване, и ти си поканен да аплодираш резултата.

Забележете какво Съдът не каза. Той не каза, че машините на Nedap са произвели неправилни резултати. Той не намери доказателства за подмяна, измама или неправилност в избор за Бундестаг през 2005 г. Всъщност, точно защото не можеше да се докаже конкретно вредата, Съдът отказа да анулира самите резултати от 2005 г.

Но отсъствието на доказателство за неправилност не беше въпросът. Въпросът беше, че структурата на системата направи независимата проверка невъзможна, и система, която направи проверката невъзможна, не издържа конституционния стандарт, независимо дали нещо действително се е случило.

Това разграничение има огромно значение. Това означава, че Съдът не была разпределя между твърдение за измама и отрицание на измама. Той задаваше подов стандарт. Под този подов стандарт, въпросът дали измама е възникнала е един, който просто не можеш да отговориш — защото си изградил система, която не може да бъде проверена.

Проблемът е непрозрачността, а не само машината

За да разберете защо това има значение извън Германия, помислете какво действително изисква "проверяване на броенето" с хартиена система за гласуване. Вие наблюдавате гласовете, като се отдават. Наблюдавате кутията да бъде затворена. Наблюдавате отварянето й по време на броене. Наблюдавате човек да вземе парче хартия, да го прочете и да извика име. Ако не сте съгласни с това, което произнесе, можете да погледнете хартията сами.

Нищо от това не изисква университетска степен. Нищо от това не изисква доверие към орган за сертификация или продавач или държавен секретар. Цялата верига от гласоподавател до обявена резултат е в човешки мащаб и наблюдаема.

Сега помислете какво се случва, когато машина за гласуване замести тази верига. Гласът влиза в софтуер. Софтуерът работи на хардуер. Хардуерът е сертифициран — по процес, който не наблюдавахте, изпълнен от експерти, които не избрахте, срещу стандарт, които вероятно не сте чели. "Броенето" е резултат от софтуера. Ти си поканен да му верваш.

Това е на какво посочваше германския съд. Непрозрачността не е случайна на технологията; в повечето разполагания, то е присъща на нея.

Нидерландия дойде до същото заключение чрез различен път. През 2007 г., Комисията за съвети на избирателния процес на холандското правителство публикува своя доклад, Stemmen met vertrouwen — "Гласуване с доверие." Неговата основна позиция: има "няма тайни в избирателния процес" и въпросите трябва да отговаряемо с проверяеми отговори. Комисията заключи, че хартиени бюлетини, преброени с ръка, са за предпочитане именно поради тяхната прозрачност и проверяемост, и че всеки електронен метод е приемлив само ако произведе хартиен запис, който гласоподавател физически може да проверси. Нидерландия оттегли одобрението за своите машини за гласуване и се върна към хартия.

Две съседни европейски демокрации. Два независими преглеждания. Един извод.

Какво живее вътре в черната кутия

Струва си да бъдем точни относно онова, което прави непрозрачна система за гласуване опасна — не защото машините са непременно компрометирани, а защото няма начин да разберете по един или друг начин.

През 2006 г., изследователи от Принстън Ариел Фелдман, Дж. Алекс Халдерман и Едуард Фелтен получиха реална машина за гласуване Diebold AccuVote-TS — една от най-широко развертаните в Съединените щати през онова време — и прекараха няколко месеца с нея. Това, което намериха беше, че нападател с приблизително шейсет секунди физически достъп биха могли да инсталират код, който би крал гласове, докато поддържаше всички вътрешни дневници, брояджи и записи вътрешно последователни. Машините нямаше да показват нищо лошо. Още по-лош е втори намирането: кодът могъл да се разпространява от машина на машина чрез карти памет по време на обичайната дейност на избирателната нощ.

Критичната фраза е "вътрешно последователна." Машина може да лъже без да се противоречи сама на себе си. Което означава аудит, който проверява само собствените машинни записи, може да потвърди лъжата.

В Джорджия през 2020 г., федерален съд, който преглежда системата за маркиране на бюлетина на щата на Dominion, намери нещо структурно подобно. Системата табулира гласове от QR код, отпечатан на всеки бюлетин. QR кодът не може да бъде прочетен от гласоподавател. Федерален съдия обнаружи, че система "не осигурява проверяем и одитен бюлетин записа, защото разчита на QR кода за табулиране на гласове и този код сам по себе си не може да бъде прочетен и проверен от гласоподавател." Ръчно преброене в Джорджия одити резултата на баркода. То не одити намеренията на гласоподавател.

Принципът на германския съд, приложен: ако не можеш да прочетеш какво се брои, то не проверяваш броенето.

"Гласуване с доверие" е слоган. Проверяемостта е механизъм.

Опитът на Ирландия добавя трета точка от данни. Ирландското правителство закупи 7500 машини за гласуване Nedap — същото семейство, което германския съд по-късно ще постанови, че е неконституционно — и поиска независима комисия да ги оценява преди първото им национално развъртане. Комисията заключи, че не може да препоръча системата с "необходимата степен на доверие." Не защото намери, че машините бяха счупени. Защото не беше в състояние да убеди себе си, че щяха да работят правилно. Разграничението е важно: отсъствието на известни проблеми не е същото като независимо демонстрирана надежност. Машините остават в склад за пет години и бяха изхвърлени през 2009 г.

Три страни — Германия, Нидерландия, Ирландия — дойдоха по същество до същото заключение чрез конституционен преглед, правителствена комисия и независима оценка съответно. Общата нишка е не антитехнологични чувства. То е изискване, че публиката е в състояние да проверси, не просто да верва.

Сега помислете какво се случва, когато това изискване не е намирано.

Избор на Националното учредително събрание на Венецуела през 2017 г. е проведен на автоматизирана система за гласуване на Smartmatic. На 2 август 2017 г., главния изпълнителен директор на Smartmatic издаде публично изявление разкривайки, че цифра за избирателната активност, обявена от правителството, е била манипулирана — с поне един милион гласове, според оценката на компанията. Smartmatic каза, че "знаеше без никакво съмнение", че числата бяха променени.

Продавачът отхвърли резултата пуснат на собственото си оборудване. И защото независимия одит е не съществува — защото системата е черна кутия за всички извън управляващия орган — граждани и международни наблюдатели нямаше механизъм да потвърдят истинската цифра. Те бяха оставени с един официален, заявяващ число, един компания отричащ го, и няма трета пътека към истината.

Това е как изглежда непрозрачността в пълен мащаб.

"Одитът го потвърди" — какво тази фраза действително гарантира

Има версия на официалното уверение, което звучи по-силно от сценария на Венецуела: "проведохме одит, и всичко се съответства." Струва си да се попитаме какво това гарантира.

В Джорджия през 2020 г., след президентските избори, решени от по-малко от дванадесет хиляди гласа в щат с 10 милиона, избирателни служители проведоха пълна ръчна преброене на всички приблизително пет милиона президентски бюлетина. Вариацията между машинното броене и ръчното броене беше около един десети от един процент — истински достижение на мащаб и скорост, проведено под огромен натиск.

Но дори тук, историята не е съвсем "златния стандарт потвърди машината." Ръчното броене потвърди резултата. Дали потвърди всеки отделен глас е по-трудно въпрос. В окръжност Antrim, Мичиган — по-малка тестова случай същата година — ръчен одит на приблизително 15700 президентски бюлетина все още се различаваше от машинната табулация с около дванадесет гласа. Дванадесет гласа звучи тривиално малко. В избор, решен с дванадесет гласа, то е целия марж.

Форензичния одит на Windham, Ню Хемпшир от 2021 г. документира как неправилно броене на машина в стотиците — не причинено от мошеничество, не причинено от малшар, причинено от прегъвка в сгънати отсъствие бюлетини, които оптични скенери прочетоха като маркирани овали — беше открояемо само защото издържане хартиени бюлетини съществуваше и физическо ръчно броене можеше да възстанови намеренията на гласоподавател.

Стандартът на германския съд не е, че ръчно преброене е идеално. То е, че съществените етапи трябва да бъдат проверяеми от всеки гражданин без специални познания. Ръчно броене отговаря на този тест несъвършено, но действително — което е точно защо хвана Windham и потвърди Джорджия. Без хартия машинното броене, или броене одитирано само срещу QR код, който гласоподавател не може да чета, въобще не отговаря на тестом.

Принципът, взет сериозно, сочи някъде конкретно

Решението на германския съд не забранява електронна технология за гласуване. То забранява непроверяема електронна технология за гласуване. Разграничението е важно, защото сочи към това как съответстваща система би изглеждала.

VSAP система на округ Лос Анджелис — първата публично принадлежаща, отворен код система за табулация на избори сертифицирана в Калифорния, официално сертифицирана през август 2018 г. — представлява един насок: публично собственост на кода, открито разглеждане от независими експерти, вместо проприетарен софтуер защитен като търговска тайна.

Съд по избори на Бразилия управлява ежегодно публичен тест на сигурност, в която квалифицирани външни изследователи са поканени да зондират машините й за гласуване за слабости, с поправки внедрени и повторно тестирани преди избор. Логиката е обратна на "верете в нашата сертификация": то е "опитайте да го счупите, публично, и ние ще ви покажем какво поправихме."

Швейцария публикува своя интернет-гласуване изходен код през 2019 г. именно за да покани независимо разглеждане — и в рамките на седмици, криптографи Сара Джейми Люис, Оливие Перейра и Ванеса Теаг намериха люк в доказателството на разбъркване, което би позволило на инсайдер да изменя гласове, докато произвежда доказателство, което се появи да преминава проверката. Системата е спряна. Недостатъкът е само открояем, защото кодът е публичен.

Моделът е последователен: проверяемостта не е свойство, което служителите могат да твърдят — то е свойство, което трябва да бъде демонстрирано от външни страни. Официално изявление, че система е безопасна, е претензия. Независимо, враждебно тестване, което потвърждава или отрича то, е доказателство.

Какво все още не е проверяемо — и какво би го поправило

Ето какво принципът на германския съд, приложен строго, би ви изисквал да бъдете в състояние да правите след всеки избор: проследете своя глас — анонимно, но проверяемо — от момента, когато е отдаден, до крайното броене, използвайки само публичния запис и собственото си око. Няма специалист диплома. Няма доверие в служител. Няма продавач уверения.

Повечето избирателни системи в употреба днес не могат да преминат този тест. Много все още разчитат на софтуер, чийто код е продавач търговска тайна. Много произвеждат хартиени записи, но хартиени записи, които софтуерът за броене действително не чета. Много публикуват обобщени суми, но не и предварителни, бюлетин по бюлетин данни, които позволяват на който и да е гражданин да съвмести числата от дъното нагоре.

Комисията за помощ на САЩ при избори отбелязва, че резултатите на избирателната нощ са винаги неофициални и непълни — което е добре, при условие че крайните сертифицирани резултати след това се публикуват в машинно-четяем, предварителен ниво форма, която всеки може да свали и проверси. NCSL записи, че повечето щати докладват на предварителен ниво. Но "публикувано някъде" и "независимо, криптографски проверяемо" не са едно и също нещо.

Германския Конституционен съд даде на света чист правен израз на това, което избор трябва да бъде. Ако само експерт може да провери броенето, то това не е реален избор. Петнадесет години по-късно, този стандарт е все още повече асирация, отколкото практика в повечето демокрации, които твърдят, че го споделят.

Въпросът не е дали вашия орган по избори е надежден. Въпросът е дали надежност на органа е нещо, което трябва да вземеш по вяра — или нещо системата ви позволяват да проверши сами.

Това са различни въпроси. И само един от тях има демократичен отговор.

Вижте къде вашата страна стои относно пропастта на проверяемостта — и как би изглеждала система, която може да се проверси — на /atlas. За двуминутната версия на причини защо проверяемостта бие доверието, началната точка е /simple. И за по-дълбока карта на конкретни пропуски в избирателната технология по света, вижте /gaps.

Източници

Вижте всички статии Разгледай пропуските