← Всички статии

Как би изглеждало пълноценно проверимо избиране за един избирател

Как би се почувствало да гласуваш в система, която можеш сам да провериш — не чрез доверие към официално лице, а чрез проверка на математиката?

Работен ден сутрин в Brasília, и група хора, които не са избирателни официално лица, получават ключовете на машината.

Не метафорично. Квалифициран разследвач — компютърен учен, независим изследовател, гражданин, чийто тестов план е одобрен — седи пред Brazil's urna eletrônica, електронната машина за гласуване, използвана от над 150 милиона избиратели. Официално и писмено е казано, че трябва да се опита да я прекъси. Tribunal Superior Eleitoral, Superior Electoral Court на Бразилия, е публикувал правилата, отворил вратите и поканил публиката. Всичко, което открие, TSE се ангажира да поправи преди следващите всеобщи избори.

Това е Teste Público de Segurança — Public Security Test — който Бразилия провежда от 2009 г. Регулиран е от TSE Resolution 23.444/2015 и обхваща целия избирателен цикъл: генериране на избирателен материал, гласуване, събиране, предаване на файлове и системите за одит, използвани за проверка на електронния брой. Резултатите се използват за подобрение на системите. Поправките се преглеждат отново в потвърждаващи тестове преди избирането. Никакви затворени стаи. Никаква дума на продавача.

Можеш да се запиташ: какво общо има това с теб, избирателя?

Всичко.

Какво "проверимо" всъщност означава от твоя позиция

Повечето избиратели преживяват избиране по един и същ начин. Влизаш, маркираш нещо, излизаш. Може да получиш стикер. Няколко дни по-късно, някой обявява победител.

На никой етап от тази последователност можеш да потвърдиш — лично, независимо, без да звониш на гореща линия или да вярваш на пресс бюлетин — че твоят глас е преброен, че е преброен правилно и че крайният брой отразява това, което действително са избрали всички избиратели в твоя избирателен район.

Това не е паранойност. Това е описание на това как функционира практически всяка съществуваща избирателна система. Броенето се извършва някъде другаде, на нещо, което вече не притежаваш, от процес, който не можеш директно да наблюдаваш.

Въпросът, на който пълноценно проверимото избиране трябва да отговори, е: какво би трябвало да е вярно, за да провериш сам, прямо сега, със собствените си очи?

Този въпрос е по-труден, отколкото звучи. И няколко места по целия свят начват да му отговарят конкретно.

Сцената в Brasília и какво доказва

Публичният тест за сигурност на Бразилия не е упражнение с пресс бюлетин. Квалифицирани разследвачи подават тестови планове, получават достъп до действителните системи и изпълняват своите атаки под наблюдавани условия, обхващащи целия избирателен цикъл. TSE публикува програмата и нейните резултати. Това е институционализирано противоположното преразглеждане — избирателната власт третира своите собствени системи като подозрителни, докато външните лица са се опитали да ги разбият.

Това има значение по конкретна причина: променя какво означава "сертифицирано".

В Ирландия през 2004 г. държавна комисия не можеше да препоръчва e-voting система, за която правителството е платило, тъй като не можеше независимо да се убеди в точността и секретността на системата. Системата никога не е използвана. В Германия през 2009 г. Federal Constitutional Court реши, че електронното гласуване е легитимно само когда обикновени граждани — не само експерти — могат да проверят съществените етапи на броенето без специализирано знание. Собствената консултативна комисия на холандското правителство прави същото заключение същата година: няма никакви тайни в избирателния процес и че всеки метод, приемлив за демокрацията, трябва да произведе резултати, които са отговарящи и проверими от публиката.

Сертификация от една единствена власт, един път, преди разполагане, не е това, което тези съдилища и комисии искаха. Те искаха нещо постоянно, открито и независимо проверимо.

Тестът на Бразилия, несъвършен като всяка човешка институция, сочи към правилната цел: каниш публиката да атакува твоята система, поправяш това, което открият, и документираш целия процес. Това не е доверие. Това е проверка.

Конкретното изборче изживяване: какво се променя, когато система е конструирана по този начин

Нека направим това физическо. Представи си изживяването на гласуване в система, дизайнирана от земята нагоре за публична проверяемост.

Пристигаш на избирателен пункт. Машините, управляващи броенето, са построени на публично собствен, open-source софтуер — което означава, че кодът, който брои твоя глас, не е търговска тайна. Всеки може да го прочита, да го компилира и да потвърди, че версията, работила днес, е версията, която е проверена. Los Angeles County's Voting Solutions for All People (VSAP) — първата публично собственост, open-source vote-tally система, сертифицирана в Калифорния, сертифицирана от Secretary of State на 21 август 2018 — направи точно тази стъпка: окръгът установи работна група с отворен код, така че независими експерти да могат да проверят какво се управува, не само да вярват на дума на продавача.

Маркираш своята бюлетина. В добре проектирана система, артефактът, който маркираш, е артефактът, който се брои. Не QR код, който само машина може да прочита — федерален съд в Georgia открива през 2020, че Georgia's ballot-marking devices разчитат на QR barcode за vote tabulation, които избирателят не може да прочита и да потвърди, което означава, че физическата хартия всъщност не е това, което се брои. В проверима система, това, което маркираш и което се сканира, е един и същ четим за човека неща.

Депозираш бюлетина в герметично затворена кутия с печат. Номерът на печата е записан. Можеш да го отбележиш.

Твоят избирателен район брои своите бюлетини. Резултатът — не само победител, но пълното разбиване на избирателния район, в формат, който могат да прочета машините, който всеки може да сваля — се публикува в момента, когато е окончателен. Не агрегирано нагоре в окръжен брой, който се появява часове по-късно без гранулиран резервен. Числата на твоя избирателен район, точно там, свалящи, помирими от всякакви електронни таблици.

След избирането независим одит черпи статистически определена проба от физически бюлетини и ги проверява срещу брой на машините. Не защото се допуска измама, а защото това е как потвърждаваш резултат вместо просто да обявиш един. Colorado стана първият щат, който провежда държавен риск-ограничаващ одит през 2017 г. — метод, който определя ръчната проверка според маржа на състезанието, давайки определено равнище на статистическа увереност, не фиксиран процент точка-проверка, която доказва почти нищо при близко състезание.

На всеки етап, веригата на съхранението е документирана и публична: кой е затворил кутията, кой я е транспортирал, кой я е отворил, кой е свидетелствувал. Austria's Constitutional Court отмени президентски избор през 2016 г. — не защото е доказана измама, а защото пликове с отсъстващи гласове са отворени и гласовете е съществува непълномощни хора без необходимите свидетели, в числа, надвишаващи печелившия марж. Веригата на съхранението е прекъсната, и когато прекъсва, резултат не може да бъде доверен, дори ако се окаже вярно.

Броят, който можеш сам да провериш

Ето версията на избирателната нощ, която проверяемостта прави възможна.

Твоя избирателен район затваря в 20:00. До 20:45, лентата за брой от оптическия скенер е поставена на стената на избирателния пункт, по начина, по който много юрисдикции вече налагат. Няколко минути по-късно — или същата нощ — резултатът на избирателния район е публикуван онлайн в свалящ файл.

Отиваш си вкъщи. Отваряш браузер. Свалаш файла с резултатите на районе. Намираш своя избирателен район. Проверяваш числата срещу това, което видя поставено на избирателния пункт.

Те се напасват.

Сега проверяваш всички избирателни райони в твоя окръг. Добавяш ги. Получаваш окръжния брой. Проверяваш го срещу публикувания брой на окръга.

Напасват се.

Всеки в страната може да прави това едновременно. Журналисти. Академици. Случайни пенсионирани счетоводители. Волонтери на политическа партия. Резултат, който никой не може лично да промени, защото хиляди хора наблюдават аритметиката отвън, е фундаментално различно нещо от резултат, който те бяха помолени да доверят.

U.S. Election Assistance Commission вече настоява на администраторите да направят резултатите свалящи в общи формати — .csv, .xml — и да посочат кои типове бюлетини включва всеки доклад. Idaho публикува резултати на районе с свалящи сурови данни. Това са строителните блокове. Архитектурата не е научна фантастика.

Какво отворяният код всъщност ви дава — и какво не

LA County's VSAP е стойност на внимание за момент, защото демонстрира както силата, така и ограниченията на open-source софтуер в избирането.

Публично собствичество на изходния код означава, че софтуерът, който брои гласовете, може да бъде проверен от независими експерти. Никакъв щит с търговска тайна. Никакъв "дърпай производителя". Когато Coffee County, Georgia's собственост voting system е копирана и просочена през януари 2021 г. — един forensics екип излезе със Election Management System, poll pads, ballot-marking devices и Georgia's държавна Dominion софтуер — епизодът показа точно колко крехко е секретността като стратегия за безопасност. Тайните се просочват. Отворяният код не трябва да се пази таен; трябва да бъде правилен.

Но отворяният код сам по себе си е недостатъчен. The Swiss Post internet-voting система публикува своя изходен код през 2019 г. Независими изследователи Sarah Jamie Lewis, Olivier Pereira и Vanessa Teague открият, че shuffle proof разчита на trapdoor commitment scheme — което означава, че власт, която знаеше trapdoor стойностите, може да генерира доказателство, което премина проверка, докато всъщност е променила гласовете. Кодът е бил публичен. Недостатъкът е бил там. Швейцарските органи приостановиха системата.

Отворяният код е необходим. Не е достатъчен. Кодът, който работи на избирателния ден, също трябва да бъде кодът, който е проверен — което изисква reproducible builds, chain-of-custody контрол за компилирания софтуер и независимо потвърждение, че това, което е на машината, съответства на това, което е в хранилището.

И отвъд софтуера: физическата верига на съхранението за всяка бюлетина, независимостта на одиторите, публичната гранулярност на резултатите и съществуването на трайна хартиена записка, която одитът може да провери — всички те са необходими. Оставете един, и останалите части не се събират в проверяемост.

Частите, които избирателят все още не може да провери днес

Ето къде интелектуална честност изисква да спра да описвам възможното и начна да назовавам пропастта.

Дори с open source код, публични резултати на районе, хартиени бюлетини и статистически одити, повечето избиратели в повечето избирания днес не могат независимо да проверят следното:

Че софтуерът, работещ на избирателния ден, е софтуерът, който е проверен. Reproducible builds — техническият процес на потвърждение, че компилирана програма съответства на проверения изходен код — все още не е стандартна практика в избирателното администрирането никъде в United States.

Че хартиената бюлетина, която маркираше, е бюлетина, която влезе в броя. Risk-limiting одит проверява статистическа проба. Georgia's 2020 ръчен брой от приблизително пет милиона президентски бюлетини — 41,881 партида за по-малко от шест дни — потвърди машинния брой до около една десета от един процент. Това е впечатляващо. Но Windham, New Hampshire's 2021 forensic одит открива, че fold line и някакъв прах на скенерния обектив е неправилно преброил сотни валидни маркирани бюлетини, без измама, без malware и без някой да го улови, докато после. Грешката е била възстановяема само защото хартията е съществувала и ръчният брой може да възстановя гласачката намерение. Одитът е работил — но изисква някой да го поръча. В повечето избирания, никой не го прави.

Че резултатите на районе са публикувани бързо в формат, който могат да прочета машините. Много юрисдикции все още не го правят. EAC препоръчва. Някои щати го правят. Повечето не, или го правят дни по-късно, или публикуват формати, които изискват специализирани инструменти за разбор.

Че одитът е независим. Одит, управляван от същите официално лица, които управляват избирането, проверка на собствена работа, без независима трета страна, верифицираща процеса, е уверение — не доказателство. Germany's Constitutional Court я постави ясно: ако само експерт, определен от властта, може да проверя броя, това не е публично избиране в никакъв конституционен смисъл.

Какво би го направило проверимо от всеки — прямо сега

Чеклистът не е дълъг. Нищо не изисква нова технология, която не съществува.

Публично собствен, open-source софтуер, компилиран reproducibly. Така че кодът, което брои гласовете, е кодът, който е проверен, верифицируем от всеки с компилатор.

Hand-marked хартиени бюлетини като артефакт на записката. Не QR код. Нещото, което избирателят се докосва, е нещото, което се брои — и може да бъде преброено, на ръка, от всеки, който е позволено да наблюдава.

Резултати на районе, публикувани на избирателната нощ в формати, които могат да прочета машините. Всеки районе. Всеки тип бюлетина. Свалящи. Помирими. Так че окръжният брой е сума, която всеки може независимо да проверя.

Задължителни, независими риск-ограничаващи одити преди сертификация. Определена според маржа. Управляван от одиторите, които не са наети от властта, която е одитирана. С резултати, публикувани напълно.

Документирана, публична верига на съхранението за всяка бюлетина и всяка карта памет — от избирателния пункт към canvass до архива — така че физическото доказателство да могат да бъдат проследени и всякакъв прекъсване във веригата да е веднага видимо.

Институционализирано публично противоположно тестване на софтуера и системите, на редовен цикъл преди всяко избиране. Не защото властта е нечестна. Защото канене да разбиеш системата е единственият начин да докажеш, че не е разбита.

Бразилия управлява теста. Los Angeles откри кода. Colorado построи одита. Никой от тях не направи всичко заедно.

Система за гласуване, която можеш да проверя, не е система, която доверяш, защото официално лице те кара. Това е система, чиято аритметика можеш проверя сам, прямо сега, със електронна таблица и публично свалване.

Тази система съществува в части. Не съществува цяла. Частите не са класифицирани. Те не са дори скъпи. Липсва политическа воля да ги събера — и публична молба, че настоя на това.

Виж колко често тази пропаст е във всички страни →

Прочетете 2-минутна версия на проверяемостта проблем →

Разгледайте пълната база данни на пропастта →

Източници

Вижте всички статииРазгледай пропуските