← Всички статии

"Вярвайте ни" срещу "проверете сами": единственият дебат, който има значение в изборите

На 12 ноември 2020 г. девет старши официални лица декларираха изборите като защитени. Твърдението е било вярно — и почти напълно неопровержимо. Тази разлика е целият проблем.

На 12 ноември 2020 г., девет дни след затворенето на избирателните урни, малка група старши американски официални лица, занимаващи се с избирателната сигурност, седнаха и написаха изявление. Те не бяха partidzani. Те бяха професионалисти — от Агенцията за киберсигурност и инфраструктурна сигурност, от държавни и местни избирателни органи, от частния сектор. Те бяха прекарали месеци наблюдавайки атаки върху избирателната инфраструктура. И имаха нещо важно да кажат.

"Изборите на 3 ноември," написаха те, "бяха най-защитените в американската история."

Прочетете това предложение бавно. Това е забележително твърдение. И забележителното при него е не че е неправилно — няма достоверни доказателства че е такова. Забележителното е формата на твърдението. То е твърдение от авторитет. То ви молит да вярвате на хората, които го казват.

Това е точно неправилната основа за демократична легитимност. И, скрито в собствената логика на изявлението, официалните лица изглежда наполовина го знаят.

Какво всъщност казва изявлението на CISA

Отворете съвместното изявление от 12 ноември 2020 г. и прочетете отвъд заглавието. Официалните лица не казаха "вярвайте ни". Те предложиха причина: "Няма доказателства че някоя избирателна система е изтрила или загубила гласове, е променила гласове, или е била по някакъв начин компрометирана."

И тогава казаха нещо решаващо: изявлението подчерта стойността на хартиени записи на гласовете, които позволяват преброявания и проверки, когато е необходимо.

Ето го. Скрито в обещание за сигурност е признание за как сигурността е позната. Собствената увереност на изявлението почива на съществуването на независимо проверяеми хартиени записи — артефакти, които някой различен от авторитета може да проучи. Без тези записи, обещанието би било неопровержимо: никой не би могъл да го проверява изобщо.

Официално изявление "то е било защитено" е твърдение. Това което го прави стойностен е дали обществото може независимо да го проверава — или трябва просто да приеме думата на хората, които управляваха изборите.

То не е партизански пункт. То е структурен пункт. И се прилага на всякакви избори, управлявани от всяка партия, във всяка страна.

Въпросът, в който се редуцира всеки голям избор

Ето на какво се свежда всеки голям избирателен спор, който сте чели. Отстранете шума, адвокатите, графиките по кабелната телевизия. В центъра на всеки един винаги е един и същ въпрос:

Може ли публиката независимо да проверява това, или трябва да приеме чиято-то дума?

В Малави през 2020 г. съдилищата анулираха президентски избори защото официалните таблици с резултати бяха презаписани с течност за корекция. Избирателната комисия декларира победител. Броят изглеждаше като брой. Но изходните документи — нещото, по което бихте проверили броя — бяха тихо променени. Проверяемостта е изчезнала и заедно с нея резултатът. Върховният апелатен съд потвърди анулирането.

В Венецуела през 2017 г. компанията, чиито машини управляваха изборите — Smartmatic — публично заяви че знае "без никакво съмнение" че обявеният участък е бил манипулиран с поне един милион гласове. Избирателният орган декларира число. Производителят на машините декларира различна реалност. Нито един не можеше да бъде независимо проверяван срещу устойчив на подделка запис, до който някой извън правителството да има достъп. Спорът не можеше да бъде разрешен. Все още не е.

В Кения през 2017 г. Върховният съд отмени президентския избор защото резултатни формуляри от избирателните секции не бяха електронно предадени както е изисквано по закон, финалната таблица липсва воден знак или сериен номер, и председателят декларира победител преди да получи всички основни формуляри. Мнозинството на съда установи че веригата на доказателства, необходима за независимо проверяване на броя, е била прекъсната. Резултатът не е был проверяем. Той е отменен.

Три различни страни. Три различни технологии. Един идентичен проблем.

Ответ на Германия: ако само експерт може да го проверява, това не е истински избор

На 3 март 2009 г. осем съдии в Karlsruhe издадоха решение, което преосмисля целия дебат.

Федералният конституционен съд на Германия, в обединени дела 2 BvC 3/07 и 2 BvC 4/07, отмени употребата на компютърно управлявани гласуващи машини Nedap на федералните избори. Не защото машините бяха дала сбой. Не защото някой е могъл да докаже че гласовете бяха променени. Но защото машините съхраняваха гласовете само в електронна памет, без независимо проверяем запис, който гражданин да може да проверява.

Разсъждението на Съда заслужава да бъде прочетено в оригинала. То установи че употребата на електронни гласуващи машини изисква че "съществените стъпки на гласуването и определянето на резултата могат да бъдат проверени от гражданина надежно и без никакви специални познания по предмета."

Без никакви специални познания. Гражданин — не компютърен учен, не сертифициран ревизор, не държавен секретар — трябва да бъде в състояние да вижда и проверява съществените стъпки на броене на собствения си избор.

Това следва от това което Съда назва принцип на Öffentlichkeit der Wahl — публичния характер на изборите — вложен в немския Основен закон. Изборите са публични действия. Тяхната легитимност произтича от публична видимост. Процес на броене, който изисква оценка на софтуерен експерт, не е публично видим. То е частно доверие.

Конституционният съд на Германия не забрани електронното гласуване защото машините са недостойни доверие. Той го забрани защото "вярвай ми, съм експерт" е структурно несъвместимо с демократични избори.

Холандия достигна същия извод две години по-рано чрез собствена независима комисия. Доклад на Korthals Altes, Stemmen met vertrouwen — Гласуване с доверие, постави основни изисквания за всяка гласуваща система: прозрачност, проверяемост — controleerbaarheid — интегритет и тайна на гласа. Неговото заключение беше че няма тайни в процеса на избора, и че въпросите трябва да бъдат отговорени и отговорите да бъдат проверяеми и верифицируеми. Хартията победи. Не като ностална предпочитание. Като единствения метод, който отговаря на стандарта.

Какво оставят отворени обещанията, основани на доверие

Върнете се на изявлението на CISA. Официалните лица бяха прави че хартиените записи позволяват проверки и преброявания. Но не всяка юрисдикция през 2020 г. имаше еднакво проверяеми хартиени записи — и изявлението не прави разлика между тях.

Помислете какво федерален съд намери относно балотните маркиращи устройства на Джорджия през същия месец. В Curling v. Raffensperger, федералният окръжен съд за североизточния район на Джорджия намери че системата на Dominion "не предоставя проверяем и одитен балотен запис защото разчита на QR кода за броене на гласовете и този код сам не може да бъде прочетен и проверен от гласоподавателя."

Помислете за миг. Има хартия. Можете да я държите. Но нещото което всъщност определя вашия глас — QR кодът — е нечетим от човешкото око. Ако машина трябваше мълчаливо да промени QR кода, оставяйки човешкичиталния текст непокътнат, нямаше начин да го откриете. Ръчен преброй на хартията би преброял резултатите на баркодовете, не вашия замисъл.

Това не е теория на заговора. То е описание на архитектурата на системата, потвърдено от федерален съд разглеждащ експертни доказателства.

Изявлението на CISA не е неправилно да сочи към хартиени записи. Но хартиените записи са толкова добри както е написано на тях, и способността на публиката да независимо чете и проверява тях. Хартиена тропа, която изисква баркодни скенер за интерпретиране, не е същото като хартиена тропа която гражданин със нормално зрение може да проверя.

Изявлението също не казва: "и ето където можете да изтеглите резултатите на всеки избирателен район, за да проверите общите суми сами." Собственото ръководство на Американската комисия за избирателна помощ насърчава официалните лица да направят резултатите изтегляеми в машинно-четими формати като .csv и .xml. Някои държави го спазват; някои не. Обещанието че изборите беше защитени не е същото като публикуван, машинно-четим запис, който всеки може да съглася.

Какво "проверяемост" всъщност трябва да означава

Ето какво независимата проверяемост изисква — и какво не.

То не означава паранойя. То не означава че официалните лица са лъжци. Грешката в окръг Antrim, Мичиган през 2020 г. — където грешни резултати бяха публикувани накратко — е била причинена от човешка грешка в програмирането, не измама. Была открита не от вътрешна защита но защото резултатът е бил невероятно неправилен за окръг чиято политика всеки знаеше. По-фина грешка, в по-тесен състезание, в окръг без очевидна предходна основа, може да не бе привличане на същото внимание.

И дори ръчният преброй, предназначен да потвърди поправката, е бил отстъпен с около дузина гласове. В състезание решено от дузини гласове, метод на проверяемост, който е отстъпен дузини гласове сам, не е доказателство. То е по-добро приближение със собствена неводима грешка.

Истинската проверяемост означава три неща:

Първо, записът който е преброен трябва да бъде същия запис който гласоподавателят може да провери. Балот който гласоподавателят маркира с ръка, или отпечатък на балотномаркиращо устройство в ясен човешкичтам четим текст който гласоподавателят може да проверява преди депозирането му, отговаря това. QR код не.

Второ, резултатите трябва да бъдат публикувани в форма която всеки може да проверява, без да пита разрешение. На ниво избирателен район, машинно-четими, с времеви печат, изтегляеми. Айдахо вече го прави. Както и повечето държави, според NCSL. Но да го правят по-добре — мигновено, за всеки избирателен район, в формат който всеки може да съглася срещу докладаният общ брой — е разликата между твърдение и доказателство.

Третьо, независимо враждебно тестване трябва да бъде вградено в системата, не прибавено след що възникнат спорове. Върховният избирателен съд на Бразилия е провеждал официален тест за публична сигурност от 2009 г., приканвайки всеки квалифициран гражданин да сондира машините и софтуера за гласуване преди всеки избирателен цикъл. Намериците се поправят и преиспитват. Това не е сертификационен театър — това е противоположното на "вярвай ни". То е "опитай да го счупиш, и ето правилата."

Контрастирайте това със случилото се в Нов Южен Уелс през 2015 г.: преглед на сигурността бе очистил онлайн системата iVote, приблизително 280 000 гласове бяха вече подадени, и независими изследователи намериха сериозни недостатъци докато изборите все още се провеждаха — включително механизъм за проверяемост който сам можеше да бъде манипулиран. Или Швейцария през 2019 г., където публикуване на изходния код за независим преглед позволи на криптографи да намерят врата в доказателството на разбъркването което щеше да позволи на авторитет да генерира валидни крипто графско доказателство докато всъщност е променил гласовете. Недостатъкът е бил немогъш в затворена система и могъш в открита.

Моделът е съответен във всеки случай: проверяемост от външни лица улавя това което вътрешна сертификация пропуска.

Нещото което не може да бъде проверявано

Ето какво все още не е проверяемо — и какво би го направило проверяемо.

Изявлението на CISA казваше че няма доказателства че гласуващите системи бяха компрометирани. То е вярно. То е също неопровержимо в много юрисдикции, защото капацитетът на проверката варира огромно. Колорадо завърши първата одит за ограничаване на риска в цяла държава през 2017 г. — математически строга процедура която статистически потвърждава докладания резултат или го улавя със определена доверие. Джорджия проведе пълен ръчен преброй на приблизително 5 милиона балота през 2020 г. който потвърди машинния преброй до десета доля процент. Това са значими проверки.

Но други юрисдикции разчитат на по-малко. И дори проверката на Джорджия на ръка — впечатляваща в мащаб — одити балота някои от чиито човешкични четими текст може не е съответстваше на QR кодовете които бяха преброени, защото ръчният преброй чете човешкския текст, не баркодовете.

Върховният съд на Индия, в своето решение от март 2024 г., отказа да отмени електронното гласуване но затвори правилата: единици за зареждане на символи трябва да бъдат запечатани и съхранявани 45 дни след резултатите, и кандидатите могат да изискат проверка на памет на микроконтролера в 5% от машините, ако оспорват резултат. Съд който укрепи електронна система все още намери необходимо да укрепи физическата верига на съхранението и разширява независимите инспекционни права. Защото увереност произтича от проверяеми доказателства — не от обявяването на резултат.

Въпросът не е дали изборите 2020 беше защитени. Въпросът е дали вие можете да проверите това, независимо, без да вземате чиято-то дума.

За много състезания, в много юрисдикции, все още не можете.

Това не е стабилна основа за демократична легитимност. Поправката не е по-добро изявление от официалните лица. Поправката е система която публикува мигновени, на ниво избирателен район, машинно-четими резултати които всеки може да изтегли и проверя — и чийто софтуер за броене всеки може да инспектира.

"Най-защитени в американската история" е отправна точка за разговор за какво проверяема сигурност всъщност изглежда. То не е краят на един.

Вижте колко често се среща тази разлика в проверяемостта по целия свят — разгледайте глобалния атлас за избирателен интегритет. Или прочетете двойно-минутната версия на това което прави гласуваща система независимо проверяема — начните тук. Ако искате да се потопите в специфични случаи където разликата е имала значение — изследвайте нашата база данни.

Източници

Вижте всички статииРазгледай пропуските