← Всички статии

Малки, скучни грешки решават големи избори по-често от измама

В три финландски града през 2008 г. 232 人 гласуваха и техните гласове просто никога не бяха запазени — без измама, без хак, само един потвърждаващ бутон, който никой им не каза да натиснат.

Сутринта на 26 октомври 2008 г., в финландския град Каркила, един избирател влиза в избирателна станция, сяда при един електронен терминал, прави своя избор и изважда своята смарт карта. Направила е всичко, което й е поискано. Напуска убедена, че е гласувала.

Не е гласувала.

Нейният глас никога не е бил запазен. Терминалът изисква един последен потвърждаващ этап — кратко пауза, натискане на бутон — но указанието на екрана не беше ясно. Без този этап системата мълчаливо отхвърли нейния избор. Същото се случи в Каунинайнен и Вихти. По всички три общини, които проведоха финландския пилот за електронно гласуване през този ден, 232 гласа изчезнаха в машината без звук.

Нито алармо. Нито съобщение об ошибка. Нито начин за избирателя да разбере.

Отказът, който никой не е планирал

Финландия не е страна, свързана с хаос в избори. Тя има една от най-стабилните демократични традиции в света. Пилотът за електронно гласуване от 2008 г. беше внимателен, ограничен експеримент — три града, надзирани условия, хартиено гласуване всё още налично в същите станции.

И все пак: 232 човека напуснаха избирателните станции убедени, че са участвали в демократичен процес, когато всъщност не са. Тяхното намерение не беше записано никъде.

Финландският върховен административен съд (Korkein hallinto-oikeus) проведе разследване и на 9 април 2009 г. издаде решение KHO:2009:39. Съдът установи, че недостатъците в указанията на избирателите и дизайна на машината означават, че изборите в тези три общини трябва да бъдат преповторени. Поръчани бяха нови избори. Финландия не продължи с електронното гласуване.

Прочетете тази последователност внимателно. Грешката не беше кибератака. Не беше измама. Не беше мошеничав служител. Беше дефект в използваемостта — интерфейс, който не каза на хората какво трябва да направят — в комбинация със система, която нямаше начин да предупреди избирателя, че неговото действие не е завършено. Методът не предложи на избирателите независимо потвърждение, че техният бюлетин е бил уловлен. Така че когато не е бил, никой не е знаел.

Това е вид отказ, на който разговорите за интегритета на избори почти никога не се фокусират. Обучихме се да следим за заговори. Мунданите катастрофи минават право покрай нас.

Защо скучните грешки са тези, които действително решават избори

Има една постоянна идея, че близките избори са застрашени главно от лоши актьори — някой тъпка бюлетини, някой алтерира машина, някой подкупува работник в избирателния участък. Тази заплаха е реална и документирана. Но не е най-честият начин, по който тънките маржинове се решават от нещо, различно от гласовете.

По-честият виновник е обикновена грешка. И обикновената грешка е, по дефиниция, невидима, докато някой не погледне.

Линия на сгъвка в грешно място. Прах на лещата. Потвърждаващ бутон, който никой не натисна. Карта с памет, която не беше актуализирана. Това не е драматично, и това е точно проблемът.

Помислете какво откри анализът на съда във Windham, New Hampshire през юли 2021 г. След като се появи несъответствие между преброяванията на машини и преброяване на ръка на избори за държавния представител през 2020 г., законодателната власт на New Hampshire поръча пълен анализ на съда според SB 43. Екипът за анализ — Харри Хърсти, Марк Линдеман и Филип Стърк — проследи грешното преброяване до нещо почти комично мунданe: машина за сгъвание, която града е наела за некомерсиални пощенски цели. Тя сгъваше отсъстващи бюлетини, но не по отпечатаните линии за счисляване на бюлетина. Получената гънка минаваше през овалния целеви глас. AccuVote оптичните скенери прочетоха голяма част от тези гънки като отмаркирани гласове.

Екипът оцени, че около 44 процента от гънките през целевите гласове бяха интерпретирани като гласове в ноември, с експериментални норми в диапазон от около 20 до над 72 процента в зависимост от условията. Бели прахови остатъци също се бяха натрупали вътре в скенерите, препятствайки лещите. Нито malware. Нито манипулация. Нито измама. Само физика.

Грешката беше открива само защото съществуваха хартиени бюлетини. Проверка на ръка можеше възстановить какво избирателят всъщност е отбелязал — защото хартията все още беше там, все още четима от човешки очи. Доклалът от анализа заключи, че изборите са били, по голямата си част, добре проведени. Но преброяванието на машина беше грешно. И преброяванието на ръка, което го хвана, беше само по себе си несъвършено, както ръчното броене винаги е.

"Ръчното броене го потвърди" е убеждение, не доказ

Ето където стандартното утешение се разпада — и където трябва да бъдем честни, а не утешителни.

В окръг Антрим, Мичиган през 2020 г., грешка при събирането причини неправилни неофициални резултати да бъдат публикувани. Причината беше човешка: грешка при конфигурирането, не измама или malware. Грешката беше уловена защото цифрите бяха резко неправдоподобни за окръга. Когато служителите проведоха пълен ръчен преглед на всеки президентския бюлетин през декември 2020 г., те открили, че сертифицираното общо механизирано преброяване и ръчното броене все още се различаваше с около дузина гласове от приблизително 15 700 изхвърлени.

Дванадесет гласа. От ръчно броене. Златният стандарт.

Метод, който е сам по себе си отклонен с няколко десетки гласа не може окончателно да разреши надпревара, решена с няколко десетки гласа.

Това не е обвинение. Това е описание на това как работи човешкото броене. Хората неправилно категоризирават неясни марки. Те губят сметката в средата на един куп. Те дебатират дали един луткав щраф пръстен едно овално. Анализът на Windham отбеляза точно това: ръчното броене можеше "да определи намерението на избирателя", което скенерите бяха неправилно прочели — но ръчното броене също е човешка дейност, подложена на човешки преценки и човешка грешка.

Огромното ръчно преброяване на Джорджия през 2020 г. на приблизително пет милиона президентски бюлетина — в 41 881 парцела, 159 окръга, по-малко от шест дни — потвърди преброяния на машина резултат в рамките на около една десета от един процент. Това е впечатляващо в мащаб. Това също е напомняне, че "около една десета от един процент" в много близка надпревара не е нула. Статистически основните одити на Колорадо с ограничена риск, първите от своя вид, когато бяха стартирани през 2017 г., предлагат статистически обоснован подход към размера на проверката спрямо това колко близо е надпреварата — но дори тези одити зависят от хартиен запис, което е точно, и на това че пробата е наистина случайна.

Смисълът не е, че ръчното броене е безполезно. То е существено. Смисълът е, че "ръчното броене го потвърди" и "държавният секретар казва, че е добре" са твърдения, не доказ. В надпревара, решена с десетки гласа, потвърждение чрез метод, който сам по себе си е несигурен с десетки гласа, е убеждение. Не е същото като независима проверяемост.

Структурният проблем, който тези два случая споделят

Финландия 2008 и Windham 2020 изглеждат различно на повърхност — един е терминал за електронно гласуване в скандинавския пилот, другия е оптичен скенер в един град на Нова Англия. Но те споделят един и същ основен отказ.

И в двата случая системата произведе преброяване, което се различаваше от действителните гласове, които са изхвърлени, и нямаше реално време механизъм за който и да е избирател, наблюдател или служител да открие това независимо.

Финландските избиратели нямаше потвърждение, че техният бюлетин е бил уловлен. Бюлетините на Windham нямаха начин да сигнализират, че линиите на сгъвките корумпират скана. В Финландия пропастта беше намерена само защото служителите могли в крайна сметка да сравнят броя на електронните избиратели, записани срещу броя на очакваните бюлетини. В Windham, беше намерена само защото преброяване на ръка произведе число, което е достатъчно различно, за да подтикне разследване — и тогава само напълно обяснено защото един анализ екип прекара месеци за него.

Двата отказа бяха уловени след факта. И двамата изискваше значително усилие за диагноза. В случая на Финландия, единственото средство беше да преправите изборите напълно. В случая на Windham резултатът стана — но маржинът в засегнатата надпревара е бил грешен в избираната нощ, и степента, на която крайния сертифициран брой точно е отразил намерението на избирателя е нещо, което не може да бъде отговорено със сигурност.

Злодеят в двете истории е мътност. Не зла воля. Мътност.

Какво съдовете действително са казали за това

Това не е просто технически аргумент. Съдовете в множество страни са дошли до един и същ заключение от конституционния край.

Федералният конституционен съд на Германия, издавая решение на 3 март 2009 г. — почти точно два месеца преди Върховния административен съд на Финландия — е установил, че електронното гласуване е конституционно легитимно само когато обикновени граждани, без специалистични познания, могат независимо да проверят всеки съществен етап от бюлетина до резултат. Съдът откри, че машини, които съхраняват гласове само в електронна памет, без независимо проверяем запис, не отговарят на този стандарт. Той отмени правната основа за машините дори без доказателство на действително неправилност.

Комисията на холандското правителство Korthals Altes, в своя доклад от 2007 г. Stemmen met vertrouwen (Гласуване със доверие), постави принципа още по-ясно: няма тайни в избирателния процес. Въпросите трябва да бъдат отговаряеми, и отговорите трябва да бъдат проверяеми и верифицируеми. Холандия отхвърли компютрите за гласуване и се върна към хартия.

Върховният съд на Кения отмени президентски избори през 2017 г. отчасти защото резултатиите форми нямаше последователни охранителни признаци и веригата от избирателния участък към национално счетоводство не можеше да бъде независимо проверена. Съдовете на Малави отмениха президентски резултат през 2020 г., защото счетоводни листи бяха алтерирани с течност за корекция — мунданe физическо вмешателство, не кибератака — оставяйки нареден записване на това, което избирателите действително решиха.

Забележете какво имат общо всички тези случаи. Те не са за хакери. Те са за отсъствието на механизъм който и да е извън счетоводството власт могат да използват, за да проверят броенето независимо. Независимо дали режимът на отказ е дефект в използваемостта, гънка гънка, течност за корекция или неразчетлив QR код, основният проблем е един и същ: записът, който трябваше да докаже резултата не можеше да бъде независимо проверена.

По-дълбокия аргумент: проверяемостта уловява честна грешка, не само измама

Обществен разговор относно интегритета на избори е почти изцяло обрамчена около измама. Това е разбираемо, но подвеждащо. Измама е целенасочено действие, и целенасочени действия оставят следи — мотиви, модели, бенефициари. Честните грешки оставят нищо, освен един грешен число.

Последствието е важно: система, проектирана само да открива измама ще пропусне грешките, които действително възникват най-често.

Финландския системата за електронно гласуване не беше проектирана да бъде хакната. Беше проектирана да бъде удобна. Неправилно функционира защото неговите дизайнери не построиха механизъм за избирателите да независимо потвърдят техният бюлетин беше преброен — и без този механизъм дефект в използваемостта е станал необнаружима загуба на гласове.

Скенерите на Windham не бяха компрометирани. Те направиха това, което беше програмирано да правят: прочитане на тъмни марки в конкретни места. Гънка гънка е тъмна марка в конкретно място. Без независима проверка на физическите бюлетини, резултатът на машина беше третирани като авторитатив.

Лекарството не е да не се доверява служителите. Повечето служители за избори правят наистина трудна работа с ограничени ресурси и интензивна наблюдение. Лекарството е спират да строят системи, които изискват доверие на които и да е — и да строят системи където преброяванието е проверяемо от който и да е, независимо, без необходимост да вярват определена личност или институция.

Това означава хартиени бюлетини, които избирателят действително отбелязва и могат да бъдат видени преброени. Това означава одити, проектирани от статистици, за да уловят грешки в мащаба, който биха трябвали да възникнат, за да променят един резултат — което е какво е опита на Колорадо на статистически ограничена риска одита рамка. Това означава резултати на участък ниво публикувани мигновено, в машинен четливо форма, така че който и да е със таблица може да реконструира счета и да сигнализира аномалии по-бързо, отколкото всеки служител одит. Това означава криптографични ангажименти, които позволяват независими проверки да потвърдят счета без да могат да видят индивидуални гласове.

Не означава да вярват на скенера. Не означава да вярват на служителя, който казва, че одита го потвърди. Означава проектиране на системата така че доверието не е променлива.

Какво все още не е проверяемо — и какво би го направило проверяемо

Ето какво не знаем, и не можем да знаем, от Финландия и Windham случаи дори сега:

В финландските три общини, знаем 232 гласа бяха загубени. Не знаем кого и тези избиратели е намеревал да подкрепи. Не знаем дали тези 232 гласа би променил някой отделен надпревара резултат. Знаем свежи избори бяха проведени. Не знаем дали преиграната електора е была идентична по съчетание или явност до оригиналния един. Съдът направи правилното нещо. Това все още оставя реална неопределеност около това, което оригиналния електора действително решихме.

В Windham, знаем гънка гънки, причинени мисброй. Знаем анализ екип направи отличен работа диагностициране на причина. Знаем ръчен брой возстановил избирателят намерение за проверени бюлетини. Не знаем дали подобни гънка ефекти възникнал в предишни избори със същия equipement. Не знаем точното процент грешка за всеки бюлетин партия. Резултатът беше сертифициран. Методът, който го сертифицира носи своя собствена неизбежна неопределеност.

Това не са обвинения. Те са честен остатък от разчитане на откритие след факта, а не проверка в реално време.

Какво би го направило проверяемо? Избирателния метод където всеки избирател получава един анонимна токен — не проследяем към техния самоличност — че те могат да използват да проверят техния специфичен бюлетин появя в крайния счета, правилно, без да разкрие как те гласувахме. Това е какво криптографски проверяем край до край избирателния системи опита да осигури. Избирателят не трябва да доверие терминала, скенер, служител, или продавача. Те проверяват за себе си.

Че техонолога съществува. То е не все още стандартно някъде в мащаб. И докато то не е, всеки близо избор решена от няколко десетки гласа е един отворен въпрос с една изгледала уверена костюм.

Споделяним вкус е това: най-голямата заплаха на един близо избор не е един хакер в чужденец страна — то е един складова линия никой забеляза, един интерфейс никой обяснено, един грешка никой сигнализира защото системата не е била никога построена да сигнализира то. Лекарството не е по-добро служителски или по-силни одити. То е проверяемост че работи за всеки, че изисква никой доверие, и че ловове скучни неправилност преди те стават постоянен запис.

Видите колко обичайно това проверяемост gap е всички света →

Прочетете двойка минута версия →

Изучите попълния gap база данни →

Където

Вижте всички статииРазгледай пропуските