← Всички статии

Когда една компания строи, управлява и гарантира гласа

На 2 август 2017 г. компанията, която е построила машините за гласуване на Венецуела, каза на света — публично, на ясен английски — че официалната цифра за явка е лъжа. Нито една опозиционна партия го каза. Производителят го направи.

Вечер на 30 июли 2017 г., и Национално избирателна съветът на Венецуела е току що обявил число: 7,5 милиона души гласуваха на избора на Национално учредително събрание. Обявлението беше предназначено да придаде легитимност. Избрано суперорган щеше да преработи конституцията. Правителството нуждаеше се явката да изглежда решаваща.

Четиридесет и осем часа по-късно, Smartmatic — лондонската регистрирана компания, която е построила и управлявала автоматизираната избирателна инфраструктура на Венецуела от 2004 г. — издаде публично изявление. Главния му изпълнителен директор каза, че компанията знае „без никакво съмнение", че обявената цифра за явка е манипулирана, и преценим праз между действителното и обявеното участие на „поне един милион гласове". Smartmatic каза, че не може да одобри официалните числа.

Тогава Smartmatic се оттегли. Той се оттегли от последващите региални и общински избори на Венецуела през 2017 г. и прекратави целия си бизнес в страната до 2018 г.

Прочетете това отново бавно: производителят, който е построил системата, управлявал системата и сертифицирал резултатите на системата, заяви, че резултатите на системата са неправилни.

Моментът, когато веригата на доверието се изяде сама

Ето защо тази сцена е толкова структурно важна и защо преди всичко излиза далеч отвъд Венецуела.

В повечето страни веригата на доверието в електронния избор работи така: избирателите се доверяват на машините; официални лица се доверяват на сертификацията на производителя; наблюдатели се доверяват на официални лица; публиката е молена да се доверява на всички горепосочени. Архитектурата е кула, и всеки камък лежи на този под него.

В Венецуела през 2017 г. всеки камък беше един и същ камък. Националния избирателен съвет не е имал независим запис на одит. Нямаше криптографски запис, който трета страна да може да провери. Нямаше хартиени бюлетини, които Smartmatic да може да посочи като противоречащи на официалния обобщен брой. Единственото лице, позиционирано да знае дали цифрата за явка е точна, беше лицето, което я е произвело: производителя. И този производител, достигнал края на каквото и да е договорно или репутационно изчисление, което правеше, каза: не.

Когато производителят едновременно е строител, оператор и единствен верификатор, няма такова нещо като независима проверка — има само една точка на доверие, която може да откаже всичко наведнъж.

Публиката, опозицията, международните наблюдатели — никой от тях нямаше достъп до данни, които биха им позволили да потвърдят или опровергаят някое твърдение. Официалното число. Противотвърдението на производителя. И двете бяха твърдения. Нито едното не беше доказуемо отвън.

Това е проблемът, за който говори этот пост.

Концентрацията на доверие е дизайнерско решение, не случайност

Случаят на Венецуела е екстремен. Но основната структура — един производител притежава критичното знание за това как работи броенето — се появява в по-мекши форми в функциониращи демокрации.

Помислете какво намери американския федерален съд относно избирателната система на Джорджия през октомври 2020 г. В Curling v. Raffensperger, Севернияй окръг на Джорджия прегледа експертни показания за устройствата за отбелязване на бюлетини на Dominion на държавата и достигна до находка, която не получи почти достатъчно внимание: системата „не осигурява проверяемо и одитируемо записание на бюлетина, защото разчита на QR кода за таблучване на гласове и този код самия не може да бъде прочетен и проверен от избирателя."

Съдът също цитира заключението на Националните академии от 2018 г., че никой технически механизъм в момента не съществува, за да гарантира, че приложението за таблучване на гласове дава точни резултати, и че тестването едно самостоятелно не може да гарантира, че системите не са компрометирани.

Един избирател стои пред машината. Той прави своите избори. Лист хартия се отпечатва. Той вижда имена на своите кандидати в хумanno-четлив текст. Мисли си, че е проверил своя бюлетин. Но какво таблучилката действително брои е двумерен баркод — и той нямаме начин да го прочете. Нито работника в избирателния участък. Нито наблюдателя на партията, стоящ на пет метра разстояние.

Съдът разбра проблема и отказа да нареди извънредни средства в последния момент, предвид близостта на избора. Това е защитимо съдебно решение относно разрушението. Но забележете какво не направи: не установи, че проблемът не съществува. Нечетимия QR код е постоянна особеност на архитектура на системата, в която логиката на таблучването е, за всички практически цели, невидима за всички освен производителя.

Това е концентрация на доверие от различен вид от венецуелския — но е концентрация на доверие.

Какво „сертификацията" действително сертифицира

И двата случая споделят обща история на произход: идеята, че системата на производител, веднъж сертифицирана, може да бъде доверена да управлява броенето.

Американско правителственото счетоводно управление разгледа внимателно това предположение в своя доклад от 2005 г. (GAO-05-956). Той установи, че документирани проблеми с системите за електронно гласуване бяха повдигнали въпроси относно техния сигурност и надеждност, и че федералните усилия за подобряване на тези системи бяха в ход — но че ключни дейности останаха непълни. Сертификацията все още се изграждаше като процес дори докато избори работеха на системите, които тя щеше да валидира.

Ирландия открий същата празнина по-рано. Независима комисия по електронното гласуване, която разглеждаше системата Nedap/Powervote, която правителството беше закупило, заключи, че е „не в позиция да препоръча с необходимата степен на увереност използването на избраната система." Критично, установяването на комисията не беше, че системата щеше да откаже — беше, че не беше доказано на комисията задоволяващо, че щеше да работи. Невъзможността за проверка беше самата дисквалифицираща условие. Ирландия прекара 52 милиона евро на машини, които бяха формално разтрошени през 2009 г.

Забележете какво свързва тези случаи: бремето на доказване беше на неправилната страна. Официални лица и производители бяха молени да демонстрират надеждност на независимо тяло — и заключението на независимия орган имаше значение. Това е правилната структура. Проблемът е, че е изключението, не правилото. В повечето юрисдикции сертификацията е еднократен тест, проведен преди разкръстване. Системата преминава или отпада веднъж. Той тогава работи в живи избори — понякога за десетилетие — без друга независима проверка на еквивалентна строгост.

В този праз между теста на сертификация и избирателния ден, много неща могат да се променят. Софтуерът е актуализиран. Конфигурациите се преместват. Персоналът се сменя. И единственото лице, което знае, в реално време, какво системата действително прави, е производителя.

Епизодът с судебно-медицинската експертиза на Джорджия: как изглежда достъпът на инсайдър

Венецуелския случай включеше производител, издухващ всички свидетели отвън. Епизодът Coffee County, Джорджия през януари 2021 г. илюстрира различна версия на същата структурна уязвимост: какво се случва когато някой с достъп отвътре решава да вземе, вместо да разкрие.

На 7 януари 2021 г., фирма за компютърна криминалистика беше допусната в офиса на избирателния офис на Coffee County и направи копия на софтуера на избирателната система — сървъра на системата за управление на избори, полови подложки, устройства за отбелязване на бюлетини, сканери и софтуера на държавния Dominion избирателна система на Джорджия. Офисът на генерален секретар на щатаб по-късно описа това като неоторизиран достъп, който бившите официални лица на окръга позволиха в нарушение на държавния закон. Няколко човека, свързани с епизода, впоследствие признаха вина в обвиненията. Събитието е документирано в депозиции в Curling v. Raffensperger.

Ето архитектурния урок: целия софтуер на юрисдикцията беше собственост. Неговия модел на сигурност разчита на тайност — на кода остават скрити. Моментът, когато някой с физически достъп решава да го сподели, тайната отиде. Всичко, което лежеше върху него — моделът на сигурност, веригата на доверие, обещанието на сертификацията — отиде с нея.

Тайната не е безопасност. Система, построена, за да бъде проверена само от инсайдъри, е система, построена, за да откаже моментът, когато един инсайдър е компрометиран, принуден или просто кооперативен с някой, които не трябва да бъде.

Открит, независимо инспектируем код не решава всеки проблем. Сертификация, верига на приемане и строг одит след избори все още имат огромно значение. Но открит код поне отстранява слоя на непрозрачност, който прави производителя или официалния лице на единствения арбитър на това какво софтуера делае. Системата VSAP на Los Angeles County — първата общественоимущена, с отворен код система за тип изборите, сертифицирана под стандартите на Калифорния за гласуваща система, сертифицирана през август 2018 г. — е доказателство на концепция, че това е достижимо. Независимо от това дали открит код действително работи на избирателния ден, необходима е допълнителна проверка (точка, която епизодът на швейцарския пост/Scytl задния ход вивидно демонстрира). Но непрозрачност гарантира, че никой извън производителя може да провери.

По-дълбокият проблем: „ние го проверихме" не е същото като „вие можете да го проверите"

След избора на САЩ през 2020 г., на 12 ноември 2020 г., група висши официални лица по безопасност на избори издадоха съвместно изявление, обявяващо избора „най-безопасния в американската история". Изявлението беше подписано от официални лица в целия съвет за координиране на правителството на инфраструктурата на избори и партньорите на съветите за координиране на сектора, и издадено от Агенцията за сигурност и инфраструктура на кибернетиката.

Прочетете го внимателно и ще намерите нещо интересно. Разсъжденията на самото изявление за това защо е имало увереност разчита съществено на съществуването на хартиени записи, които позволяват преброявания и одити. Това означава: официалните лица казваха, неявно, че тяхната увереност дойде от механизмите на одит, които позволяват на някой да провери резултатите на машините — не от доверие на машините при вяра.

Това е действително правилния аргумент. Но той само держи, където хартиени записи са независимо четиви и одити са мощни. В Джорджия през 2020 г., преобщегосударствено ръчно броене на приблизително 5 милиона бюлетини — 41,881 партида разгледан в 159 окръга в по-малко от шест дни — потвърди резултатите на машинното таблучване в рамките на около десета от един процент. Това е вид независимо проверка, която прави увереността защитима.

Проблемът е, че ръчното броене на Джорджия работи, защото Джорджия имаше избирател-отбелязани хартиени бюлетини от системите от 2019 г. и по-ранни, които хората могле да прочитат с очите си. Ръчно преброяване на система от устройство за отбелязване на QR код бюлетина одитува резултатите на баркода — не намерението на избирателя. Съдът на Curling каза точно това: QR кода не може да бъде прочетен и проверен от избирателя. Ако машина кодира неправилния кандидат в баркода докато отпечатва правилното име в хумано-четлив текст, одитът ще потвърди кодирането на машината, не избора на избирателя.

Преброяване е само толкова надежден колкото записът, който брои. „Потвърдено от ръчно преброяване" на бюлетин, който никой не можеше да прочете в първо място, е успокоение, не доказателство.

Какво независимо проверяемостта действително изисква

Германския федерален конституционен съд изтегли линията през 2009 г., в решение относно машините за гласуване Nedap, използвани при избора на Bundestag през 2005 г. Съдът установи, че използването на електронни машини за гласуване изисква, че „съществените стъпки на гласуването и на определяне на резултата могат да бъдат разгледани от гражданина надежно и без никаква специална подготовка на темата". Машините съхранявано гласове само в електронна памет, без записани гласове да проверят. Те не преминаха този стандарт.

„Без никакава специална подготовка." Това е оперативния текст. Проверяемостта не е удовлетворена от казване на публиката, че експертите преглеждан системата. Не е удовлетворена от вътрешното тестване на производител. Не е удовлетворена от официално изявление, че всичко е отметнало. Това е удовлетворено когато записът произведен е един, който всеки заинтересован гражданин — не само компютърен учен, не само сертифициран одитор, не само производителя — може да разгледа и потвърди съвпада с което, което е имало намерение.

Това е висок бар. Но това е правилния бар. И случаите по-горе показват какво се случва когато то не е отговорено.

В Венецуела производителя беше единственото лице с знание да сравни обявената явка с каквото машините записан — и когато производителя и правителство не съгласиха, нямаше нищо гражданин да проверя, за да го разреши.

В Джорджия съдът намери система, в която артефактът на таблучване не може да бъде прочетен от избирателя, който го произвежда.

В Coffee County, тайната, която замества отвореността, доказа, че е непрозрачна моментът, когато един инсайдър избра иначе.

Низът е един и същ във всеки случай. Избора не е между надежден производител и ненадежден. Избора е между архитектура на системата, която изисква доверие в една единствена страна и една, която прави доверието ненужно, защото всеки може да провери.

Какво биха направили всичко това проверяемо?

Така че ето въпроса, за да затворим — и той не е риторичен.

След Венецуела 2017: Smartmatic каза явката беше надута поне един милион гласа. Правителството каза, че беше точна. Няма, до дата, няма независима одитна пътека трета страна щеше да използва, за да разреши този спор. Няма публично проверяема криптографска пътека. Няма хартиени бюлетини. Няма данни на равнище избирателен участък, които щеха да могат да бъдат съсредоточени срещу верига на приемане. Ако искахте да проверите някое твърдение отвън и двете страни, не можахте. Този прз — конкретния, технически отсъствието на проверяем запис — е какво добре-проектирана система щеше да попълнят.

След Curling v. Raffensperger: съдът намери QR кода нечетим от избирателя. Джорджия от тогава е преместена към по-пълно използване на ръчно-отбелязани хартиени бюлетини в някои контексти. Но въпроса за това дали софтуера на таблучване на която и да е юрисдикция правилно превежда хумано-четлив знаци на бюлетина в броене — и дали този превод може да бъде независимо проверен от някой други, отколкото производителя — остава отворен в повечето места.

Отговора не е „доверие на официални лица повече" или „доверие на производители по-малко". Отговора е системи, проектирани, така че нито официалните лица, нито производителите е необходимо да са допускани, защото записът, който те произвеждат, може да бъде проверен от всеки волен да направи аритметиката.

Това означава криптографски проверяема следи на одит. Резултати на равнище избирателен участък, издадени в машинно-четлива форма моментът, когато тази информация е окончателна. Открит, възпроизводимо построяв код. Независимо враждебно тестване — не като еднократна сертификация, но като продължаваща практика. И записи на бюлетина, който избирателя може да провери и гражданин може да одитира без необходимост да знае кой е построил машината или какви са били стимулите на производителя.

Венецуела през 2017 г. е най-ясната възможна илюстрация на това защо концентрацията на доверие в производител е категоричен грешка. Въпроса, който оставя отворен — въпроса, който прилага везде — е дали вашата система на юрисдикция щеше да позволи на всеки да открие, ако същото нещо се случи там.

Вижте как этот прз се появява в различни страни и системи · Прочетете версията от 2 минути на това, което независима проверяемост изисква · Разгледайте документирани случаи, където броенето не щеше да бъде проверено

Источники

Вижте всички статииРазгледай пропуските