← Всички статии

"Проверяемо" е дума, която политиците обожават. Ето какво всъщност трябва да означава.

Върховният съд на Кения анулира президентските избори не защото е доказана измама, а защото никой — не съдия, не журналист, не обикновен избирател — не можеше независимо да провери как е получен резултатът.

Е утро на 1 септември 2017 г., и шест съдии в Найроби току-що се разделиха четири към двама по въпрос, който ще прозвучи в съдилища от Малави до Германия до вашия дневник: когато не можеш да проследиш гласа от избирателния участък до националното събиране, имаш ли изобщо избори?

Обявеният победител в президентските избори на Кения от 8 август беше Ухуру Кенята с около 54 процента от гласовете. Но Върховният съд не отхвърли резултата, защото числата бяха грешни. Той отхвърли резултата, защото никой не можеше да провери дали числата бяха правилни. Формуляр 34A — ведомостта с резултатите на ниво избирателен участък, която конституцията изискваше да бъде електронно передадена в националния събирателен център — не бяха всички получени както се изискваше. Окончателният събирателен формуляр нямаше воден знак, нямаше сериен номер. Председателката на избирателната комисия бяха обявила победител, преди да получи всички основни документи. Веригата от отделния бюлетин до националния брой имаше счупени звена, и в конституционна демокрация счупените звена не са техническо неудобство. Те са целият проблем.

"Избората не бяха проведени в съответствие с Конституцията," написа мнозинството в пълните си причини, издадени на 20 септември. Изискването е: че гласуването да бъде просто, точно, проверяемо, защитено, отчетливо и прозрачно. Не е доверие. Не е сертифицирано. Проверяемо.

Тази дума — проверяемо — върши огромна работа в това изречение. Политиците я използват постоянно и почти никога не я определят. Съдилищата, както се оказва, трябва да го направят.

Какво съдът разбира под "проверяемо"

Върховният съд на Кения тълкуваше член 86 на конституцията на Кения, който предвижда тези шест свойства като изисквания — не аспирации, а изисквания. Но по-дълбоката вноска на присъдата е това, което предполага за съдържанието на дадената дума.

Проверяемо е не същото като проверено от някого, на когото доверяваш. Не е същото като нашите одитори го проверихме. Означава: всеки човек, не само експерт, може да проследи съществените стъпки — от бюлетина в кутията до цифрата на талона — и да потвърди, че съвпадат. Неразрушена, независимо проверяема верига. Всяко звено публично, документирано, устойчиво на манипулация.

Kenийската система се провали в няколко звена едновременно. Формулярите не бяха предадени както се изискваше. Формулярите, които дошли, нямаха постоянни защитни функции. Окончателното събиране се случи, преди документите, които трябваше да отразява, да бъдат получени. Нищо от това не означава, че гласовете бяха открадени. Съдът изрично не установи, че е възникнала измама. Но структурата на счетоводството направи фрода необнаружима — и необнаружима грешка е неразличима от необнаружима измама. Това е смисълът.

На нови избори беше наредено в рамките на 60 дни. Вторият класиран, Раила Одинга, ги бойкотира. Кенята спечели отново. Дали подлежащият глас в август 2017 г. е бил точен, наистина не знаем — и това е точно проблемът, който назова Съдът.

Германската формулировка: не е необходимо специалистическо знание

Четири месеца преди Kenийските избори даже да се проведат, съд на другия край на света бяха очертал същата граница по-рязко.

На 3 март 2009 г. Германския федерален конституционен съд отмени използването на електронни машини за гласуване Nedap на федералните избори през 2005 г. Машините бяха широко използвани. Те бяха сертифицирани. Никой не бяха намерил доказателства за манипулация. Нищо от това нямаше значение.

Разсъждението на Съда си е достойно да бъде запомнено дума по дума: съществените стъпки на гласуването и на определението на резултата трябва да бъдат проверими от гражданина надежно и без специалистическо знание по предмета. Това е следствие от принципа на публичния характер на избората, вграден в Основния закон — основния демократичен принцип на германската конституция.

Машините съхранявали гласовете само в електронна памет. Никакъв независим запис не съществуваше, който избирателят да може да проверит. Нито един обикновен човек не можеше да проверит преходът от "натиснах този бутон" до "този брой се появи в общия брой." Съдът нарече това конституционен дефект, точка. Той отказа да анулира резултата от 2005 г. — избората се произошли, нямаше доказателства за неправилност, и Съдът го оцени срещу нарушението от отстраняването на парламент — но забрани машините напред.

Два съда, два континента, две конституционни традиции. Същата дефиниция на проверяемо. Веригата от бюлетин до общо трябва да бъде проверяема от всеки, без да се налага да доверяваш на словото на техник.

Какво "проверяемо" НЕ е

Тук концепцията се заточва от това, което исключва.

Не е "ние го преброихме с ръка." Ръчният преброй е полезна проверка, но не е само-проверима. В окръг Антрим, Мичиган, през 2020 г., избирателните служители провеждат пълен ръчен одит на всеки президентския бюлетин, след като грешка при машинния преброй привлеча внимание. Ръчният преброй се различава от коригирания машинен събор с около дузина гласа от приблизително 15 700 подадени. Дванадесет гласа. Това е неминуема човешка грешка в ръчен процес — умора, преценки на двусмислени марки, бюлетин, кратко поместен в грешната купчина. В раса, одлучена с няколко гласа, метод, който е сам по себе си със няколко гласа грешка, не може да уреди въпроса. "Ръчният преброй го потвърди" е успокоение. Не е доказателство.

Не е "ние сертифицирахме системата." Ирландия купи национална система за е-гласуване — машини Nedap/Powervote, 7 500 от тях — и независима комисия заключи, че просто не можеше да препоръча внедряване с "необходимата степен на увереност." Не защото е намерена измама. Защото точност и секретност не бяха доказани в задоволителна степен на комисията. Машините седеха в склад пет години, след това бяха скрънчени. Сертифицирането е претенция. Работата на комисията е да тества претенцията. Претенцията се провали.

Не е "висок служител каза, че е добре." В Венецуела в август 2017 г., Smartmatic — компанията, която е изградила и управляла инфраструктурата на гласуване на страната над десетилетие — издаде публично заявление, казвайки, че знае "без някакво съмнение," че обявеното явяване на избора за Национално събрание за учредяващата асамблея на 30 юли е было манипулирано, различието от действителното участие е дори един милион гласа. Официалният резултат беше обявен. Продавачът сам го отрече. Когато хората, които построиха машината, не могат да съобразят какво е записала машината с какво е обявено, и никакъв независим преглед не съществува, нямаме какво да предложим публиката.

Не е дори "нашето криптографско доказателство е публикувано." Swiss Post и неговият продавач Scytl публикувахме пълния изходен код на своята система за интернет гласуване през 2019 г. точно като жест на прозрачност. Независими изследователи Сара Джейми Люис, Оливие Перейра и Ванеса Тиг прочетаха кода и намериха клапан в доказателството за смесване на миксмета: някой, който знаеше стойностите на клапана, можеше да генерира проверителен трансцендентален текст, който преминаваше всяка проверка, докато мълчаливо изменяше гласовете. Швейцарските органи спираха системата. Доказателството изглеждаше валидно. Недостатъкът беше невидим, докато външни криптографи без никакъв интерес на резултата го издирваха. Претенция за проверяемост е смислена само ако устои на противостоящата външна проверка.

Петте звена на веригата

Ако "проверяемо от всеки обикновен човек" е конституционният стандарт, какво всъщност изисква на практика? Kenийският казус, прочетан срещу германския казус и натрупаните доказателства от дузина други страни, предлага пет конкретни звена, която всички трябва да держат.

Едно: запис, устойчив на манипулация в точката на гласуване. Бюлетинът — хартиен или еквивалент — трябва да улови намерението на избирателя във форма, която нито машината, нито никой следващ обработчик не могат да изменят без открояване. QR-кодните устройства за маркиране на бюлетини, преразгледани в Curling v. Raffensperger в Джорджия, илюстрират режима на отказ: федерален съд установи, че системата "не осигурява проверяем и ревидуем запис от бюлетина, защото разчита на QR кода за събор на гласовете и този код сам не може да бъде прочетен и проверен от избирателя." Нещото, което се брои, трябва да бъде нещото, което избирателят може да инспектира. Те трябва да бъдат един и същи артефакт.

Две: документирана, подписана верига на отговорност. На президентския балотаж на Австрия през 2016 г., пощенски бюлетини бяха отворени и преброени преди времето, от неуправомощени хора, без необходимите свидетели. Австрийският конституционен съд анулира резултата — 77 000 засегнати гласа надвишиха мярката от 30 000 гласа — дори и да не намери доказателства за измама. Процедурната верига съществуваше точно, за да направи манипулацията открояваща се. След като веригата се счупи, не можеш да разграничиш процедурна неправилност от прикривена измама. Резултатът става юридически неопределяем не защото е грешен, а защото е неproверяем.

Три: публичен запис при всяка стъпка на събиране. В Кения, конституционното изискване беше събиране на реално време на Form 34A от всеки избирателен участък. Това изискване съществуваше точно, за да позволи на всеки — журналист, партиен агент, частен гражданин — да сравни събирателния сбор отдолу-нагоре с обявлението отгоре-надолу. Когато това не се случи, националният брой плава свободно от своите документи. В Малави през 2019 г., избирателни служители употребиха течност за корекция на официални талонни листове, преди да ги въведат в броя. Конституционния съд анулира избората. Не можеш да провериш число, което някой вече е изтрил и преписал. Устойчивите на манипулация изходни записи не са бюрократическо педантство; те са основата на доказателства, на която всеки следващ одит зависи.

Четири: независим одит със статистическо тегло. Проверка от същата институция, която произвежда броя, не е независима. Колорадо през 2017 г. управляваше първия щатски одит с ограничено риск в Съединените щати — процедура, която разглежда достатъчно ръчно преброени хартиени бюлетини, за да даде математически определена степен на уверене, че машинният брой е точен. Работи само защото дълготрайни хартиени бюлетини съществуват и могат физически да се сравняват срещу машинния продукт. Логиката на одита е противостояща: е проектирана за улавяне на грешен резултат с висока вероятност, не за печат на обявения победител. Това е какво независима проверка изглежда.

Пет: резултати публикувани на най-ниското ниво, мигновено, в машиночетливата форма. Kenийската конституционна Form 34A е била правилната идея по тази причина: прозрачност отдолу-нагоре на ниво избирателен участък прави фалите при събиране мигновено видими, защото всеки може да събере формулярите и да сравни. Комисията на САЩ за асистенция на избора препоръчва служители да публикуват резултати на ниво избирателен район в свалящи машинообработляеми формати, така че граждани да могат да съобразят броя сами. Това е проверяемост, направена практична — не "постнахме PDF," а "ето сирови данни; проверете нашата аритметика."

Всички пет звена трябва да държат. Едно счупено звено е достатъчно, за да направи веригата неproверяема. Kenийската верига се счупи в звена три и пет едновременно. Австрийската се счупи в звено две. Малавийската се счупи в звено три. Това е защо резултатите, обявени убедително и в трите случая, бяха все още юридически неаделни.

Доверието не е същото като проверяемост — и разликата е от значение

Има версия на този аргумент, която се чувства неудобна, защото изглежда да поставя под съмнение избори, които повечето наблюдатели вярват, че бяха честно проведени. Това неудобство си заслужава да се разгледа.

Смисълът не е, че Кения 2017 или Австрия 2016 бяха фалшиви. Съдилища и в двата случая отказаха да намерят измама. Смисълът е, че честен резултат, произведен чрез неproверяем процес, е неразличим за публиката от нечестен резултат, произведен чрез същия процес. Доверие, което се оказа оправдано, е все още доверие. Не е проверяемост. И доверието — в служители, в продавачи, в пресен преглед на държавния секретар — е точно това, което насилие, корупция и софистицирана техническа манипулация експлоатират.

Холандия разбра това през 2007 г., когато нейна консултативна комисия публикува отчет, наречен "Гласуване с увереност," и след това препоръча да се откаже от електронното гласуване. Нейна логика: нямаше "тайни в процеса на избора," и "въпросите трябва да бъдат отговорими и отговорите да бъдат проверими и верифицирани." Върна се към хартия и ръчни преброй — не защото машините бяха доказано компрометирани, а защото прозрачност и проверяемост бяха третирани като неоспоримо, независимо колко надежни текущите оператори да се оказаха.

Това е архитектурата, към която си струва да строим. Не системи, на които доверяваш. Системи, които можеш да проверяваш. Системи, чиито резултати всеки може да провери независимо, без да имам достъп до собствен код, класифицирани дневници или продавачни гаранции. Където доказателството е публично, противостояще тестирано, и не зависи от вяра на лицето, което го произвежда.

Защото следващото правителство може да не бъде толкова честно, както е това. Следващият продавач може да не бъде толкова внимателен. Следващите избори могат да не бъдат решени чрез мярка, очевидна достатъчно да улови грешка. Конституционното изискване не е "проверяемо, когато внимаваме внимателно." Това е проверяемо по замисъл, от всеки, като редовен ред.

Какво все още не е проверяемо — и какво би го направило така

Ето какво Kenийския руководство, германския руководство и пълното тяло на доказателствата по-горе оставят неразрешено:

В повечето демокрации, вие все още не можете, като обикновен гражданин, независимо да потвърдите, че числото, отчетено от вашия избирателен участък, съответства на това, което е записано в машината. Не можеш да проверяваш, че събирането от участък до избирателен район до окръг до национално ниво е направено правилно. Не можеш да проверяваш дали софтуерът, който събра вашия бюлетин, съдържа кода, който е сертифициран, или по-нова версия, която не прави. Не можеш да сравняш QR кода на вашия маркиран хартиен бюлетин с човешкочетивния текст, който мислиш, че избираш — защото скенерът прочита щрих кода, не текста.

Те не са хипотетични пропуски. Съдилища им дадоха име. Изследователи ги експлоатираха. Избирателни органи, в някои случаи, ги поправихме — и в много случаи не.

Какво би ги направило проверяеми? Публикувани, подписани резултати на ниво избирателен участък в момента, в който са окончателни. Избиратели-маркирани хартиени бюлетини, чийто човешкочетив текст е това, което се сканира. Софтуер за събиране на отворен код, който независими експерти могат да четат, тестват и пре-тестват — не веднъж при сертифициране, а постоянно. Редовни, противостояние, публични одити, свързани със посочена степен на уверение, не фиксиран процент. И верига на отговорност, документирана при всяка стъпка, с печати, устойчиви на манипулация, които могат физически да бъдат инспектирани след факта от всеки с право да търси.

Нищо от това не изисква доверие в правителство, продавач или държавен секретар. Това е смисълът.

Резултат от избори, който не можеш независимо да проверяваш, не е, в конституционния смисъл, резултат изобщо. Това е обявление.

Вижте където този пропуск се появява по целия свят →

Прочетете двеминутната версия →

Разгледайте конкретни казуси по страни →

Източници

Вижте всички статииРазгледай пропуските