← Всички статии

Машинката за гласуване без хартия: трансакция без разписка с демокрацията

В окръг Саръсота през 2006 година 18 000 гласа изчезнаха в машини, които не оставиха нищо за преброяване. Федерален съд през 2020 година открива същия проблем в нова маска.

Някъде в един избирателен участък във Флорида през ноември 2006 година, един избирател докосва екран, гледа страницата със сводка и натиска "Отдай гласа". Машинката издава звук. Някъде в паметта се увеличава числител. И после — нищо. Никаква хартия. Никакъв талон. Никакво независимо проверяемо доказателство, че гласът, който машинката е записала, е гласът, който избирателят наистина е имал предвид.

Този момент се повтори 18 412 пъти само в окръг Саръсота.

Надпреварата, която засегна — избор в 13-ти конгресен район на Флорида — е решена с разлика от 369 гласа. И защото всяка машина в окръг Саръсота беше безхартиен сензорен екран ES&S iVotronic, нямаше никакво средство да се преброи отново. Ни талон, ни лист, ни ролка топлинна хартия зад заключена врата. Само число в един кутия и доверието в кутията.

Това е най-чистата възможна илюстрация на проблема, която този пост разглежда. Но не е най-опасната му версия. Най-опасната версия дойде четиринадесет години по-късно и беше свързана с хартия.

Разписката, която не означава това, което мислите

Има общо предположение при обсъждане на технологията на гласуване: ако машинката отпечата нещо, проблемът с проверяемостта е решен. Хартията съществува. Преброй я отново.

Това предположение е грешно, и федерален съд в Атланта го казва с необичайна преценка.

На 11 октомври 2020 година федералният съдия Еми Тотенберг издаде становище в Curling v. Raffensperger, разглеждайки системата на Dominion за отбелязване на бюлетини в Джорджия — машините, които замениха старите безхартийни сензорни екрани на Джорджия. Новата система наистина произвежда парче хартия. Избирател се приближава до BMD, прави своя избор на сензорния екран и машинката отпечатва бюлетина. Тази бюлетина след това се подава в таблулатор, който да бъде преброена.

Но ето какво открива съдът: бюлетинката, която машинката отпечатва, съдържа QR код, а QR кодът е това, което таблуларът наистина прочита, за да определи гласа. Четливият за човека текст на отпечатаната бюлетина — имената на кандидатите — не е това, което се счита. Баркодът е.

Собствените думи на съда: системата "не осигурява проверяема и аудираема бюлетина, защото разчита на QR кода за таблулиране на гласа и този код сам по себе си не може да бъде прочетен и проверен от избирателя."

Не можете да прочетете QR код с око. Почти сигурно не сте се опитали. Така че, когда преглеждахте сводката на отпечатаната си бюлетина на избирателната станция и натиснахте потвърди, проверихте четливия за човека текст — и поехте на машинката за дума какво е кодирала в баркода.

Това не е теоретично съображение. Съдът цитира експертно свидетельство от д-р Дж. Алекс Халдерман, описващо практическата осъществимост на кибератака, която може да измени QR кодовете — да zameni или изтрие гласа — като оставя четливия за човека резюме непроменен. Бихте видели правилните имена на кандидати. Баркодът би казал нещо друго. Таблуларът би преброил баркода.

Съдът също цитира заключението на Националните академии от 2018 година, че никакъв технически механизъм в момента не съществува, за да гарантира, че приложение за наследяване на гласа произвежда точни резултати и че тестването само по себе си не може да гарантира, че системите не са скомпрометирани.

Съдът в крайна сметка отказа да издаде последния момент облекчение — избирането през 2020 година беше няколко седмици по-далеч и преминаването на методи на гласуване в разгара на кампаният носи свои собствени рискове. Това е защитима преценка под невъзможно налягане от време. Но откритието стои независимо: Джорджия имаше хартия, и хартията не беше проверяема от избирателя.

Това е подобрена версия на проблема на Саръсота. Саръсота нямаше никаква хартия. Джорджия имаше хартия, която казваше едно нещо, докато преброеният запис казваше нещо друго.

Защо "без хартия" е основата, а не както

За да разберете защо тези два дела образуват един единствен аргумент, начнете с това какво наистина изисква една одит.

Когато служители по избори или съдове искат да проверят машинен брой, те се нуждаят от два независими артефакта: резултатът на машинката и нещо, което самият избирател потвърди, че е правилно. Ако тези две неща съвпадат, вие имате подкрепление. Ако се разминават, имате проблем, който е стойност изследване. Ако съществува само един артефакт — резултатът на машинката — няма нищо, с което да се подкрепи. Вие одитирате отговора на машинката, като я питаете.

В Саръсота, безхартийният iVotronic произведе един артефакт. Когато възникнаха въпроси относно процента от 13% недоволни — много по-висок от съседни окръзи, използващи хартийни бюлетини — Правителственият брой на САЩ проведе тестове на машините. Тези тестове не открихаха неправилност, която обяснява недоволствата, докато прямо отбелязват, че хартийна пътечка, проверена от избирателя, би могла да осигури независимо потвърждение, че сензорните екрани са записали гласовете правилно. GAO не казваше, че машините са неправилни. Казваше, че никой не може да докаже, че не са, защото нямаше нищо да се проверява.

Това не е чист отчет за здравето. Това е признание на непроверяемост.

В Джорджия, проблемът с артефактите е по-фин. Отпечатаната бюлетина съществува, но четливия за човека дял и машинен четим дял не са един и същ запис. Избирател може да потвърди човешкия текст. Таблулатор чете баркода. Това са два различни кодирания на (предполагаемо) същите данни, произведени от машина, чийто софтуер избирателят не може да провери и чийто резултат избирателят не може независимо да кръстосане проверка. Одит на хартийните бюлетини на Джорджия е технически одит на баркодовете — потвърждаване, че баркодовете са били последователно преброени, но не че са били правилно генерирани на първо място.

Хартийна пътечка е само инструмент за проверка, ако артефактът, който проверявате, е същия артефакт, който избирателят потвърди.

Как изглежда истинската независима проверка

Контрастът е поучителен. Джорджия щетът ръчно преброене през 2020 година — приблизително пет милиона президентски бюлетини, преброени ръчно в 159 окръзи в по-малко от шест дни — беше значителна и ценна точно защото потвърди машинния брой в рамките на около една десета на един процент. Това ръчно преброене е най-силното твърдение за хартийни бюлетини, което някой може да направи: когато съществува истински, трайна запис, близо разпределение може да се проверява независимо в мащаб.

Но забележете какво го направи работа. Джорджия също използваше ръчно отбелязани хартийни бюлетини за много избиратели наред със системата BMD. Ръчно отбелязаните бюлетини в Джорджия през 2020 година беше избирател-проверени в най-истинския смисъл: избирателят туши химикал на хартия, обведе име или запълни овал и отбелязаната хартия отида право в запечатана кутия. Никакво междинно кодиране. Никакъв QR код. Човешкия знак е записът.

Ръчното преброене работи, защото имаше истински втори артефакт — избирателски намерение, изразено директно на хартия — което може да се сравни машинния брой. Когато двете се подравниха, доверието беше оправдано.

Колорадо предоставя друг модел. Когато Колорадо стана първата държава, която завърши държавния риск-ограничаващ одит през ноември 2017 година, той работи по същата причина: ръчно отбелязаните хартийни бюлетини дадоха одиторите нещо да проверят машините срещу. RLA не само проверява голямо процент на бюлетини. Той регулира размера на пробата на базата на маржа — изискващ повече ръчна проверка в близо надпреварите и по-малко в в едностранните, калибрирани към определено ниво на статистическа доверие. В надпревара, решена от стотици гласа, тя гледа достатъчно бюлетини, за да каже с определена вероятност дали машинният резултат е правилен.

Това е мощен инструмент. Той също така е напълно зависим от това хартийната пътечка да е надеждна — че записът в запечатаната кутия със бюлетини е това, което избирателят наистина е имал предвид, не кодиране произведено от машина, която избирателят не може да провери.

Германския стандарт и защо САЩ постоянно го не изпълняват

В март 2009 година осем съдии в Карлсруе решиха един въпрос, който вероятно е трябвало да бъде решен преди компютрите за гласуване да бъдат разгърнати където и да е: кога електронната система за броене удовлетворява изискванията на един демократични избор?

Отговорът на Германския федерален конституционен съд беше преки. Електронното гласуване е конституционно само когато "съществените стъпки на гласуването и на определяне на резултата могат да се преглеждат от гражданина надежде и без никакво специализирано знание." Машините на Nedap, използвани в германския федерален избор през 2005 година, отказаха този тест. Те съхранили гласовете в електронна памет без независимо проверяема запис, която един избирател може да проверява. Съдът обяви Федералния избор машини постановления неконституционна.

Забележете какво съдът не каза. Той не каза, че машините са неправилни. Той не каза, че гласовете са били променени. Той каза, че система, чиято коректност разчита на доверието в скритото софтуер, не отговаря на публичната проверяемост тест независимо от това дали е някога доказана мания.

Комисията по консултиране процеса на изборите на нидерландското правителство стига до същото място през 2007 година, в своя доклад "Stemmen met vertrouwen" ("Гласуване с доверие"). Комисията беше преки: "няма тайни в процеса на избираемост." Прозрачност и проверяемост бяха неотменяеми. Всеки електронен метод беше приемлив само ако произвежда хартиен гласа, който избирателят можа да потвърди. Нидерландия се върна на хартия и ръчно броене.

Комисията на Ирландия по електронното гласуване, преглеждайки машините на Nedap/Powervote, които правителството вече беше закупило, заключи нещо по-фин но също толкова важно: тя не беше направила откритие, че система не би работила. Тя направи откритие, че система не беше доказана работа в удовлетворение на комисията. Когато точност и тайна не могат да се проверяват независимо, правилния по подразбиране не е внедряване.

Това са три независими държави, стигайки до същото положение: товара на доказване протича на един начин. Система за гласуване трябва да докаже обикновени граждане, че работи правилно — не да иска от граждани да доверяват дума на производителя или одобрение на правителството.

Прилож този стандарт към Саръсота. Прилож го към QR-кодирани BMD в Curling. Стандартът не е изпълнен.

Неразрешим проблем със "доверие на служителите"

Има един версия на отговора на всичко това, което звучи разумно: служители по избори преглеждаха системите. Производители ги сертифицираха. Одиторите ги тестваха. Нищо не беше открито.

Това е аргумент, който се срива под собствено тегло, и CISA "най-безопасния избор в американската история" изявление от ноември 2020 година е наистина най-ясния пример защо.

Това изявление — издадено от сериозни, длъжностни служители — декларира нямаше "никакво доказателство, че някоя система за гласуване е изтрила или загубила гласа, променила гласовете или е скомпрометирана по какъвто и да е начин." Прямо цитира хартийни записи и възможност да се преброи отново и одит като основата на своя доверие.

Прочетете отново това. Собствения аргумент на изявлението за надежде беше: имаме хартийни записи, които позволяват преброяване и одит. Служителите, които сертифицираха избираемостта като защитена, основаха това сертификат на съществуването на независимо проверяема хартия. Те не казваше "доверие на софтуера." Те казваше "доверие на хартийния одит."

Което означава въпросът за всяка система — Саръсота ES&S iVotronics, QR-кодирани BMD на Джорджия, всяка безхартийна DRE където и да е — е точно един, които служителите сами щяха да трябва да попитат: където е независимо проверяема запис?

Когато няма един, "одитът го потвърди" е циркулярно твърдение. Когато хартийния запис не може да се чете от избирателя, "преброихме хартията отново" потвърждава само, че баркодовете бяха последователно преброени, не че бяха правилно генерирани. Когато ръчния брой се разминава от машинния брой дванадесет гласа в надпревара решена дванадесет гласа — както се случи при одита на окръг Antrim, Мичиган — "ръчния брой го потвърди" е преуверение носещо собствен марж на грешка.

GAO открива през 2005 година, че федеските усилия за подобряване сигурност на системата за гласуване бяха в ход но че ключови дейности остават незавършени. Това не беше заключение на един политически критик. Беше заключение на длъжностни федерални одиторите. И пропастта, която те идентифицираха — разстоянието между "сертифициран" и "проверяем от публиката" — не се е напълно затворило в двете десетилетия от тогава.

Поправката е специфична, не символична

Никое от това не е аргумент за недоверие като перманентно състояние. Това е аргумент за това какво замества недоверието с нещо по-добро.

Поправката има два компонента и двата са необходими.

Първи е един трайна, избирател-проверена запис — не машин-генериран резюме, което избирателят потвърждава на екран и не един баркод, който избирателят не може да чете. Една ръчно-отбелязана хартийна бюлетина, или един маркирач на бюлетина, който произвежда един четлив за човека хартийна запис, където човешкия текст е това, което се счита и таблулира, и избирателят го потвърждава преди да напусне ръцете му. Записът, който избирателят проверя трябва да бъде записът, който се одитира. Нидерландия, Германия и Ирландия стигнаха до това заключение чрез политически комисии и конституционни съдове. Колорадо и Джорджия 2020 година ръчно преброене демонстрира той работи в практика.

Второто е независимо, враждебно проверка — не един пред-избор сертификат от един орган, но текущо публично перидкритика. Властите на Бразилия приканват квалифицирани членове на публиката да опитват да счупят машините й за гласуване преди всеки общ избор. DC интернет гласуване пилот от 2010 година беше спрян, защото този вид отворено тестване работи: Университет Мичиган тим скомпрометира системата в приблизително 48 часа, променяйки бюлетини, прочитайки гласа и демонстрира атаката на служители. Атаката е четена защото системата беше открита за тестване, не защото един сертификат орган е имал го.

Върховния съд на Индия, в своя април 2024 решение на електронна машина за гласуване, отказа да разбира целия EVM система на страната — но затегна правилата около хартийна проверка, запечатано съхранение на единици за зареждане на символи и кандидат-заявен микроконтролер проверка. Даже един съд, който е поддържал един електронна система затегна независимо проверяемата части.

Линията на подравняване не е хартия за собствено благо. Това е един запис, който избирателят потвърди, запазен в взломо-очевиден форма, одитиран от всеки един с достъп правила, проверени от независимо страни, които не са служителите обявяващи резултата.

Това е проверяемост. Един служител казвайки "того беше добре" не е.

Какво остава непроверяемо — и какво би го променило

Ето честното заключение, в най-ясния възможен начин.

В всяка юрисдикция, която използва безхартийни DRE машини — всеки гласа отдаден на един iVotronic, всеки Diebold AccuVote-TS, всяка машина, която съхранила гласовете в електронна памет без един избирател-проверен хартийна запис — броят не може да се потвърди независимо. Не сега. Никога. Тези гласа съществува само в машинската памет и един един запис на него е какво машинката казва. 18 412 недоволства в Саръсота остават необяснимо. Те могат да бъдат избирателски избори. Те могат да бъдат софтуерен глич. Няма начин да се знае защото няма нищо да се проверява.

В всяка юрисдикция, където маркирач на бюлетина произведе QR кодове, които избиратели не могат да прочетат, преброения брой е един одит на машинското кодиране, не един одит на избирателската намерение. Човешкия текст и сканирания баркод могат да се съгласят перфектно, или не. Без един паралелна ръчен брой на човешкия текст — не баркода — няма независимо проверка.

Какво би променило това?

Окръга-нивото резултати, публикувани в момента всеки окръга затвори, в машин-четими формати всеки един може да изтегли и кръстосане-проверка срещу суми докладвана от служители. Един избирател-проверена хартийна запис, запазена и одитируемо, където това, което получава броене е това, което избирателят прочете и потвърде. Публична враждебна тестване на системите преди те управляват на истински избори. Риск-ограничаващи одити, които са калибрирани на маржа, не на политически комфорт ниво.

Никое от това не изисква доверие някоя служител, всеки продавач или политическа партия. Това е точката. Поправката за "доверие нас" е един система разработена така че вие не трябва.

До тогава баркодът на един безхартийна сензорна екран е един разписка-мено трансакция със демокрация. Натисна бутона. Нещо се случи. Ще трябва просто да приемеш думата им за това.

Вижте как普�ен е "няма хартия да преброи отново" пропастта е в целия свят →

Прочетете 2-минутната версия на този проблем →

Проучете конкретна проверяемост пропастите по система и юрисдикция →

Източници

Вижте всички статииРазгледай пропуските