← Все статьи

232 голоса исчезли в компьютер, и суд приказал провести новые выборы

Суд приказал провести новые выборы — не потому, что кто-то доказал фальсификацию, а потому, что 232 избирателя нажали «подтвердить», и их голоса просто никогда не поступили в систему.

Утро 9 апреля 2009 года. Судья в Хельсинки только что сделал то, чего Финляндия никогда не делала раньше: приказал трём муниципалитетам провести выборы заново, с нуля.

Никто не сжигал бюллетени. Никто не подкладывал избирательные урны. Никакого заговора. Просто 232 человека пришли на избирательный участок, сделали свой выбор на сенсорном экране и ушли, думая, что проголосовали — хотя на самом деле машина отбросила то, что они ей дали.

Их голоса исчезли, и они об этом не знали.

Верховный административный суд Финляндии в решении KHO:2009:39 был недвусмыслен: электронное голосование, проведённое в рамках пилотного проекта в Каркила, Каунияйнене и Вихти на выборах в муниципальные органы в 2008 году, было принципиально дефектно. Избиратели, выбравшие электронный вариант, должны были дождаться финального подтверждения после выбора. Многие не дождались. Инструкции были неправильными. Дизайн машины был запутанным. Поэтому некоторые извлекли смарт-карту до сохранения голоса — и бюллетень бесследно исчезла.

Система не выдала им квитанцию. Никакого сообщения о том, что голос был учтён. Никакой возможности узнать, сохранила ли машина то, что они ей дали.

Вот об этом молчании и идёт речь в этом посте.

Машина забрала ваш голос и ничего не сказала

Подумайте, что на механическом уровне означает «голосовать». Вы делаете выбор. Вы фиксируете этот выбор в долговечной форме. Кто-то — или что-то — подсчитывает долговечный документ. Подсчёт становится результатом.

Каждый из этих этапов должен работать. Разорвите любую звено в этой цепи, и подсчёт уже не будет отражением того, что решили избиратели. Это будет подсчёт того, что машина случайно сохранила.

В финском пилотном проекте разрыв произошёл между первым и вторым этапом. Избиратели делали выбор. Но 232 из них ушли раньше, чем машина подтвердила сохранение — потому что ничто в дизайне не говорило им, что нужно дождаться, и ничто не сказало им впоследствии, что произошла ошибка.

232 голоса, исчезли. Беззвучно. Вопреки воле избирателей.

Суд установил, что это был не просто незначительный административный сбой. Это был системный дефект самого метода голосования. Суд аннулировал выборы. Финляндия больше не проводила электронный пилотный проект.

Это решение нужно читать внимательно. Суду не потребовались доказательства фальсификации. Ему не потребовалось доказывать, что недостающие голоса изменили бы результат. Стандарт, который он применил, был проще и строже: метод голосования имеет право на существование только если каждый поданный голос поддаётся проверяемой регистрации. Если избиратели не могут подтвердить, что их бюллетень был учтён, метод не срабатывает — точка.

«Подтверждение» — это не проблема UX. Это конституционная проблема.

Легко фрейм это так: в Финляндии был баг в софте. Улучши инструкции, добавь более чёткий экран подтверждения, проведи лучший пилотный проект в следующий раз. Проблема решена.

Но этот фрейм упускает то, что на самом деле сказал суд.

Вопрос был не в том, можно ли улучшить интерфейс. Вопрос был: что избиратель может проверить и когда? В финской системе ответ был: ничего и никогда. Избиратель нажал кнопку и полагался на машину. Не было независимого, долговечного артефакта — ни бумаги, ни криптографической квитанции, ни протокола на уровне участка — который избиратель мог бы проверить, чтобы подтвердить, что машина сделала то, что он просил.

Это не решаемая проблема UX. Это категориальная ошибка в дизайне системы.

Сравните это со стандартом, который Федеральный конституционный суд Германии сформулировал в том же году — 3 марта 2009 года, за несколько недель до финского решения — когда он запретил использование электронных машин голосования Nedap на выборах в Бундестаг 2005 года. Немецкий суд пришёл к выводу, что существенные этапы голосования и подсчёта «могут быть проверены гражданином надёжно и без специальных знаний». Не проверены аудиторами. Не проверены производителем. Обычными гражданами. Потому что всё остальное делает демократическую легитимность зависимой от доверия к правильным экспертам — а это не демократия, это делегирование полномочий.

232 недостающих голоса в Финляндии — это именно то, что описал немецкий суд в абстрактной форме. Когда этап регистрации невидим и не поддаётся проверке, избиратель не может ничего с этим сделать. Он не может узнать, был ли его голос одним из 232, которые исчезли. Никто другой тоже не может узнать, пока кто-то не подведёт итоги и не обнаружит, что 232 человека зарегистрированы как начавшие процесс, но не завершившие его.

Заметьте: ошибка была обнаружена только потому, что система логировала незавершённые сессии. Что если бы она этого не делала? Что если бы машина просто не подсчитала без оставления следа? Как бы кто-то узнал?

Число, которое должно вас беспокоить

232 голоса. В трёх небольших муниципалитетах. Звучит управляемо.

Теперь считайте в другую сторону.

Финский пилотный проект включал скромное количество избирателей на местных выборах. 232 потерянных бюллетеня составляли примерно 2% электронных голосов. Два процента — это не ошибка округления. В тесной гонке — а много гонок решаются менее чем на 2% — беззвучный отсев при таком уровне переворачивает результаты.

Важнее то, что это был уровень отказа системы, которую удалось поймать. Мы знаем о 232 голосах только потому, что система сохранила достаточно метаданных для восстановления того, что произошло. У суда было что изучать.

Теперь рассмотрите случаи, где нечего изучать.

В округе Сарасота, Флорида в 2006 году примерно 18 000 голосов не были учтены на одних конгрессных выборах, решённых 369 голосами. Машины были сенсорными экранами без бумаги — никакой независимой записи, никакого следа. GAO тестировал системы и не мог определить неисправность, частично потому, что не было ничего независимого для проверки. Недоголоса могли быть выбором избирателя. Они могли быть отказом машины. Никто не мог сказать.

Ошибка в Финляндии была обнаружена. Ошибка в Сарасоте — нет. Разница была не в качестве работы чиновников. Разница была в том, что система оставила позади.

Что на самом деле означает «проверяемость избирателем»

Вот где всё становится точным — и где большинство дискуссий об выборах идут не туда.

«Проверяемость избирателем» стала фразой, которую чиновники и производители приклеивают почти к чему угодно с бумажным компонентом. Но не вся бумага одинакова.

Устройство разметки бюллетеней, которое печатает ваши выборы и затем кодирует их в QR-код, даёт вам листок бумаги. Но в 2020 году федеральный суд, рассматривавший систему в Джорджии, установил, что система «не обеспечивает проверяемый и контролируемый бюллетень, потому что она использует QR-код для подсчёта голосов, и этот код сам по себе не может быть прочитан и проверен избирателем». Машина подсчитывает по штрих-коду. Избиратель читает человеческий текст. Если эти два варианта различаются, избиратель не может этого узнать. Ручной пересчёт бумаги проверяет выход штрих-кода, а не намерение избирателя.

Это бумажный след. Это не проверка избирателем.

Настоящая проверка избирателем означает, что артефакт, который подсчитывается, — это тот же артефакт, который избиратель может независимо проверить и подтвердить. Вручную заполненный бумажный бюллетень удовлетворяет этому условию. Распечатка, читаемая человеком, которая подсчитывается из записей, читаемых человеком, удовлетворяет этому условию. QR-код, который избиратель не может прочитать, — нет. Сенсорный экран вообще без бумаги — как в Сарасоте — нет.

Комиссия Нидерландов по версии 2007 года Korthals Altes ясно сказала в отчёте «Stemmen met vertrouwen» (Голосование с доверием): «В процессе выборов нет секретов». Любой электронный метод допустим только если он создаёт бумажный голос, который избиратель может проверить. Нидерланды полностью отказались от машин для голосования и вернулись к вручную заполненным бумажным бюллетеням. Не из-за фальсификации. Потому что стандарт проверяемости не был соблюдён.

Финны пришли к тому же выводу два года спустя, другим путём. Их сенсорные экраны не создавали вообще никакого проверяемого документа. Теоретический стандарт комиссии стал конкретным решением реального суда: проведите выборы заново.

Проблема, которая о себе не объявляет

Вот что действительно тревожит в финском случае: система не срабатывала беззвучно.

Никакой тревоги. Никакого сообщения об ошибке. Никто из работников участка не заметил. 232 избирателя ушли с участка, считая, что сделали всё, что требовалось. Отказ был невидим для людей, которых он затронул, невидим для чиновников, проводивших выборы, и невидим для всех остальных, пока кто-то не изучил логи после факта.

Беззвучный отказ — это худший вид отказа в системе голосования, потому что к тому моменту, когда вы его обнаружите, выборы уже закончены и ущерб уже нанесён.

Сравните это со сценарием, когда стопка бумажных бюллетеней улетает с участка при порыве ветра. Очевидно. Восстановимо. Свидетели. Цепь хранения, которую можно восстановить или, в худшем случае, задокументировать как разорванную. Суд может изучить физический документ. Наблюдатели могут подсчитать, что осталось.

Электронный беззвучный отказ не оставляет ничего из этого. Он оставляет число, которое выглядит полным, произведённое процессом, который выглядит как работавший, в системе, которая не подаёт никакого внешнего сигнала о том, что что-то пошло не так.

Вот почему дело за проверяемостью подтверждения избирателем — это не вопрос дизайна. Это минимальное требование для того, чтобы узнать, произошли ли выборы вообще.

Когда независимые исследователи проверили систему интернет-голосования Эстонии на муниципальных выборах 2013 года, они обнаружили, что хорошо обеспеченный атакующий или нечестный инсайдер мог бы правдоподобно взломать голоса или нарушить конфиденциальность избирателей без обнаружения. Опубликованная статья рекомендовала Эстонии прекратить работу системы. Власти Эстонии оспорили выводы — но критическое слово в этом обмене — без обнаружения. Беззвучная атака на живые национальные выборы. Без тревоги. Без логов ошибок. Без 232 избирателей, выявленных впоследствии.

Исследователи смогли поднять вопрос именно потому, что по крайней мере часть кода системы и процедур была доступна для независимой проверки. Проверяемость — это то, что сделало возможным поднять вопрос. Без этого ответ на вопрос «работало ли это правильно?» имеет только один возможный ответ: верьте нам на слово.

«Аудит подтвердил это» — это утверждение, не доказательство

Существует версия этой истории, которая заканчивается утешительно. Чиновники обнаруживают проблему. Суд действует. Новые выборы проводятся. Система улучшается. Галочка.

Но эта версия просит вас относиться к обнаружению и реакции как к уроку, в то время как более трудный урок в том, что было невозможно обнаружить.

В округе Антрим, Мичиган в 2020 году неправильные результаты были опубликованы и пойманы — но они были пойманы потому, что они были неправдоподобно неправильными для округа, чья политика была всем известна. Более тонкая ошибка, которая сдвинула бы тесную гонку на несколько сотен голосов без того, чтобы округ выглядел как перевернувшийся, могла бы пройти незамеченной. И последующий ручной пересчёт — «золотой стандарт» проверки — всё ещё отличался от подсчёта машины примерно на дюжину голосов из примерно 15 700 поданных. Разница в двенадцать голосов, произведённая самым доверенным ручным методом, доступным.

В гонке, решённой дюжиной голосов, метод, который сам отличается на дюжину голосов, не может решить вопрос. «Аудит подтвердил это» и «Секретарь штата говорит, что всё хорошо» — это утешения. Это не доказательство. Доказательство требует, чтобы основной процесс был независимо проверяемым кем угодно — не только чиновниками, чья работа состоит в том, чтобы говорить вам, что всё хорошо.

Финский суд это понимал. Он не ждал доказательств фальсификации. Он не принял официальных уверений, что система в целом работала. Он спросил: может ли избиратель независимо подтвердить, что его бюллетень был учтён? Ответ был — нет. Этого было достаточно.

Джорджия в 2020 году провела полный пересчёт примерно пяти миллионов бюллетеней — крупнейшее такое упражнение в истории США — и вариация между подсчётом машины и ручным подсчётом составляла約 одну десятую процента. Это доказательство того, что бумага плюс аудит позволяет любому проверить тесный результат. Это модель: долговечный, читаемый человеком документ, подсчитанный независимо, наблюдателями, которые могут увидеть каждый бюллетень. Это работает потому что артефакт, который подсчитывается, — это тот же артефакт, который может проверить каждый.

Вопрос после Финляндии, после Сарасоты, после округа Антрим всегда одинаков: что система оставляет позади и кто может это проверить?

Что на самом деле сделало бы это проверяемым

Финский случай чист в одном отношении: как только суд приказал провести новые выборы, ошибка была исправлена. 232 избирателя получили средство защиты.

Но средство защиты после факта — это не то же самое, что система, которая не может не срабатывать беззвучно с самого начала. Вот что требует невозможность беззвучного отказа:

Во-первых: избиратель должен иметь возможность проверить перед уходом с участка, что его бюллетень был учтён. Не экран, который говорит «спасибо за голосование». Подтверждение, связанное с независимо проверяемым артефактом — физической бумагой, которую избиратель может проверить, криптографическим обязательством, которое избиратель может проверить позже в сравнении с опубликованной записью, или обоими.

Во-вторых: артефакт, который подсчитывается, должен быть тем же артефактом, который избиратель подтвердил. QR-код, который избиратель не может прочитать, этому не соответствует. Вручную заполненный бюллетень, заполненный самим избирателем, соответствует.

В-третьих: независимые аудиторы — не чиновники, не производители, не представители партий, а действительно независимые внешние стороны — должны иметь возможность проверить полную цепь от подтверждения избирателем до финального подсчёта. Не выборочную проверку. Не доверие сертификации. Действительно проверить, с доступом к необработанным данным, в любой момент.

В-четвёртых: результаты должны быть опубликованы на детальном уровне — по участкам, в машиночитаемой форме — в момент завершения подсчёта каждого участка. Не после протокольного утверждения. Не в виде государственных итогов. Результаты на уровне участков, которые каждый может скачать, сложить и перепроверить в сравнении с официальными итогами, — это минимальная единица публичной проверяемости.

Всё это не теория. Стадийные аудиты риска Колорадо обеспечивают статистическую достоверность, которая связана с тем, насколько близка гонка на самом деле — больше проверок в тесных гонках, меньше в разгромных, всё основано на бумажном документе. Рамки существуют. Недостаёт, почти везде, политической воли применить это универсально и инфраструктуры для публикации результатов достаточно быстро, чтобы аудиты произошли до того, как новостной цикл двинется дальше.

Вывод, которым можно поделиться

Голос надёжен только если он поддаётся проверяемой регистрации — проверенной избирателем, подтверждённой в долговечном артефакте и проверяемой каждым в сравнении с публичной записью.

Финский суд не должен был доказывать фальсификацию. Он доказал что-то более фундаментальное: выборы, где избиратели не могут подтвердить, что их бюллетени были учтены, — это не проверяемые выборы. Это подсчёт того, что машина случайно сохранила.

232 голоса. Три муниципалитета. Одно решение. Но принцип, который оно установило, применяется к каждой юрисдикции, работающей с любой системой — электронной или бумажной — где избиратель не имеет независимого способа подтвердить, что его выбор прошёл.

Вопрос, который вы должны задавать о собственной системе выборов, — это не «доказана ли фальсификация?» Это: «что нужно мне показать прямо сейчас, чтобы я знал, что мой голос был учтён так, как я его подал?»

Если ответ — «ничего» — или «верьте нам на слово» — вот эта пустота, которую нужно заполнить.

Посмотрите, насколько распространена эта пустота во всем мире | Прочитайте 2-минутную версию | Изучите конкретные ошибки проверяемости

Источники

Все статьиИзучить уязвимости