← Всички статии

Антрим Каунти бе открит, защото беше абсурдно. Какво насчет грешките, които не са?

Грешката в Антрим Каунти бе открита, защото резултатът беше политически абсурден. Изборите, които трябва да ви тревожат, са тези, където числата изглеждат напълно нормални.

Сутрин на 9 април 2009 г. три финландски община са на път да открият, че 232 от техните избиратели са фактически изтрити.

Предходната есен Каркила, Каунианен и Вихти проведоха пионерски пилотен проект с електронно гласуване наред с традиционния хартиен бюлетин. Избирателите, които избраха електронната опция, направиха своя избор на машина, чакаха — или мислеха, че чакат — и си тръгнаха. Но системата имаше проблем, вграден в самия й дизайн: след избор на кандидат, избирателите трябваше да завършат отделна стъпка за потвърждение, а инструкциите не направиха това ясно. Мнозина извадиха своята смарт карта, преди гласът да бъде запазен.

Машината им не съобщи, че нещо е грешно.

Никакво предупреждение. Никакво съобщение за грешка. Никакъв разписка. Двеста тридесет и двама човека напуснаха избирателните станции, вярвайки, че са гласували, когато всъщност не бяха. Върховния административен съд на Финландия, в решение KHO:2009:39, отмени засегнатите общински избори и нареди те да се преведат наново. Финландия никога не разшири пилотния проект.

Ето на какво трябва да се съсредоточим: тези гласове не бяха откадени. Не бяха променени. Те просто престанаха да съществуват — мълчаливо, невидимо, вежливо. И никой не узна до след това, когато загубата вече беше необратима.

Това не е история за ужас на софтуера. Това е история за проверяемост. Избирателите нямаха начин да потвърдят, че техният бюлетин бе регистриран. Системата нямаше начин да докаже, че е записала нещо. Единственият механизъм за откриване на проблема беше отсъствието на 232 човека от окончателния резултат — и този дисбаланс се появи само, защото някой го търсеше.

Какво ако никой нямаше да гледа?

Урокът от Антрим, който хората пропуснаха

Вероятно сте чували за Антрим Каунти, Мичиган. На изборната нощ 2020 г. един от най-надеждно републиканските окръзи в щата кратко показа Джо Байдън печелещ с приблизително 3000 гласа. Грешката беше вопиюща — резултат, който кара администраторите на окръга да получават обаждания в 23:00. Бе открита, коригирана, и сертифицираният резултат остана непроменен.

Писали сме за този случай преди, от ъгъла на това, което той казва за ръчния преброй. Но има предходен въпрос, който Антрим повдига и повечето освещение никога сериозно не задава.

Грешката беше открита, защото беше абсурдна. Всеки, който знаеше нещо за Антрим Каунти, знаеше, че тези числа грешат, преди дори да е завършил да ги чита. Политическата история на окръга беше механизмът за откриване на грешки. Нямаше автоматизирана кръстосана проверка, нямаше криптографична разписка, нямаше независимост верификационен тръбопровод. Имаше колективно неверие.

Това не е система. Това е късмет облечен в костюм на система.

Сега попитайте себе си: какво насчет правдоподобната грешка? Какво за окръг, където резултатът е неочакван, но не невозможен — където някой загуби, на когото се очаквало да е конкурентен, в надпревара, решена от няколко стотин гласа? Какво насчет грешката, която не обръща окръг, а просто намалява маржа на кандидат с няколко процентни пункта в конкурентен район? Какво насчет цифра от разглеждането на гласовете, която е тихо неправилна по начин, който не обижда интуицията на никого?

Тези грешки не се открива чрез неверие. Те се открива, ако се откривам, чрез независима проверка. И независима проверка е точно това, което повечето процеси на отчитане и разглеждане на гласовете НЕ осигуряват.

Какво решиха холандците — и защо

През 2007 г. холандското правителство поръча независима експертна комисия — Adviescommissie inrichting verkiezingsproces, председателствана от F. Korthals Altes — да изследва своя избирателен процес след години противоречия по отношение на машините за гласуване. Комисията публикува своя окончателен доклад, Stemmen met vertrouwen ("Гласуване с доверие"), на 27 септември.

Комисията установи принцип, който звучи очевиден, когато го чуете, и е тихо нарушаван почти навсякъде: в избирателния процес няма тайни, и въпросите трябва да имат отговор, отговорите да са проверяеми и верифицируеми. Заключи, че хартиените бюлетини брои на ръка в избирателна станция са предпочитани от гледна точка на прозрачност и проверяемост, и че всеки електронен метод е приемлив само, ако произвежда хартиен запис, който избирателят може да провери.

Холандия след това отмени своята регулация от 1997 г., одобрявала машините за гласуване, и се върна изцяло към хартиени бюлетини.

Забележете какво холандската комисия НЕ казваше. Не казваше, че машините са манипулирани. Не казваше, че някой избор е украден. Казваше нещо по-трудно и по-фундаментално: резултат, който не може да бъде независимо проверен, не е достоверен, независимо дали манипулирането е настъпило. Отсъствието на доказателство за измама не е същото като доказателство за интегритет. И неверифицируема система произвежда и двата резултата.

Германският федерален конституционен съд достигна по същество същото заключение същата година. В своето решение от март 2009 г. по отношение на машините за гласуване Nedap, използвани в федералните избори от 2005 г., съдът счита, че всяка съществена стъпка на гласуване и определяне на резултата трябва да бъде изследима от обикновени граждани "без никакви специални познания". Система, която скрива работата си вътре в електронната памет, не издържа на публично-верификационния тест — не защото машините задължително са неправилно преброили, но защото никой не би могъл независимо да потвърди, че не са.

И двете страни артикулираха един и същ принцип, който финландската катастрофа илюстрира на практика: ако избирателите не могат независимо да потвърдят, че техният глас е регистриран, и ако наблюдателите не могат независимо да потвърдят, че общите суми са правилни, то доверието в резултата зависи изцяло от доверие към людете, управляващи системата. Това не е основата на демокрацията. Това е процес, основан на вяра, облечен в дрехи на демокрацията.

Проблемът на разглеждането на гласовете, който никой не иска да назове

В повечето американски юрисдикции — и в много демокрации — тръбопроводът на резултатите работи приблизително така. Избирателните участъци докладват на окръг. Окръзите събират и докладват на щат. Щатското разглеждане агрегира, преглежда и в крайна сметка сертифицира резултат. На всяка стъпка официалните лица проверяват своята собствена работа.

Това е частта от процеса, която Антрим Каунти разкри тихо и неудобно. Никакъв външен, независим механизъм не спря грешни числа от публикуване. Грешката се появи, защото числата бяха политически невероятни. И последващо аудиране на ръка — нещото, което официалните лица цитираха като потвърждение — все още се различаваше от машинния преброй с около дузина гласа от приблизително 15 700 брошени.

Дузина гласа. В надпревара, където маржът се измерва в стотици, метод на ръчен преброй, който сам по себе си е неправилен с дузина, не е доказателство. Това е по-тесен диапазон на неопределеност, носен като значка на сигурност.

Това не е партиен иск. Това е аритметика. Метод на верификация, който носи своя неразложима грешка, не може да разреши въпрос, където маржът попада в тази грешка. Ръчният преброй е по-добър от никаква проверка, и хартиените бюлетини са много по-добри от машините без хартия. Но "преброихме го на ръка" и "разглеждането потвърди" са началото на разговор за верификация, не неговия край.

По-дълбокия проблем е структурен. Разглеждането — официалния процес, който предположително трябва да бъде систематичната проверка — се провежда от същите официални лица, които произведоха началните суми, използвайки същото оборудване, под същата административна верига на командване. Когато тези официални лица открият грешка, това е ценно. Когато я пропуснат, няма независима спусъчна уловка.

Малавийските съдилища поставиха това рязко през 2020 г. Конституционния съд отмени президентските избори от 2019 г. — одобрени от Върховния апелативен съд в Mutharika & Electoral Commission v Chilima & Chakwera — след намиране на широко разпространено ползване на коректор на официални регистрационни листове, дублирани регистрационни формуляри, и неправилно обработени разглеждане на документи. Избирателната комисия беше обявила победител. Съдилищата разгледаха хартиения път и откриха, че не можеше да бъде доверена като верифицируем запис на това, което избирателите всъщност решиха.

Коректор. Официалния запис на президентските избори беше изменен с инструмент, продаван в всеки магазин за офис материали. Обявения резултат не беше верифицируем спрямо първоначалните документи, защото първоначалните документи не можеха да бъдат доверени. Обявяването на победител не е същото като доказване на преброя.

Мащабът на това, което "правдоподобното" скрива

Обмисли Венецуела в юли 2017 г. Правителството проведе гласуване за национално учредително събрание и обяви цифрите за участие. Два дни по-късно Smartmatic — технологичната компания, която е предоставила венецуеланските автоматизирани системи за гласуване от 2004 г., и която управляваше този конкретен избор — издаде публично изявление. Главния изпълнителен директор каза, че компанията знае "без никакво съмнение", че цифра за участие, обявена от Националния избирателен съвет, е манипулирана, и изчисли разликата между фактическото и обявено участие на "поне един милион гласа".

Продавачът. Компанията, чиито машини управляваха избора. Публично отричайки официалните числа.

И публиката нямаше независим начин да провери който и да е иск, защото независимиото одит беше недостъпно. Машините работеха. Сумите бяха обявени. Нямаше тамперопроверен, публично проверяем запис, срещу който всеки да може да съгласува цифрите.

Това е крайния лимит на неверифицируемия резултат. Но принципът се мащабира надолу. Резултат, който може да бъде верифициран само чрез доверие на властта, която го произведе, е неверифицируем, независимо дали говорим за президентските избори в Каракас или окръжното разглеждане на гласовете в Мичиган. Механизмът е един и същ; само величината се различава.

В Кения Върховния съд разбра достатъчно ясно, че да отмени цели президентски избори поради това. В Raila Odinga & another v IEBC (2017), съдът откри, че не всички регистрационни форми от избирателни участъци са били електронно передадени, както е необходимо, че формулярите липсват съответни охранителни функции, и че окончателния преброй е обявен преди всички основни документи да бъдат получени. Веригата от отделни избирателен участък към национален резултат беше прекъсната — и когато тази верига не може да бъде независимо проверена, съдът постави, резултатът сам по себе си е юридически неправилен. Изборите бяха отменени.

Разсъжденията на съда не бяха "измама беше доказана". Беше: "преброя не може да бъде независимо проверен, и следователно не може да бъде приет." Това разграничение е важно в огромна степен.

Какво независимата верификация всъщност изисква

Аудитите с ограничен риск са стъпка в правилната посока, и пионерското стъпка на Колорадо от 2017 г. показа, че концепцията работи: dimensionирате ръчно-верификационната извадка към близостта на надпреварата, предоставяте определено ниво на статистическа увереност, и обвързвате резултата към трайния хартиен запис. Държавния ръчен преброй на Джорджия от около пет милиона бюлетини през 2020 г. демонстрира, че дори в огромен мащаб, хартията осигурява независима проверка.

Но одит е толкова силен, колкото е независимостта на процеса и интегритета на това, което одитира. Ако хартиените записи, влизащи в одит, са сами обработени по начини, които не могат да бъдат верифицирани — ако веригата на стражбата от избирателен участък към разглеждане на гласовете към одит има пропуски — то одитът проверява един неверифицируем артефакт срещу друг.

GAO направи тази точка косвено в своя доклад от септември 2005 г. относно системите за електронно гласуване, открив, че федералните усилия за осигуряване на сигурност и надежност бяха на пътя си, но че ключови дейности остават незавършени, и препоръчвайки, че стандартите, процедурите на сертификация, и механизмите за споделяне на уязвимостите все още трябваше да бъдат построени. Докладът беше издаден пет години след кризата, която подтикна HAVA, която сама трябваше да бъде поправката. Признаване на проблема и приемането на закон не е същото като решаването му. Строенето на верификационния апарат изисква устойчивото, независимо налягане на всяка стъпка на тръбопровода.

Какво истинската независима верификация изисква:

Първо, тамперопроверени първоначални записи. Не просто хартия, но хартия, която е запечатана, подписана, и обработена под верига на стражба, която независимите наблюдатели могат да потвърдят на всяка стъпка. Регистрационен лист, който може да бъде презаписан с коректор, не е тамперопроверен запис.

Второ, докладване в реално време към публиката. Всеки резултат на участък, в момента, в който е окончателизиран, в машинно-четлив формат, който всеки може да изтегли и съгласува. Не прессъобщение. Не PDF. Сърав данни файл, че всеки анализатор, журналист, или независим наблюдател може да събере и проверка срещу официалния общ брой. САЩ Комисията за помощ при избори препоръчва на официалните лица да направят резултатите редагуеми в формати като .csv и .xml — но препоръката не е задължаване, и повечето юрисдикции все още не го правят.

Трето, независимо проверяемо криптографско ангажиране. Това е това, което се движи "доверие на официалните" към "верификация на математиката". Когато резултат е криптографски ангажиран на всяка стъпка на тръбопровода — участък към окръг към щат — всяка промяна на всяка стъпка прекъсва веригата по начин, който е открит без достъп до който и да е защитен система. Всеки с публикуваните данни може да проверя аритметиката. Верификационната сила се премества от вътрешни лица към публиката.

Германския конституционен съд молеше за верифицируемост от обикновени граждани без специализирани познания. Това е целевата конструкция. Не "одитируемо от експерти, дадено достатъчно време и достъп" но верифицируемо от всеки, в отворено, използвайки публично достъпни данни.

Моментът, когото никой не маркира

Върнете се в Финландия за момент. Двеста тридесет и двама гласа. Малко число, в три малки община, в местния избор. Върховния административен съд отмени изборите и нареди те да се преведат наново. Това беше правилния резултат.

Но забележете какво направи отмяната възможна: някой преброи. Отсъствието на тези 232 гласа беше открито, защото някой можеше да сравни електронния преброй срещу други записи. Проблемът се появи, защото дисбалансът беше видим.

Сега представете си същия дизайнен дефект в система без независима точка на сравнение — никакъв хартиен бюлетин брой наред с электронния, никакъв паралелен преброй, никакъв механизъм за откриване на пропуска. Гласовете просто нямаше да бъдат там. Обявения общ брой щеше да бъде по-нисък от истинското намерение на электората по неизвестно количество. И щеше да изглежда напълно нормално.

Това е урокът от Антрим, който самия Антрим не илюстрира, защото грешката на Антрим беше твърде очевидна. Опасната грешка е тази, която изглежда нормално. Опасния пропуск е този, които никой не маркира. И единственото защитата срещу тази грешка — единственото, което работи независимо дали официалните лица са честни, компетентни, или обръщат внимание — е система, чиито резултати са независимо верифицируеми от страни, които нямат заложени в резултата.

Не доверие. Верификация.

Не "державния секретар казва, че е в ред". Публично достъпен, криптографски ангажиран, машинно-четлив резултат, че всеки наблюдател може да проверя срещу първоначалните записи, всеки път, без да иска позволение.

Това не е системата, която повечето демокрации имат днес. Това е системата, която им трябва.

Версията за споделяне: Грешката на Антрим беше открита, защото резултатът беше политически абсурден. Правдоподобна грешка в тясна надпревара — няколко стотин гласа, чист изглед разглеждане на гласовете, ръчен преброй, който се различава с дузина — може никога да не се появи. Решението не е повече официални лица, проверяващи работата на официални лица. Это е публично верифицируеми, машинно-четливи резултати, че всеки може независимо да одити. Не доверие. Доказателство.

Вижте колко често е пропускът между отчитане и разглеждане на гласовете в целия свят →

Прочетете 2-минутната версия на защо неверифицируемите резултати са основния проблем →

Разгледайте конкретни пропуски при верификация по страна →

Източници

Вижте всички статииРазгледай пропуските