← Всички статии

Пощенско гласуване: удобството и контролите, които трябва да го съпровождат

Съдия установи, че бюлетини, подадени от живи хора, са били регистрирани под имената на мъртви хора — и средството беше да се отмени цял избор.

Сутринта на 23 април 2015 г. в съдебна зала в Лондон, комисар Ричард Мавър QC чете пресъда, която не се е случила в британската демокрация в живата памет. Лутфур Рахман, изпълнителният кмет на лондонския район Tower Hamlets, избран през май 2014 г. с повече от 3000 гласа, се отстранява от длъжност.

Не суспендиран. Не проверяван. Отстранен.

Решението на избирателния съд — Erlam & Ors v Rahman & Anor [2015] EWHC 1215 (QB) — се състои от 217 страници и установява, че изборите са оскърнени от корупция и незаконни действия, извършени от самия кмет и чрез неговите агенти. Сред тези действия: выспиране под чужди имена, измама с пощенски гласове, подкуп, корупция, лъжливи заявления и неправомерно духовно влияние.

Откритията относно пощенските гласове са те, които трябва да държат във будност всеки администратор на избори.

Бюлетина, подадена на километър разстояние от избирателната секция

Когато гласувате лично, има контролиран ред на събитията. Работник при избирателната секция проверява вашето име. Получавате един бюлетин. Влизате в кабина. Никой не ви гледа как го маркирате. Сами го поставяте в запечатана кутия. В никой момент някой не ви докосва немаркирания бюлетин, не го попълва до вас или не го отнася някъде за вас.

Пощенското гласуване разрушава всеки един от тези етапи.

Вашият бюлетин пътува чрез поща до адрес. Той се попълва — някъде, от някого — далеч от всеки официален наблюдател. Отново влиза в плик, след това в друг плик, след това в пощенска кутия. До момента, в който стигне до броенето, е прошъл през ръцете на хора, които никой не е регистрирал.

Това не е хипотетичен риск. Съдът в Tower Hamlets намери доказателства, че пощенските бюлетини са били попълвани на организирани събрания — множество бюлетини попълнени заедно, далеч от домовете на избирателите, понякога от хора, които не са регистрирани избиратели. Съдът намери въспиране под чужди имена: гласове подадени под имената на хора, които не са ги подали.

Съдът не намери, че това са изолирани инциденти. Той намери модел, толкова обширен, че влияе на резултата от избор за кмет в един от най-населените лондонски райони.

Средството не беше преброяване. Нямаше какво да се преброи. Изборите бяха обявени за невалидни.

Проблемът не е в плика — той е в това, което е вътре

Нека бъдем точни относно това, което се провали в Tower Hamlets, защото урокът е важен.

Уязвимостта не беше, че пощенското гласуване съществува. Тя беше, че контролите около пощенското гласуване — проверките на самоличност, опазването на празни бюлетини, изискването избирателят лично да попълни собствената си форма в уединение — или бяха неадекватни, или бяха заобиколени.

Пощенското гласуване има едно фундаментално свойство на сигурност, което личното гласуване няма: в момента, в който бюлетинът напусне официалното попечение, неговата верига на попечение е прекъсната. Бюлетинът отива до личен адрес. Той се попълва без наблюдател. Се връща запечатан във външен плик с подпис и проверка на датата на раждане, която през 2014 г. в Англия можеше да бъде подделена или преподредена от всеки, стоящ до избирателя.

Бюлетин, пратен по пощта, е бюлетин, който е бил незабелязан за известен период. Това разстояние — между момента, в който празна форма достига до домакинство и момента, в който попълнена форма отново попада под официално попечение — е повърхността на атака.

И то е повърхност на атака с дълга история на експлоатация. В окръг 9 на Северна Каролина през 2018 г. координирана схема събра отсъстващи бюлетини от избиратели — понякога ги попълвайки, понякога просто ги взимайки — и Държавният съвет по избори в крайна сметка наредил ново гласуване напълно. Оперативецът в центъра, McCrae Dowless, по-късно беше обвинен по тежки обвинения. Различен кандидат спечели повторното гласуване.

Механизмът и в двата случая е еднакъв: прехвърляне на бюлетина, докато той е извън официално попечение.

Австрия 2016: не е намерена измама, изборите все още са отменени

Tower Hamlets е случаят, в който нещо лошо определено се случи. Австрия 2016 е случаят, в който процедурите се провалиха — и никой не можеше да докаже, че не са.

На 1 юли 2016 г. Австрийския конституционен съд отмени втория тур на федералните президентски избори — гласуване, което Александър Ван дер Белен спечели приблизително с 30 000 гласа от 4,6 милиона подадени. Разсъжденията на съда бяха методични и, по свой начин, радикални.

Австрийският закон е точен относно пощенските бюлетини: районната избирателна власт, и само районната избирателна власт, може да ги боравя. Пликовете не могат да бъдат отворени, гласовете не могат да бъдат преброени, преди 9:00 ч. на деня след изборите. Членове на избирателния съвет и наблюдатели трябва да присъстват.

Съдът намери нарушения в множество райони. Пликове са били отворени рано. Гласовете са били преброени от неоторизирани лица. Необходимите наблюдатели отсъстваха. Приблизително 77 000 гласа бяха засегнати от доказани процедурни нарушения.

Победната разлика беше 30 000 гласа.

Съдът изрично не намери доказателства за действителна измама. Той не каза, че гласовете са променени. Той каза, че тъй като защитните мерки срещу манипулация бяха нарушени в мащаб, надвишаващ победната разлика, е невъзможно да се потвърди, че резултатът е онова, което избирателите действително са решили. Изборите бяха отменени. Повторно гласуване беше проведено през декември 2016 г.

Това е по-трудния аргумент, и той заслужава да бъде чут ясно: проверяемостта е не само за улавяне на измама, която се случи — тя е за процедури достатъчно строги, за да докажат, че измама не можеше да се случи. Когато тези процедури са нарушени, резултатът е непроверяем, независимо от това кой действително спечели.

Какво всъщност означава "верига на попечение" за пощенски бюлетин

Мислете за верига на попечение като за дневник без пропуски. Всяко лице, което докосна бюлетин, и кога, и под каква власт.

За личен бюлетин: веригата започва, когато бюлетинът е издаден, продължава чрез маркирания ви бюлетин, влизащ в кутията, тече до момента, в който запечатаната кутия е отворена при броенето под наблюдение, и завършва, когато партидата е преброена и отново запечатана. Всяка връзка е свидетелствана, регистрирана и кръстосано проверена.

За пощенски бюлетин, веригата има структурна разлика — периодът, в който формата е на личен адрес. Процедурният закон се опитва да компенсира тази разлика с:

  1. Проверка на самоличност преди издаване на пощенски глас (е ли този човек действително регистриран и подходящ?)
  2. Проверка на самоличност когато върнатият плик е получен (подписва ли се? Дата ли на раждане е правилна?)
  3. Своевременно, свидетелствано отваряне на върнатите пликове под официално надзиране
  4. Сигурно, регистрирано съхранение на получени пликове преди отваряне

Откритията в Tower Hamlets предполагат, че стъпки 1 и 2 са били манипулирани — чрез организирано попълване на формуляри и, в някои случаи, въспиране под чужди имена. Отмяната на Австрия установи, че стъпка 3 е нарушена. И двата провала сочат към едната и съща основна истина: веригата на попечение на пощенския бюлетин е само толкова силна, колкото най-слабото й звено, и в момента някои от тези звена са процедурни правила, написани на хартия, а не наложени чрез механизъм, който е независимо проверяем.

Правило, което казва "само оторизирани лица могат да отварят пликове", не е пломба, устойчива на манипулация. Това е обещание. И обещание, в противоборствена среда, не е същото като доказателство.

Тайната гласуване е измислена точно за тази разновидност на заплаха

Има причина австралийския бюлетин — държавния печат, приватно маркиран бюлетин — да стана глобален стандарт в деветнадесети век. Преди това гласуването беше публично. Вие заявявате предпочетанието си вслух или в видима книга. Собственици на земя наблюдават наемателите. Работодатели наблюдават работниците. Ballot Act 1872 прекрати публичното гласуване в Обединеното кралство точно, за да прекъсне подкупа и устрашаване, което публичното гласуване позволяваше.

Логиката е проста: ако никой не може да види как гласувате, никой не може да купи или принуди вашия глас. Тайната е свойство на сигурност, а не предупредителност.

Пощенското гласуване оказва натиск точно върху това свойство. Бюлетинът е маркиран у дома, където семеен член, собственик на имущество, работодател или фигура на общността могат да стоят наблизо. В Tower Hamlets съдът намери доказателства, че бюлетините са попълнени на организирани събрания, а не в уединението на избирателя.

Това е същият натиск, от който тайното гласуване е проектирано да защити — просто преместено от избирателната секция към кухненския маса.

Федералния съд на apellati за първия окръг на САЩ артикулира механизма точно в Rideout v. Gardner (2016): реформите на тайния бюлетин са приети, за да "се борят срещу широко разпространена покупка на гласове и запугване на избиратели," практики, които зависят от това, че купувач или принудител може да проверят гласа. Всичко, което позволява на избирател да докаже как гласуваха — фотография на бюлетин, попълнена форма, свидетелствана от някой с интерес към резултата — отново отваря пазара.

Пощенски бюлетин, маркиран под наблюдение, е структурно бюлетин, подаден публично. Деветнадесетият век реши този проблем за избирателните секции. Ние все още не сме го решили за пратките.

Отговорът не е да се забранява пощенското гласуване

Пощенското гласуване служи на реални потребности. Избиратели с инвалидност. Избиратели, които пътуват за работа. Избиратели в болница. Избиратели в отдалечени области. Избирателни органи в много страни — и в повечето от петдесет щата на САЩ — са разширили гласуването по пощта точно защото улесняването на достъпа до гласуване увеличава легитимността на резултата. Участието е важно.

Въпросът е не дали да позволим пощенско гласуване. Въпросът е дали сме проектирали верига попечение, устойчива на манипулация и независимо проверяема, както верига попечение на лично гласуване.

В момента честният отговор е: не надежно.

Ето какво би изискало истинската устойчивост на манипулация на пощенските бюлетини:

Проследяваеми, уникални идентификатори на бюлетини. Всеки пощенски бюлетин трябва да носи криптографски уникален идентификатор, който позволява на избирателните органи — и, критично, на самия избирател — да потвърди, че конкретния издаден им бюлетин е този, който е получен и преброен, без да разкрива как гласуваха. Това е технически осъществимо; няколко страни експериментират с кодове за проверка, видими от избирателя.

Фотографирано, регистрирано боравене с пликове. Всеки получен плик трябва да бъде регистриран и időpeчен при приемане, в формат, който е публично проверяем и машинно четлив. Случаят на Австрия зависеше от липсата на дневници, доказващи кой отвори какво и кога. Ако всеки плик получение и отваряне бяха фотографирани и хешът на тези снимки публикуван в публичен дневник, разновидността на процедурно нарушение, което австрийския съд намери, щеше да бъде незабавно открита — не реконструирана месеци по-късно чрез показания на свидетели.

Проверка на подпис, която е независимо проверяема. Процесите на проверка на подпис в момента са в основата човешко съждение, приложено към хартия. Отхвърлен или приет плик трябва да генерира преглеждаем запис, който всяка страна може да провери. При близо изборите, определяне на спорни подписи е незадимален, непроверяем процес. Това не трябва да бъде така.

Дневници на попечение в реално време. На всеки етап от печат до разпръскване до получаване до отваряне, местоположението и боравителят на пощенския бюлетин трябва да бъдат регистрирани в система, която дава устойчива на манипулация верига. Не паперна форма, заключена в канцелария. Машинно четлив дневник, който всеки акредитиран наблюдател — агент на кандидат, журналист, независим изследовател — може да проверим срещу финалния брой.

Какво "одитът потвърди" не означава

Официалните лица, след близо избори, често ни казват, че процесът е бил проверен и всичко е било наред. Това обикновено е искрено. Не е същото като доказателство.

Преброяването ръчно на Джорджия от 2020 г. потвърди машинния резултат с приблизително една десета от един процент на приблизително пет милиона бюлетина — значително достижение. Рамка на одит с ограничен риск на Колорадо осигурява статистическа уверенност, калибрирана на разликата на всеки избор. Това са истински подобрения.

Но те одитират броенето на бюлетини, които вече са в кутията. Те не могат да одитират дали бюлетините в кутията са бюлетините, които избирателите са възнамерявали да подадат. Ако пощенски бюлетин е попълнен под принуда, или попълнен от някой, който не е регистрираният избирател, той влиза в броенето неразличимо от легитимен глас. Преброяването ръчно ще го преброи отново, вярно. Одит с ограничен риск ще го пробира. Нито един метод няма да го флагира.

Проблемът в Tower Hamlets не беше в броенето. Он беше в бюлетините. И проблемът на Австрия не беше в резултата — той беше в невъзможността да се докаже, че резултатът е бил непокътнат, след като правилата на попечение са нарушени.

Това са различни режими на отказ от всичко, което одит след брой улавя. Те изискват контроли на различен етап на процеса: преди и по време на боравене с бюлетина, а не след като е бил преброен.

Официално изявление, че "броенето е точно," не се отнася до това дали входовете на броенето са били легитимни. Това разстояние е онова, което трябва да се затвори.

Какво щеше да прави това проверяемо от всеки

Стандартът, до който трябва да отнесем пощенското гласуване, е същият стандарт, който германския конституционен съд установи за електронно гласуване през 2009 г.: основните етапи трябва да бъдат проверяеми от гражданина, надежно, без специализирано знание. (Bundesverfassungsgericht, 2 BvC 3/07.)

За пощенските бюлетини, тези основни етапи са: Был ли издаден мой бюлетин само мне? Дойде ли до избирателния орган запечатан и неповреден? Открит ли е само от оторизирани лица, в законното време, със свидетели? Дали гласът вътре е приписан на мой бюлетин и само мой бюлетин?

Днес избирател, който използва пощенски бюлетин в повечето юрисдикции, не може независимо да проверим никой от тези етапи. Те подават своя глас в това, което е, от тяхна перспектива, затворен процес и се доверяват на това, че официалните лица следват правилата.

Доверието не е проверка.

Резултат, който никой не може независимо да проверим, е успокоение. Резултат, който всеки може независимо да проверим, е доказателство.

Технологията, за да направим пощенската верига на попечение устойчива на манипулация и публично одитна, съществува. Криптографско регистриране, кодове за потвърждение, видими от избирателя, машинно четливи публични дневници на получаване на бюлетини — нищо от това не изисква замяна на пощенское гласуване. То изисква отнесение на верига на попечение на пощенския бюлетин със същата инженерна дисциплина, която щяхме да изискаме на всяка друга система, критична за сигурност.

Изборите в Tower Hamlets бяха отменени. Ново гласуване беше проведено. Лутфур Рахман не беше в бюлетина. Избирателите на Tower Hamlets отново гласуваха, и резултатът беше различен.

Това е онова, което се случва, когато система се провали и съд го хвана. Но съдилищата са ретроспективни, бавни и враждебни. Те са последна линия на отбрана, а не принцип на дизайн.

Правилният въпрос е не "какво правим, след като измама или процедурен отказ е открит?" Правилният въпрос е: какво би направило измама или процедурен отказ невъзможни да се скрият от първи момент?

Този въпрос няма задоволителен отговор в повечето пощенските системи на гласуване, действащи днес. Трябва да има.

Пропускът в верига на попечение при пощенско гласуване е един пример на по-широк проблем, който проследяваме в избирателни системи по целия свят. Вижте как това разстояние се появява в различни видове избори и юрисдикции или прочетете 2-минутната версия на проблема с проверяемостта. За пълна картина на това, където веригите на попечение се прекъсват — и какви независимо проверяеми алтернативи изглеждат — проучете TrustVoting Atlas.

Източници

Вижте всички статииРазгледай пропуските