← Всички статии

Течна корекция решила един избор — докато съдилищата не забележаха

Малка бутилка течна корекция изменя достатъчно много протоколни листи, за да обяви целия президентски избор недействителен — и съдилищата решиха, че никакво официално увереняване не може да това поправи.

Е сутрин на 3 февруари 2020 г., и петима съдии в Блантайър, Малави, са направили нещо, което е вълнувало всеки избирателен орган на континента: отменили са избирателната победа на седящия президент.

Не защото бюлетините бяха открадени. Не защото гласовете бяха хакнати. Защото някой имаше бутилка Tipp-Ex.

Този единствен детайл — течна корекция, от вида, който студентите използват, за да поправят домашното — се оказа достатъчен, за да направи целия президентски резултат юридически непроверяем. Конституционният съд на Малави отмени избора на президент Питър Мутхарика от май 2019 г., след като установи, че официалните протоколни листи са били изменени с течна корекция, че са съществували дублирани протокола, и че множества от формуляри са били подписани неправилно или неправилно обработени. Върховният съд на апелациите потвърди това решение на 8 май 2020 г. в дело Mutharika & Electoral Commission v Chilima & Chakwera (MSCA Constitutional Appeal No. 1 of 2020). Беше наредено ново гласуване.

Избирателната комисия беше обявила Мутхарика за тесен победител. Отговорът на съдилищата беше прецизен: тесен победител на документи, които могат тихо да бъдат презаписани, не е победител, който законът може да провери.

Документът е изборът

Ево какво повечето хора не си мислят в избирателната вечер, когато графиките се въртят и водещите говорят за преимущества: всяко число, което виждате, е произлязло като отметка на физически лист хартия някъде, попълнена от човек в избирателна секция, в 22 часа, с каквото перо е имало под ръка.

Този лист е изборът. Не телевизионната графика. Не базата данни на национален център за събиране на резултати. Не прессъобщението на Избирателната комисия.

Ако този лист може да бъде изменен — с перо, с течна корекция, чрез просто заместване с дубликат — тогава всичко, което следва от него, е построено на пясък. Базата данни е грешна. Графиката е грешна. Прессъобщението е грешно. И що е по-важно, никакво одит на базата данни няма да разкрие проблема, защото базата данни отразява изменения лист.

Това не е абстрактен риск. В Малави съдилищата установиха, че се случва в широк мащаб: широко използване на течна корекция на официални протоколни листи, дубликати в обращение, подписани неправилно документи, влизащи в събирането на резултати. Резултатът беше президентски избор, който не можеше да бъде реконструиран от своите собствени изходни документи.

Поучението не е, че Малави е уникално корумпирана. Поучението е, че протоколен лист без доказателства за намеса е повърхност за атака, навсякъде в света, и че крехкостта е невидима, докато някой не оспори резултата в съд.

Какво точно означава „с доказателства за намеса"

Вероятно сте разпознали печат с доказателства за намеса, без да мислите за това. Пластмасовата лента на бутилка с лекарства. Восъкът на юридически документ. Номерирания пластмасов връв на избирателната торба след затваряне на секцията.

Това не е просто церемониал. Те служат на специфична верификационна функция: ако печатът е прекъснат или документът е изменен, доказателството за намеса е самото видимо. Не трябва да вярвате, че никой не е докосвал бутилката; можете да видите, че пръстенът е цял.

Официален протоколен лист, който може да бъде презаписан с течна корекция, няма нищо от това. Изменението не оставя очевидна следа. „Коригираната" цифра изглежда точно толкова авторитетна, колкото оригиналната. Формуляр подписан само след корекцията не може да удостовери какво е била оригиналната цифра.

По-силната версия на доказателства за намеса за хартиен документ е множествено подписване: ако формулярът е подписан от представители на множество страни, с мастило, преди да напусне някой избирателната секция, тогава всяко последващо изменение изисква или подправяне на всички тези подписи, или всички тези представители да се съгласят с промяната. Всеки път е далеч по-труден от бутилка Tipp-Ex.

Идете по-далеч: формулярът би могъл да бъде незабавно снимен от агент на всяка партия на телефона им и качен. Сега „оригиналът" съществува в множество независими копия момента, в който е създаден. По-позна промяна на физическия лист може да бъде уловена чрез сравнение с някое от тези копия.

Още по-далеч: система би могла да изиска резултатните формуляри да бъдат цифрово подписани с ключ, който всеки агент държи независимо, и че подписаните данни да бъдат предадени на публично хранилище момента на затваряне на избирателната секция. Сега резултатът е криптографски заключен към момента на броене. Никаква течна корекция не може да го докосне.

Нито един от тези не е екзотичен. Всички те съществуват. Повечето от света не ги използва.

Кения, 2017: същия проблем, един уровен по-нагоре

Уязвимостта на Малави беше на уровен на физическия формуляр — хартията, която избирателна секция попълва. Но същия принцип действа на всеки уровен на веригата.

В Кения през 2017 г. Върховният съд отмени президентския избор не защото политанските протоколни листи са били очевидно изменени, а защото предаването и обработването на тези листи на национално равнище не могат да бъдат проверени. Съгласно Член 86 на конституцията на Кения, гласуването трябва да бъде „точно, проверяемо, безопасно, отговорно и прозрачно." Съдът установи, че не всички политански резултатни листи са били електронно и едновременно предадени, както е задължено от закона, че листите липсваха съответни защитни признаци, и че крайния национален талалов формуляр не носи водна мара или сериен номер. Председателят беше обявил резултата преди всички основни листи да са в ръце.

Вижте пълно решение на Върховния съд на Кения.

По-дълбокият смисъл — идентичен в двата случая — е този: избирателен резултат е верига на кастодия, не число. Всяка връзка в тази верига, от момента, когато гласоподавател маркира бюлетина, до момента, когато победител е обявен, трябва да бъде независимо проверяема. Счупете една връзка и цялата верига не може да бъде доверена, дори ако всяка друга връзка е перфектна.

Веригата на Малави се счупи при най-основната връзка: изходния документ. На Кения се счупи в предаването и агрегирането. Уязвимостта е различна; режимът на отказ е същия.

Какво точно означава „одитът го потвърди"

Когато избирателен орган казва, че одитът потвърди резултата, това твърдение е само толкова силно, колкото е силното това, което беше одитирано.

Ако одиторите проверяват машинни суми срещу протоколни листи, и протоколните листи са били изменени преди одита, одитът потвърждава изменения резултат. Той нищо не улавя.

Това е неотменимото ограничение на всеки одит, който работи назад от единична верига от документи. Одитът може само да открие изменения, които оставиха детектируема следа — в специфичните документи, които одиторите разглеждат, използвайки специфичните методи, които прилагат. Ако изходния документ е точката на атака, одитирането на производните записи ви казва нищо за изходния.

Ръчното броене на Джорджия през 2020 г. — приблизително пет милиона бюлетина, окръг по окръг, за по-малко от шест дни — е най-силната версия на хартиен одит. Той проверява машинни обработки срещу самите физически бюлетини, не срещу протоколни листи. Вариацията беше около десета част от един процент. Това е изключителен резултат, и той означава нещо прецизно: бюлетините, които машините са броили, са, с висока увереност, бюлетините, които гласоподавателите са маркирали.

Но това доверие зависи изцяло от целостта на физическата верига на бюлетини. Ако самите бюлетини са били изменени или заменени преди преброяването, ръчното броене би потвърдило фалшивостта, не би я уловило. Ръчното броене на Джорджия функционира, защото верига на бюлетини беше цяла. В Малави, верига на протоколни листи не беше.

Разликата между „одитът потвърди резултата" и „резултатът е проверяемо правилен" е точно големината на всяко неосмотрено предположение в верига на кастодия на одита.

Изменяемия протоколен лист е пролука със име

В TrustVoting проследяваме специфичен клас уязвимост, наречен изменяемия протоколен лист — пролука, която се отваря когда резултатния изходен документ може да бъде презаписан, дублиран, или заменен без изменението да бъде детектируемо от независима страна.

Малави е най-острия съдебно задокументиран пример, но основното състояние — протоколни листи, които не носят криптографски подпис, няма многостранна удостоверение, немае неизменяем времеви печат, и няма независимо държавно копие — е обичайно в дузина и повече избирателни системи. Случаят на Малави е забележителен не защото е бил необичаен, а защото съдилищата имаха достатъчно доказателства, за да действат по него.

Въпросът е колко избори имат същата уязвимост и никой с правото да я оспори, или няма съд, готов да действа, или няма доказателства, които да оцелеят броенето.

Вижте колко обичайна е тази пролука по света →

Структурният отговор: проверяемост, която не официално не може да отмене

Ето аргумента направен чист.

Проблемът в Малави не беше, че избирателни служители не бяха достойни доверие. Проблемът е, че системата изисква да им верите. Протоколния лист нямаше свойство, което да позволи на всеки друг — на агент на загубилата страна, на журналист, на гражданин — независимо да проверя, че числото на листа е числото, записано в момента на броене.

Когда система изисква доверие, е уязвима пред всеки, който контролира доверения елемент. Tipp-Ex е евтин. Толкова е и дубликатен формуляр. Толкова е и съчувствен избирателен комисар, който решава коя версия на оспорван лист влиза в броенето.

Структурният отговор е да проектирате системи, където доверието не е необходимо, защото независима проверка е възможна.

Как това изглежда на практика?

Означава, че резултатни листи са подписани от агенти на всички участващи партии, в избирателната секция, преди да напусне някой — и че тези подписи са в записа, използван за събиране на национален резултат. Това не е нова идея; това е стандартна практика в добре управлявани избори, и неговото отсъствие в Малави беше част от това, което съдилищата забележаха.

Означава, че подписани листи са снимани и образите са качени незабавно, така че всяко последващо изменение на физическия документ е детектируемо чрез сравнение.

Означава, че качените данни са криптографски подписани с ключ, държан от независима страна — не от избирателната комисия — така че „официалния" запис не може тихо да бъде променен между качване и публикуване.

Означава, че публикуваният резултат, на ниво участък, е незабавно изтегляем в машинен отчетлив формат от всеки, така че сумата от участъкови резултати е независимо изчислима без да просит разрешение на всеки.

Ни един от тези признаци не изисква доверие на избирателната комисия, че са броели честно. Точно това е смисълът. Проверяемост означава всеки може да провери аритметиката. Това не означава всеки трябва да приеме аритметиката на вяра.

Какво все още не е проверяемо — и какво би променило това

Ево какво съдилищата на Малави биха могли да проверят: че течна корекция беше приложена на официални листи, че дубликати съществуват, че подписи липсват. Ево какво не могли да проверят: какви са били оригиналните, неизменени цифри.

Тази информация е опустошена. Изборът не може да бъде реконструиран от изходните документи, които трябва да са му основа, защото изходните документи са презаписани. Единственото средство на съдилищата беше да отменят резултата и проведат ново гласуване.

Система с независимо държани, криптографски заключени копия на всеки резултат на участък, създадени в момента на броене и държани от партии извън контрола на избирателната комисия, би позволила на съд — или журналист, или юридически екип на загубила кандидат — да сравни „официална" цифра със оригиналния подписан запис и вижда точно където изменението е възникнало и колко е.

Това сравнение е понастоящем невъзможно в повечето избори на света. Изходните документи са държани от същата власт, която събра резултата от тях. Одитът проверява записите на властта срещу записите на властта.

Какво би го направило проверяемо от всеки: подписан, независимо държан, публично достъпни резултати на ниво участък, публикувани момента всяка избирателна секция затваря, в формат никоя власт не може тихо да промени след това.

Това не е утопична желание. Това е инженерна спецификация. Някои от компонентите вече съществуват. Какво липсва, в Малави и в повечето на света, е институционална и правна рамка, която го изисква — и независима технология, която го доставя.

Съд с достатъчно доказателства може да отмени резултат. Система с истинска проверяемост никога няма да имаме нужда.

Прочетете 2-минутната версия на тази пролука →

Вижте пълен индекс на пролук →

Източници

Вижте всички статииРазгледай пропуските