← Всички статии

Защо хартиен запис сам по себе не е достатъчен

Професор от Принстън включи истинска машина за гласуване в лабораторията си през 2006 г. и доказа, че може да откраде избори без да остави единствена проследима следа — и хартията все още нямаше да я спаси.

На Ариел Feldman, Дж. Алекс Halдerman и Едуард Felten им отне около една минута.

Една минута физически достъп до истинска машина за гласуване Diebold AccuVote-TS с сензорен екран — от вида, които броиха милионите американски гласове в средата на 2000-те години — и изследователите от Принстън бяха инсталирали вредоносен код, който можеше мълчаливо да преразпредели гласовете между кандидатите. Кодът алтернираше всеки вътрешен брояч, дневник и запис, за да остане вътрешно съответстващ. Не остави никаква следа. Можеше дори да се разпространява от машина на машина автоматично, както се разпространява настинка в офис, по време на обикновените процедури за подготовка преди избора.

Публикуваха своите констатации през 2006 г. Машините все още бяха в употреба.

Ето частта, която трябва да те спре: когда този вид манипулация беше повдигната като опасност, стандартното успокоение беше, че тези машини скоро ще бъдат заменени със системи с хартиен запис. Проблемът разрешен, делото затворено.

Освен че не е. Далеч не е.

Утешителната лъжа, която разказваме за хартията

Хартията е добра. Физически бюлетин, който избирателят е отбелязал и проверил, е истински по-добър от безхартиен сензорен екран. Никой сериозен човек не оспорва това. Състезанието в Sarasota County, Флорида през 2006 г. завърши с 18 000 липсващи гласа и разлика от 369 — и поради че тези сензорни екрани не произведоха никакъв хартиен запис, нямаше буквално нищо независимо за преброяване. Хартията щеше да е по-добра от това. Точка.

Но ето что рамката „хартията го решава" мълчаливо пропуска: хартиен запис защитава избора само ако някой е длъжен да го провери, и ако тази проверка действително може да промени сертифицирания резултат.

Тези две условия — задължително и обвързващо — не са по подразбиране в повечето места. Те са изключение. И без и двете, хартията, която седи в тези запечатани торби след избирателната нощ, е реквизит, не защита.

Что действително доказа машината на Принстън

Върнете се към този Diebold AccuVote-TS. Feldman, Halderman и Felten не просто демонстрираха теоретична уязвимост. Те построиха работещ вирус за кража на гласове на истинския хардуер. Атаката беше необнаружима от никой вътрешен дневник на одит, защото атаката контролираше вътрешните одитни дневници.

Сега си представете, че тази машина е отпечатала и хартиен запис на всеки глас, който е бил отхвърлен — така наречени Voter Verified Paper Audit Trail или VVPAT. Щеше ли това да спре атаката?

Само ако някой е сравнил хартията с машинните суми. Само ако това сравнение е било законово задължително, не незадължително. Само ако несъответствието щеше да предизвика обвързващо разследване, а не пресспускане. И само ако пробата на преброени хартиени бюлетини е била достатъчно голяма, за да има истинска статистическа възможност да се хване манипулация на тесни надпревари.

В повечето щати, които разполагаха тези машини, нито един от тези условия не беше изпълнен. Хартията щеше да е отпечатана, торбирана, запечатана и заключена в складова стая, освен ако някой не подаде иск да я отвори. Хартиен запис, който никой не е длъжен да следва, е само скъпо рециклиране.

Това е пролукът, който изследването на Принстън действително разкри — не само че машина може да бъде хакната, но че цялата архитектура на верификация около нея е била куха. Машината е била неревизионна по замисъл, и политическите и правни системи около нея не поискаха напълно тя да бъде ревизирана.

Нощта, когато цялата система за гласуване на Coffee County излезе от дверта

На 7 януари 2021 г. — в деня след като Конгресът щеше да сертифицира президентските избори — фирма за компютърна криминалистика беше пусната в офиса на選или округ Coffee County, Джорджия. Това, което копираха, не бяха само един или два файла.

Те взеха сървъра на Election Management System. Попълнени подложки. Устройства за маркиране на бюлетина. Скенера. И държавния софтуер на Dominion на Джорджия.

Всичко. Един окръг. Един ден.

Офисът на държавния секретар на Джорджия го наречи неразрешен достъп, който бивши окръжни служители бяха позволили в нарушение на държавния закон. Инцидентът е документиран в показания, подадени в федералния случай Curling v. Raffensperger. Няколко човека, свързани с това, по-късно признаха вину по обвинения, свързани с по-широкия опит за отмяна на резултатите на Джорджия от 2020 г.

Ето что епизодът Coffee County прави явно: моделът на безопасност, който казваше „софтуерът е патентован и затова безопасен" умря в този офис на 7 януари. Тайната не е архитектура на безопасност. Щом някой с ключове те пусне в дверта, тайната е разкрита — и в този случай софтуерът тогава се разпространи отвъд Coffee County изобщо.

Но ето частта, която се свързва директно с въпроса за хартиения запис: Джорджия наистина използва хартиени бюлетини. Има хартия. Проведе масивен ръчен преброй на почти 5 милиона президентски бюлетина през 2020 г.. Хартията съществува.

Нарушението на Coffee County се случи във всеки случай — защото хартията защитава преброя, не софтуерната среда, и не веригата от пълномощия на системата, която генерира и маркира тези бюлетини в първо място. Ако вашето устройство за маркиране на бюлетина е било компрометирано, хартията, която отпечатва, може вярно да записва що е дала на отпечатване компрометирания орган. Хартията е само толкова надеждна, колкото процесът, който я е създал — и този процес живееше на сървъри, които щеше да бъдат копирани и отнесени из офис на изборния орган в малък окръг на Джорджия.

Когато одитът не е позволено да има значение

Да допуснем, че имате хартиени бюлетини, честно отбелязани от избирателите, които ги проверяват преди да излизат от кабината. Все още не сте защитени, освен ако одитът не е обвързващ.

Ето където пролукът „необвързващ одит" становитя конкретен. Няколко щата и юрисдикции приеха изисквания за одит след избори, които изглеждат строги на хартия — произволна проба от преносни кутии, ръчен преброй, сравнение — но не включват никакъв механизъм за одита да промени сертифицирания резултат. Одитът се докладва. Несъответствията се отбелязват. И тогава сертифицираният резултат остава.

Pomislite шта това означава на практика. Ако вашият одит е законово необвързващ, това, което действително предоставя, е начин за служители да кажат „провели сме одита" докато одитът не може при никой сценарий да повлие на резултата на избора. Актът на ревизиране становя упражнение на комуникацията — ритуал, който придава легитимност без да осигурява отговорност.

Сравнете това със събраното в Колорадо. Начинайки през 2017 г., Колорадо стана първия щат, който завърши държавен одит с ограничение на риска — процес, който статистически определя размера на ръчната проверка според разликата на надпреварата. Тесна надпревара? Проверете повече бюлетини. Една страна придобила голямо превес? По-малко бюлетини, необходими. Ключовата особеност: ако одитът не потвърждава съобщения резултат при необходимото ниво доверие, продължаваш. Проверяваш повече хартия. Математиката няма да те пусне да спреш рано и да кажеш, че е готово.

Това е какво изглежда „обвързващо". Одитът има зъби, защото контролира дали резултатът остава.

Без тази структура хартията е предмет на утешение.

Трудния урок от Antrim и неговите дванадесет загубени гласа

През декември 2020 г., след като Antrim County, Мичиган публикува диво неправилни неофициални резултати — резултати толкова неправдоподобни за надежден республикански окръг, че бяха хванати почти веднага — беше проведен пълен ръчен одит. Всеки президентски бюлетин, ръчно. Министерството на държавния секретар на Мичиган сертифицира резултата.

Но ето числото, което обикновено замълча в прославящите „одитът потвърди" заглавия: преброяването ръчно все още се различаваше от табулацията на машинта приблизително с дванадесет гласа от приблизително 15 700 отхвърлени.

Дванадесет гласа. При пълен, внимателен, законово надзиран ръчен преброй.

Сега: в Antrim County през 2020 г., дванадесет гласа не бяха проблем. Разликата на президентския окръг не беше тясна, и никакво надпревара, която имаше значение, не беше решена с дванадесет гласа в Antrim. Грешката беше без значение за резултата.

Но помислете внимателно какво „без значение за резултата" прави в това изречение. Това е носещо. Преброяването ръчно е само успокоително, защото разликата беше достатъчно голяма, че грешката на преброяването ръчно не имаше значение. Ако реалната разлика е била осем гласа, преброяването ръчно — золотият стандарт, нещото, което показваме като доказателство — не можеше да ти каже кой е спечелил. Много методът, използван за проверка на резултата, е себе си несигурен от приблизително същия брой гласове, както надпреварата, която се решава.

Разчетът на FactCheck.org за Antrim правилно се фокусира на дебункване на теориите на заговора — няма доказателства за хакване или манипулация — но дванадесетте гласове различие прошепват нещо, което успокоителното заглавие не казва: дори честни, добре управлявани ръчни преброявания на човека имат неприводима грешка. Винаги ще имат. Бюлетините имат двусмислени марки. Преброявачите допускат грешки. Преводът включва съждения, които две различни хора щяха да решат различно.

„Одитът потвърди това" е успокоение. В надпревара, решена чрез няколко гласа, използвайки метод, който е себе си несигурен с няколко гласа, не може да е доказателство.

Що щеше действително да е направимо проверимо

Ето честната версия на това, що истински архитектура за проверка изискват. Не доверие — проверимост.

Първо: хартия, която избирателите действително проверяват. Не хартия, отпечатана от машина и никога не преглеждана от избирателя, а бюлетин или хартиен запис, който избирателят е прочел и потвърдил преди той да е отхвърлен. Това е основният слой, който всичко останалото зависи от.

Второ: одити, които са задължителни по закон, не незадължителни. Ако одитът само се случва, когда кандидат го поиска, или само когда надпревара е толкова тясна, че кандидатът може да си позволи законовите такси за поискване на един, тогава в повечето избори, в повечето години, в повечето юрисдикции, няма одит. Хартията седи в съхранение, докато е унищожена.

Третирано: одити, които са статистически определени на разликата. Фиксирана процентна точкова проверка — „разглеждахме 3% от преносните кутии" — предоставя много слабо доказателство в теснина надпревара. Одит с ограничение на риска, определен на разликата, предоставя определено статистическо доверие. Има смислена разлика между „проверихме някакво нещо" и „има 97% вероятност съобщения победител действително е победител."

Четвърто: одити, които могат да променят резултата. Ако одитът намери несъответствие и законът казва „отбележи го и сертифицирай във всеки случай", имаш хартиен запис и имаш одит и имаш нищо. Веригата е само толкова силна, колкото нейното най-слабо звено, и необвързващ одит е разкъсано звено.

Пето — и това е където криптографската проверимост влиза в картината — проверката не трябва да зависи изцяло от доверие на хората, управляващи проверката. Изследователите на Принстън показаха, че машина може да манипулира своите собствени записи. Coffee County показа, че патентованият софтуер може да е украден, разпространен и да остане скрит вътре в черни кутии системи за месеци. Преброяването ръчно в Antrim показа, че човешките преброявачи въвеждат своите собствени грешки.

Излизането от този лабиринт не е да намерить по-надежден служител. Това е да се построят системи, където публиката — който и да е член на публиката, без никакъв специален достъп — може независимо да проверява, че техният глас беше включен, неизменен, в крайния брой. Това е što end-to-end проверимото гласуване и криптографските одитни пътеки са проектирани да направят. Не да замени хартия, но да направи проверката действително независима от хората управляващи избора.

Въпросът, който трябва да те удържа будна през нощта

След всеки избор служители публикуват изявления, потвърждаващи, че одити бяха проведени и резултати бяха сертифицирани. Повечето от тези изявления са вероятно точни. Хората, управляващи избори в повечето места, са съвестни държавни служители, правещи трудна, нископлащена работа.

Но „държавният секретар казва, че потвърди" е твърдение. Не е проверка. Цялата архитектура на демократичната легитимност опира се на възможността, че служителя управляващ избора може да е грешил — или, в най-лошия случай, може да не е неутрален. Тази възможност не е паранойа; това е предпоставката, която прави независимите проверки необходими на първо място.

Хартиен запис, който никой не е длъжен да проверя, не може да хване софтуерна атака като тази, която Принстън демонстрира. Не може да хване що се е случило в Coffee County. Не може да урегулира надпревара, решена с по-малко гласове от грешката на преброяването ръчно.

Що не можеш да проверяваш, можеш само да имаш доверие. И доверието не е архитектура на безопасност.

Хартията в тези запечатани торби след избирателната нощ е необходима. Не е достатъчна. Пролукът между тези две думи е където живеят повечето американски избори в момента — и това е пролук, който по-силен закон на одит, статистическа строгост и криптографски проверими системи биха могли да затворят.

Повечето места още не са го затворили.

Вижте колко чести са пролуците „необвързващ одит" и „никаква хартия за преброяване" в юрисдикциите — или прочетете двуминутната версия на защо самата хартия не е достатъчна. Ако искаш да отидеш по-дълбоко в това, що одит с ограничение на риска действително прави (и не прави), картирахме основните пролуки на верификация тук.

Източници

Вижте всички статииРазгледай пропуските