← Всички статии9 август 2026 г.

Индия запази своите машини за гласуване — но засили хартиената проверка. Защо?

Върховният съд на Индия отказа да отмени своята система за електронно гласуване — и веднага наложи по-силни хартиени печати и независими избирателни проверки. Това напрежение ви казва всичко, което трябва да знаете за това, което "доверието" всъщност изисква.

Е сутрешта на 26 април 2024 г., и някъде в Ню Делхи, двойка съдии от Върховния съд на Индия току-що завършиха четенето на 102 страници петиции, които го молят да направи нещо драматично: да отмени целата електронна система за гласуване на страната, или поне да изисква всеки един хартиен лист, генериран от всяка машина за гласуване, да бъде преброен ръчно.

Петиционерите — Асоциацията за демократични реформи и други — не бяха теоретици на теориите на заговора. Те посочваха истински структурен въпрос: в избори, включващи приблизително 970 милиона имащи право да гласуват граждани в страна от континентален размер, какъв процент от електронния брой може някой гражданин независимо да провери?

Съдът отговори отрицателно на двете претенции.

И веднага след това наложи по-силни хартиени печати, задължително защитено съхранение и нов механизъм за проверка на спорове, свързан с хартиената следа.

Тази комбинация — потвърждаване на машините, засилване на хартиената проверка — е достойна за разглеждане. Защото содържа аргумент, който се отнася до всяка демокрация, която някога е опитала да проведе избори на компютър.

Какво всъщност правят машините на Индия и какво всъщност каза съдът

Електронните машини за гласуване (EVM) на Индия са самостоятелни, несвързани в мрежа устройства. Те не са свързани с интернет. Те не работят с търговски операционен софтуер. Избирателната комисия на Индия ги описва като устройства, произведени по поръчка, устойчиви на манипулации. От 2013 г. системата е сдвоена с хартиена следа за одит, проверима от избирателя — VVPAT — малък принтер зад стъклена прозорец, който показва в продължение на седем секунди хартиен лист със символа на партията и име на кандидата, записани от машината. Листът пада в запечатана кутия, която избирателят не може да докосне.

В Association for Democratic Reforms v. Election Commission of India (2024 INSC 341, решение от 26 април 2024 г.), Върховния съд на Индия отказа да нареди връщане на хартиени бюлетини или пълен брой на 100% от VVPAT листата. Съществуващия режим — задължителна ръчна проверка на VVPAT листата в пет случайно избрани избирателни секции per окръг — остана в сила.

Но съдът не просто каза "доверяваме се на Избирателната комисия". Издаде конкретни указания:

Устройства за зареждане на символи (SLU) — устройствата, използвани за зареждане на символите на кандидатите и партиите на EVM преди избори — трябва да бъдат запечатани и защитени след процеса на зареждане на символи и съхранени поне 45 дни след обявяването на резултатите.
Кандидатите могат, при внесена такса, да поискат проверка на изгорелия микроконтролер с паметта в 5% от EVM в един окръг, в случай на спор.

Прочетете внимателно тези две указания. Съдът не казваше, че машините са окей, верувайте ни. Той казваше: запечатайте устройствата, които се докосват до машините преди гласуването, держите ги налични за проверка впоследствие, и дайте на губещите кандидати механизъм да поставят под въпрос броенето спрямо физически хардуерни доказателства.

Дори решение, което потвърди електронната система, се наклони, при всеки тревожен момент, към логиката на независимата, хартиено и хардуерно базирана проверяемост.

Това е аргументът. Не аргументът на Индия — аргументът на всички.

Въпросът, до който всяка съдебна власт във всяка страна в крайна сметка стига

През март 2009 г., осем съдии в Карлсруе, Германия достигнаха до това, което е сега най-яснозаписаното съдебно твърдение на основния принцип. Федералния конституционен съд на Германия, преглеждайки използването на компютри за гласуване Nedap на изборите в Бундестаг от 2005 г., установи, че електронното гласуване е легитимно само когато "основните етапи на гласуването и определяне на резултата могат да бъдат проверени от гражданина надеждно и без никакви специалистични познания."

Не от сертифициран експерт. Не от избирателната власт. От гражданин.

Машините съхранявали гласовете само в електронна памет, без независимо проверяемо записание, което гражданин да може да провери. Те не преминаха теста. Федералният закон за машините за гласуване беше признан за неконституционен.

Върховния съд на Индия през 2024 г. се бореше със същия въпрос при далеч по-голям мащаб, с различна архитектура на машины, и стигна до различно заключение — но забележете какво запази в двете посоки: хартиения лист, който избирателят наблюдава как пада в кутията, и хардуерното записание, което спорен окръг сега може да поиска да разгледа. Съдът начерта линия между доверие в машина и имане на нещо за проверка на машината.

Тази линия не е Индийско изобретение. Это незаменимия минимум, който всяка сериозна национална съдебна власт в крайна сметка е изискала.

Какво се случва, когато няма нищо за проверка

Случаят Sarasota County, Флорида от 2006 г. остава най-ясния единствен пример за това какво всъщност струва отсъствието на хартиена следа. Приблизително 18 000 бюлетини във 13-тия конгресен окръг на Флорида показаха липса на записано избиране в надпреварата — 13% процент безгласие на сензорни машини за гласуване ES&S iVotronic без хартия. Надпреварата беше решена с 369 гласа разлика. ГАО тестира системите и не може да идентифицира отказ на машина, но отбелязва, че избирателят-проверяема хартиена следа би могла да предостави независимо потвърждение, че сензорните екрани записваха гласовете правилно.

Нямаше нищо за преброяване. Няма лист в кутия. Няма физическо артефакт, което избирателят беше наблюдавал создаването. Машините казваха какво казваха, и нямаше независим слой, който да я разпитаме.

Машина, която не оставя проверяема следа, не е система за брой. Това е декларация.

VVPAT режимът на Индия, каквито бъди неговите ограничения, е структурно отхвърляне на този резултат. Хартиения лист съществува. Въпросът, който Върховния съд разсъждаше, не е дали да имаме хартиена следа, а какъв процент от нея трябва да бъде проверен ръчно, и при какви условия хардуерът под нея може да бъде разглеждан.

Това е истински аргумент, достоен за разглеждане. Това не е един и същи аргумент като дали да имаме всякаква проверка.

Защо петстанционния пример е истинско напрежение, а не удобен отговор

Съдът запази изискването VVPAT листата да бъдат преброени ръчно в пет случайно избрани избирателни секции per окръг. Индия има хиляди окръзи. Пробата е малка.

Критици на решението — и петиционерите преди съда — твърдяха, че малка случайна проба не може да осигури статистическата уверност, необходима за сертифициране на близо резултат. Това е законен технически въпрос, не маргинален.

Сравнете подхода на Колорадо: през 2017 г. Колорадо стана първия щат в САЩ, който завършил всекомунен аудит, ограничаващ риска, метод, който размерва своята ръчна проверка на примерка в зависимост от близостта на надпреварата. Голямо мнозинство има нужда от малка проба за потвърждение. Близо равенство изисква много повече бюлетини да бъдат разгледани ръчно. Аудитът, ограничаващ риск, доставя определена статистическа уверност; фиксирана петстанционна проба не, и в близо надпреварата математиката има значение.

Отговорът на Индийския съд не е, че пет станции е оптимално. Неговия отговор е, че архитектурата на решаване на спорове — запечатани SLU, съхранени 45 дни, с проверка на микроконтролер налична при поискване — осигурява различен слой на проверка, който самостоятелно пет-станционния пример не предоставя.

Дали този слой е достатъчен, е технически въпрос, които решението не полностью разрешава. Този неразрешен въпрос не е дефект в логиката на това произведение — това е точно въпросът, който дава решението неговото напрежение.

Съдът потвърди машините. Добави хардуерно-ниво спорни проверки. Не предостави математическа гаранция на статистическата уверност в близо надпреварите. Тези три неща са едновременно верни, и всеки, който ви казва, че само един от тях е верен, ви разказва удобна история.

По-дълбокия проблем: какво "проверено" всъщност означава на седем-секундния прозорец

Ето частта, която решението на съда оставя истински отворена, и която струва да се назове ясно.

VVPAT листът се появява зад стъклен прозорец за седем секунди. Избирателят го наблюдава. Тогава пада в запечатана кутия.

Какво избирателят проверил е, че листът се отпечата правилно. Те не проверили, че машината преброи този лист правилно. Листът попада в запечатана кутия, която се преброява ръчно само в избраните станции.

В Съединените щати, федерален съд в Атланта направи структурно подобно наблюдение през 2020 г. В Curling v. Raffensperger, преглеждайки устройствата на Dominion за маркиране на бюлетини на Джорджия, съдът установи, че системата "не осигурява проверяемо и одитно записание на бюлетини, тъй като разчита на QR кода за брой гласове и този код самия не може да бъде прочетен и проверен от избирателя." Отпечатаната хартия съществуваше. Артефактът на броенето — QR кодът — не беше четим на хората.

Ситуацията на Индия е различна по архитектура: VVPAT листът е четим на хората, и броенето се случва на самия EVM, вместо да бъде кодиран в баркод. Но структурния въпрос е един и същ: артефактът, който избирателят провери, и артефактът, който определя броене, трябва да бъдат един и същи артефакт, и връзката между тях трябва да бъде независимо проверяема.

Механизмът за проверка на микроконтролера на Индийския съд е стъпка към правенето на тази връзка проверяема в спорни случаи. Това не е обща публична верификационна механизъм налична на всеки гражданин като е дело на курс.

Тази брешина — между това, което съд може да наложи като намеса и какво система трябва да предостави като по подразбиране — е където истинския дизайн на аргумента живее.

Какво би изглеждало система, изграждена за проверяемост

Индийското решение, немския конституционен стандарт и доклада на холандската държавна комисия от 2007 г. (която върна Нидерландия към хартиени бюлетини на явната база, че избори трябва да бъдат прозрачни и проверяеми) всички посочват към една и същата спецификация.

Надежден брой изисква:

Четимо на хората, от избирателя-проверено физическо записание — не седем-секундния прозорец, а траен артефакт, който избирателят потвърди и системата задържи.
Публичен одит протокол, който е статистически проектиран да улови грешни резултати, размерван до маржина, не удобност.
Хардуер и софтуер верига на отговорност, която е запечатана, регистрирана и независимо проверяема — не само от кандидати, които плащат такса, а като прозрачна публична карта.
Мигновено, по избирателна секция публикуване на резултати в машинно-четими формати, които всеки може да изтегли и примири спрямо хартията.

Нито един от тези четири неща не изисква отхвърляне на електронното гласуване. Индийския съд не каза отхвърли го. Немския съд не каза отхвърли го — той каза направи го проверяемо от обикновени граждани. Холандската комисия не каза технологията е грешна — тя каза прозрачност и проверяемост са неподлежащи на преговори, и хартия в момента ги доставя по-добре.

Протягането в цялата юрисдикция е не предпочитание на хартия над силиций. Това е искане системата да произведе доказателства, които публиката може да разглежда независимо — доказателства, които не молят никого да доверява властта, декларираща победителя.

Бразилия проводи официални публични противници безопасност тестове на неговите машини, приканвайки всеки, чийто тестов план е одобрен, да опита да счупи системата. Лос Анджелис окръг построи с отворен код публично притежавана система за тамбурене конкретно така че외-ърсърци могат да разгледат кода. Колорадо проектира своя одит да доставя статистическа уверност, не просто оптика.

Нито един от тези е "хартиени бюлетини са магия." Всички от тях са "ето доказателството; дойде да го проверите сами."

Какво е все още неразрешено — и какво би го направило проверяемо

Апрелския 2024 г. решение на Индия е важна точка данни, не установено заключение.

Ето какво остава истински отворено:

Петстанционния VVPAT пример не е показан да осигурява достатъчна статистическа уверност в близо окръжна надпреварата. Нито един Индийски съд или избирателна власт е публикувала математически анализ, демонстриращ какъв риск от фалшив резултат настоящия пример приемащ.
Механизмът за проверка на микроконтролера е налична само на кандидатите, само в спорни случаи, само при плащане, и само в 5% от EVM. Това е юридическа намеса, не прозрачен публичен одит.
SLU запечатването изискване е подобрение на верига на отговорност. Дали печатите са независимо регистрирани, кой има отговорност на логовете, и как разликаност би била издър и разрешена не е публично уточнено решението.
EVM софтуерът остава затворен. Никой независим изследовател не публикува разгледан от експерти анализ на сигурност на текущи Индийски EVM, сравним с анализа на Принстън екип на Diebold AccuVote-TS от 2006, или Естонския онлайн гласуване анализ, който идентифицира необнаружими манипулационни рискове.

Какво би направило всичко това независимо проверяемо?

Публикувайте размерните на пробите изчисления. Публикувайте логовете на отговорност на печатите. Отворете EVM фирмуера към независим криптографски анализ. Изискуйте всеки окръжен VVPAT листа брой бъде публикуван спрямо неговия EVM общ на избирателната секция ниво, в машинно-четим формат всеки гражданин може да изтегли и проверят.

Съдът мести телефункцията. Телефункцията е не още при "всеки може да провери."

Това не е обвинение. Това е дизайн спецификация — и това е една и същата спецификация, която Германия артикулира през 2009, един и същите един Кения Върховния съд прилагаше през 2017 г., когато отмени президентска избори, защото верига резултати не може да бъде независимо проследена, и един и същите един, които прави разлика между избори, които можете да проверят и избори, които вас попросено е да доверите.

Доверието не е целта. Проверяемостта е. Те не са едно и същото.

Видете където този брешина се появява в избори наоколо света · Прочетете двуминутната версия · Изследвайте пълния архив на случаи

Източници

Вижте всички статии Разгледай пропуските