← Всички статии

Не всички хартиени следи са равни: разписката, която можеш да прочетеш срещу тази, която не можеш

Гласува. Машината отпечата разписка с твоите избори — и баркод, който не можеш да прочетеш. Федерален съд потвърди: баркодът, а не думите, е това, което се брои.

Е сутринта на 3 ноември 2020 г., а някъде на избирателна секция в окръг Гуинет, Джорджия, един избирател стои пред устройство за маркиране на бюлетини на Dominion. Докосва екрана. Прави своите избори. Машината отпечатва хартиен бюлетин — истински, физически лист хартия, който може да държи. Може да прочете имената на кандидатите на него. Го подава в скенера.

Това, което не може да прочете, е QR кодът отпечатан до тези имена.

Този баркод е това, което скенерът всъщност брои. Не човешкочитаемия текст. Баркодът. И ако нещо между докосванията на екрана и този баркод се обърка — ако софтуер, злонамерен или просто багет, кодира различен избор от този, който е направила — не би имала начин да узнае. Хартията в нейната ръка, нещото, което току-що „проверила", не би могла да й каже нищо, което да проверява.

Това не е хипотетично беспокойство. Федерален съд го каза, на записа, през октомври 2020 г.

Съдът прочита разписката — и открива, че е нечетлива

В Curling срещу Raffensperger, Окръжният съд на САЩ за Северния окръг на Джорджия преглежда експертни показания относно системата на Dominion за маркиране на бюлетини в Джорджия. Мнението и редът от 11 октомври 2020 г. на съда бяха преки: системата „не осигурява проверяем и одитен бюлетин, защото разчита на QR кода за отчитане на гласовете и този код сам не може да бъде прочетен и проверен от избирателя."

Съдът также цитира заключението на Националните академии от 2018 г. — че не съществува технически механизъм, който да гарантира, че приложение за отчитане на гласовете произвежда точни резултати, и че самото тестване не може да гарантира, че система не е компрометирана.

Експертни показания, включително от д-р J. Alex Halderman, описаха практическата осъществимост на кибератака, която би могла да замени или изтрие гласовете чрез изменение на QR кода. Нападател, който проникна в софтуера за маркиране на бюлетини — дори за кратко, дори отдалечено — би могъл да кодира различен избор без да промени нито една човешкочитаема дума на отпечатаната страница.

Съдът не нареди на Джорджия да преминe на ръчно маркирани хартиени бюлетини преди ноември 2020 г. Изборите бяха на няколко седмици. Системните промени в последния момент носят собствени рискове, а съдилищата ги преценяват. Това е разумно съдебно решение относно времето. Това не е чист сертификат за здравето на системата.

По-дълбокия смисъл остава неразклатан: хартиен следи, който не можеш да прочетеш, не е избирателско-проверяем хартиен следи. Това е разписка за транзакция, която не можеш да одитиш.

Вижте как разликата на QR кода се вписва в глобален модел на неверифицируеми системи

Какво означава „избирателско-проверено" — и какво не

Фразата „избирателско-проверяем хартиен следи за одит" — VVPAT — звучи успокояващо. Предполага, че избирателите проверяват нещо, че хартия съществува, че одитите се случват. На практика, тези думи могат да описват системи, които са на световни разстояния една от друга.

Помисли какво изисква верификацията. Избирателят трябва да може да прочете записа. Записът трябва да кодира намерение — фактическите избори на избирателя — в форма, която избирателят може да потвърди преди да го подаде. И всеки одит на този запис трябва да брои човешкочитаемото намерение, а не машинен превод на него.

QR кодът не издържа и трите теста едновременно. Избирателят не може да го прочете. Кодира машинен изход, не преки видими намерения. И одит, който сканира баркода, одитира машинното кодиране, а не ума на избирателя.

Сега сравни това с ръчно маркиран хартиен бюлетин. Избирател маркира овал до „Кандидат X". Овалът е записът. Избирателят може да го вида. Одитърът може да го вида. Съдът може да го вида. Не съществува слой за превод между действието на избирателя и преброения артефакт. Ръчното броене на Джорджия през 2020 г. — в което 159 окръга ръчно преброиха приблизително 5 милиона президентски бюлетини за по-малко от шест дни — работи защото тези бюлетини бяха маркирани с ръка и човешкочитаемият маркер беше гласът. Вариацията между машинното броене и ръчното броене беше около една десета от един процент, което си струва да се знае, и ръчното броене потвърди резултата до каквато увереност един ръчен ръчен процес може да доставя.

Но забележи какво ръчното броене не би могло да направи, ако Джорджия беше имала само QR-кодирани бюлетини в кутията: щяло да е трябвало да преканира баркодите. Което означава, че би одитирало машината с машината. Хартията в кутията става просто механизъм за доставяне на баркода, и баркодът е единственият запис, който съществува.

„Хартиен бюлетин" и „избирателско-проверяем бюлетин" не са синоними. Един описва средния. Другият описва дали намерението на избирателя е независимо четливо от човешко същество.

Индия опитва нещо различно: разписката, която наистина видиш

Сега пътешествай 8 000 мили на изток.

Индия управлява най-големите демократични избори в света — стотици милиони избиратели, електронни машини за гласуване (EVM) във всяка съответна избирателна единица, държава, където логистиката сама по себе си е стана мобилизираща задача. В продължение на години ходатайте твърдяха, че EVM трябва да бъдат напълно отменени, или че всеки електронен глас трябва да бъде кръстосан проверен срещу хартия. През април 2024 г. съдебен панел на съдиите Saniv Khanna и Dipankar Datta издаде решение по точно тези въпроси в Association for Democratic Reforms срещу Election Commission of India.

Съдът отказа да нареди връщане на хартиени бюлетини или 100% ръчна проверка на VVPAT разписки. Но ето ключния детайл на дизайна: VVPAT на Индия произвежда разписка, която избирателят наистина може да прочете.

След натискане на бутон на индийска EVM, хартиена разписка се отпечатва зад малко стъклено прозорче. Избирателят вижда име на кандидата и символ. Могат да потвърдят, че съответства на това, което натиснаха. Разписката след това пада в запечатан отсек — никога не е в ръцете на избирателя, така че не може да бъде снимана като разписка за покупка на гласове — но избирателят е, в истински и преки смисъл, верифицирал записа преди да е запечатан.

Това е категорично различно от QR кода на джорджийски бюлетин. Един е човешкочитаема потвърждение. Другият е непрозрачно кодиране, което на избирателя е поискано да вярва.

Върховният съд на Индия затегна правилата около тази разписка: нареди символ-зареждащите единици да бъдат запечатани и защитени след процеса на зареждане на символи, съхранявани за поне 45 дни след резултата, и направени достъпни за верификация на микроконтролер в 5% от EVM по избирателна единица, ако кандидатите го поискат при плащане. Съдът, по същество, строеше повече стъпала във вертиката на одит, докато отказва да изисква най-горното стъпало.

Системата на Индия няма липса на критици. Петициите от 2024 г. повдигнаха законни въпроси дали пет произволно избрани избирателни секции на избирателна единица е достатъчно голяма VVPAT проба, за да уловят систематичен компромис. Тези въпроси са реални. Но архитектурата на VVPAT — човешкочитаема разписка, която избирателят вижда преди да е запечатана — прави нещо, което QR кодът на Джорджия не е: дава на избирателя момент на истинска, неопосредствана верификация.

Прочетете повече за VVPAT и глобалните стандарти за хартиени следи в нашия трекер на разликите

Одитът, който одитира грешното нещо

Ето въпроса, който следва от проблема на QR кода, и той е по-труден, отколкото изглежда.

Когато избирателна власт одитира избори, проведени на машини за маркиране на бюлетини, какво всъщност брои?

Ако одитът преканира QR кодовете — дори чрез подаване на отпечатани бюлетини през различен скенер — тества дали две машини се съгласяват. Това е полезна проверка срещу определени откази на оборудване. Това не е проверка срещу софтуер, който кодира грешния избор от началото, защото и двете машини читат един и същи баркод, който първоначалния софтуер е произвел.

Ако одитът чете само човешкочитаемия текст и игнорира QR кода, прави нещо странно: брои имена на кандидати, които не са оперативния запис. Скенерът, който работи на избирателния вечер, не е броил тези имена. Броил е баркода. Човешкочитаемия текст и QR кодът могат, по принцип, да се разминат — и в компрометирана система, това разминаване е точно атаката.

Одит, който проверява намерението на избирателя — маркерът, който човешко същество направи, или разписката, която човешко същество видя — е категорично различен от одит, който преброява машинен изход. Конституционният съд на Германия формулира този принцип в конституционни термини през 2009 г.: основните стъпки на гласуване и броене „могат да бъдат проверени от гражданина надеждно и без всякакви специалисти знания." Гражданин не може да прочете QR кода без специалистични знания. Гражданин може да прочете име на разписка.

Комисията на холандското правителство „Гласуване с доверие" от 2007 г. заключи, че всеки електронен метод е приемлив само ако „произвежда хартиен глас, който избирателят може да проверява." Акцентът е на способността на избирателя да проверява — не на одитърът, не на продавача, не на съдебно определеният експерт.

Вижте решението на Германия 2009 г. и холандската комисия в нашата верифицирана библиотека на случаи

Разписката, която става оръжие: още един усложняване

Съществува напрежение, вградено във всеки избирателско-проверяем запис, и дизайнът на VVPAT на Индия го навигира умишлено.

Разписката е четлива. Но никога не е в ръцете на избирателя.

Това е важно, защото бюлетин, който можеш да вземеш вкъщи — или да снимаш — е бюлетин, който можеш да докажеш на трета страна. И бюлетин, който можеш да докажеш на трета страна, е бюлетин, който купувач на гласове може да изисква да показаш. Съдилищата бяха експлицитни по този механизъм. В Rideout срещу Gardner, Апелативният съд на САЩ за първия окръг проследи историята: реформи на тайния бюлетин бяха приети конкретно, за да предотвратят купуване на гласове чрез премахване на способността на купувача да верифицира закупката. Снимка на маркиран бюлетин възстановява тази верификация и отваря пиаца.

Разписката на VVPAT на Индия е видима за избирателя, но запечатана преди да напуснат кабинката. Можеш да потвърдиш своя глас. Не можеш да го докажеш на никого друг. Това е правилния баланс: избирателска верификация без архитектурата на принуда.

Машина за маркиране на бюлетини, която отпечатва цял, човешкочитаем хартиен бюлетин — типът, който избирател подава в отделен скенер — е стъпка напред от QR-само система. Но създава нов въпрос: може ли тази хартия да бъде снимана? Ако да, от кого, и в кой момент на процеса? Свойствата на безопасност на „избирателско-проверяем" зависят от физическото обработване на хартията, не просто на това, което е отпечатано върху нея.

Проверяемостта е свойство на системата, а не функция. Изисква четливи записи, запечатано обработване, независими одити на намеренията на избирателя, и верига на опеки, която предотвратява както тамперинга, така и принудата. Всеки кусок е важен. Премахни някой един, и гарантията се срива.

По-дълбокия проблем: кой проверява проверяващия?

Джорджия проведе ръчно броене на 5 милиона бюлетини през 2020 г. и потвърди машинния резултат в рамки на една десета от един процент. Това е истинско доказателство за един избор. Въпроса, който Curling остави отворен — и който официално изявление на CISA от ноември 2020 г. не отговаря — е какво се случва в бъдещи избори, където хартията в кутията са QR-кодирани бюлетини.

Изявлението на CISA отбеляза, че хартиени записи „позволяват преброявания и одити, когато е необходимо." Това е вярно. Но това, което изявлението не казва — и което е невероятно важно — е какъв вид запис позволява смислен одит. QR кодът на лист хартия е хартиен запис. Това не е избирателско-проверяем запис.

Ако Джорджия, или което и да е държава, която управлява машини за маркиране на бюлетини, проведе след-избирателен одит, който преканира QR кодове, е произвела доказателство, че машините са съответствали една на друга. Съответствието не е коректност. Изследователите от Princeton, които превърнаха Diebold AccuVote-TS в вирус, крадец на гласове, през 2006 г., изградиха код, който альтерира всички записи, дневници и броячи, за да остане вътрешно съответстващ. Одит на вътрешна съответствие беше точно това, което този софтуер беше проектиран да преживее.

Епизодът на Coffee County през 2021 г. — където цял юрисдикция софтуер за гласуване на Dominion беше копиран и изтекъл — показа как крехка затворения код сигурност е на практика. Тайност на изходния код не е свойство на сигурността. Това е удобство, което се изпаряват в момента, в който някой с достъп решава да го споделя.

Отговорът не е да се приеме всички тези атаки случиха. Това е да се строят системи, където не би имало значение, ако са направили — защото избирателското-четливия запис в запечатаната кутия би противоречал всеки компрометиран електронен изход, и независимо ръчния одит на този запис би повърлувал разминаването.

Това е архитектурата, която системата на Джорджия не може да доставя, и индийския VVPAT, несъвършено, се опитва да го направи.

Какво би действително затворило разликата

Тестът е достатъчно простичко да се заяви, по-трудно да се внедри, и не е в момента удовлетворен от повечето развертания на машини за маркиране на бюлетини в Съединените щати.

Избирателско-проверяем хартиен запис трябва да бъде:

1. Човешкочитаем в момента на гласуване. Избирателят вижда думи и символи — не баркод — и може да потвърди, че съответстват на неговото намерение преди записът да е запечатан.

2. Оперативния запис за броене. Артефактът, който е ръчно одитиран, трябва да бъде един и същ артефакт, който избирателят верифицира, а не машинен превод на него. Ако скенерът брой баркод, одитът трябва да бройи нещо, което докаже, че баркодът съответства човешкочитаемия текст.

3. Запечатан преди да може да бъде доказан на трета страна. Разписка, която избирателят управлява, е инструмент за принуда. Разписка, която избирателят вижда, но не може да вземе, е верификационен механизъм.

4. Предмет на независими одити, който брой намерението на избирателя. Не машинен-изход одити. Не съответствие проверки. Одити, където човешко същество чита какво друго човешко същество маркира, и двете числа сравнени срещу машинния изход.

Нищо от това не изисква отхвърляне на електронна помощ за избиратели, които я нуждаят. Системата VSAP на Los Angeles County беше построена като публично собствена, отворен изходен код система на точно предпоставката, че софтуерът, който брой, трябва да бъде преглеждаем от външни хора, не защитен като търговска тайна на продавача. Преглеждаем софтуер плюс човешкочитаем запечатан запис плюс независимо одит на намерението на избирателя е различна архитектура на сигурност от преглеждаемия софтуер един — и совсем различна една от затворения софтуер плюс QR кодът.

Какво е все още неверифицируемо — и какво би го направило така

Ето какво октомврийското мнение на Curling от 2020 г. не уреди, и какво официално изявление оттогава не отговори:

При всякакви избори, управлявани на QR-код машини за маркиране на бюлетини, където след-избирателния одит се състои от преканиране баркодове, там нема публично достъпна доказателство, че човешкочитаемите имена на кандидати на отпечатаните бюлетини съответстват QR кодове, които е благодарни броени. Това сравнение не е систематично извършено. Може да е технически невъзможно да се извършва след факта ако бюлетините не е запазена в формат, който позволява независимо човешко четене в мащаб.

Въпросът не е дали измама произлезе. Това е дали архитектурата на системата прави този въпрос отговорлив от някого извън продавача и избирателната власт. На този момент, за QR-код BMD системи, честния отговор е: не напълно.

Какво би го направило проверяваем? Редовна, заявена преди време, публично наблюдаван ръчен четене на статистически значима произволна проба от отпечатани бюлетини — не преканиране, ръчен четене — сравнявайки имена на кандидати срещу машинно докладвани суми, с размера на пробата и методология публикувана преди избора, не избрана след.

Това не е пристрастен поред. Това е един и същ стандарт, които немския Конституционен съд, холандския „Гласуване с доверие" комисия, и индийския Върховен съд всички достигнаха от различни направления: гражданинът трябва да че способен проверява основните стъпала, без специалистични знания, използвайки запис, които верифицира себе си.

QR кодът не може да бъде този запис.

Хартиен следи защитава само ако записва какво намераваш — в език, който можеш да прочетеш.

Вижте глобалния избирателско-проверяем хартиен разлика над юрисдикции | Прочетете 2-минутния версия на този аргумент

Източници

Вижте всички статииРазгледай пропуските