← Всички статии

Не можете да прочетете баркода, който отбелязва вашия глас. Федерален съд това откри.

Вашият бюлетин печата четлив за човека текст — но сканерът го игнорира и чете баркод, който не можете да декодирате. Федерален съд това обнародова официално.

Е октомври 11, 2020 г., и федерален съдия в Атланта прочита експертни показания, които повечето избиратели никога няма да видят.

Д-р Дж. Алекс Халдърман — същият изследовател, който отговори на пилотния проект за интернет гласуване на Вашингтон Д.С. за 48 часа и който прекара две десетилетия в тестване на технологията за избори — обясни под клетва как всъщност работят устройствата за маркиране на бюлетини в Джорджия. Приближавате се до сензорен екран, правите своите избори, и машината печата лист хартия. Листът показва вашите избори на обикновен английски. Отнасяте го до сканер. Сканерът игнорира думите.

Чете QR код.

QR кодът е гъста квадратна мрежа от черни и бели пиксели, която кодира вашия глас в формат, който нито един човешко око не може да интерпретира без отделно декодиращо устройство. Нямате практически начин да проверите, че баркодът казва същото като печатния текст. И баркодът — не текстът — е това, което се отчита.

Федералният районен съд за северния район на Джорджия в решението си от 11 октомври 2020 г. в Curling v. Raffensperger откри точно това: системата „не осигурява проверяем и одитираем запис на бюлетина, защото разчита на QR кода за отчитане на гласовете и този код сам по себе си не може да се чете и провери от избирателя."

Това изречение не е от правозащитна организация или partidna брифинг. Това е установяване на факт от федерален съд, които цитира експертни показания и Националните академии по науки, инженерство и медицина.

И то сочи към пропуск, който е много по-дълбок от Джорджия, много по-дълбок от един избор и много по-дълбок от някой отделен парче хардуер.

Нещото, което се отчита, трябва да бъде нещото, което можете да проверите

Ето принципа, който откритието на съда в Curling разкрива.

Бюлетинът трябва да бъде вашата записка — физически артефакт, който улавя вашето намерение и може да бъде независимо проверен от всеки, който го изследва. Това е целта на хартията. Хартията оцелява прекъсвания на тока, срива на софтуер и сетевни атаки. Хартията може да бъде преброена на човешка ръка. Хартията е това, което одитирането проверява срещу.

Но лист хартия с QR код върху него не е съвсем същото нещо. Хартията съдържа два записа: един четлив за човека и един четлив за машина. Ако тези два записа могат да се разделят — и Халдърман свидетелства, че могат, чрез кибератака, която заменя съдържанието на баркода без да променя печатния текст — тогава артефактът, който се отчита, не е артефактът, който избирателят провери.

Отчитаният артефакт трябва да бъде проверяемият артефакт. Ако могат да се разделят, нямате хартиен запис. Имате хартиено оправдание.

Съдът беше ясен относно основния риск. Той отбеляза експертни показания на „практическата възможност, чрез кибератака, на замяна или изтриване на гласове и компрометиране на системата, включително чрез достъп до и изменение на QR баркода, използван за отчитане на гласовете." Той също цитира установяването на Националните академии от 2018 г., че „не съществува текущо никакъв технически механизъм, който да гарантира, че приложението за броене на гласове дава точни резултати" и че „тестването само по себе си не може да гарантира, че системите не са били компрометирани."

Това не е маргинална позиция. Това е преобладаващото мнение на най-високата научна институция на страната, одобрено от федерален съд.

Какво направи съдът — и какво не направи

Ето където историята става неудобна.

След като направи тези установявания, съдът отказа да нареди някакво облекчение. С ноември 2020 г. избори седмици по-далеч, съдия Тотенберг заключи, че отмяната на цялата система за маркиране на бюлетини в Джорджия и преминаването на ръчно маркирани хартиени бюлетини не е практическо решение в спешен график. Рискът от хаос беше твърде висок. Тя претеглила конституционния дефект срещу нарушението на лечението и избра да позволи на избора да протекече.

Това е разумна съдебна преценка. Това е също илюстрация на това как системите се вкореняват: веднъж щом един щат е разместил десетки хиляди устройства за маркиране на бюлетини, заместил обучението на персонала си около тях и отпечатал бюлетините си да бъдат прочетени от тях, прозорецът за реформа затвора точно когато проблемът се документира.

Открытията на съда останаха в протокола. Машините проведоха избора. По-широкото дело в крайна сметка беше отхвърлено през 2024 г. на основата на правния стоящ — не защото основните открития бяха неправилни, но защото тъжителите не можеха да установят правния стоящ, необходим да продължат.

„Открихме проблема, но не можехме да го решим в момент" не е успокоение. Това е описание на това как непроверяемите системи стават постоянни.

Кратка история на проблема с баркода

Джорджия не измисли този пропуск. Го купи.

Законът Help America Vote Act от 2002 г. изля федерални средства в замяната на перфокартните и машините-лостове, които не издържаха през 2000 г. Намерението беше разумно: старата, двусмислена технология произведе кризата на свешващите се картони. Новата цифрова технология би била чистотевя и по-точна. Щатите похарчиха стотици милиони долари за надградени.

Но пътят за надграждане водеше, в много случаи, към сензорни преки електронни машини за запис — устройства, които изобщо не произвеждаха хартия — и по-късно, когато хартията стана политическо изискване, към устройства за маркиране на бюлетини, които произвеждат баркодирана хартия. Баркодът беше вариант на дизайн, който направи таблирането по-бързо и по-надежно за машината. Направи проверката по-трудна за човека.

Катастрофата в Sarasota County, Флорида от 2006 г. илюстрира версията без хартия на този проблем: 18 412 бюлетини в раса, решена с 369 гласа, показаха записан избор и, защото графството използваше безхартиени сензори, нямаше нищо независимо да се преброи. ГУ тестира машините и не намира определено неправилност — което означава, че също нямаше начин да докаже, че машините работеха правилно. Хартията е това, което решава този въпрос. Но "хартия" и "проверяема хартия" не са същото нещо.

Немският стандарт и защо то все още има значение тук

През март 2009 г. Федералния конституционен съд на Германия в Karlsruhe постанови, че електронното гласуване е само конституционно легитимно, когато "съществените етапи на гласуването и на определяне на резултата могат да бъдат разглеждани от гражданина надеждно и без никакво специалистическо знание по предмета."

Без специалистическо знание. Тази фраза носи тежкото значение.

QR код проваля този тест. Четенето му изисква или декодиращо устройство, или софтуерна експертиза. Не можете да держите баркод към светлина и да потвърдите, че казва същото като печатния текст. Немският стандарт на съда — който произтича от Basic Law на страната и принципа на публичната проверяемост на избори — би бил неудобен приложен към баркодиран джорджийски бюлетин.

Немското решение доведе до забрана на гласовни компютри, които нямат независимо проверяем запис. Холандия достигна същото заключение същата година, върнала се на хартиени бюлетини и ръчно отчитане, след като правителствена комисия определи, че всеки електронен метод трябва да произвежда "хартиен глас, който избирателят може да проверя."

Фразата на холандската комисия е точна. Не само хартия. Хартиен глас, който избирателят може да проверя. Баркодиран бюлетин е хартия. Това не е непременно хартия, която избирателят може да проверя.

Какво всъщност одитира преброяването

Ето трикът, който е лесно да се пропусне.

Когато Джорджия проведе преброяване на около пет милиона президентски бюлетини по целия щат след ноември 2020 г. — най-голямото преброяване на ръка в американската история — одиторите считаха баркодирани бюлетини. Преброяването на ръка потвърди резултата, отчитан от машина, в рамките на приблизително една десета от един процент.

Това е значим кръстосан чек. Той ви говори, че скенерите чеха баркодите последователно. Той не ви говори дали баркодите казваха какво казваше печатния текст. Преброяване на ръка на баркодирани бюлетини е одитиране на конзистентност на баркода, не одитиране на намерение на избирателя.

За одитиране на намерението на избирателя на баркодиран бюлетин, ще трябваше да декодирате всеки баркод и да го сравните със съответния печатен текст. Нито един щат не го прави като редовно.

Forensic одитирането в Windham, Ню Хемпшир от 2021 г. предлага полезно сравнение. Там, AccuVote скенерите неправилно бяха чели линии на пречупване на пощенски бюлетини като маркирани овали — чисто механична грешка, която произведе стотици неправилно преброени гласове без измама и без вредоносен софтуер. Грешката беше възможна да се възстанови само защото хартиевите бюлетини съществуват и хората могат да ги разглеждат за да определят действителното намерение на избирателя. Това е какво е хартията за: възстановяване на намерение, когда машината го направи неправилно.

На баркодиран бюлетин, ако машината кодира погрешния избор в баркода, хартията не носи независимия запис на намерението на избирателя, който човек може да възстанови. Хартията е квитанция за баркода, не за гласа.

Проблемът в Coffee County, компресиран

През януари 2021 г., компания за компютърна криминалистика беше допусната в избирателния офис на Coffee County, Джорджия и отиде с копия на всичко: системата за управление на избори, устройствата за маркиране на бюлетини, сканера и софтуера на Dominion на Джорджия в щата. Това беше документирано в депозиции в самия Curling v. Raffensperger — същото дело, което щеше да открие QR кода непроверяем.

Епизодът демонстрира нещо конкретно. Системата на Джорджия беше защитена, отчасти, на основата, че проприетарния софтуер беше безопасен, защото беше тайн. Coffee County показва какво е стойността на тази защита: един вътрешен човек с отключена врата и криминалистика компания с преносим компютър могат да копират цялата система в един следобед.

Веднъж софтуерът е бил издаден, предположението, че неговата атакуваща повърхност е неизвестна, рухва. Аргументът за сигурност на затвореното, проприетарния код на устройства за маркиране на бюлетини винаги беше тънък; след Coffee County, беше отишъл.

Това е защото въпросът на нечитаемия QR код не е просто оплакване за използваемост. Это е въпрос на архитектурата на системи. Система, чиято проверяемост зависи от тайната на нейния код, е един враждебен контакт далеч от това да имам нито.

Какво „проверяемо" всъщност би изисквало

Открытието на съда в Curling подразбира конкретен стандарт: артефактът, който се отчита, трябва да бъде независимо проверяем от избирателя, без да се използва специалистическо знание.

Има подходи, които се придвижват по-близо до това, отколкото баркодирани бюлетини го правят.

Ръчно маркирани хартиени бюлетини, прочетени от оптични скенери, поставят маркирането на избирателя в центъра на записа. Скенерът интерпретира маркирането; човешки одитор може независимо да преразгледа същите маркирания и да достигне същото заключение — или не. Когато те не съвпадат, както в Windham, хартията печели. Намерението на избирателя оцелява грешката на машината.

Устройства за маркиране на бюлетини с човешко-четлив-единствено продукт — печатане на избори като текст, без кодиращ баркод, който се отклонява от текста — затворите пропуска частично, въпреки че те все още зависят от това избирателят действително да прегледа отпечатката преди подаването й.

Криптографически проверяеми системи за гласуване, където всеки отхвърлен бюлетин може да се провери срещу публикувана, анонимна записка, използвайки отворена, одитируема математика, напредък по-далеч — но както делото на швейцарската пощa от 2019 г. демонстрира, дори публикуван сорс код и публикувани криптографски доказателства могат да съдържат задни врати, които само враждебния външни преглед могат да намерят. Откритост е необходима; това не е достатъчно. Независим, продължаващ надзор е това, което прави откритост реална.

Единственият отговор, който не работи, е отговорът, който Джорджия даде през 2020 г.: хартиен запис, който официалния процес третира като проверяем, но че избирателят всъщност не може да декодира.

Официалното успокоение и на какво се базира

След избора през 2020 г., CISA и партньорите й в инфраструктурата на избори издадоха съвместно изявление, декларирайки го „най-безопасния в американската история." Изявлението конкретно цитира хартиени записи като причина: те позволиха преброяване и одитиране.

Но логиката на собственото изявление на CISA зависи от хартиени записи, които значат нещо. Ако хартиевият запис, който се одитира, е баркод, който никой избирател не може да прочете, и ако процедурата за одитиране проверява само, че баркодите са били сканирани последователно, а не че те кодираха избора на избирателя, тогава успокоението е циклично. Това казва: потвърдихме машините прочетоха баркодите правилно. Това не казва: потвърдихме баркодите съдържаха това, което избирателите избраха.

Това не е теория на конспирация. Това е структурен пропуск, който федерален съд поставил в писане.

Открытието на Curling не е доказателство, че резултатът на Джорджия през 2020 г. беше грешен. Това е доказателство, че системата не е проектирана да те остави независимо да намериш — и то е проблемът, независимо от всеки конкретен резултат.

Какво все още не е проверяемо — и какво би го поправило

Ево което остава отворено, като установен факт:

Никой редовен процес в Джорджия — или в повечето щати, които използват баркодирани устройства за маркиране на бюлетини — декодира всеки QR код и го сравнява със печатния текст. Одитирането проверява конзистентност на машината, не намерението на избирателя.

Открытието на Националните академии, цитирано от съда в Curling, стоя: не съществува технически механизъм в момента, който да гарантира, че приложението за отчитане на гласове произвежда точни резултати. Тестването улавя много грешки. То не може да гарантира отсъствието на всички грешки или всички компромиси.

Какво би направило това проверяемо от всеки:

Първо, заменете баркодирани записи на бюлетини с само-човешко-четливи записи, или изискайте редовно декодиране и сравняване на баркодите срещу печатен текст като задължителен одитирален стъпка.

Второ, публикувайте резултати на ниво избирателен район, четивни за машина веднага щом всеки район е окончателен — така всеки наблюдател може да изтегли, да съответстват и кръстосано да проверят без да чакат официално резюме.

Третье, изискайте отворен, независимо одитируем софтуер в системите за гласуване, така че външни изследователи да могат да разглеждат кода, който генерира QR кода, не само хартията, която той отпечатва.

Четвърто, третирайте „съд намери никакво доказателство за манипулация" и „официални потвърдени резултата" като началото на разговорът за проверка, не края на него.

Съдът на Curling откри проблема. Машините работиха все пак. Пропускът е все още там.

Поправката не е един друг официален кажи, че всичко е добре. Поправката е система всеки може да провери — включително вие.

Вижте колко обичаен е пропускът на нечитаемо записа на бюлетин по целия свят | Прочетете двуминутната версия | Изследвайте пълната карта на делото

Източници

Вижте всички статииРазгледай пропуските