← Все статьи

Выборы, которые аннулировали: что происходит, когда никто не может отследить бюллетень

Австрия отменила президентские выборы — не потому, что кто-то мошенничал, а потому, что никто не мог доказать, что они не мошенничали. В этом различии весь смысл спора.

Это утро 1 июля 2016 года, и Конституционный суд Австрии только что сделал то, чего никогда не происходило в истории страны после войны: аннулировал президентские выборы.

Не потому, что нашел мошенничество. Не потому, что голоса были украдены или подсчитаны неправильно. Потому что примерно 77 000 почтовых бюллетеней были обработаны ненадлежащими лицами, вскрыты в неправильное время, подсчитаны до того, как присутствовали необходимые по закону должностные лица и свидетели — а победная маржа составляла всего около 30 000 голосов.

Математика была простой и разрушительной. Количество бюллетеней, обработанных вне установленных правил, превысило маржу победы. Суд не мог исключить манипуляцию. И поскольку суд не мог её исключить — поскольку цепь документооборота была нарушена способами, которые делали проверку невозможной — результат должен был быть отменен.

Новые выборы были назначены на 4 декабря 2016 года. Первоначальное голосование в мае, в котором Александр Ван дер Беллен узко победил Нобберта Хофера, было просто стёрто из истории.

Мошенничество не было найдено. Бюллетени были на месте. Голоса, по всей вероятности, были ровно такими, как намеревались избиратели. Но «по всей вероятности» недостаточно для демократических выборов. Стандарт Суда был не «произошла ли манипуляция?» Это был «можем ли мы доказать, что её не было?» Когда ответ отрицательный, результат не может стоять.

Это различие — между поимкой мошенничества и проектированием системы, которая делает мошенничество независимо опровергаемым — самая важная вещь, которую скажет этот пост. Помните об этом.

Когда цепь документооборота нарушена, «вероятно, в порядке» недостаточно

Австрийский случай (VfGH W I 6/2016-125) примечателен именно потому, что он не имел ничего общего с сомнением в голосовальной машине, сбое программного обеспечения или схеме партийных оперативников. Это был процедурный отказ. Бюллетени переходили из рук тех, кто не был уполномочен их трогать. Конверты были вскрыты до времени, указанного законом. Последовательность документооборота — цепь того, кто держал бюллетени, когда и при каких свидетелях — была прервана.

Избирательные правила обращения с бюллетенями — это не бюрократическая педантичность. Это механизм, посредством которого результат выборов становится независимо проверяемым. Когда правила соблюдаются правильно, аудитор может восстановить путь бюллетеня от избирателя к запечатанному ящику к окончательному подсчету и подтвердить на каждом этапе, что никакая неавторизованная рука не вмешалась. Когда правила пропускаются, восстановление становится невозможным. Вам остаётся только утверждение должностных лиц: «всё было в порядке» — это утверждение, а не доказательство.

Логика австрийского суда стоит того, чтобы её рассмотреть. Он не требовал доказательств фактического манипулирования; он требовал отсутствия процедурных нарушений, достаточно серьёзных для того, чтобы позволить манипулирование. Это более строгий стандарт — и правильный.

Северная Каролина, 2018: когда цепь нарушается намеренно

Австрия включала случайные процедурные отказы. Теперь рассмотрим, что происходит, когда кто-то намеренно использует самое слабое звено в пути следования бюллетеня.

В 9-м избирательном округе Северной Каролины в 2018 году этим звеном был заочный бюллетень. Государственный совет по выборам отказался подтвердить предполагаемый результат и начал расследование. То, что он обнаружил, и то, что он единогласно объявил 21 февраля 2019 года, была "координированной, незаконной и значительно ресурсно обеспеченной схемой заочного голосования" в графствах Блейдена и Робсона.

Оперативник в центре, Макрей Даулес, позже был обвинен по тяжким статьям. Метод: работники, предположительно, собирали заочные бюллетени у избирателей — бюллетени, которые должны были идти прямо от избирателя в избирательный офис — перехватывали их и либо изменяли, заполняли, либо просто выбрасывали их. Новые выборы были назначены и проведены в 2019 году. Победил другой кандидат.

Это было одно из редчайших событий в истории американских выборов: выборы в Палату представителей, аннулированные из-за мошенничества с бюллетенями. И мошенничество было почти смешно простым. Оно не требовало взлома сервера или подкупа должностного лица. Оно требовало использования части процесса заочного голосования, где бюллетень, по своей природе, находится вне официальной опеки — в почте, в доме избирателя или в руках того, кто постучал в дверь.

Почтовые бюллетени путешествуют. В этом весь смысл. Но путешествие — это именно то место, где цепь документооборота сложнее всего поддерживать и легче всего нарушить.

Урок здесь не в том, чтобы «запретить заочное голосование». Миллионы людей на него полагаются. Пожилые избиратели, избиратели с ограниченными возможностями, избиратели за рубежом — у них нет практической альтернативы. Урок в том, что каждый сегмент пути следования бюллетеня должен быть защищен от подделок и независимо проверяем, включая — особенно — сегмент между кухонным столом избирателя и дверью избирательного офиса.

Что на самом деле означает «защита от подделок» для бюллетеня

Подумайте о нём физически. Бюллетень начинается как чистый лист бумаги в контролируемом печатном учреждении. Он путешествует к избирателю, либо по почте, либо через прилавок. Избиратель отмечает его, запечатывает, подписывает конверт. Он путешествует обратно. Кто-то в избирательном офисе проверяет подпись, открывает внешний конверт, удаляет внутренний конверт, открывает его и извлекает бюллетень для подсчета.

Каждый из этих шагов — возможность для того, чтобы что-то пошло не так — или было сделано намеренно не так. Проверка подписи может быть пропущена или подделана. Внешние конверты могут быть переклеены. Внутренние конверты могут быть заменены. Сами бюллетени могут быть перехвачены до того, как они попадут в конверт возврата.

Система, защищённая от подделок, — это система, где любое вмешательство на любом из этих этапов оставляет след, который независимый наблюдатель может обнаружить. Запечатанный пакет для доказательств, который был открыт, выглядит по-другому. Журнал подписей, который был изменён, показывает изменение. Партия бюллетеней, чьи серийные номера не совпадают с изданной описью, вызывает расхождение.

Ничего из этого не требует экзотических технологий. Часть этого — просто хорошая физическая безопасность — того рода, который управляет обращением с доказательствами в уголовных расследованиях уже десятки лет. Что это требует, так это чтобы процедуры были разработаны с учётом отслеживаемости, соблюдались последовательно и проверялись кем-то, кто не является частью проверяемой цепи.

Последняя часть — та, которая чаще всего отсутствует.

Англия, 2015: когда почтовое голосование становится векторм атаки

Северная Каролина в 2018 году была не изолированным случаем. В апреле 2015 года Избирательный суд Англии под председательством комиссара Ричарда Мори КК аннулировал выборы мая 2014 года Лютфура Рахмана на пост исполнительного мэра Лондонского района Тауэр-Хамлетс, в соответствии с Законом о представительстве народа 1983 года.

Приговор Erlam & Ors v Rahman & Anor [2015] EWHC 1215 (QB) установил, что выборы были скомпрометированы коррупционной и незаконной деятельностью, включая выдачу себя за другого лица, мошенничество с почтовыми голосами, взяточничество и то, что суд описал как общую коррупцию, настолько широко распространённую, что можно было бы разумно предположить, что она повлияла на выборы. Рахман был отстранен от должности.

Вывод о мошенничестве с почтовыми голосами особенно актуален здесь. Почтовое и дистанционное голосование перемещает бюллетень вне единственной среды — избирательного участка — которая специально разработана с элементами физической безопасности: официальный персонал, защищённые кабинки, запечатанные ящики, задокументированные процедуры. Когда бюллетень находится в поле, избиратель может быть под наблюдением, давлением или помогаемым способами, которые никакое правило не предотвращает, если только применение не является активным и доказательства не сохраняются.

Австрийский случай показал, что случайные нарушения цепи документооборота достаточны для аннулирования результата. Тауэр-Хамлетс и Северная Каролина показали, как выглядит намеренное использование тех же пробелов. В обоих случаях механизм был одинаков: сегмент пути следования бюллетеня, который не был защищен от подделок, не был независимо проверяемым и, следовательно, был уязвим.

Более глубокая проблема: «аудит подтвердил это» — это не то же самое, что проверяемо

После того как Северная Каролина аннулировала свой результат, многие наблюдатели отметили, что мошенничество было обнаружено — разве это не система, работающая? В узком смысле, да. Государственный совет провел расследование, обнаружил схему и приказал провести новые выборы. Демократия исправила себя.

Но посмотрите, что это потребовало: разоблачителей, продолжительное расследование, Совет, готовый воздержать подтверждение под огромным политическим давлением, и в конечном итоге волю аннулировать всю гонку и начать сначала. Это очень трудоёмкий, хрупкий механизм для поимки мошенничества. Он сработал один раз. Он может не сработать в юрисдикции с меньшим контролем, более близкой гонкой или должностными лицами менее готовыми к действию.

Сравните это с тем, что обеспечила бы защищённая от подделок, криптографически отслеживаемая система голосования: аудитор — любой аудитор, не только официальный — мог бы проверить, что каждый выданный бюллетень имеет соответствующий возврат, что ни один бюллетень в подсчете не лишен действительной цепи документооборота, и что последовательность обработки соответствует документированному журналу. Не потому, что они доверяют должностным лицам, которые провели процесс, а потому, что процесс генерирует независимо проверяемые доказательства.

Австрийский Конституционный суд по сути требовал этого стандарта в 2016 году на языке конституционного права. Его решение сказало: результат должен быть проверяем по стандарту, превышающему «должностные лица говорят, что это было в порядке». Правила обработки почтовых бюллетеней существуют именно для создания этого проверяемого записи, и когда они нарушаются, запись исчезает.

Это тот же принцип, который проходит через другие отказы в проверяемости — случай Виндема в Нью-Хэмпшире, когда оптический сканер беззвучно неправильно подсчитал сотни надлежащим образом отмеченных бюллетеней, потому что линии сгиба случайно пересекли целевые отметки голосов, и ошибка была восстановима только потому, что для ручной проверки существовали прочные бумажные бюллетени. Или ручной подсчёт штата Джорджия в 2020 году, который подтвердил машинный подсчёт примерно на десятую долю процента — обнадёживающий, но также напоминание о том, что убедительность подтверждения происходила из физической бумаги, а не из доверия к должностным лицам, которые управляли машинами.

В каждом случае проверка была подчинённой и реактивной. Кто-то должен был заметить, что что-то не так, или назначить проверку после факта. Архитектура достоверных выборов делает проверку активной, автоматической и независимой от того, кто провел процесс.

Как должна выглядеть цепь документооборота — и что всё ещё отсутствует

Австрийские и североамериканские дела вместе описывают план того, что должно существовать, сформулированный в отрицании: вот что ломается, когда этого нет.

Учёт выданных бюллетеней. Каждый бюллетень, выданный избирательным органом, должен иметь уникальный, зарегистрированный идентификатор. Когда бюллетени возвращаются, возвращённое множество должно согласоваться с выданным множеством. Расхождения — лишние бюллетени, недостающие бюллетени, суммы партий, которые не совпадают — должны быть отмечены автоматически, а не обнаружены только если следователь будет искать.

Непрерывная документация документооборота. Каждая передача бюллетеней между сторонами — от избирателя к почте, от почты к избирательному офису, от офиса к обработке, от обработки к табулятору — должна быть задокументирована способом, который независимый наблюдатель может проверить. Подписи, временные метки, подтверждения свидетелей, запечатанная упаковка. Не как формальность, а как доказательство, которое выживает при расследовании.

Независимая проверка на каждом этапе. Лицо, проверяющее, что шаг N был выполнен правильно, не должно быть тем же лицом, которое его выполнило. Это звучит очевидно; на практике недостаточно укомплектованные избирательные офисы часто объединяют эти роли под давлением времени.

Машиночитаемые, публично проверяемые журналы. Документация должна быть структурированными данными, а не нарративными отчетами. Следователь — или избиратель, или журналист — должен иметь возможность загрузить файл и проверить арифметику самостоятельно, без необходимости подавать запрос на получение записей и ждать.

Ничего из этого не требует отказа от почтового голосования. Австрийская система имела почтовые бюллетени и подробные процедурные правила для их обработки. Правил было достаточно; соответствия не было. Исправление — это соответствие, которое проверяемо, а не соответствие, которое заявляется.

Вот что всё ещё не проверяемо в большинстве юрисдикций: сегмент между избирателем и конвертом возврата. Избиратель, который давит на то, чтобы передать свой незапечатанный бюллетень третьему лицу — ровно то, что предположительно произошло в округе Блейдена — не оставляет следа в официальной записи, если процедурные правила, регулирующие этот сегмент, не применяются в момент сбора. Этот пробел структурный, и это тот же пробел в Австрии, Северной Каролине и Тауэр-Хамлетсе одинаково.

Ни один избирательный орган полностью его не закрыл. Большинство серьёзно не пытались.

Вывод, который вы должны скопировать

Выборы, которые не могут быть независимо проверены, не более достоверны потому, что должностные лица говорят, что всё прошло нормально. Австрийский Конституционный суд аннулировал президентские выборы — без обнаруженного мошенничества — потому что нарушенные процедуры сделали проверку невозможной. Северная Каролина аннулировала конгрессную гонку потому, что нарушенная цепь документооборота сделала мошенничество возможным. Исправление одно и то же в обоих случаях: система, где путь каждого бюллетеня генерирует независимо проверяемые доказательства, а не та, где «мы следовали правилам» — это то, что только те, кто следует правилам, могут подтвердить.

Вопрос, который следует задать о любой системе заочного или почтового голосования: не «доверяем ли мы должностным лицам, проводящим выборы?» а «может ли независимый наблюдатель восстановить цепь документооборота для каждого бюллетеня, не полагаясь на чьё-то слово?» До тех пор, пока ответ не будет утвердительным, уроки Северной Каролины и Австрии остаются открытыми.

Посмотрите, насколько широко эти пробелы в цепи документооборота распространены во всём мире — или прочитайте двухминутную версию об отслеживаемости бюллетеней.

Источники

Все статьиИзучить уязвимости