← Всички статии

Страната, която отново изобрети машините за гласуване

През 2007 г. холандска правителствена комисия зададе един прост въпрос: може ли обикновен гражданин да провери, че машина за гласуване е преброила правилно? Отговорът промени как една страна гласува.

Е осен 2006 г., и група холандски активисти, наречени "Wij vertrouwen stemcomputers niet" — "Не вярваме на машините за гласуване" — стоят пред телевизионна камера и правят нещо, което ще смути правителството.

Те са получили машина за гласуване Nedap, същата, която се използва по целите Нидерланди. Пред камерата я отварят. Демонстрират, че може да бъде манипулирана. Показват, че радиоизлъчванията й могат да бъдат открити отвън избирателна кабина, потенциално разкривайки как някой е гласувал. Не са изследователи, публикуващи в научно списание. Са граждани, доказващи точка публично, по телевизията, където хората, управляващи избори, трябва да наблюдават.

Холандското правителство не ги отхвърли.

В рамките на месеци правителството отнема одобрението на машините в употреба и поръчва независимо консултативно тяло — Комисията за избирателния процес, председателствана от F. Korthals Altes — да изследва целия въпрос как трябва да се провеждат холандските избори. На 27 септември 2007 г. тази комисия представя своя доклад. Заглавието му е Stemmen met vertrouwen.

Гласуване с доверие.

Какво реално каза комисията

Комисията Korthals Altes не издаде технически доклад за инженери. Издаде демократичен аргумент.

Определи основни изисквания: прозрачност, проверяемост (controleerbaarheid), интегритет и тайна на гласуването. Заявяваше, с забележимо откритост, че няма тайни в избирателния процес — че въпросите трябва да получат отговори, а отговорите трябва да бъдат проверяеми и верифицируеми. Не проверяеми принципно. Проверяеми от публиката, на практика, без специализирани познания.

След това прави разграничението. Гласуване с хартиени бюлетини в избирателна кабина е предпочитано от гледна точка на прозрачност и проверяемост. Всеки електронен метод е приемлив само ако произведе хартиено гласуване, което гласоподавателят може лично да провери.

Машините за гласуване в употреба не произвеждаха това хартиено гласуване. Произвеждаха число, съхранено в електронна памет, в запечатана кутия, която обикновен гражданин нямаше възможност да провери. Комисията заключи, че това не е достатъчно. Холандското правителство се съгласи. Регулацията от 1997 г., която беше одобрила машините за гласуване, бе отменена.

Нидерландия се върна към хартия и молив. Избори сега се преброяват ръчно.

Това е необикновено нещо за moderna, технологически усъвършенствана страна да направи. Стойност е да попитаме защо смятаха, че е необходимо — и какво означава за всяка друга страна, която не ги последва.

Нещото, което телевизионните камери разкриха

Демонстрацията на активистите не беше предимно за хакване. Беше за по-фундаментален проблем: не можеш да наблюдаваш как един компютър мисли.

Когато бюлетин влиза в хартиена кутия и се преброява от човек в осветена стая, можеш да видиш бюлетина. Можеш да видиш ръката. Можеш да оспориш преценка. Всяка стъпка е наблюдаема от всеки присъстващ — представител на кандидат, журналист, подозрителен съсед. Германския федерален конституционен съд постави това прецизно в своя знаменит приказ от 2009 г., който забранява машините за гласуване: съществените стъпки на гласуването и определянето на резултата трябва да бъдат проверяеми от гражданина без никакви специализирани познания. Това не е технически стандарт. Това е демократичен.

Машина за гласуване не го изпълнява по дизайн. Подаваш й своя глас и тя ти връща число. Между тези два момента, нещо се случи вътре в машината, което не можеш да наблюдаваш, и машината не ти показва своята работа.

Отговорът на холандската комисия не беше "направи по-добри компютри". Беше "изискването за публична верифицируемост не може да бъде задоволено от никаква непрозрачна машина, затова премахни машините."

Това е по-трудно заключение, отколкото повечето правителства са били готови да достигнат. Но логиката е неоспорима.

Какво се случва, когато няма хартия

За да разбереш какво Нидерландия избегна, погледни какво се случи в графство Сарасота, Флорида през ноември 2006 г. — същата година, когато холандските активисти правеха своя телевизионна поява.

Сарасота използваше машини без хартия ES&S iVotronic touchscreen. Избирателната нощ графството докладва приблизително 18 000 недостатъчни гласа в надпреварата за 13-ти конгресен район на Флорида — около 13 процента от всички гласувани бюлетини, без записан избор за Конгрес. Надпреварата е решена с 369 гласа разлика.

Нямаше какво да се преброи.

Американския правителствен отчетен офис тести машините и не можа да намери дефект, който да обясни недостатъчния брой гласове. Отбеляза и, внимателно, че верифициран от гласоподавателя хартиен запис може да обеспечи независимо потвърждение, че сензорните екрани са записали гласовете правилно. Без него, въпросът какво е намеревало 18 000 гласоподаватели беше просто неотговорим. Резултатът застана, и никой не можа да докаже, че е правилен.

Това е пропастта без хартия в нейната най-суровата форма: близка избирателна надпревара, аномалия, която не може да бъде обяснена, и без независим запис за проверка. Не заговор. Не измама. Само неустранима несигурност, която ядосва обществено доверие именно в надпреварите, където общественото доверие има най-голяма стойност.

Холандската комисия бе разглеждала този логичен капан и решила: нямаме да построим система, която може да завърши тук. Хартията е полица, която прави останалото проверяемо.

Норвегия достига свързано заключение, от различен ъгъл

Нидерландия не беше сама при отстъпилата от електронното гласуване след прилежащо проверяване.

Норвегия проведе пилотни проекти за интернет гласуване през 2011 г. местни избори и избори за парламент от 2013 г. в дванадесет общини — внимателно, като допълнение към хартиено гласуване, само през периода на авансови гласувания. По думите на отговорния министерства пилотните проекти не доведоха до увеличаване на избирателната активност. Обещаната полза на удобството не се материализира.

През 2014 г. норвешкото министерство на местното управление и модернизацията реши да преустанови допълнителни пилотни проекти за интернет гласуване. Правителството заключи, че без широка политическа подкрепа за интернет гласуване и предвид неразрешени въпроси относно това дали гласовете могат да бъдат верифицирани като преданости, ще бъде неуместно да се похарчат допълнително време и пари за допълнителни пилотни проекти.

Това изречение — неразрешени въпроси относно това дали гласовете могат да бъдат верифицирани като преданости — прави голяма работа. Норвегия не е страна с крехки институции или история на оспорвани избори. Проведе пилотните проекти внимателно, оцени честно резултатите и заключи, че ако доверие, че всеки глас е преброен както е глаcувано не може да бъде осигурено, каналът не стои цената.

Забележи какво имат общо Норвегия и Нидерландия: обе направиха своите решения чрез прозрачни публични процеси, основани на проверяемостта като неотменим пост. Никоя не отговаря на измама. Обе отговарят на невъзможността да се верифицира, че измама не е възникнала — което, оказва се, е същия проблем.

Машината, която не можеше да бъде хвана в лъжа

За усещане какво означава "неверифицируемо" в най-крайния й вид, разгледай какво демонстрираха изследователи от Принстън през 2006 г. Работейки с реална машина Diebold AccuVote-TS touchscreen — тогава сред най-широко разгърнатите в Съединените щати — Ariel Feldman, J. Alex Halderman и Edward Felten показаха, че нападател с около минута физически достъп би могъл да инсталира вредоносен код, който щеше да крадат гласове, алтернатива всички регистри и преброявания, за да останат вътрешно съгласувани, и разпространени автоматично към други машини чрез нормална избирателна активност.

Машината не би изглеждала счупена. Щеше да произведе брой. Броят щеше да бъде вътрешно съгласуван. Нищо в собствените записи на машината не би сигнализирало проблем.

Единственото нещо, което би го могло хвана би била гласоподавател-верифициран хартиен запис, който машината не контролира — нещо, което машината не би могла да промени, за да съответства на собствената й измама. AccuVote-TS не произвеждаше един.

Това е какво означава холандската комисия с "без тайни в избирателния процес." Ако записът, който доказва преброяването, е произведен и съхранен изцяло от машината, която е проверяват, това не е проверка. Това е машина, проверяваща собствената си домашна работа.

"Преброихме го ръчно" е подсигуряване, не доказателство — освен ако хартията е там

Защитници на електронни системи често сочат на проверки: ръчни преброявания, преглеждане след избори, проверки с ограничен риск. Това са реални подобрения. Колорадо проведе първата преброена по щат проверка с ограничен риск през 2017 г. Джорджия ръчно преброя приблизително пет милиона председателски бюлетини през 2020 г., с разликата между машинния брой и ръчния брой, идваща в около една десета от един процент.

Но всеки един от тези методи за проверка зависи от едното и също нещо: трайна хартиена запис, който машина не контролира изключително. Не можеш ръчно да преброиш какво никога не беше напечатано. Не можеш да проверишь картата на паметта срещу себе си.

Ръчният брой на Джорджия работи, защото Джорджия имаше гласоподаватели-маркирани хартиени бюлетини. Ръчният брой потвърди машинния брой, защото имаше нещо независимо да се сравни срещу.

Сарасота 2006 нямаше такова сравнение. Флоридския 13-ти район имаше разлика с 369 гласа, 18 000 необяснени недостатъчни гласа, и нищо да преброи. Опцията за проверка беше недостъпна. Беше проектирана извън системата.

Нидерландия разгледа това и направи избор: хартия първо, винаги, защото без нея опцията за проверка, която може отчаяно да се нуждаеш не съществува.

Има допълнителна сложност, която стойност е да бъде наименована директно. Дори ръчните преброявания носят неустранима човешка грешка. Декемврийската 2020 г. ръчна проверка в графство Antrim, Мичиган — малко графство, приблизително 15 700 бюлетини — произведе последен брой, който все още се отличаваше от машинния брой с около дузина гласа. Не хиляди. Дванадесет. В низконапрежена графска проверка, която потвърди еднозначен резултат, този марж е безопасен.

В надпревара, решена с шепа гласа, метод, който сам е прав по няколко гласа не може да уреди въпроса. "Ръчният брой го потвърди" е подсигуряване. Това не е доказателство. Единственото нещо, което превръща подсигуряването в доказателство е система, където всеки — не само официалните лица, провеждащи проверката — могат независимо да проверят основните записи срещу защитена от тамперване верига на съхранение.

Това е пропастта, на която Нидерландия решила, че не може да живее. Хартия плюс ръчен брой е по-добро от черна кутия. Но хартия плюс ръчен брой плюс криптографски верифицируема верига записи, които всеки може да провери е още по-добре.

По-дълбокия аргумент: замени доверието с проверяемост

Всяка страна, която е отстъпила от непрозрачната технология за гласуване е направила едно и също наблюдение, обикновено след криза: проблемът е не че машините са определено грешни. Проблемът е, че не можеш да разбереш така или иначе.

Германския конституционен съд каза това през 2009 г., отменяйки използванието на машини Nedap на федералните избори от 2005 г. Избори, чиято коректност почива на скритото софтуер не отговаря на публичната верифицируемост тест независимо дали тамперване е когато доказано.

Австрийския конституционен съд отмени промяната на президентските избори от 2016 г. не защото измама беше доказана — не беше — но защото верига съхранението за пощенски бюлетини беше прекъсната по начин, който правеше измама невъзможна да бъде отменена. Логиката на съда: резултат, който никой не може да верифицира не е надежден резултат, дори ако правилния човек е спечелил.

Кенийския върховен съд отмени президентските избори през 2017 г. защото цифровата верига от избирателна кабина към национален брой не можеше да бъде проверена срещу защитена от тамперване записи източника. Броят не можеше да бъде верифициран. Резултатът беше отменен.

Линията е винаги същата. Не е относно коя партия е спечелила. Не е относно доказване на измама. Е относно дали публиката — не официалните лица, не производителят, не държавният секретар — могат независимо да проверят броя. Когато не могат, резултатът почива на доверие в властта, която го обявява. И доверие, което не може да бъде тестирано не е увереност. Това е почитание.

Дълготайния принос на холандската комисия беше да настойва на проверяемост като предпоставка, не като бонус функция. Резултатът: страна, която все още гласува с хартия и молив, чиито избори могат да бъдат наблюдавани от бюлетин до последен брой от всеки гражданин, стоящ в стаята, и чието правителство не трябва да те моли да приемеш думата му.

Какво все още не може да бъде верифицирано — и какво щеше да го поправи

Ето какво все още не е разрешено, дори в Нидерландия.

Ръчно преброени хартиени избори са верифицируеми в силен смисъл: бюлетините са физически обекти, наблюдавани от множество страни, и броят е наблюдаван в реално време. Но процесът все още разчита на хора, преброяващи правилно, на пълни верижни записи съхранението за всяка бюлетина, и на предположението, че бюлетините, входящи в броя са същите, които избирателите са маркирали. Човешки брой, непълни записи съхранението и замяна на последния етап са все още възможни.

Холандския модел е драматично по-добър от машина без хартия. Това не е криптографски доказуемо в смисълът, който програмни системи с край до край верифицируемост, където всеки избирател може независимо да потвърди, че техният бюлетин е включен в последния брой без разкриване на как са гласували, и където всеки наблюдател може да верифицира общото без видяние избира ибредове.

Този пропаст е най-важен в близки надпреварите. В надпревара, решена с дузини гласа, метод, който сам е прав по няколко гласа не може определено да уреди кой победи. Това не е аргумент срещу хартия. Това е аргумент за добавяне на независима, математическа верифицируемост върху хартията — за построяване на система, където публиката не трябва да вярва на броя, защото могат да го проверят сами.

Проверяемия факт е това: сега, в повечето юрисдикции, няма такава независима проверка достъпна на теб. Броят е публикуван. Официално лице казва, че е правилен. Преброяване може или не може да бъде налично. Основния запис за проверка може или не може да бъде публикуван в форма, което можеш да свалиш и верифицираш.

Това е пропастта на верифицируемост — и е затворима. Какво е нужно е публикуване на резултати на ниво избирателни кръгове моментално, в машинна четивна форма, срещу защитена от тамперване верига съхранение, които всеки член на публиката могат независимо да примирят. Не молене публиката да вярва на броя. Показване на броя, в форма могат да проверят.

Нидерландия отступи от машина когато не можеше да отговори на въпроса: можеш да докажеш, че този брой е правилен?

Този въпрос все още чака по-добър отговор, отколкото "вярвай ни."

Любопитен си как честа е пропастта без хартия глобално? Виж пълната картина по юрисдикции. Искаш двата-минути версия какво означава верифицируемост на практика? Начни тук. Или отиди по-дълбоко какво реално изглежда записа на проверка — и какво не — на нашата пропастна страница.

Източници

Вижте всички статииРазгледай пропуските