← Все статьи

Проектирование избирательной системы, в которой принуждение просто не может работать

В Северной Македонии в 2025 году кто-то вёл список того, кто пришёл голосовать — и этот список был главной целью.

Вторник, конец 2025 года. Сотрудница государственного учреждения где-то в Северной Македонии делает тихие расчёты. Её работодатель — муниципальный офис, государственное предприятие, неважно — хочет, чтобы она голосовала. И не просто голосовала: голосовала правильно и чтобы это было видно. Она знает, что у других людей неофициально спрашивали, пришли ли они на избирательный участок. Она знает, что кто-то что-то записывает.

Она не знает, что её наблюдают международные наблюдатели.

Структура ОБСЕ по мониторингу выборов, БДИПЧ, направила миссию на местные выборы в Северную Македонию в 2025 году. Её финальный отчёт, опубликованный 7 апреля 2026 года, зафиксировал, что обнаружили мониторы: обвинения в покупке голосов, давление на государственных служащих и избирателей, и — самая важная для нас деталь — зафиксированные случаи отслеживания избирателей в день выборов и вокруг него. Не слухи. Не жалобы оппозиции. Документированные наблюдения одной из самых опытных независимых структур мониторинга выборов в мире.

Фраза «отслеживание избирателей» звучит почти бюрократично. Но это не так. Это операционный костяк принуждения.

Таблица, которая делает угрозу реальной

Вот как отслеживание избирателей работает на практике. Перед выборами кто-то составляет список: сотрудники государственной компании, жители деревни, члены сообщества, связанного с патроном. В день выборов наблюдатель — официальный или неформальный — записывает, кто приходит и уходит с избирательного участка. После закрытия избирательных участков список проголосовавших сравнивают со списком работодателя тех, кто должен был проголосовать.

Это сравнение и есть угроза. Чтобы наказать человека за то, что он не голосовал «правильно», не нужно знать, как он голосовал — нужно просто знать, что он не пришёл. А если человек всё же пришёл, подразумеваемое предположение в том, что он подчинился.

Это систематизированное принуждение. Никаких личных конфликтов. Никаких денег, меняющих руки на избирательном участке. Просто список, галочка и хорошо понимаемый социальный факт: несоответствие имеет последствия.

БДИПЧ обнаружила одну и ту же базовую схему в документах из нескольких стран последних лет. В Грузии — стране на Кавказе — наблюдатели зафиксировали нечто ещё более детальное во время парламентских выборов в октябре 2024 года. Их финальный отчёт отмечал, что проблемы с тайной голосования были обнаружены более чем в 30 процентах наблюдавшихся избирательных участков: избиратели отмечали бюллетени в позициях, где их видели другие люди, бюллетени держали так, что выбор был виден перед помещением в урну, планировка участков не предусматривала реального приватного пространства. Это не ошибка округления. В почти одном из трёх наблюдавшихся участков кто-то, кроме избирателя, мог правдоподобно увидеть голос.

Эти два вывода — отслеживание в Северной Македонии и нарушенная тайна в Грузии — указывают на единый конструктивный недостаток. И решение — это не лучшее обучение членов избирательных комиссий.

Почему «бюллетень — это тайна» недостаточно

Тайное голосование было придумано специально, чтобы победить то, что переживает Северная Македония. Австралийская избирательная комиссия документирует, что «австралийский бюллетень» — печатный государством, отмечаемый приватно бюллетень, принятый в 1850-х годах — был внедрён именно потому, что открытое голосование «оставляло избирателей уязвимыми для запугивания и принуждения». Британский парламент последовал примеру с Законом о тайном голосовании 1872 года, положив конец эпохе, когда землевладелец мог наблюдать, как его арендаторы проходят мимо урны и как каждый из них голосует.

Прозрение было структурным, не сентиментальным. Голос, который никто не может увидеть, — это голос, который никто не может купить или заставить — не потому, что люди стали честнее, а потому, что операция стала неприводимой в исполнение. Вы можете оказывать давление на человека сколько угодно, но если вы не можете проверить, что он действительно сделал за занавеской, угроза теряет силу.

Эта структурная идея имеет следствие, которое демократии медленно усваивают: тайное голосование — это свойство безопасности, и, как все свойства безопасности, оно может быть нарушено неправильной конструкцией системы.

Суд по делам апелляций США для Первого округа чётко объяснил механизм в Rideout v. Gardner (2016). Дело касалось селфи с бюллетенями — имеют ли право избиратели фотографировать свои отмеченные бюллетени. Штат утверждал, что запрет защищает от покупки голосов, потому что фото позволяет избирателю доказать свой голос тому, кто его купил. Суд признал историю напрямую: реформы в области тайного голосования были приняты, чтобы «боротьс со всеобщей покупкой голосов и запугиванием избирателей», практиками, которые зависят от того, может ли покупатель или угрожающий человек проверить голос. Логика безупречна. Тайна побеждает принуждение, разрушая доказательство доставки. Всё, что восстанавливает это доказательство — камера, расписка, видимая отметка — вновь открывает рынок.

А отслеживание избирателей эксплуатирует более грубую версию той же уязвимости. Если вы можете установить, что кто-то вошёл на избирательный участок в день выборов, и неявный общественный договор в том, что вход означает подчинение, у вас есть половина доказательства. Это размытое, вероятностное доказательство — но в среде постоянного давления на сотрудников размытого достаточно.

Вопрос для проектировщиков систем: как сделать невозможным даже конструирование этого размытого доказательства?

Разрыв, который эксплуатирует наблюдение

Современные избирательные системы — даже хорошо спроектированные — решают проблему, отличную от той, что иллюстрируют Северная Македония и Грузия. Они сосредоточены на том, является ли подсчёт точным: правильно ли машина записала, что отметил избиратель? Правильно ли программное обеспечение итогов сложило? Это важные вопросы, и мы много места на этом блоге уделяем их исследованию.

Но принуждение не атакует в первую очередь подсчёт. Оно атакует избирателя ещё до того, как бюллетень достигнет урны.

Поверхность атаки — это связь между личностью человека и его избирательным поведением. В случае Северной Македонии эта связь была частично установлена просто отслеживанием физического присутствия. В Грузии она была установлена наблюдателями — официальными или нет — смотрящими момент отметки. В Болгарии ОБСЕ/БДИПЧ документировала, что тайна голосования была нарушена в 7 процентах наблюдений, и нашла признаки покупки голосов вне избирательных участков — напоминание о том, что экосистема принуждения выходит за пределы будки.

Выборы в Албании 2021 года показали, что БДИПЧ документировала «широко распространённые» обвинения в покупке голосов политическими партиями, и мониторы рекомендовали государству гарантировать «право на свободный и тайный голос и предотвращение любого вида давления на избирателей, чтобы раскрыть, голосовали ли они и как». Президентские выборы в Кыргызстане 2017 года вызвали параллельную рекомендацию от того же органа: «гарантировать право на свободный и тайный выбор и предотвращать любые формы давления на избирателей, чтобы раскрыть, как они голосовали».

Страна за страной. Континент за континентом. Схема — это не аномалия. Где бы голос мог быть связан с избирателем — сколь бы несовершенно, сколь бы вероятностно — открывается рынок принуждения.

Текущий набор инструментов — занавески, сложенные бюллетени, инструкции не фотографировать свой выбор — был разработан для мира, где основной угрозой был землевладелец, наблюдающий, как вы идёте к избирательной урне. Он не был разработан для систематических таблиц отслеживания сотрудников, мобильных телефонов или социальной инфраструктуры организованного давления на рабочем месте.

Анонимность по конструкции: требование безопасности, а не предпочтение

Вот цель проектирования, сформулированная ясно: выбор избирателя должен быть доказуемо непривязан к его личности. Не просто непривязан в политике. Не просто непривязан в отсутствие коррумпированного официального лица, готового копаться в записях. Непривязан по конструкции — так, чтобы никто, включая саму избирательную комиссию, не мог выполнить привязку, даже если бы захотели.

Это тот же язык, который инженеры программного обеспечения используют, когда говорят о «конфиденциальности по конструкции» в системах данных. Это означает, что архитектура делает нарушение невозможным, а не просто запретным.

Что это требует?

Во-первых, физическая анонимизация в момент депозита. Акт размещения бюллетеня в урне должен быть отделён от личности человека, помещающего его. Планировка избирательных участков, которая даёт наблюдателям обзор момента отметки, не соответствует этому требованию. Прозрачные или помеченные конверты для бюллетеней не соответствуют. Будка, обращённая на стену из стекла, не соответствует. Это проблема физического инженерства, и у неё есть известные, недорогие решения — непрозрачные будки, единообразное сложение, универсальный конверт для бюллетеней — которые на избирательных участках Грузии в более чем 30 процентах наблюдений не применялись.

Во-вторых, нет прослеживаемой расписки, которую избиратель мог бы быть вынужден предъявить. Один из более любопытных результатов в проектировании избирательных систем состоит в том, что квитанции, доступные избирателю — типа те, которые избиратель берёт домой, чтобы подтвердить, что его бюллетень был подсчитан — могут, если они криптографически доказывают, как голосовал избиратель, стать инструментами принуждения. Суд Rideout видел более простую версию этого с мобильными телефонами. Криптографическая версия более утончённая, но реальная: расписка, которую избиратель может использовать, чтобы доказать свой выбор третьей стороне, вновь открывает рынок покупки голосов. Правильная конструкция даёт избирателю уверенность, что его бюллетень был включён в итого без предоставления ему — или кому бы то ни было — привязываемого доказательства того, как он голосовал.

В-третьих, и самое главное: сама избирательная комиссия не должна быть в состоянии восстановить связь. Вот где традиционные системы, даже хорошо управляемые, отстают. Если комиссия удерживает отображение между номером бюллетеня и личностью избирателя, коррумпированный или принуждённый официальный человек может восстановить его. Архитектурное решение — гарантировать, что отображение никогда не удерживается — что процесс анонимизации необратим и происходит до того, как бюллетень попадает в любую систему, которая знает, кто его отметил.

Это не теоретическое стремление. Криптографические исследования голосования произвели протоколы — миксеры, гомоморфный подсчёт, схемы слепых подписей — специально разработанные, чтобы разорвать эту связь при этом производя проверяемый совокупный подсчёт. Инструменты существуют. Вопрос в том, построены ли избирательные системы, чтобы их использовать.

Что должно означать «проверяемость» на обе стороны уравнения

Большая часть рассмотрения проверяемости этого блога сосредоточена на конце подсчёта: может ли публика подтвердить, что совокупный итог отражает отдельные бюллетени? Это критический вопрос, и примеры мрачные — от Кении, где Верховный суд аннулировал президентские выборы потому, что форм результатов нельзя было проследить до избирательных участков, до Малави, где суды аннулировали президентские выборы из-за корректирующей жидкости на итоговых листах, до Грузии (США), проводящей полный ручной подсчёт пяти миллионов бюллетеней чтобы подтвердить машинный подсчёт, который, к его чести, выдержал.

Но проверяемость имеет второе измерение, которое менее обсуждается: может ли избиратель подтвердить, что его бюллетень был включён, не раскрывая никому — включая себя, в криминалистических целях — как он голосовал?

Эти два требования находятся в напряжении. Полная прозрачность отдельных бюллетеней сделала бы подсчёт идеально проверяемым, но уничтожила бы анонимность и дала бы угрожающим людям идеальный путь аудита. Нулевая связь между бюллетенями и избирателями защищает анонимность, но в наивных реализациях устраняет возможность поймать напечатку бюллетеней или подавление.

Вся суть современного криптографического проектирования голосования состоит в разрешении этого напряжения. Система, построенная на проверяемой анонимизации — где тасование бюллетеней через процесс смешивания может быть математически проверено без возможности кому-либо обратить тасование — даёт вам обе: публичную уверенность в совокупном результате и отсутствие привязываемого доказательства для любого угрожающего человека, чтобы требовать.

Дело Swiss Post 2019 года показательно здесь, хотя в предостерегающей причине: исследователи Sarah Jamie Lewis, Olivier Pereira и Vanessa Teague обнаружили, что доказательство тасования миксера основывалось на криптографической лазейке, означающей, что комиссия с правильными значениями могла создать доказательство, которое выглядело действительным, при этом изменив голоса. Урок не в том, что криптографические подходы терпят неудачу — это то, что они должны быть открыты независимой проверке. Недостаток был найден именно потому, что Swiss Post опубликовала код. Закрытая, сертифицированная система проскользнула бы беспрепятственно.

Немецкий Федеральный конституционный суд достиг дополнительного вывода об непрозрачности в 2009 году: использование избирательных машин требует, чтобы существенные шаги голосования и подсчёта «могли быть проверены гражданином надёжно и без каких-либо специальных знаний». Закрытое программное обеспечение не удовлетворяет этому. Миксер, чьё математическое доказательство любой обученный человек может проверить, нет.

Проблема с заверениями

Когда наблюдатели БДИПЧ отмечают отслеживание избирателей в Северной Македонии, официальный ответ имеет тенденцию следовать предсказуемой форме: будут проведены расследования, рекомендации будут рассмотрены, следующие выборы будут лучше. Когда проблемы с тайной Грузии были задокументированы, официальные лица могли указать на правовые положения, которые технически требуют приватной отметки.

Эти ответы не являются ложью. Но они — заверения, а заверения — это не архитектура.

Избирательная система, которая полагается на официальных лиц, не строящих таблицу отслеживания, — это не система, которая побеждает принуждение. Это система, которая надеется, что официальные лица не будут.

Единственный долгосрочный ответ — это конструкция, в которой таблица бесполезна — где даже идеальное отслеживание того, кто вошёл на избирательный участок, не даёт угрожающему человеку никакой полезной информации, потому что связь между присутствием и выбором разорвана самым процессом. Анонимный депозит бюллетеня. Нет привязываемой расписки. Комиссия, которая не может, даже если её подсудят, предоставить запись того, как голосовал кто-либо из отдельных лиц.

Это не система, которую в настоящее время ведут большинство демократий. Это система, к которой они должны двигаться.

Заверения в Северной Македонии и Грузии стоят ровно столько, сколько стоит каждое официальное заверение в этом пространстве: утверждение, сделанное людьми, которые контролируют систему, о системе, которую они контролируют, без механизма для кого-либо другого независимо её проверить.

И в гонке — местной, парламентской, президентской — решённой на маржу меньше, чем пул людей, чей работодатель вёл список, разрыв между заверением и архитектурой не теоретический. Это результат.

Что сделало бы это проверяемым — кем угодно

Вот что систему, устойчивую к принуждению и независимо проверяемую, позволила бы обычному наблюдателю подтвердить, без специального доступа:

Что каждый отданный голос прошёл процесс анонимизации — криптографический миксер или эквивалент — перед тем, как он был связан с любым итогом. Этот шаг должен быть публично зарегистрирован, и его целостность должна быть проверяема кем-либо с математическим доказательством.

Что не существует расписки, которую избиратель мог бы быть вынужден предъявить, чтобы доказать, как он голосовал. Это означает, что токен проверки, который получает избиратель, должен подтвердить включение в подсчёт без кодирования их конкретного выбора в форме, привязываемой к ним.

Что совокупный итог может быть проверен против пула анонимизированных бюллетеней любой независимой стороной, которая загружает опубликованные данные — не доверяя объявлению комиссии, а самостоятельно повторно запуская криптографическую проверку.

Ничего из этого не существует в масштабе в какой-либо крупной национальной избирательной системе сегодня. Большинство систем предлагают одно или два из этих свойств, частично. Разрыв между частичным и полным — это там, где отслеживание избирателей, давление на рабочем месте и вся экономика принуждения живут.

Случаи задокументированы. Инструменты существуют. Цель проектирования ясна: выбор, доказуемо непривязанный к личности избирателя, — это не деликатность конфиденциальности — это единственная архитектура, которая делает принуждение экономически бесполезным.

Что всё ещё не независимо проверяемо, в Северной Македонии, в Грузии, в большинстве мира: является ли бюллетень, отданный сотрудником, которого смотрели входящим на избирательный участок, тем же бюллетенем, который вошёл в подсчёт, не связанный ни с каким именем, проверяемый никаким работодателем, доказуемый никаким патроном.

Пока это не проверяемо — математикой, а не обещанием — таблица остаётся полезной.

Узнайте, как этот разрыв появляется в разных странах и системах → (/atlas)

Прочитайте двухминутную версию проблемы принуждения и анонимности → (/simple)

Просмотрите задокументированные примеры покупки голосов и нарушенной тайны голосования → (/gaps)

Источники

Все статьиИзучить уязвимости