← Все статьи

Цепь хранения: скучное делопроизводство, которое решает, можно ли доверять выборам

Выборы были аннулированы по всей стране — не потому, что кто-то жульничал, а потому, что никто не мог доказать, что они не жульничали. Вот делопроизводство, которое имеет значение.

Это было незадолго до 9 утра 23 мая 2016 года, и в районном избирательном управлении где-то в Австрии член избирательной комиссии делал что-то, что строго запрещено законом.

Почтовые бюллетени прибыли. Запечатанные внешние конверты — каждый из них представляет собой маленькую бумажную крепость вокруг голоса избирателя — лежат на столе. Закон гласит, что эти конверты нельзя трогать до дня после выборов. Он гласит, что только районные избирательные органы имеют право их открывать. Он говорит, что должны быть свидетели. Он говорит, что должен быть ведён реестр.

Ничего из этого не произошло.

Член комиссии открывает конверты в любом случае. Может быть, есть давление, чтобы ускорить подсчёт. Может быть, это кажется тривиальным сокращением. Может быть, никто не ожидает, что это будет иметь значение.

Шесть недель спустя Конституционный суд Австрии аннулировал всё второе голосование президентских выборов.

Что на самом деле такое цепь хранения

Прежде чем переходить к судам и последствиям, давайте точно определимся, о чём мы говорим — потому что «цепь хранения» звучит как юридический жаргон, а на самом деле это нечто намного более простое.

Цепь хранения — это документированная запись о том, кто трогал что-либо, когда, под какой властью и при каких свидетелях. Это то, что делает физическое доказательство пригодным для суда. Это то, что делает образец крови надёжным в судебном разбирательстве. Это то, что делает бюллетень, после того как он прошёл через дюжину пар рук на протяжении нескольких дней, всё ещё доказуемо тем же бюллетенем, который гражданин положил в ящик.

Без неё вы не можете различить «ничего не произошло» и «что-то произошло и никто это не заметил».

Это различие — всё. И именно это рассматривал Конституционный суд Австрии.

Австрия 2016: цепь хранения рвётся, и результат рвётся с ней

Второе голосование президентских выборов в Австрии 22 мая 2016 года было чрезвычайно близким. Александр Ван дер Беллен победил Норберта Хофера примерно на 30 000 голосов — margin менее одного процентного пункта на национальных выборах.

Почтовые бюллетени были центральными. Сотни тысяч австрийцев голосовали по почте. Австрийский закон был конкретным в отношении того, как эти бюллетени должны были обрабатываться: внешние конверты не могли быть открыты до 9 утра в день после выборов, только районными избирательными органами, только при наличии необходимых членов комиссии, только при наличии свидетелей.

Конституционный суд, рассматривая возражения против результата, выявил в своём решении W I 6/2016-125, что в нескольких округах эти правила были нарушены. Голоса подсчитывались раньше времени. Неуполномоченные лица обрабатывали конверты. Необходимые свидетели отсутствовали. Надлежащего реестра не было.

Примерно 77 000 голосов были затронуты доказанными нарушениями процедуры — более чем в два раза больше победной разницы.

Суд не нашел доказательств фактического мошенничества. Дайте этому секунду осесть: выборы были аннулированы без идентификации ни одного изменённого бюллетеня. Проблема была в том, что разорванная цепь хранения сделала невозможным исключить, что бюллетени были подделаны. Доказательство невиновности и доказательство вины требуют одного и того же: задокументированная, неразорванная запись о том, кто имел доступ к чему и когда.

Новое второе голосование было проведено 4 декабря 2016 года. Вся страна голосовала снова из-за ошибок в ведении записей в нескольких районных управлениях.

Две вещи, которые одновременно делает цепь хранения

Вот что делает австрийский случай таким просветляющим: цепь хранения была разорвана не для совершения мошенничества. Она была разорвана, потому что некоторые должностные лица рассматривали правила как бюрократические формальности, а не механизмы обеспечения целостности.

Это неправильное понимание лежит в основе большинства отказов в цепи хранения.

Правила существуют, чтобы одновременно служить двум совершенно разным целям, и обе являются существенными.

Во-первых: предотвращение мошенничества. Если бюллетени могут трогать только уполномоченные лица, в уполномоченное время, перед свидетелями, окно для подделки узко и контролируется. В комнате всегда кто-то есть. В реестре всегда есть имя.

Во-вторых: доказательство того, что мошенничество не произошло. Это половина, которую люди регулярно забывают. После выборов, если кто-то оспаривает результат, единственный способ продемонстрировать, что подделки не было, — это предоставить полную, неразорванную запись, показывающую каждую руку, которая трогала каждый бюллетень. Нет записи, нет доказательства. Не доказательства мошенничества — доказательства отсутствия мошенничества.

Разорвите цепь для удобства, и вы уничтожили доказательства, которые вас бы оправдали.

Конституционный суд Австрии понимал это идеально. Его решение было не о том, что произошло с этими 77 000 бюллетенями. Его решение было о том, что произошедшее с ними больше не может быть установлено. Эта неопределённость, в гонке, решённой 30 000 голосами, была юридически и демократически гибельной.

Tower Hamlets 2014: когда цепь рвётся по другой причине

Австрия показывает нам, что происходит, когда цепь хранения рвётся из-за небрежности. Tower Hamlets показывает нам, что происходит, когда она рвётся по замыслу.

В мае 2014 года Лутфур Рахман был избран исполнительным мэром лондонского района Tower Hamlets. В апреле 2015 года Суд по выборам во главе с судьёй Ричардом Мори, королевским советником, полностью аннулировал те выборы.

Решение суда в деле Erlam & Ors v Rahman & Anor [2015] EWHC 1215 (QB) выявило замечательный каталог коррумпированной и незаконной деятельности: выдача себя за избирателя, мошенничество с почтовыми голосами, взяточничество, подкуп, ложные заявления и неправомерное духовное влияние. Суд выявил столь широко распространённую коррупцию, что можно было разумно предположить, что она повлияла на выборы. Рахман был смещён с должности.

Почтовое голосование было его сердцевиной. И это структурная проблема, которую почтовое голосование создаёт в любой системе без надёжного контроля цепи хранения.

Когда вы голосуете на избирательном участке, цепь хранения встроена в физическое окружение. Вы один в кабине. Никто не смотрит на вашу руку. Никто не берёт ваш бюллетень, прежде чем он попадёт в запечатанный ящик. Никто не берёт его домой и не приносит позже.

Когда вы голосуете по почте, бюллетень покидает контролируемое окружение. Он путешествует по почте. Он может лежать в чьём-то доме. Он может быть заполнен в присутствии других людей. Может быть кто-то в комнате — член семьи, организатор сообщества, кто-то, кто отвез избирателя на встречу — кто может увидеть, что отмечено, или кто сам заполняет его.

Вся целостность почтового бюллетеня зависит от того, что происходит до того, как он когда-либо прибудет на стол для подсчёта. И это именно тот сегмент цепи хранения, который сложнее всего контролировать, регистрировать и проверять.

9-й конгрессный район Северной Каролины в 2018 году столкнулся с той же уязвимостью. Скоординированная схема с отсутствующими голосами — сбор бюллетеней, иногда их заполнение, иногда просто выброс неблагоприятных — привела к тому, что Государственная избирательная комиссия приказала провести совершенно новые выборы. Метод, который использовали фальсификаторы, был промежутком между тем, когда бюллетень покидает руки избирателя, и когда он прибывает в официальное хранилище.

Урок в обоих случаях идентичен. Цепь хранения должна охватывать весь путь бюллетеня — не только ту часть, которая происходит в помещении для подсчёта.

Что на самом деле означает «кто может трогать, когда и как это доказывается» на практике

Цепь хранения на выборах — это не одно правило. Это система взаимосвязанных требований, каждое из которых закрывает другой пробел.

Уполномочение: Только конкретные, именованные лица с конкретными ролями могут обрабатывать бюллетени на каждом этапе. «Избирательный офис» — это не человек. Должны быть имя, роль и запись.

Сроки: Действия могут происходить только в указанные сроки. Австрийские правила не были о недоверии к конкретным должностным лицам — они были о обеспечении того, что подсчёт не может начаться до открытия законного окна, так чтобы последовательность событий была доказуема позже.

Свидетельство: Большинство этапов обработки требуют по крайней мере одного наблюдателя из-за пределов непосредственной команды — представителя другой партии, независимого свидетеля, члена общественности. Австрийские нарушения включали подсчёты, проводимые без требуемых свидетелей. Этот свидетель там не для того, чтобы быть полезным в данный момент. Он там, чтобы быть полезным шесть недель спустя, когда кто-то спросит, что произошло.

Запечатанные контейнеры: Физическое доказательство подделки. Ящик для голосования, запечатанный перед его отправкой с избирательного участка и прибывший в помещение для подсчёта с неразорванной печатью — это заявление в записи цепи хранения. Ящик, прибывший с разорванной печатью, нуждается в объяснении в записи. Объяснение является частью цепи.

Логирование: Современная запись каждого шага. Не память. Не приблизительно. Подпись, время, описание того, что было сделано и кем. Журнал — это цепь хранения, воплощённая в физическое.

Разорвите любую ссылку в этой системе и у вас есть пробел. Пробел означает, что период, охватываемый разрывом, не поддаётся проверке. И неподдающийся проверке период, в тесной гонке, юридически неотличим от возможности мошенничества, произошло оно или нет.

Неудобная математика ручных подсчётов и хранения

Есть версия этой истории, которая заканчивается так: «а потом официальные лица ручной подсчёт всего и подтвердили результат». Суды говорят это. Государственные секретари говорят это. И стоит быть точным в отношении того, что эта претензия устанавливает и не устанавливает.

Ручной подсчёт в масштабе штата примерно 5 миллионов бюллетеней в Грузии в 2020 году был чрезвычайным предприятием — 159 округов, 41 881 партия, завершённые менее чем за шесть дней. Ручной подсчёт подтвердил результат машинного подсчёта примерно в одну десятую процента. Это действительно значимо. Физический бумажный бюллетень, независимо подсчитанный, является основой любого серьёзного режима проверки.

Но ручной подсчёт хорош только настолько, насколько хороша цепь хранения позади него. Если вы не знаете, что каждый бюллетень в этих 41 881 партии — это тот же бюллетень, который был подан — если есть какой-либо незарегистрированный, непроверенный пробел между рукой избирателя и столом для подсчёта — то ручной подсчёт подтверждает целостность того, что находится в ящиках, не обязательно целостность того, что избиратели подали.

Это не гипотетично. В округе Antrim, штат Мичиган в 2020 году, ручная проверка президентских бюллетеней произвела окончательный подсчёт, который всё ещё отличался от машинного подсчёта примерно на дюжину голосов из примерно 15 700 поданных. Двенадцать голосов. В маленьком округе, в гонке, не решённой на местном уровне. Но двенадцать голосов — это напоминание о том, что ручной подсчёт — золотой стандарт — несёт свою собственную неснижаемую человеческую ошибку: бюллетень неправильно прочитан, стопка неправильно подсчитана, неоднозначная отметка, решённая по-другому двумя разными людьми.

В гонке, решённой несколькими голосами, метод проверки, который сам по себе отключен на несколько голосов, не может разрешить вопрос. «Ручной подсчёт это подтвердил» и «государственный секретарь говорит, что всё в порядке» — это заверения. Они не являются доказательством. То, что превращает заверение в доказательство, — это независимая, неразорванная запись, которую любой наблюдатель может проверить — не потому, что они доверяют должностному лицу, которое её произвело, а потому что запись структурирована так, что подделка оставила бы обнаруживаемый след.

Каркас аудита с ограниченным риском Колорадо указывает в правильном направлении: статистически строгая выборка, рассчитанная на величину разницы в гонке, проводимая против прочной бумажной записи. Но даже RLA требует, чтобы сама бумажная запись прошла неразорванную цепь от рук избирателя к столу аудитора.

Цепь хранения — это не альтернатива аудиту. Это предусловие аудита.

Что делает пробел в хранении проверяемым — а что нет

Австрийский случай создал что-то редкое и просветляющее: конституционный суд, который точно сформулировал письменно, почему процедурное соответствие не является формальностью.

Логика Суда была не «мы нашли мошенничество». Это было: требуемые защиты не были соблюдены способами, которые повлияли на количество голосов, превышающее победную разницу, и поэтому результат не может быть проверен. Результат не может быть проверен не потому, что Суд подозревал манипуляцию — он явно её не нашёл — а потому что проверка возможна только при наличии полной записи. Неполная запись даёт в лучшем случае неполную уверенность.

Это та же логика, которую Федеральный конституционный суд Германии применил в 2009 году, когда он установил, что электронные голосовальные машины были неконституционны, потому что обычные граждане не могли независимо проверить существенные этапы голосования — не потому, что какая-либо машина неправильно функционировала, а потому что архитектура сделала проверку невозможной. Верховный суд Кении пришёл к тому же выводу в 2017 году, когда он аннулировал президентские выборы, потому что цифровая цепь от избирательного участка до национального подсчёта не могла быть независимо проверена.

Сквозная логика между Веной, Найроби и Карлсруэ идентична: результат, который не может быть независимо проверен, — это не результат, на основе которого демократия может действовать.

Исправление также одинаково в каждом случае. Это не «доверьтесь нам — мы проверили». Это система, спроектированная так, чтобы проверка была возможна без доверия к кому-либо конкретно. Результаты на уровне участка, опубликованные в машиночитаемой форме. Обработка бюллетеней с доказательством подделки с современными журналами, которые любой может запросить. Пути аудита, структурированные так, чтобы любой пробел в записи был столь же виден, как любой пробел в подсчёте.

Цепь хранения — это скучное делопроизводство, пока оно не будет единственное, что стоит между легитимными выборами и выборами, которые никто не может защитить.

Что всё ещё не поддаётся проверке — и что это изменит

Вот что не сделало решение Конституционного суда Австрии: оно не создало систему, в которой цепь хранения на следующих австрийских выборах независимо поддаётся проверке любым желающим.

Оно произвело новые выборы. Оно не произвело новую архитектуру.

В большинстве юрисдикций, которые проводят почтовые голосования, журнал о том, кто обрабатывал бюллетень, когда и при каких свидетелях, является внутренним административным документом. Он может быть или не быть последовательно ведётся. Он может быть или не быть общедоступным по запросу. Нет стандартизированной, реальной публикации событий хранения в машиночитаемой форме, которую любой наблюдатель мог бы загрузить и проверить.

Вот что всё ещё отсутствует. Пробел между «мы соблюдали правила» и «вот неизменяемая, общедоступная проверяемая запись, доказывающая, что мы соблюдали правила» — это пробел, который создал Вену 2016, Tower Hamlets 2014 и Северную Каролину 2018 — и который создаст следующий.

Инструменты для закрытия этого пробела существуют. Криптографическое логирование событий хранения. Реальные подписанные записи о том, какое уполномоченное лицо трогало какой запечатанный контейнер в какое время. Машиночитаемые пути аудита, опубликованные в момент каждого шага хранения, а не реконструированные позже. Не потому, что какой-либо конкретный должностной лицо ненадёжен — а потому что система, в которой требуется доверие, — это система, в которой доверие может быть ошибочным, и в которой ошибки и проступки неотличимы до тех пор, пока не будет слишком поздно.

Цепь хранения, которую любой может проверить — это цепь хранения, которую никто не может тихо разорвать.

Смотрите, как распространён этот пробел по всему миру →

Прочитайте двухминутную версию проблемы с проверяемостью →

Исследуйте полный пробел в цепи хранения →

Источники

Все статьиИзучить уязвимости