← Всички статии

Когато "преброяване" само преочитва същия баркод

Джорджия преброя пет милиона бюлетини на ръка и го нарече преброяване — но ако сканерът чете QR код, който не можеш да декодираш, какво точно преброи някой?

Ноември 2020 г., някъде в избирателна секция в окръг Гуинет, Джорджия. Една избирателка току-що завършила да прави своя избор на устройство за маркиране на бюлетини на Dominion. Машината отпечатва лист хартия. Тя го държи. Има човешки четлив текст — името на кандидата й, нейният избор написан на ясен английски. Има и QR код, приблизително с размер на пощенска марка, в ъгъла.

Тя не може да чете QR кода. Никой в помещението не може да чете QR кода с невъоръжено око.

Тя подава листа в сканер. Сканерът чете QR кода. QR кодът, не текстът, определя как нейният глас се преброява.

Шест седмици по-късно Джорджия преброява тези листове на ръка в това, което ще бъде наречено историческ одит — един от най-големите ръчни преброявания, когато са провеждани. Приблизително пет милиона бюлетини, разгледани от човешки очи в 159 окръга. Официалните лица обявяват, че преброяването потвърждава резултата на машината. Медиите го поздравяват като утвърждение.

Ето въпросът, който никой не постави достатъчно силно: какво точно гледаха тези хора?

Федералният съд, който постави неудобния въпрос

На 11 октомври 2020 г. — три седмици преди Изборния ден — федерален съдия в Атланта четеше експертни показания, които повечето избиратели никога няма да срещнат.

В Curling v. Raffensperger, Окръжният съд на САЩ за Северния окръг на Джорджия разглеждаше сигурността и проверяемостта на системата на Dominion за маркиране на бюлетини в Джорджия. Съдът чу показания на д-р Дж. Алекс Халдерман, един от водещите изследователи на сигурността на избори в страната, който описа как кибератака би могла правдоподобно да замени или изтрие гласовете, като промени QR баркода, използван за преброяване.

По-точно и по-трайно, съдът установи, че системата "не осигурява проверима и одитна бюлетина, тъй като разчита на QR кода за преброяване на гласовете и този код сам по себе си не може да бъде прочетен и проверен от избирателя."

Съдът цитира и заключението на Националните академии на науките, инженерството и медицината от 2018 г.: не съществуват технически механизми, които в момента да гарантират, че приложение за броене на гласове дава точни резултати, и тестване само не може да гарантира, че системите не са компрометирани.

Съдията отказа да издаде спешни наредби — преминаването на цялата избирателна инфраструктура на един щат няколко седмици преди президентските избори би въвело различна категория хаос. Това беше разумно решение при обстоятелствата. Но съдебния резултат не решава основния проблем. Съдът го идентифицира, назова го и го оставя открито. Прочетете пълното решение тук.

Какво всъщност преброява преброяването

Ето механизма, изложен максимално просто.

Устройството за маркиране на бюлетини (BMD) работи така: докосваш екран, правиш избор, машината отпечатва бюлетина. Тази бюлетина съдържа две представяния на твоя избор. Едното е човешки четлив текст. Другото е машинно четим QR код. Когда бюлетината влезе в сканер, сканерът чете QR кода. QR кодът е това, което софтуерът за преброяване обработва. Човешки четливия текст не е това, което се брои.

Сега провеждаш преброяване на ръка. Работниците вземат всяка отпечатана бюлетина и четат — какво? Човешки четливия текст. Те преброяват въз основа на това, което бюлетината казва с думи.

Ако QR кодът и човешки четливия текст се съгласват, ръчното преброяване потвърждава преброяването на машината. Добре. Но преброяването не проверява QR кода. Проверява текста. Въпросът, на който преброяването не може да отговори, е дали QR кодът — на което всъщност е преброен гласът — съответства на това, което избирателят избра.

Скомпрометирано BMD би могло, в теория, да отпечата човешки четлив текст, който казва "Кандидат А", докато кодира глас за Кандидат Б в QR кода. Избирателят, поглеждайки текста, вижда своя избор представен правилно. Сканерът преброява Кандидат Б. Последващото ръчно преброяване чете текста и също броя Кандидат А. Общо от машина и ръчно преброяване казват Кандидат А — и измамата, ако е имало такава, е невидима в двете.

Това не е паранойна фантазия. Това е атакната повърхност, която федералният съд в Curling описва.

Отпечатана хартия не е същото като проверима от избирателя бюлетина. Ако това, което се брои, не е нещо, което избирателят може да провери, "броихме хартията" и "проверихме гласа" са два различни изречения.

Одитът на Джорджия с пет милиона бюлетини: какво доказа и какво не

Одитът с ограничен риск на Джорджия от ноември 2020 г. се превърна в пълно ръчно преброяване, защото разликата беше достатъчно тясна, за да го изисква. Приблизително 41 881 партида, 159 окръга, около пет милиона бюлетини разгледани от човешки ръце за под шест дни. Ръчното преброяване потвърди резултата, преброен от машина в рамките на около една десета от процента.

Това е наистина впечатляващо като логистическо постижение. Това е също значим вывод — означава, че човешки четливия текст на отпечатаните бюлетини, преброени на ръка, съответства на машинния общо. Ако имаше систематично, широкомащабно несъответствие, то щеше да излезе наяве.

Но забележи какво означава "съответства" тук. Човешки четливия текст съответства на машинния общо. Това е съвместимо с две обяснения: QR кодовете бяха точни и съответстваха на текста, или QR кодовете бяха систематично скомпрометирани по начин, който също скомпромета машинния общо, и ръчното преброяване на текста потвърди скомпрометиране, вместо да го улови.

Ръчния одит не може да прави разлика между тези два сценария. Той не беше проектиран да го прави. Той провери текста спрямо общия размер. Той не декодира и индивидуално проверяваше всеки QR код.

Това не е причина да не вярваме на резултата на Джорджия. Няма доказателства за широкомащабна манипулация на QR код при избора на Джорджия през 2020 г. Но "липса на доказателства за манипулация" не е същото като "системата щеше да улови манипулацията". Точката на съда Curling беше именно това: система, чийто механизъм за одит не може да затвори цикъла между преброеният артефакт и проверената намерение на избирателя, не е напълно проверима, независимо колко хора докосват хартията.

Окръг Antrim, Мичиган през 2020 г. показа версия на това в по-малък мащаб: неправилни числа бяха публикувани, уловени само защото бяха абсурдни — tradicionalно републиканскии окръг показва противоположния кандидат напред с хиляди гласа. Когда окръгът направи ръчно преброяване, то се различаваше от коригираното машинно преброяване с около дузина гласа от приблизително 15 700. Дузина гласа. В тесен избор, метод, който самият той е отклонен с дузина гласа, не може окончателно да разреши въпрос, решен с по-малко от дузина. 'Одитът потвърди това' е успокоение; то не е доказателство.

Неправимата грешка в "просто преброй на ръка"

Има романтична идея, че ръчното преброяване винаги е най-добрия стандарт — че човешките очи са крайната проверка. Това е отчасти верно и отчасти подвеждащо.

Ръчното преброяване въвежда собствени нива грешка. Умора от броене. Неясни отметки. Различни читатели правят различни преценки върху бюлетина с лека отметка. Решения за коригиране на дневния баланс, които варират от маса на маса. Форензичният одит на Windham, Ню Хемпшър през 2021 г. откри, че когда сканерите AccuVote погрешно четат бюлетини — защото гънка на случай се е случила да премине през мишена за глас — ръчното преброяване би могло да възвърне намеренията на избирателя, която машината е загубила. В този случай физически бюлетини съществуваха и ръчното преброяване подобри машинния резултат. Добре.

Но Windham също иллюстрира долната граница, а не горната. Грешката беше открита, защото одиторите имаха дълготрайна физическа бюлетина — отметка, направена директно от избирателя — да се върнат към. Неправилното четене на сканера на гънка беше открито, защото основното намерение беше все още физически присъствало на хартията.

В BMD система няма директно маркирана от избирателя отметка, която да се възвърне. Избирателят докосна екран. Машината отпечата представяне на това докосване. Ако представянето е неправилно — в QR кода, в софтуера, в преброяването — няма оригинална отметка, с която да се сравни. Отпечатката не е отметката на избирателя. Това е транскрипция на машината за отметката на избирателя, и това е единственото записание, което съществува.

Това е структурната глава, която съдът Curling идентифицира. Това също е причина, поради която модела на одит с ограничен риск на Колорадо — първия щатски RLA, завършен през 2017 г. — работи по-добре, когда се прилага на ръчно маркирани бюлетини на хартия. RLA ти дава ниво статистическа уверност, че докладвания резултат е верен, мащабиран на близостта на събора. Но изисква надежден хартиен запис за одит. Ако самия запис е изход на машина, вместо преки отметка на избирателя, одиташ честност на машина, не намерение на избирателя.

Защо "избирателят видя текста" не е достатъчно

Официалните лица и продавачи ще посочат — правилно — че избирателите са насърчени да преглеждат отпечатаната бюлетина преди да я подхвърлят. Ако текстът е неправилен, избирателят може отхвърли бюлетината и да започне отново.

Това е верно. Это също непълна защита, по две причини.

Първо, поведенска реалност. Повечето избиратели не четат внимателно всеки ред на отпечатано резюме на бюлетина, особено в заета избирателна секция с опашка зад тях. Научни изследвания на човешко поведение при проверка в контекст на сигурност са последователни: потребителите редовно приемат автоматично генерирани резюмета без да ги проверяват буква по буква. Система, която разчита на 100% на избирателите, които извършват внимателна ревизия на машинния изход, е система, която вече делегира повечето своя проверка на хора, които са разсейни, бързащи и необучени.

Второ, и по-фундаментално: дори избирател, който чете и одобрява текста, не е проверил QR кода. Тя потвърди, че текстът съответства на нейни избори. Тя не потвърди, че QR кодът го прави. Сканерът не преброява текста. Избирателят проверя едно нещо; системата брои друго. Това не са същата проверка.

Германския федерален конституционен съд хвана тази логика прецизно през 2009 г., когда е отхвърли електронните избирателни машини на основание, че съществени стъпки на гласоване и преброяване трябва да са проверими от обикновени граждани без специалистки познания. Съдът установи, че система, чиято коректност разчита на вяра в скрити процеси, отказва тест на публична проверяемост — независимо дали манипулация когато е доказана. Принципът важи еднакво за QR код, който обикновения гражданин не може декодира.

Холандците стигнаха до същото заключение през 2007 г., когато независимата комисия на правителството за избори заяви, че няма тайни в избирателния процес и че отговорите трябва да са проверяеми и верифицирани от когото — и препоръча отхвърляне на избирателни компютри в полза на хартиени бюлетини, които човек може да чете директно.

Истинската глава: какво би означавало "проверимо"?

Проверима бюлетина е записание, при която това, което е преброено, е същото нещо, което избирателят можа да проверя — и при което независима проверка може потвърди двете са идентични.

За ръчно маркирани хартиени бюлетини това се затваря естествено. Избирателят маркира хартията. Сканерът чете хартията. Одиторът разглежда хартията. Отметката на избирателя, четенето на машина и четенето на одитора — всички се отнасят към един физически обект. Несъответствия между машина и одитор показват грешка на сканиране; двете може да се проверяват срещу един източник.

За BMD система, която отпечатва QR кодове, този цикъл е счупен. Избирателят проверява текст. Машина преброява баркод. Одитор чете текст. Никой — не избирателят, не одиторът — независимо проверява дали баркодът казва какво текста каза.

Затваранието на този цикъл изисква едно от две неща. Или: QR кодът е отпечатан в форма, която избирателят и одиторът могат независимо декодира (човешки четливо кодиране, или отделен независим дисплей, който го декодира в реално време). Или: софтуерът за преброяване и кодиране на QR са сами открити, независимо проверяеми, и подложени на състезателното тестване — така че кодирането стъпка может да бъде проверена за честност преди всеки глас да е подхвърлен.

Системата на Лос Анджелес окръг Voting Solutions for All People (VSAP), сертифицирана от Калифорния през 2018 г. като първата публично притежавана, открит-източчна система за преброяване на избори, е пример на прозрачност-по-проект принцип: ако кодът е публичен и независимо проверяем, кодирането стъпка може да бъде разгледана от външни лица, вместо на вяра на казанието на продавача. Открит код не е достатъчен сам по себе си — имплементация, верига на пътувание и независимо тестване всички още имат значение — но той премахва основната непрозрачност.

Горния избирателен съд на Бразилия провежда годишен публичен състезателен тест на сигурност: квалифицирани граждани са поканени да попробват да счупят избирателните машини, намеренията се използват за подобряване на системата, и поправката се преповтяра. Това е структурна обвързаност с независима проверка, не еднократна сертификация.

Алтернативата — затворена, собствена система, сертифицирана един път и след това доверена — е модела съдът Curling имплицитно обвиняваше, и който прониканието на Coffee County през 2021 г. стави неприятно конкретно: собствения софтуер, на който Джорджия разчита за сигурност чрез тайност, бе копиран и разпространен в един следобед.

Какво все още не е проверимо — и какво щеше да го направи проверяемо

Ето къде стои историята на Джорджия 2020 днес, разказана честно.

Ръчното преброяване потвърди, че човешки четливия текст на приблизително пет милиона отпечатани бюлетини съответства на машинната преброяване. Това е значим данна. Това не е пълен одит. Глаха между "текста съответства" и "QR кодовете точно кодира избора на избирателя" не е независимо затворена от някакъв публичен процес.

Самия случай Curling беше по-късно отхвърлен на основание на положение през 2024 г. Процедурния резултат не адресира техническия намирането. Неспособност на съд да намери облекчение — защото избор е твърде близо, или положение е твърде тясно — не означава, че основната уязвимост е поправена.

Какво щеше всъщност затворить глаха?

  • Реално-време, независимо декодиране на QR кодове в избирателната секция, показано на избирателя преди бюлетината да бъде подхвърлена, използвайки хардуер или софтуер независим от BMD продавача.
  • Открит, публично проверяем изходен код за кодирането стъпка, подложени на состезателен преглед от изследователи, които не са нает от или договорени на продавача.
  • Редовно, независимо статистическо вземане на извадка на QR кодове след избор, декодирани от независими инструменти, сравнени със съответния човешки четлив текст, публикувани на нивото на избирателния район в машинно четливо форма за когото да изтегли и проверя.
  • RLAs прилагани на ръчно маркирани хартиени бюлетини където е възможно — така че артефактът на одит е преки отметка на избирателя, а не транскрипция на машина.

Нито един от тези не изисква предположение, че някой официален лице е нечестен. Те изискват само, че спрем да третираме "официалните лица го проверяха" като край на верига на проверка, и начнем да третираме независима, публична проверяемост като стандарт всяка система трябва да отговори на.

Преброяването, което преочитува баркода, не е преброяване. Това е воспроизведение.

Истински одит отива назад към това, което избирателят действително проверя. Сега, в повечето юрисдикции, които използват устройства за маркиране на бюлетини, този стандарт не е изпълнен — и никакво официално заявление мени този факт.

Вижте как тази глава се появява по цяло света в избирателни системи →

Прочетете двумиутната версия на проверимата бюлетинна проблема →

Източници

Вижте всички статииРазгледай пропуските