← Всички статии

Ирландия закупи национална система за електронно гласуване, а след това не можа да докаже, че работи

Ирландия похарчи милиони за машини за гласуване, които лежаха в склад пет години, а след това бяха разхвърляни — защото независима комисия не можа да докаже, че работят.

Пролетта на 2004 година един склад някъде в Ирландия съхранява бъдещето на ирландската демокрация — все още в оригиналната опаковка.

Ирландското правителство беше набило около 7 500 машини за електронно гласуване и брой Nedap/Powervote. Сделката струваше десетки милиони евро. Машините бяха преминали собствените тестове на производителя. Изборите бяха насрочени. Персоналът на избирателните местности беше обучен. Правителството беше готово.

Имаше един проблем. Независима комисия по електронното гласуване беше поканена да преглада системата. И когато я разгледа внимателно, тя не можа да каже, че машините работят.

Не "машините са счупени". Не "открихме измама". Нещо по-тревожно от всяко от това: не можем да убедим себе си, със необходимата степен на доверие, че работят.

Това изречение — измерено, техническо, убийствено — е това, което спря цяла национална програма за електронно гласуване. Машините бяха приведени в резервен режим. През 2009 година те бяха официално разхвърляни. И въпросът, който повдигна комисията, никога не е изчезнал.

"Недоказано" не е същото като "добре"

Докладът на комисията по електронното гласуване от 2004 година "Междинен доклад" не беше теория на заговора. Не беше политически удар. Това беше група независими експерти, на които беше поставена конкретна задача: можем ли да проверим, според нашите критерии, че тази система е точна и тайна?

Техният отговор: не.

Комисията ясно заяви, че нейното заключение не е намирането, че системата няма да работи. То е намирането, че системата не е доказана според удовлетворението на комисията, че ще работи. Това е различен и по-труден стандарт — и това е правилният.

Точност означава: всеки глас, който е отдаден, става гласът, който е преброен? Тайност означава: никой не може да свърже бюлетина с избирателя, който я е отдал? Това не са екзотични технически изисквания. Това са двата неотменяеми свойства на легитимните избори. И комисията, след като прегледа системата Nedap/Powervote, както й беше представена, не можа да потвърди нито едното, нито другото според своето удовлетворение.

Докладът "Междинен доклад" на комисията е кратък документ и струва си да се прочете изцяло. Това, което не казва, е толкова важно, колкото това, което казва. Не казва, че производителят е лъгал. Не казва, че правителството е действало в лоша вяра. Казва: представените доказателства не бяха достатъчни, за да позволят независима проверка. И за устройство, чиято единствена задача е да произведе надежден брой, "независимо неуверяемо" е фатална грешка — не малка пропаст, която трябва да се затвори с обещания.

Машините бяха поставени в съхранение.

Правилният подход винаги трябва да бъде: не внедрявай недоказани системи

Ето какво прави конкретна историята на Ирландия. Производителят казва, че машините работят. Правителството вярва на производителя. Правя се покупка, парите се похарчват, провежда се обучение. Системата е на ръба да се използва за определяне на действителни резултати от избори за милиони ирландски избиратели.

И след това независим орган поставя простия въпрос — можеш ли да го докажеш? — и отговорът е не.

Тази последователност е обърната. Доказателството трябва да предхожда внедрението, а не да го следва. Ирландската комисия, в своя честност, третира "все още недоказано" като достатъчно основание за "не се използва". Това е правилният подход. Бремето на доказанието лежи на системата. Орган за избори, който не може да демонстрира, според независимите преглежатели, че неговата технология е точна и тайна, не е преминал праговете. Просто е избрал да не го преминава преди да стане живо.

Машините Nedap/Powervote, използвани в Ирландия, бяха на същия производител, чиито машини използва Германия на федералните си избори през 2005 година — гласуването на Бундестага, което по-късно беше оспорено пред Федералния конституционен съд. През март 2009 германския съд постанови, че машини за електронно гласуване, чиято работа не може да бъде независимо проверена от обикновени граждане, без специализирани знания, нарушават конституционния принцип на публичните избори. Решението на Bundesverfassungsgericht е тактично и струва си да се прочете: не е забрана на компютрите на избори. Това е изискване, че каквато и технология да се използва, гражданите трябва да могат да проверят съществените стъпки от бюлетина до резултат за себе си. Машините Nedap не преминаха този тест в германския конституционен съд пет години, след като независимата комисия на Ирландия вече беше стигнала до същото заключение по различни начини.

Две страни. Същите машини. Същия вердикт. Нито едната не изискваше доказателства за конкретна измама. И двете стигнаха до същия резултат: неуверяемото е неприемливо.

"Сертифицирано" е твърдение, а не доказателство

Машините бяха преминали тестването на производителя. Някаква версия на процес на сертификация беше проведена. Ирландското правителство беше подписало закупуване. Нищо от това не беше достатъчно за комисията.

Това не е особеност на ирландския случай. Това е постоянната пропаст в сърцето на надзора на технологията за избори.

В Съединените щати, GAO докладва през 2005 година — в следствие на HAVA, закона, който конгресът прие, за да модернизира избирането след безредицата от 2000 година — че федералните усилия за подобряване на сигурността и надеждността на електронното гласуване са "в ход, но че ключови дейности остават незавършени". Докладът на GAO установи, че стандартите трябва да бъдат укрепени, процедурите на сертификация трябва да бъдат установени, хранилищата на софтуер трябва да бъдат създадени. Години след кризата, която предизвика реформата, машинерията на заверяването все още беше в процес на строеж. "Ние използваме сертифицирани системи" беше, в този момент, твърдение за процес, който все още не беше напълно оперативен.

Сертификацията, направена правилно, е значима проверка. Направена като формалност — упражнение на отметки от орган, който липсва на достъп, време или независимост, за да наистина опита системата — се превръща в отговорност. Това създава видимост на заверяване без субстанция. И видимостта на заверяване, на избори, е по-лоша от признатата несигурност: те спират хората от задаване на по-трудни въпроси.

Ирландската комисия нямаше достъп, който й трябваше. Това, което й беше показано, не беше достатъчно, за да проверила точността или тайната на системата. Тази пропаст — между това, което производителят представя, и това, което независимият преглежател действително може да проверя — е това, което прави твърденията за сертификация струващи си на проучване, отколкото приемане.

Какво всъщност означава "не може да се провери тайната"

Нека направим това физическо за момент, защото "тайната" може да звучи абстрактно.

Машина за гласуване, която не може да бъде независимо одитирана за тайна, е една, в която трябва да приемеш словото на производителя, че твоят глас не е свързан с тебе. На практика, това означава: ако софтуерът записва не само кой кандидат получи глас, но и идентификатор, който свързва този глас със специфичния терминал, смарт карта или времева печат, която го е произвела, тази информация съществува в машината. Ако не можеш да инспектираш кода — и на проприетарна система не можеш — не можеш да потвърдиш, че не го прави.

Това не е хипотетична уязвимост. През 2006 година изследователи от Princeton разгледаха реална машина Diebold AccuVote-TS и открихте, че злонамерен код може да бъде инсталиран за по-малко от минута физически достъп, и че кодът може да се променят бройки на гласовете, като держи всички вътрешни дневници последователни. Техният доклад показа работещ вирус, който краде гласове, който може да се разпространява автоматично между машини по време на нормална деятелност на избори. Дневниците на одитиране ще изглеждаха чисти. Сумите ще изглеждаха вероятни. Нищо отвън няма да го хвата.

Ирландската комисия нямаше да намери конкретна уязвимост, за да стигне до своето заключение. Просто трябваше да не отхвърли един. Това е начина, по който независимото техническо преглед трябва да работи: системата трябва да демонстрира своята надеждност, а не просто да я твърди. Отсъствието на потвърдена атака не е същото като потвърдено отсъствие на възможност за атака.

Нидерландия научи същия урок, с по-добро изпълнение

Ирландия не беше сама в този разчет. Холандското правителство заказа своя собствена независима преглед — Комисията Korthals Altes — която докладва през септември 2007 под заглавието Stemmen met vertrouwen: "Гласуване с доверие". Неговите заключения бяха недвусмислени.

Комисията установи, че няма тайни в процеса на избора — което означава, че механиката на как гласовете се отдават и брой трябва да бъдат видими и проверяеми, не скрити във фърмуер. То заключи, че хартиени бюлетини в избирателна секция са за предпочитане с точка зрение на прозрачност и проверяемост, и че всеки електронен метод е приемлив само ако произвежда хартиена запис, която избирателят може да провери.

Докладът на холандската комисия стигна до своето заключение след публична полемика, след като активисти наречени "Ние не доверяваме машините за гласуване" демонстрирахте живо как лесно машините изтичаха радио сигнали, които могли да разкрият как някой беше гласувал. Разпоредбата от 1997 година, одобряваща машини за гласуване, беше оттеглена. Нидерландия се върна към хартия и ръчно броене.

Какво направи Нидерландия, което Ирландия, твърдимо, не получи шанса да направи — защото машините бяха спрени преди внедряването — беше да направи политическото ангажиране явно и дълготрайно. Подходът се промени. Бремето на доказанието се превключи от "докажи, че машината е счупена" към "докажи, че машината може да бъде независимо проверена". Когато това доказателство не можеше да бъде предоставено, отговорът беше хартия.

По-дълбокият проблем: кой решава какво означава "доказано"?

Ето въпросът, който случаят на Ирландия оставя открит, и не е удобен.

Комисията по електронното гласуване съществуваше, защото някой решил да я създаде. На независим орган беше дадена власт да каже "все още не". В Ирландия през 2004 година този механизъм съществуваше и беше използван. Машините бяха спрени.

Но този резултат не беше структурно гарантиран. Това зависи от правителство, което е готово да заказа истински независима преглед, независима комисия, която е готова да достигне неудобно заключение, и политическа среда, която приема това заключение, отколкото го отказва. Премахни някой от тези три елемента и машините стават живи. Избирателите се решават от система, която никой извън канцеларията на производителя не е значително проверил. Резултатите се обявяват. Официални лица казват, че системата е сертифицирана. И въпросът дали всъщност работи изчезва в архива.

Това е живият риск във всяка юрисдикция, която използва проприетарна, затворена технология за гласуване: инфраструктурата за проверка е опционална и епизодична, а не структурна и непрекъсната. Независима комисия може да бъде създадена или не. Преглед може да бъде финансиран щедро или даден на уикенд и куп PDF файлове. Неудобно намирането може да бъде приемано или тихо погребано.

Решението не е да се надяваш, че правилната комисия ще бъде създадена в правилния момент. Решението е да се изградят системи, където доказателството не се държи в затворен пропициетарен черен кутия на производителя, а е публично инспектируемо, математически проверяемо и проверяемо от всеки — не само от експертите, които правителството избира да наеме този конкретен цикъл.

Системата VSAP на Los Angeles County, сертифицирана от калифорнийския държавен секретар през 2018, е конкретен пример на различна посока: публично собстван, код с отворен източник, който външни експерти могат да инспектират, а не просто да им се казва. Това не е полно решение — внедряването, верига на попечителство и продължаващи одити все още имат значение — но премахва един основен слой на неясност. Проблемът на ирландската комисия, казано просто, беше, че производителят контролираше какво комисията можеше да вижда. Кодът с отворен източник не може да играе тази игра.

Какво действително учи ирландския склад

7 500-те машини седяха. Никога не бяха използвани. В крайна сметка те бяха продадени за скръп — ирландската държава е докладвана, че е възстановила малка част от това, което похарчи, за да ги набави.

Оптимистичното прочетане на тази история: системата работи. Независима комисия си свърши работата, достига честно заключение, и правителството слуша. Никой избор никога не е провеждан на недоказана система. Демокрацията беше защитена.

Честното прочетание: Ирландия имаше късмет — късмет да има създадена комисия с реална независимост, късмет комисията имаше гръб да каже "не", късмет политическата цена на отказване от този вердикт беше твърде висока.

Система, която зависи от късмет, не е система. Това е серия от неща, които могат да станат грешни.

Истинският урок на машините Nedap/Powervote, сидящи в своите неразотворени кутии, не е, че Ирландия направи правилния избор — макар че направи. Уроката е, че правилният избор изисква верига от независими, институционални проверки, които също толкова лесно можехме да не бъдат там.

Правилният подход за недоказана система трябва да бъде: не внедрявай. Не "внедрявай и одитирай по-късно". Не "внедрявай и доверяй на производителя". Не "внедрявай и чакай проблем да се появи". Не внедрявай. Бремето на доказанието лежи на технологията, и трябва да бъде изразходвано преди гласовете да бъдат отдадени — от независимите преглежатели със истински достъп, не от документацията на производителя.

И "независима проверка" не може да означава единствена комисия, събрана веднъж, чието заключение може да бъде приемано или игнорирано. Трябва да означава публикувана, машинно-четима, крипто-графски проверяема информация, която всеки квалифициран наблюдател — не просто тези, които правителството наемам — може да инспектира по всяко време.

Докато този праг не бъде постигнат, "системата е сертифицирана" е изречение, което заслужава точно толкова доверие, колкото му даде ирландската комисия.

Което е да се каже: не много.

Искаш ли да видиш как пропастта на "недоказаното сертификациониране" се разиграва по целия свят? Разследвай нашия глобален атлас на избори. Или прочети двуминутната версия защо твърденията за сертификация нуждаят независимо проучване: пропастите, обяснени. За по-дълбок поглед какво действително изисква проверяемото гласуване, начни тук.

Източници

Вижте всички статииРазгледай пропуските