← Всички статии5 септември 2026 г.

Две демокрации, противоположни отговори за машините за гласуване

Германия погледна машина за гласуване и попита: може ли всеки гражданин да провери това? Естония попита: можем ли да направим гласуването по-лесно? Само един от тези въпроси води до демокрация, която действително можеш да провериш.

Сутринта на 3 март 2009 г. осем съдии в Карлсруе четат решение, което в течение на няколко месеца ще извади всяка машина за гласуване от всеки избирателен участък в Германия. Не защото е доказана измама. Не защото даже един глас е показан, че е изменен. Но поради един въпрос, на който машините не могаха да отговорят.

Може ли обикновен гражданин, без специализирани познания, да провери че броенето е правилно?

Машините не можаха да кажат да. Това беше достатъчно.

Междувременно, в Талин, различен отговор бе тихо включван в национална инфраструктура. Интернет гласуването на Естония — i-voting — растеше избор след избор, година след година. Избирателите гласуват от кухненските си маси. Явката се повиши. Системата получаваше похвала в международен план. И тогава, през 2014 г., един екип от независими специалисти по сигурност sedяха с публикувания клиентски код и видеата на операциите на сървъра, които естонските служебници бяха издали.

Това, което намериха, беше другият отговор. Този, който Германия отказа.

Какво всъщност решила Германия — и защо не беше въпрос за измама

Германския случай начина с жалба относно федералния избор през 2005 г. Машини на Nedap са използвани в части на страната. Машините записваха гласовете в електронна памет. Те не произвеждаха хартия, която избирателят можеше да провери. Не съществува независим запис, който можеше да бъде проверен впоследствие.

Федералният конституционен съд не се нуждаеше от доказателства за манипулиране, за да се произнесе срещу тях. Неговия стандарт не беше "се случи ли измама?" а "могли ли гражданите да я уловят, ако се е случила?"

Съдът постанови, че демократичната легитимност произтича, отчасти, от публичния характер на избори — това, което германското конституционно право нарича Öffentlichkeit der Wahl. Член 38, прочетен заедно с членове 20.1 и 20.2 от Основния закон, изисква съществени стъпки на гласуване и определяне на резултатите да могат да бъдат проверени от гражданите надеждно и без специализирани познания.

Затворен софтуер, гласовете съхранени само в памет, без проверен от избирателя запис: машините не издържаха всяка част от този тест. Федералният регламент за машини за гласуване беше неконституционен.

Обърнете внимание на това, което Съдът не направи. Той не обяви избора от 2005 г. за невалиден — преценката на конституционния дефект срещу нарушението на преизборите на демократично избран парламент, и не намери доказателства за действително неправилно функциониране. Но машините бяха свършени. Германия се върна към хартиените бюлетини и ръчно броене.

Принципът, който съдът формулира, не беше технически преценка. Това беше демократична: резултат, който само експерт може да провери, не е резултат, който демокрация наистина е преброила.

Холандците стигнаха до същото място две години по-рано. Тяхната комисия за консултация на избирателния процес, в докладът си от 2007 г. Stemmen met vertrouwen ('Гласуване с доверие'), го формулира ясно: няма тайни в избирателния процес — въпросите трябва да имат отговори, а отговорите да могат да бъдат проверени и верифицирани. Холандия се върна към хартиени бюлетини. Регламентите, оторизиращи машини за гласуване, бяха отменени.

Две богати, стабилни европейски демокрации, никоя от които не е особено технофобна, погледнаха непроверяемото електронно гласуване и казаха: недостатъчно добро.

Естония каза да — и построи най-проверяваната онлайн система за гласуване в света

Системата i-voting на Естония израства от различна традиция. Малка нация, която дигитализира цялата си правителствена инфраструктура — цифрови удостоверения, онлайн данъчни декларации, електронни медицински записи — виждаше интернет гласуването като естествено разширение на своето цифрово държавно управление. До време на муниципалните избори през 2013 г., стотици хиляди естонци гласуваха национални бюлетини онлайн.

За разлика от машините на Nedap в Германия, естонската система поне публикува своя клиентски код. Служебници издадоха видеа на операциите на сървъра. Имаше наистина усилие на откритост — повече от това, което повечето онлайн системи за гласуване опитват.

И именно тази откритост направи анализа от 2014 г. възможен.

Един независим екип — Springall, Finkbeiner, Durumeric, Kitcat, Hursti, MacAlpine, и Halderman — наблюдаваше системата по време на муниципалните избори през октомври 2013 г. и провери публикувания софтуер и конфигурация на сървъра. Документираха находките си в преглеждана статия, представена на ACM CCS 2014.

Находките бяха сериозни.

Оперативната сигурност при подготовката на сървъра беше видимо небрежна — уловена в самите видеа, която служебници издадоха. Архитектурата на софтуера съдържаше пропуски. Най-значително, изследователите заключиха, че добре оснащен нападател — държава-противник, или нечестен инсайдер — би могъл вероятно да компрометира интегритета на гласовете или приватността на избирателите без разкритие.

Не 'би могъл да забави системата'. Не 'би могъл да причини видим крах'. Би могъл да промени гласовете. Необнаружимо.

Естонските избирателни органи оспориха заключенията. Спорът е реален и текущ, и находките на изследователите не са обсъдени от никой съд. Но забележете структурата на този неприятие: това е технически спор между експерти в сигурността, провеждан в преглеждани форуми, точно защото естонската система беше достатъчно открита, за да има нещо, което да изучават външни изследователи.

Естонския случай не е история на корумпирана избора. Това е история на система, която поканила надзор и тогава не можеше напълно да го преживее.

Две предположения, изяснени

Германия и Естония направиха различни залози, и си струва да ги назовем ясно.

Залогът на Германия: Легитимността на демократична избора зависи от способността на обикновените граждани да проверят броенето. Всяка система, която не издържи този тест, е неконституционна, независимо дали някога е неправилно функционирала.

Залогът на Естония: Удобството, участието и цифровата инфраструктура имат значение. Независимия експертен преглед и публикуван код са достатъчни, за да установят надеждност.

И двата залога са кохерентни позиции. Но те се основават на фундаментално различни представи за това кой е позволен да проверява резултата — и как.

Стандартът на Германия е радикален в своята простота: гражданинът. Не сертифицирания експерт. Не избирателната власт. Не продавачът. Гражданинът, стоящ в избирателния участък, или наблюдаващ броенето от галерията, трябва да може да проследи какво се случва с неговия глас без да се нуждае от диплома по компютърни науки.

Стандартът на Естония е по-модерен, по-гъвкав — и зависи повече от доверие. Той предполага, че ако кодът е публикуван, експертите могат да го прочетат; ако експертите могат да го прочетат, проблемите ще се появят; ако се появят проблеми, те ще се решат. Този ланец изисква всяко звено да се издържи. Изследването от 2014 г. показа, че поне един линк — способността да се открие софистицирана атака от инсайдер или държава — не беше явно твърд.

Това, което разбра Германския конституционен съд, и това, което артикулира Холандската комисия, е че експертния преглед е необходим, но недостатъчен. Избора, която изисква да се доверите на ланец експерти, е все още избора построена на доверие, не на проверяемост. Разликата има значение най-вече когато експертите не се съгласяват — което е точно това, което се случи в естонския случай.

Пропастта на проверяемостта, която никой достатъчно не обсъжда

Ето проблема, който нито една страна не решила напълно, изявен ясно.

Хартиените бюлетини на Германия и ръчното броене са проверими в смисъла, който съдът имаше предвид: можеш да видиш как бюлетина се поставя в кутия, как кутията се затваря, как се брои. Гражданин без специализирани познания може да проследи съществените стъпки.

Но хартията не е последния спомен за проверяемостта. Ръчното броене в Джорджия през 2020 г. — пет милиона бюлетини преброени ръчно в 159 графства в по-малко от шест дни — потвърди машинния брой с приблизително една десета от един процент. Това е впечатляващо. Също така не е същото като да се каже че ръчното броене беше безгрешно. В округ Antrim, Мичиган през същата година, ръчна ревизия от приблизително 15,700 президентски бюлетина се отличаваше от машинния преглед с около дузина гласове. Дванадесет гласове, в малък окръг, след ръчно преброяване.

Дванадесет гласове звучат като нищо. В надпревара решена с по-малко гласове от това — което се случва — метод, който сам по себе си е грешен на няколко гласа, не може да реши въпроса. 'Ръчното броене го потвърди' е успокоение, не доказателство. Дори доверения золен стандарт носи неискупим човешки грешки.

Цифровата система на Естония, в принцип, би могла да направи нещо, което хартията не може: генериране криптографско доказателство, че всеки преброен глас е бил хвърлен от подходящ избирател и преброен правилно, без да разкрива как гласува всеки отделен избирател. Това е обещанието на край-до-край проверяемо криптографско гласуване, и то е наистина по-мощно от броене на хартия ръчно.

Но естонската система не доставаше напълно това обещание. Изследователите от 2014 г. намериха че криптографската архитектура, както е внедрена, остави място за необнаружима манипулация. Публикуването на кода беше необходимо условие за намиране на това. Не беше достатъчно условие за решаването му.

Швейцарската федерална интернет система за гласуване узна това трудния начин през 2019 г. Swiss Post и неговата доставчик Scytl публикуваха пълния изходен код за публична преглед. Независимите изследователи Lewis, Pereira, и Teague намериха криптографска врата в доказателството за смесване на mixnet — пропуск, който би позволил на орган, който знае определени тайни стойности, да генериране преглеждащ стенограм, който изглеждаше валиден, докато всъщност скриваше променени гласовете. Пропускът беше невидим в сертифицирана черна кутия. Той беше видим в момента, когато кодът беше публикуван и реални криптографи погледнаха.

Открит код открива пропускът. Открит код беше необходим. Но открит код сам по себе си не направи системата проверяема — направи системата одитираща, което е предпоставка за проверяемост, не самото нещо.

Какво би означало наистина да се реши това

Германския стандарт — проверяемост на гражданина без специализирани познания — и естонския амбиция — криптографско доказателство на коректност — не са всъщност в конфликт. Те посочват към същата дестинация по различни пътища.

Дестинацията е система, където всеки избирател, и всеки независим наблюдател, може да проверят че неговия глас беше включен в броенето, че броенето беше изчислено правилно, и че не се е допустно събиране или изтриване — без да се доверяват избирателния орган, продавачът, или някой един експерт да им го кажат.

Хартиени бюлетини, сканирани и оптично прочетени, одитирани ръчно под протокол на одит с ограничен риск, близо до германския стандарт — но зависят от цепта на физическото съхранение на бюлетините да е непрекъсната. Австрийския конституционен съд анулира президентска избора през 2016 г. не защото измама беше открита, но защото процедурните гарантии около пощенските бюлетини беха нарушени в числа, които биха могли да засегнат резултата. Разкъсана верига на съхранение е непроверяем резултат, дори със хартия в ръцете.

Криптографски край-до-край проверяеми системи, ако са правилно внедрени и независимо проверени, дойдат по-близо до техническо доказателство на коректност — но зависят от внедрението да е твърдо, кодът да бъде инспектираем, и криптографията да бъде правилна. Швейцария открива че сертифицирана система може да носи скрит пропуск, който преминава всяка официална проверка.

Урокът не е че хартия е по-добра от криптография, или обратното. Урокът е че 'доверете ни' — на служебници, на продавачи, на експерти — е режима на неправилно функциониране, който всеки подход в крайна сметка произвежда, ако не е заменен с нещо, което всеки може независимо да проверява.

Това е по-твърд стандарт от всеки един, който някоя страна е напълно отговорила. Германия отговори част от него, като настои на гражданин-четлива прозрачност. Естония опита да отговори част от него чрез публикуван код и експертен преглед. Нито един подход сам по себе си ви отвежда до резултат, който е наистина, независимо, публично проверяем.

Норвежкия интернет гласувалния пилотен проект, провеждан през 2013 г. и затворен през 2014 г., стигна до по-проста заключение: доверие че гласовете не са променени не може да бъде осигурено, и удобството не доставаше обещаното увеличение на явката. Понякога правилния отговор е да спреш и очакваш система, която всъщност решава проблема.

Въпросът, който никой отговор не затвори

Ето какво остава неуредено, изявено толкова ясно, колкото е възможно.

Германския хартиено-и-ръчно-броене система е най-четлива за гражданина система за гласуване налична. Но не е независимо проверяема в формален смисъл: ръчното броене може да е грешно с малка граница, верига на съхранение может да бъде разкъсана без да остави очевидни доказателства, и гражданинът, който гледа броенето, доверява че запечатаната торба, която вижда, е тази, която съдържа правилните бюлетини.

Естонския i-voting система е смела и, по някои начини, по-амбициозна от всичко което Германия опита. Но екипът изследователей от 2014 г. заключи че софистицирана нападател би могъл да промени национално онлайн гласуване необнаружимо. Органите оспориха това. Нито органите нито изследователите могат доказват другия неправ по начин, че негражданин експерт може независимо да проверят — което е, разбира се, точно проблемът, който германския конституционен съд открива през 2009.

Пропастта, която нито една страна не затвори, е това: избирателна система, която произвежда, за всяка избора, публичен, машинно-четлив, криптографски проверяем запис, че всеки човек с лаптоп и време може проверяват срещу обявения резултат — без да се доверяват софтуера, продавачът, служебници, или надежност на всеки експерт.

Тази система съществува в изследователска литература. Никога не е била внедрена на национално масщаб във обвързваща избора със тези свойства в пълна интактност.

Докато не е, избора между Германия и Естония е избор между два вида доверие — доверие на гражданин-четлив процес, който можеш гледаш, и доверие на експерт-четлив доказателство, което не можеш напълно следвам. И двата е по-добре от нищо. Нито един не е краят на спора.

Следния път, когато един служебник ви каже че избора беше проверена, попитайте: проверена от кого, срещу кой запис, по начин, който аз бих могъл да проверя себе си?

Ако отговорът изисква да доверите някого, работата не е завършена.

Вижте как често се среща този пропуск на проверяемостта във целия свят — страна по страна, метод по метод → атласа

Прочетете двуминутната версия за това защо проверяемостта не е същото като сигурност → проста

Изследвайте документирани случаи където пропастта между обявени резултати и проверяеми резултати значи → пропасти

Източници

Вижте всички статии Разгледай пропуските