← Все статьи14 июля 2026 г.

Верховный суд Германии: если только эксперт может проверить подсчёт, это не настоящие выборы

В 2009 году верховный суд Германии постановил, что если понимание результата выборов требует диплома по информатике, то это вообще не демократические выборы — и последствия этого решения касаются всех избирательных систем на земле.

3 марта 2009 года с утра восемь судей в Карлсруэ только что переоформили границу между демократическими выборами и их доверительным исполнением.

Федеральный конституционный суд Германии — Bundesverfassungsgericht, наиболее авторитетный арбитр в вопросе о том, что на самом деле означает Основной закон, — только что вынес решение о том, являются ли конституционными компьютеризированные системы голосования Nedap, использовавшиеся на федеральных выборах 2005 года. Судьи пишут не о хакерском взломе, не о краже выборов и не о поломанной машине. Они пишут о чём-то более тихом и фундаментальном.

Они пишут о том, могут ли обычные граждане проверить то, что произошло.

Ответ, который дал суд, был отрицательным. И поэтому эти машины пришлось убрать.

«Без какой-либо специальной компетентности»

Обоснование решения суда достаточно лаконично, чтобы привести его дословно. Суд постановил, что использование электронных избирательных машин требует, чтобы «существенные этапы голосования и определения результата могли быть проверены гражданином надёжно и без какой-либо специальной компетентности в этом вопросе».

Прочитайте это медленно, ещё раз.

Не проверены аудиторами. Не проверены производителем. Не проверены сертифицированной государством лабораторией. Проверены гражданином, надёжно, без специальной компетентности.

Это требование, объяснил суд, вытекает из принципа Öffentlichkeit der Wahl — гласности выборов — закреплённого в статье 38 Grundgesetz в сочетании со статьями 20.1 и 20.2. Это не техническая деталь. Это утверждение о том, кому принадлежат выборы.

Машины Nedap не прошли этот тест, потому что они хранили голоса только в электронной памяти. Не было независимо проверяемой записи, которую избиратель мог бы проинспектировать. Когда выборы закончились, результат был просто цифра на экране, произведённая процессом, полностью скрытым внутри чёрного ящика. Вы можете ему доверять. Но вы не можете его проверить.

По мнению Германского конституционного суда, это два разных дела.

Почему это решение имеет более глубокий смысл, чем кажется

Официальные реакции на это решение обычно сосредоточивались на результате: Германия вернулась к бумажным бюллетеням и ручному подсчёту, дело закрыто, проблема решена.

Это самая неинтересная часть.

Более глубокое утверждение суда состояло в том, что проверяемость — это не дополнительная функция легитимных выборов, это определяющее требование. Выборы, результат которых может проверить только эксперт, — это не выборы в каком-либо смысле демократии. Это ритуал, исполняемый с помощью дорогостоящего оборудования, и вас просят аплодировать результату.

Обратите внимание, что суд не сказал. Он не сказал, что машины Nedap дали неправильные результаты. Он не нашел доказательств манипулирования, мошенничества или неисправности на выборах в Бундестаг 2005 года. На самом деле, ровно потому, что конкретный ущерб не был доказан, суд отказался аннулировать сами результаты 2005 года.

Но отсутствие доказательств неправомерных действий — не суть дела. Суть в том, что структура системы сделала независимую проверку невозможной, и система, которая делает проверку невозможной, не соответствует конституционному стандарту независимо от того, произошло ли что-то неправильное.

Это различие критически важно. Это означает, что суд не рассуждал между утверждением о мошенничестве и его отрицанием. Он установил минимальный стандарт. Ниже этого стандарта вопрос о том, произошло ли мошенничество, просто невозможно ответить — потому что вы создали систему, которую нельзя проверить.

Проблема в непрозрачности, не только в самой машине

Чтобы понять, почему это важно за пределами Германии, подумайте о том, что требует проверка подсчёта голосов при системе бумажных бюллетеней. Вы наблюдаете, как голосуют. Вы наблюдаете, как опечатывается урна. Вы наблюдаете, как её открывают при подсчёте. Вы наблюдаете, как человек берёт кусок бумаги, читает его и называет имя. Если вы не согласны с названным именем, вы можете посмотреть на бумагу сами.

Всё это не требует университетского диплома. Это не требует доверия органу сертификации, производителю или государственному секретарю. Вся цепь от избирателя к объявленному результату имеет человеческий масштаб и наблюдаема.

Теперь подумайте о том, что происходит, когда избирательная машина заменяет эту цепь. Голос входит в программное обеспечение. Программное обеспечение работает на оборудовании. Оборудование сертифицировано — процессом, который вы не наблюдали, проведённым экспертами, которых вы не выбирали, по стандарту, который вы, вероятно, не читали. «Подсчёт» — это вывод программного обеспечения. Вас просят ему доверять.

На это указывал немецкий суд. Непрозрачность — это не случайность технологии; в большинстве развёртываний она внутренне ей присуща.

Нидерланды пришли к тому же выводу другим путём. В 2007 году совет Нидерландов по вопросам процесса выборов опубликовал свой доклад Stemmen met vertrouwen — «Голосование с уверенностью». Его основная позиция: в избирательном процессе «нет секретов», и на вопросы должны даваться проверяемые, верифицируемые ответы. Комиссия пришла к выводу, что бумажные бюллетени, подсчитываемые вручную, предпочтительнее именно благодаря их прозрачности и проверяемости, и что любой электронный метод приемлем только если он создаёт бумажную запись, которую избиратель может физически проинспектировать. Нидерланды отозвали одобрение своих избирательных машин и вернулись к бумаге.

Два соседних европейских государства. Два независимых обзора. Один вывод.

Что скрывается внутри чёрного ящика

Стоит быть точным в том, что делает непрозрачную избирательную систему опасной — не потому, что машины обязательно скомпрометированы, а потому что нет способа узнать, так это или нет.

В 2006 году исследователи Принстонского университета Ариэль Фельдман, Дж. Алекс Халдерман и Эдвард Фелтен получили реальную избирательную машину Diebold AccuVote-TS — одну из самых широко развёрнутых в Соединённых Штатах того времени — и потратили несколько месяцев на её изучение. То, что они обнаружили, заключалось в том, что злоумышленник с примерно шестьюдесятью секундами физического доступа может установить код, который будет красть голоса, сохраняя при этом все внутренние логи, счётчики и записи внутренне непротиворечивыми. Машины ничего не показывали бы неправильного. Вторая находка была ещё хуже: код мог распространяться с машины на машину через карты памяти во время обычной ночной деятельности выборов.

Критическая фраза — «внутренне непротиворечивыми». Машина может лгать, не противореча себе. Это означает, что аудит, проверяющий только собственные записи машины, может подтвердить ложь.

В Джорджии в 2020 году федеральный суд, рассматривающий систему маркировки бюллетеней Dominion штата, обнаружил что-то структурно подобное. Система подсчитывает голоса по QR-коду, напечатанному на каждом бюллетене. QR-код не может быть прочитан избирателем. Федеральный судья пришёл к выводу, что система «не предоставляет проверяемую и аудируемую запись бюллетеня, потому что она полагается на QR-код для подсчёта голосов, и этот код сам по себе не может быть прочитан и проверен избирателем». Ручной пересчёт в Джорджии проверяет вывод штрихкода. Он не проверяет намерение избирателя.

Применённый немецкий принцип суда: если вы не можете прочитать то, что подсчитывается, вы не проверяете подсчёт.

«Голосование с уверенностью» — это лозунг. Проверяемость — это механизм.

Опыт Ирландии добавляет третью точку данных. Ирландское правительство купило 7500 избирательных машин Nedap — того же семейства, которое немецкий суд позже объявит неконституционным — и попросило независимую комиссию оценить их перед первым национальным развёртыванием. Комиссия пришла к выводу, что она не может рекомендовать систему с «необходимой степенью уверенности». Не потому, что нашла поломанные машины. Потому что не могла убедиться, что они будут работать правильно. Различие важно: отсутствие известных проблем — это не то же самое, что независимо доказанная надёжность. Машины лежали на складе пять лет и были утилизированы в 2009 году.

Три страны — Германия, Нидерланды, Ирландия — пришли по существу к одному выводу через конституционный пересмотр, правительственную комиссию и независимую оценку соответственно. Общая нить — это не антитехнологические настроения. Это требование того, что общественность может проверить, а не просто доверять.

Теперь рассмотрим, что происходит, когда это требование не выполняется.

Выборы в Национальное учредительное собрание Венесуэлы 2017 года проводились на автоматизированной избирательной системе Smartmatic. 2 августа 2017 года генеральный директор Smartmatic выпустил публичное заявление, объявляя, что показатель явки, объявленный правительством, был манипулирован — по крайней мере на один миллион голосов, по оценке компании. Smartmatic сказала, что она «знает без сомнения», что цифры были изменены.

Производитель отрёкся от результата, полученного на своем собственном оборудовании. И потому что независимый аудит был недоступен — потому что система была чёрным ящиком для всех, кроме правящей власти — граждане и международные наблюдатели не имели механизма для подтверждения истинной цифры. Они остались с одним официалом, утверждающим одно число, одной компанией, отрицающей его, и без третьего пути к истине.

Вот как выглядит непрозрачность в полном масштабе.

«Аудит это подтвердил» — что именно гарантирует эта фраза

Существует версия официального заверения, которое звучит сильнее, чем венесуэльский сценарий: «мы провели аудит, и всё совпадало». Стоит задать вопрос о том, что это гарантирует.

В Джорджии в 2020 году после президентских выборов, решённых менее чем двенадцатью тысячами голосов в штате с населением 10 миллионов, должностные лица провели полный ручной пересчёт примерно пяти миллионов президентских бюллетеней. Разница между машинным подсчётом и ручным была около одной десятой процента — подлинное достижение в масштабе и скорости, достигнутое под огромным давлением.

Но даже здесь история — это не совсем «золотой стандарт подтвердил машину». Ручной подсчёт подтвердил результат. Подтвердил ли он каждый отдельный голос, — это более сложный вопрос. В округе Антрим, штат Мичиган — меньший тестовый случай того же года — ручной аудит примерно 15 700 президентских бюллетеней всё ещё отличался от машинного подсчёта на около дюжины голосов. Дюжина голосов звучит ничтожно мало. На гонке, решённой дюжиной голосов, это вся маржа.

Судебно-экспертная проверка Виндема, Нью-Гемпшир, 2021 года задокументировала, как ошибка машинного подсчёта в сотнях голосов — вызванная не мошенничеством, не вредоносным ПО, а складкой в сложенных бюллетенях, которую оптические сканеры читали как отмеченные овалы — была обнаружена только потому, что существовали долговечные бумажные бюллетени и ручной подсчёт мог восстановить намерение избирателя.

Стандарт немецкого суда — не совершенство ручного пересчёта. Это то, что существенные этапы должны быть проверяемы любым гражданином без специальной компетентности. Ручной подсчёт проходит этот тест несовершенно, но подлинно — именно почему он обнаружил Виндем и подтвердил Джорджию. Машинный подсчёт без документов или подсчёт, аудируемый только с помощью QR-кода, который избиратель не может прочитать, вообще не проходит этот тест.

Принцип, рассмотренный серьёзно, указывает куда-то конкретно

Решение немецкого суда не запрещает электронную технологию голосования. Оно запрещает непроверяемую электронную технологию голосования. Это различие важно, потому что оно указывает на то, как выглядела бы система, соответствующая закону.

Система VSAP округа Лос-Анджелес — первая публично принадлежащая, открытая система подсчёта голосов, сертифицированная в Калифорнии, формально сертифицированная в августе 2018 года — представляет одно направление: публичное владение кодом, открытая инспекция независимыми экспертами, а не собственническое программное обеспечение, защищённое как коммерческая тайна.

Избирательный суд Бразилии проводит ежегодный Тест публичной безопасности, в котором квалифицированным внешним исследователям предлагается выявить слабые места в его электронных избирательных машинах, с исправлениями, реализованными и переоценённые перед выборами. Логика противоположна «доверяйте нашей сертификации»: это «попытайтесь её взломать, публично, и мы покажем вам, что мы исправили».

Швейцария опубликовала исходный код интернет-голосования в 2019 году именно для приглашения независимого пересмотра — и в течение нескольких недель криптографы Сара Джейми Льюис, Оливье Перейра и Ванесса Тиг обнаружили люк в доказательстве перемешивания, который позволил бы инсайдеру изменить голоса, создавая доказательство, которое казалось бы проходящим проверку. Система была приостановлена. Уязвимость была обнаруживаема только потому, что код был открыт.

Модель последовательна: проверяемость — это не свойство, которое чиновники могут утверждать, — это свойство, которое должны быть в состоянии доказать посторонние. Официальное заявление о безопасности системы — это утверждение. Независимое состязательное тестирование, подтверждающее или опровергающее его, — это доказательство.

Что остаётся непроверяемым — и что это исправило бы

Вот что требовал бы принцип немецкого суда, применённый строго, чтобы вы могли сделать после любых выборов: проследить ваш голос — анонимно, но поддающимся проверке — с момента его подачи до финального подсчёта, используя только публичные записи и ваши собственные глаза. Никакого специального диплома. Никакого доверия какому-либо чиновнику. Никаких заверений производителя.

Большинство используемых сегодня избирательных систем не могут пройти этот тест. Многие по-прежнему полагаются на программное обеспечение, исходный код которого является коммерческой тайной производителя. Многие создают бумажные записи, но бумажные записи, которые программное обеспечение подсчёта на самом деле не читает. Многие публикуют общие суммы, но не уровневые, по бюллетеню данные, которые позволили бы любому гражданину согласовать цифры снизу вверх.

U.S. Election Assistance Commission отмечает, что результаты выборов в ночь выборов всегда неофициальны и неполны — что нормально, при условии, что окончательные сертифицированные результаты затем публикуются в машиночитаемой форме на уровне участков, которую каждый может загрузить и проверить. NCSL записывает, что большинство штатов отчитываются на уровне участков. Но «опубликовано где-то» и «независимо, криптографически проверяемо» — это не одно и то же.

Германский конституционный суд дал миру чистое юридическое изложение того, какими должны быть выборы. Если только эксперт может проверить подсчёт, это не настоящие выборы. Пятнадцать лет спустя этот стандарт всё ещё больше стремление, чем практика в большинстве демократий, которые претендуют на его разделение.

Вопрос не в том, заслуживает ли доверия ваш избирательный орган. Вопрос в том, является ли их честность чем-то, чему вы должны верить на слово — или чем-то, что система позволяет вам проверить самому.

Это разные вопросы. И только один из них имеет демократический ответ.

Узнайте, где стоит ваша страна в отношении разрыва в проверяемости — и как выглядела бы проверяемая система — на /atlas. Для двухминутной версии того, почему проверяемость превосходит доверие, начните с /simple. А для более глубокой карты конкретных пробелов в технологии выборов во всём мире см. /gaps.

Источники

Все статьи Изучить уязвимости