← Всички статии

"Публичното" в публичните избори: правна идея, която си струва да бъде възродена

През 2009 г. най-висшият германски съд постанови, че ако обикновените граждани не могат да проверят броя на гласовете сами — без специални знания — тогава това всъщност не е демократични избори.

Сутринта на 3 март 2009 г. осем съдии в Карлсруе току-що издават решение, което повечето администратори на избори в света никога няма да прочетат — и вероятно трябва да го направят.

Делото пред Германския федерален конституционен съд беше, на пръв поглед, технически спор за машини за гласуване. По-конкретно: електронните машини за гласуване Nedap, използвани на германските федерални избори през 2005 г. Критици се оплакваха, че тези машини съхранявали гласовете само в електронна памет. Никакъв независим запис. Никакъв начин за гласуващ — или наблюдател на избирателната секция, или журналист, или просто любознателен гражданин — да погледне нещо впоследствие и да потвърди, че бройката е правилна.

Съдът се съгласи. И тогава той каза нещо, което проникнала много по-дълбоко от самите машини.

Съществените етапи на процеса на гласуване и определяне на резултата трябва да могат да бъдат проверени от гражданина надеждно и без никакви специализирани познания.

Това изречение, от обединени дела 2 BvC 3/07 и 2 BvC 4/07, не е техническа препоръка. Това е твърдение относно това какво представляват избори всъщност. Не какво трябва да стремят да бъдат. Какво трябва да бъдат, конституционно, за да се считат за демократично действие.

Машините не преминаха този тест. И така те изчезнаха.

Принципът е по-стар от машините

Лесно е да се чете германския съдебен акт като история за машини за гласуване — мило начало от 2000-те години, вече безопасно разрешено. Това би било погрешка.

Съдът всъщност не спореше относно машините на Nedap. Той възстановяваше принцип, който назва Öffentlichkeit der Wahl — публичната природа на избори — вграден в членове 38, 20.1 и 20.2 от Основния закон на Германия. Идеята е следната: в демокрация суверенитетът принадлежи на народа. Бройката, която определя кой осъществява власт от името на народа, трябва следователно да бъде наблюдаема от народа. Не от техните заместници. Не от експерти, на които трябва да се доверят. От тях, директно, със своите собствени очи.

Хартиените бюлетини и открити избирателни помещения не бяха измислени защото хартията е романтична. Бяха измислени защото всеки можеше да влезе, да наблюдава един човек да сортира стека от бюлетини в куп и да види число, написано на форма. Веригата на пътуване беше, в принцип, нещо, което един баба без технически произход можеше да проследи.

Електронното гласуване наруши тази верига. И съдът назова точно защо това има значение: когато съществените етапи се случват вътре в запечатано кутие, което само инженер може да разпита, публиката е била тихо изключена от процеса, който трябва да я представлява.

Това не е аргумент срещу технологията. Това е аргумент за какво всяка технология, използвана на избори, трябва да предостави: резултати, които публиката може да провери независимо, без да поискува разрешение, без да се нуждае от диплома по компютърни науки.

Какво "проверяемо от публиката" всъщност изисква

Нека направим това конкретно. Защото "публична верифицируемост" може да звучи като лозунга, докато не попитате какво изисква на практика.

Гласуващ влиза в избирателната секция. Отбелязва хартиен бюлетин. Бюлетинът влиза в запечатано кутие. В края на деня работниците отварят кутието, сортират бюлетините и записват число на форма, която е подписана и окачена на врата на избирателната секция. Всеки присъстващ наблюдател може да брои заедно. Всеки минуващ може да снима резултата, окачен на врата.

Тази верига — отбеляз, запечатай, сортирай, окачи — е публично верифицируема в смисъла на германския съд. Всеки етап е човешки наблюдаем. Никакъв етап не изисква доверие на патентен алгоритъм.

Сега пуснете същия сценарий чрез машина за електронно гласуване без хартия. Гласуващ докосва екран. Някъде в паметта на машината число се променя. В края на деня число се отпечатва на лента. Може ли гласуващ да потвърди, че докосването му е записано правилно? Не. Може ли наблюдателят на избирателната секция да потвърди, че паметта съдържа онова, което лентата казва? Не. Може ли някой — без специализирани познания — да преследи някакъв съществен етап? Не.

Холандците стигнаха до същото заключение през 2007 г., когато комисията на правителството издаде доклад, наречен Stemmen met vertrouwen — "Гласуване с доверие." Неговите критерии за легитимни избори включваха controleerbaarheid: проверяемост. В процеса на избор няма тайни. Вопросите трябва да бъдат отговорни, а отговорите да бъдат проверяеми и верифицируеми. Комисията заключи, че хартиените бюлетини, преброени на ръка, отговарят на този стандарт. Електронните методи биха го отговарили само ако произвеждаха верифицируем от гласуващ хартиен запис. Холандия отказа своите машини за гласуване и оттогава използва преброени на ръка хартиени бюлетини.

Ирландия стигна до същата стена от малко различен ъгъл. Независимата комисия относно електронното гласуване разглеждаше системата Nedap/Powervote, която правителството беше закупило — милиони евро оборудване, сядащо готино в складове — и заключи, че е неспособна да препоръча использование на предложената система. Не защото беше доказала, че машините се бъркат. Защото не можеше да докаже на собствено удовлетворение, че са правилни. Товарът на демонстрирането пада на системата, не на скептика.

Два посока, в които верифицируемостта може да се провали

Има два различни начина, по които системата за гласуване може да бъде неверифицируема, и те са лесни за смешване.

Първо е когато не можете да проверите какво е записала машината. Това е проблемът на Nedap. Проблемът на германския съд. Проблемът на Sarasota County, Флорида, където 18 000 гласа изчезнаха в машини за гласуване без хартия в надпревара, решена с 369, и GAO не можеше да намери неправилност — но също нямаше гласуващ-отбеляз хартия за разглеждане. Думата на машината беше единствената дума, и машината не можеше да бъде кръстосан разпит.

Второ е когато съществува хартиен запис, но артефактът, който всъщност е преброен, не е този, който гласуващ може да прочита. Това е по-фино и по-модерно. През 2020 г. федерален съд в Джорджия разгледа системата на държавата на Dominion ballot-marking device. Експертни показания, включително от професор J. Alex Halderman, описаха как машините отпечатват хартиен бюлетин — който изглежда проверяем — но какво е всъщност преброено е QR код на същата хартия. QR код, който гласуващ не може да прочита без отделно устройство. Съдът намери системата "не предоставя верифицируем и одитен бюлетинен запис, защото разчита на QR кода за преброаване на гласове и този код самият не може да бъде прочетен и верифициран от гласуващ." Хартия съществуваше. Верифицируемост, в смисъла на германския съд, не съществуваше.

Система, чийто хартиен запис съдържа машинно четимо резюме, което гласуващ не може лично да разглежда, премести непрозрачността от силиций до мастило. Принципът е същият: етапът, който има значение, се случва някъдето, където гражданинът не може да проследи.

"Одитът го потвърди" не е същото като "можеш да го верифицираш"

Тук официалните уверения най-последователно подвеждат.

След спорен брой избирателната администрация рутинно обявява, че одит е потвърдил резултата. Понякога това е значително. Одитът на Джорджия от 2020 г. приема формата на пълен брой на ръка на приблизително пет милиона президентски бюлетини — истинско, мащабно упражнение в проверка на машинния резултат срещу гласуващ-отбеляз хартия. Вариацията беше около една десета от един процент. Това е истинска точка на данни.

Но забележете какво я направи истинска: съществуването на гласуващ-отбеляз хартиени бюлетини, които можеха да бъдат преразглеждани от хора, независимо от машините. Хартията беше верифицируемостта. Бройката на ръка беше възможна само защото артефактът, който гласуващ всъщност докосна, все още съществуваше и можеше да бъде прочетен от всеки.

Сега поставете по-трудно въпрос. В юрисдикция, която използва машини за отбеляз бюлетин с неразбираеми QR кодове, какво "брой на ръка" одит? Одитува хартиения запис — който отразява резултата на QR кода, не независимата марка на гласуващ. Ако машината неправилно преведе докосванията в QR кодове, хартията е грешна, и бройката на ръка верно воспроизвежда грешния отговор.

"Одитът го потвърди" е значително само ако нещото, което се одитува, е нещо, което гласуващ независимо отбелеза — не нещо, което машина е произвела от техно име.

И "секретарят на държавата казва, че одитът го потвърди" не е доказателство за нищо. Това е претензия. Въпросът е винаги: можеш ли да го провериш сам, без да верифицираш лицето, което прави претензията?

Какво първи принципи всъщност изисква

Направете стъпка назад от отделните дела и специфичните технологии и попросете какво легитимно публично избор трябва да има, ако принципът на германския съд е приет сериозно.

Първо: всеки гласуващ трябва да може да потвърди, със своите собствени сетива, че неговите избори бяха записани както е предполагал. Не чрез доверие на дисплей на машина. Не чрез приемане на дума на продавача. Чрез разглеждане на човешко четимо артефакт, който те сами са създали — отбеляз хартиен бюлетин, който могат да прочетат преди той да напусне техните ръце.

Второ: артефактът, който гласуващ отбелязва, трябва да бъде същият артефакт, който е преброен. Не машинно-генерирана преводка на този артефакт. Не барков код, произведен от него. Самото нещо, или прозрачна и човешко четима копия на него.

Трето: всеки — без специализирани познания — трябва да может да наблюдава процеса, чрез който отделни артефакти се събират в окончателния общ резултат. При брой на ръка, това е видимо в помещението. При брой на машина, това изисква софтуерът, който отговаря за събирането, да бъде публикуван и независимо верифициран, и резултатът на машината да бъде проверяем срещу физическите артефакти.

Четвърто: публикуваният резултат трябва да бъде достатъчно детайлен, за да може всеки наблюдател да направи своята собствена аритметика. Окръжни общи резултати, налични в машинно четимо формат, от момента, когато са окончателни. Не защото наблюдатели не верифицират официалните лица, а защото способността независимо да верифицира е това, което превръща доверието в рационално, а не принудено.

Това не са утопични искания. Хартиените бюлетини, открити брой, окачени окръжни общо резултати и публикувани одити с ограничен риск вече доставят повечето от тях в юрисдикции, които са избрали да ги проведат. Колорадо проведе първия си окръжен одит с ограничен риск през 2017 г. Методът не е екзотичен: той взема проби на бюлетини статистически, проверявайки повече от тях, когда надпревара е по-близо, докато вероятността да е пропуснал грешен резултат падне под определен праг. Публиката може да разглежда методологията. Хартията може да бъде преразглеждана.

Какво никоя юрисдикция все още не е напълно доставила — все още — е система, в която криптографското доказателство на правилен брой е публикувано и верифицируемо от всеки член на публиката без доверие на никой официален лице или продавач. Това би било принципът на германския съд напълно реализиран в софтуер: не хартия на стена, а математически запис, който всеки може да провери с открити инструменти, без да трябва да присъства на броенето лично или да поиска копие от орган.

Злодеят не е машина. Това е непрозрачност.

Важно е да бъдете точни тук, защото германският съдебен акт се чете в два посока.

Един невярно прочитане е, че е вот против електронното гласуване. Това не е. Съдът не каза, че електронното гласуване е неконституционно. Той каза електронното гласуване е неконституционно когато обикновените граждани не могат да проверят съществените етапи. Система с гласуващ-отбеляз хартия, публично одитен софтуер за събиране и окръжни общо резултати ще задоволи принципа точно както преброете хартия на ръка — аргументирано по-добре, ако криптографската верифицируемост е достатъчно строга.

Второ невярно прочитане е, че е вот за някоя конкретна алтернатива. Това не е нито това. Смяната от една неверифицируема система към различна неверифицируема единица нищо не постига. Холандия се върна към хартията — но брой на хартия, който се случва зад затворени врати, с резултати съобщени само в съвкупност, без машинно четими окръжни данни налични за независимо помирение, все още ще не отговарят на принципа. Формата няма значение. Проверяемостта има.

Злодеят в всяко дело в този архив — DRC през 2011 г., когато мисията на EU наблюдение намери резултати събрани без публична видимост; Венецуела през 2017 г., когато дори продавачът на система за гласуване отрекла обявения брой участници; Малави през 2020 г., когато талия листове бяха перезаписани с коректен флуид — не е конкретна технология. Това е непрозрачност. Системното отстраняване на броенето от способността на някой да го независимо верифицира.

И официалните уверения не разтварят непрозрачност. Те добавят слой отгоре на него.

Какво все още не е проверяемо — и какво би го подправило

Ето какво остава вярно, независимо какво казват официалните лица, в повечето световни избори точно сега.

Софтуерът, който събира окръжни резултати в окръжна или национална сума, е патентен в повечето юрисдикции, разглежда се от никой извън продавача и лабораторията за сертификация. Намерянията на лабораторията за сертификация рядко са публично пълни. Веригата от отделен бюлетин към окончателна сума преминава чрез множество стъпки — сканиране, преброаване, качване, събиране — които не са отделно верифицируеми от никой член на публиката.

В юрисдикции, които използват машини за отбеляз бюлетин, вместо на ръка-отбеляз хартия, артефактът, който е преброен, е произведен от софтуер, който гласуващ не може да разглежда.

В юрисдикции без одити с ограничен риск, преброето на машина се проверява чрез фиксирана процентна точка проверка, която не осигурява статистическо гарантиране на близки надпревари.

В юрисдикции без окръжни машинно четими резултати, публикувани в реално време, публиката няма начин да направи независима аритметика срещу официалния общ резултат.

Германския съд изтегли линията ясно през 2009 г. Резултат, който само експерт може да верифицира, не е демократично легитимен резултат. Тази линия все още не е преминала — в посока пълна публична верифицируемост — от повечето системи в използване днес.

Какво би я пресякло? Гласуващ-отбеляз хартиени бюлетини, преброени или сканирани на публика, с окръжен запис окачен веднага и изтеглячив в формат, който всеки електронна таблица може да отвори. Одит с ограничен риск на всяка близка надпревара, със взетите проби бюлетини и техните брой прочетени на ръка публикувани. И, за криптографски честните: край на система верифицируема от край до край, в която всеки гласуващ може да потвърди своя бюлетин е включен в окончателната сума, и всеки наблюдател може да верифицира математическата интегритета на сумата, без да верифицира никой единствен орган.

Този последния елемент е технически възможен. Швейцария опита да го проведе и намери капан в криптографията — но го намери точно защото независимите изследователи можеха да разглеждат публикувания код. Капанът беше поправен. Това е правилният резултат: публична проверка намери дефект, който частна сертификация беше пропуснала. Отговорът на неправилна криптографска верифицируемост система е не да изоставите верифицируемост. Това е да запазите кода публичен, докато дефектът е отхвърлен.

Принципът на германския съд не е задоволен, докато всеки съществен етап е проверяем от всеки гражданин, който избере да поглежда.

Повечето избори точно сега не са там.

Вижте как пропастта се появява в системите за избор по света →

Прочетете двуминутната версия защо верифицируемостта има значение →

Разгледайте документирани дела на неверифицируеми избори →

Források

Вижте всички статииРазгледай пропуските