← Все статьи

Америка потратила миллиарды на исправление системы голосования после 2000 года. Купила ли она проверяемость?

Америка потратила 3 миллиарда долларов на замену перфокарт после выборов 2000 года — но покупка нового оборудования — это не то же самое, что покупка возможности независимой проверки результатов голосования.

Октябрь 2002 года. Законопроект только что стал законом. За восемнадцать месяцев после того, как горстка неправильно пробитых перфокарт едва не привела американскую демократию к краху, Конгресс сделал то, что он редко делает быстро: согласился с проблемой, выписал чек и подписал его. Закон об улучшении голосования в Америке (HAVA) — предусматривает примерно 3,9 миллиарда долларов федеральных средств на модернизацию выборов. Он создает новое федеральное агентство — Комиссию по помощи в выборах США. Он обещает минимальные стандарты. Он требует от штатов заменить свои машины с перфокартами и рычажные машины.

Вопрос, на который никто не потратил достаточно времени, чтобы ответить: заменить на что именно — и может ли общественность проверить, работает ли замена на самом деле?

Этот вопрос остаётся открытым и по сей день.

Закон и его обещание

HAVA был, по словам его авторов, ответом на хаос выборов во Флориде в 2000 году. Сам закон был явным: федеральные деньги идут на замену систем голосования с перфокартами и рычагами. Будут установлены минимальные административные стандарты. Новая Комиссия по помощи в выборах будет тестировать и сертифицировать избирательное оборудование.

Прочитайте этот список снова. Каждый пункт касается процесса — финансирования, администрации, стандартов, сертификации. Ничто в тексте не гарантирует, что машины, заменяющие перфокарты, создадут запись, которую обычный избиратель может независимо проверить.

Это не циничное прочтение. Это архитектура самого закона.

И это чрезвычайно важно, потому что кризис неправильно пробитых карт в 2000 году никогда не был действительно о перфокартах. Это было о том, что Bush v. Gore на самом деле выявил: система без единого, общеизвестного стандарта для чтения того, что отметил избиратель. Разные округа применяли разные правила. Разные комиссии по подсчёту голосов держали одну и ту же пробитую карту против разного света. Верховный суд установил, что идентичные бюллетени оценивались по-разному во всём штате — нарушение равной защиты, потому что это ценило голос одного человека выше голоса другого.

Проблема была не в технологии. Это было отсутствие проверяемого, единого стандарта для того, что значит отмеченный бюллетень.

HAVA решил технологическую проблему. Более глубокая проблема была перенесена им, нерешённой, в цифровую эпоху.

Государственное управление по подотчётности посмотрело три года спустя и нашло, что работа не завершена

К 2005 году заменяющие машины приезжали в окружные здания суда и спортивные залы школ по всей стране. Сенсорное электронное голосование распространялось. Федеральный аппарат, который обещала HAVA — лаборатории тестирования, процедуры сертификации, репозитории программного обеспечения, руководства по безопасности — должен был быть на месте.

Его там не было.

В докладе, опубликованном 21 сентября 2005 года — GAO-05-956 — федеральные аудиторы изучили безопасность и надёжность электронных систем голосования в пост-HAVA эпохе. Их выводы: документированные проблемы с электронными системами голосования вызвали вопросы об их безопасности и надёжности. Федеральные усилия были в процессе, но ключевые виды деятельности остались незавершёнными. Аудиторы рекомендовали Комиссии действовать для улучшения стандартов систем голосования, установления процедур сертификации, создания репозиториев для сертифицированного программного обеспечения, обмена информацией об уязвимостях системы и распространения рекомендуемых методов безопасности.

Подумайте о том, что это означает. Три года спустя после HAVA, агентство, созданное для сертификации того, что системы голосования безопасны, ещё полностью не построило аппарат для сертификации того, что системы голосования безопасны.

Деньги переместились. Машины были отправлены. Стандарты всё ещё писались.

Это не партийный вывод. GAO — независимая ревизионная служба Конгресса; её работа — сообщить о том, что она находит, и она нашла разрыв между законодательным обещанием и оперативной реальностью. Замена оборудования не создавала автоматически проверяемость. Она создала новый класс оборудования, чья проверяемость всё ещё разрабатывалась.

Что на самом деле произвели новые машины

Вот что было важно о машинах, которыми HAVA финансировала замену перфокарт: многие из них были без бумажного следа.

Округ Сарасота, Флорида, 2006 год. Конгрессменская гонка завершается с преимуществом в 369 голосов. Примерно 18 000 бюллетеней, поданных в этом округе — примерно 13 процентов — не показывают никакого записанного выбора в этой гонке вообще. Округ использовал сенсорные машины ES&S iVotronic, которые не создавали независимо проверяемый избирателем бумажный запись.

Никто не мог проверить, что произошло. Не было ничего независимого для подсчёта. GAO изучила системы и не смогла определить неисправность машины — отметив при этом, что проверяемый избирателем бумажный след обеспечил бы независимое подтверждение того, что сенсорные экраны правильно записывают голоса.

HAVA финансировала замену неоднозначного, аналогового записи (карты) на отсутствие записи вообще.

В том же году исследователи Принстона Ариэль Фельдман, Дж. Алекс Халдерман и Эдвард Фелтен получили Diebold AccuVote-TS — одну из наиболее широко развёрнутых сенсорных машин в постHAVA Америке — и продемонстрировали, что злоумышленник примерно за минуту физического доступа мог установить вредоносный код, который воровал голоса, одновременно изменяя все записи, журналы и счётчики для сохранения внутренней согласованности. Они создали работающий вирус избирательной машины, который мог распространяться машина-машина во время нормальной избирательной деятельности.

Машина была финансирована HAVA. Она прошла процесс сертификации, который существовал в то время.

Сертифицировано — это не то же самое, что проверяемо. Это разные слова, которые делают противоположную работу.

Что на самом деле сертифицирует "сертифицировано"

Процесс федеральной сертификации систем голосования, который создала HAVA — в конечном итоге администрируемый через Комиссию в партнёрстве с аккредитованными лабораториями тестирования — тестирует, соответствуют ли машины набору технических стандартов. Эти стандарты со временем развивались и стали более требовательны. Это реальный прогресс.

Но сертификация тестирует машину против стандарта. Это не делает внутреннюю работу машины видимой для общественности. Это не означает, что любой избиратель или независимый исследователь может проверить программное обеспечение, подсчитывающее бюллетени. Это не означает, что третья сторона вне процесса сертификации может проверить, является ли развёрнутая машина такой же, как протестированная машина.

Федеральный конституционный суд Германии понимал это различие точно. В его решении 2009 года он постановил, что электронное голосование конституционно только если существенные этапы голосования и определения результата могут быть изучены гражданином надёжно и без каких-либо специальных знаний. Немецкие машины прошли свои собственные процессы сертификации. Суд постановил, что они всё ещё нарушают публичный характер выборов, потому что гражданин не может независимо проверить, что произошло, без доверия к экспертным посредникам.

Логика суда напрямую направлена на структуру HAVA: сертификация экспертами, для экспертов, рецензируемая экспертами, — это не то же самое, что проверяемость общественностью. Демократические выборы должны быть проверяемы людьми, которым они должны служить.

Верховный суд Индии столкнулся с аналогичным перекрёстком в 2024 году, когда он ужесточил правила, касающиеся бумажных следов аудита и пломбирования цепочки хранения для электронных машин голосования — даже отказываясь их упразднять. Направление деятельности суда было ясным: уверенность проистекает из независимо проверяемых доказательств, а не из официального уверения.

Собственное руководство Комиссии — совместное заявление CISA, выпущенное после выборов 2020 года, объявляющее их "самыми безопасными в американской истории" — на самом деле доказывает суть случайно. Аргументация самого заявления основана на наличии бумажных записей, позволяющих независимые пересчёты и аудиты. Это аргументирует безопасность путём ссылки на проверяемость. Это означает, что утверждение столь же надёжно, как бумажный след позади него, и в юрисдикциях, где этот след тонкий, уверение плывёт свободно от якоря.

Бумажный след: необходимо, но недостаточно само по себе

Конгресс заметил проблему машин без бумаги. Закон о доверии избирателей и повышенной доступности (VVPAT), законодательство о проверяемости и в конечном итоге развивающиеся стандарты Комиссии подтолкнули большинство юрисдикций к бумажным записям, проверяемым избирателем — либо оптические сканирования бюллетеней, которые избиратели отмечают вручную, либо устройства маркировки бюллетеней, которые производят печатный запись.

Это прогресс. Бумага проверяемая. Ручной подсчёт Грузии в 2020 году примерно пяти миллионов бюллетеней — самый крупный ручной аудит в американской истории — подтвердил подсчёт машины в пределах примерно одной десятой процента. Аудит с ограничением риска в масштабе штата Колорадо в 2017 году, первый в своём роде, показал, что статистическая уверенность в правильном результате достижима, когда у вас есть прочная бумага для аудита.

Но распечатка бумаги не является автоматически проверяемым избирателем записью. Федеральный суд в Curling v. Raffensperger установил, что устройства маркировки бюллетеней Грузии производят QR-код, который табулятор читает — но который избиратель не может прочитать. Ручной пересчёт проверяет вывод QR-кода. Это не проверяет то, что избиратель намеревался отметить. Если машина молча кодирует другой выбор, чем тот, который отображается на экране, никакое количество переподсчёта бумаги это не поймает.

И даже чистое оптическое сканирование с вручную отмеченной бумагой несёт неуменьшаемую человеческую ошибку. Виндем, Нью-Хэмпшир, 2021 год: судебный аудит, заказанный законодательным органом штата, отследил ошибку подсчёта до сгибов через цели голосов на отсутствующих бюллетенях — складывающая машина согнула бюллетени в неправильном месте, и сканер прочитал линии сгиба как заполненные овалы. Никакого вредоноса. Никакого вмешательства. Просто пыль на линзе и сгиб в неправильном месте, молча неправильно подсчитав сотни действительно отмеченных бюллетеней. Ручной подсчёт восстановил намерение избирателя. Но ручной подсчёт в полном пересчёте выборов в округе Антрим, Мичиган в 2020 году всё ещё отличался от общей машины примерно на дюжину голосов из пятнадцати тысяч поданных.

Метод, который сам по себе неправ на несколько голосов, не может окончательно решить гонку, решённую несколькими голосами. "Ручной подсчёт это подтвердил" — это уверение. Это не доказательство в математическом смысле.

Пробел в аудите, который HAVA не закрыл

HAVA создала структуру. Комиссия построила стандарты. Лаборатории тестирования сертифицируют оборудование. Штаты должны соответствовать минимумам для условных бюллетеней, удостоверения личности и баз данных регистрации.

Что HAVA не создала — и что аппарат сертификации все ещё не гарантирует — это система, в которой обычный член общественности может независимо проверить, не доверяя ни одному официальному лицу или поставщику, что подсчёт правильный.

Этот пробел проявляется конкретными способами:

Программное обеспечение системы голосования остаётся собственническим в большинстве юрисдикций. Вы не можете прочитать код, который подсчитывает ваш голос. Ни ваш сосед, ни ваш местный журналист, ни независимый исследователь безопасности, который не подписал соглашение о неразглашении.

Сертификация тестирует машины перед развёртыванием, а не после. Это не может подтвердить, что машина на избирательном участке в день выборов работает с тем же программным обеспечением, которое лаборатория протестировала. Округ Кофи, Грузия, показала, как легко вся система голосования юрисдикции может быть скопирована и удалена людьми, которым позволено пройти в дверь.

Аудиты после выборов — аудиты с ограничением риска, ручные подсчёты, судебные экспертизы — проводятся должностными лицами и затем сообщаются. Их результаты авторитетны только если вы доверяете официальным лицам, проводящим их. Для большинства юрисдикций член общественности не может независимо загрузить результаты машины с уровня избирательного участка в машиночитаемом формате и примирить их против публичного, криптографически подписанного записи в момент, когда результаты окончательны.

Собственное руководство Комиссии побуждает должностных лиц публиковать результаты в загружаемых форматах, как .csv и .xml с ясным обозначением типов бюллетеней. Это здравая практика. Некоторые штаты это делают. Большинство не делают это в реальном времени, с машиночитаемыми данными, подписанными в форме, которую любой может независимо проверить.

Система VSAP округа Лос-Анджелес, сертифицированная в 2018 году как первая сертифицированная программная система подсчёта голосов с открытым исходным кодом в Калифорнии, является значимым шагом: общественное владение означает, что код, подсчитывающий голоса, может быть проверен независимыми экспертами, а не защищён как коммерческая тайна. Открытый код не является полной гарантией — внедрение и цепочка хранения всё ещё имеют значение — но это удаляет один слой принудительной непрозрачности. Это направление, которое первоначальные архитекторы HAVA могли бы потребовать и не потребовали.

Реальный урок из 3,9 миллиарда долларов

HAVA деньги сделали реальные вещи. Перфокарты исчезли. Машины с рычагами исчезли. Права на условные бюллетени существуют. Федеральное агентство устанавливает базовые стандарты. Процедуры сертификации, неполные, какие они были в 2005 году, более развиты сегодня.

Но фундаментальная ставка закона была в том, что замена оборудования решит проблему проверяемости. Это не произошло — потому что проверяемость не является свойством какой-либо конкретной машины. Это свойство системы: цепь от отметки бюллетеня к публикации результата, со всеми звеньями независимо проверяемыми любым, кто хочет проверить.

Вы не можете купить проверяемость. Вы должны встроить её в архитектуру.

Нидерланды пришли к этому в 2007 году — что прозрачность и читаемая человеком запись были неоспоримыми основаниями, а не дополнительными обновлениями — и вернулись к бумаге и ручному подсчёту до тех пор, пока что-нибудь лучшее не могло быть доказано. Немецкий конституционный суд провёл линию в общественном понимании: если только эксперт может проверить подсчёт, это не демократические выборы. Бразилия институционализирует открытое состязательное тестирование её машин; посторонние приглашаются их сломать перед каждым циклом выборов, и исправления делаются и переделаются.

Америка потратила миллиарды на покупку новых машин и построение аппарата бюрократической сертификации. Аппарат сертификации тестирует машины в лаборатории. Это не даёт вам — избирателю, журналисту, независимому исследователю — способ подтвердить подсчёт самостоятельно.

Вот вопрос, который HAVA ответила деньгами, но не архитектурой. И он остаётся, два десятилетия спустя, открытым вопросом.

Что бы на самом деле закрыло его

Исправление — это не другой цикл замены оборудования. Это не более дорогая лаборатория сертификации. Это не более крупное федеральное агентство с большим количеством персонала.

Это система голосования, разработанная так, чтобы её правильность была проверяемой общественностью, а не утверждалась должностными лицами.

Это означает: бюллетени, отмеченные избирателями, чьи отметки неоднозначны и читаемы человеком — не QR-код, который может прочитать только сканер. Это означает обязательные, обычные аудиты с ограничением риска в каждой юрисдикции, а не факультативные пилоты в прогрессивных штатах. Это означает результаты на уровне избирательного участка, машиночитаемые, опубликованные в момент, когда завершен подсчёт каждого участка, в форматах, которые может открыть любая электронная таблица — чтобы общественность могла примирить результаты по мере их сообщения, а не после того, как должностные лица их объяснили. Это означает программное обеспечение подсчёта голосов с открытым исходным кодом, которое любой исследователь безопасности может проверить без подписания NDA.

И это означает рассмотрение "Секретарь штата сертифицировал результат" и "аудит это подтвердил" как утверждений для изучения, а не как выводов. Потому что в гонке, решённой несколькими голосами, метод, который сам по себе неправ на несколько голосов, не может решить вопрос. Только система, которую может проверить общественность независимо, может это сделать.

HAVA был законопроектом. Проверяемость — это инженерное требование. Это не один и тот же документ.

Исследуйте, как этот пробел проверяемости выглядит в разных странах и системах: просмотрите глобальный атлас или прочитайте двухминутное резюме того, что отсутствует и почему это имеет значение.

Источники

Все статьиИзучить уязвимости