← Все статьи9 августа 2026 г.

Индия сохранила свои избирательные машины — но усилила проверку бумаги. Почему?

Верховный суд Индии отказался утилизировать избирательные машины — а затем немедленно приказал усилить пломбировку бумаги и независимые выборочные проверки. Это напряжение говорит вам всё о том, что на самом деле требует «доверие».

26 апреля 2024 года утро, и где-то в Нью-Дели скамья из двух судей Верховного суда Индии только что закончила читать 102 страницы петиций с требованием сделать что-то драматичное: утилизировать всю систему электронного голосования страны или как минимум потребовать, чтобы каждый листок бумаги, созданный каждой избирательной машиной, был подсчитан вручную.

Авторы петиций — Ассоциация демократических реформ и другие организации — были не конспирологами. Они указывали на подлинный структурный вопрос: в выборах, в которых участвуют примерно 970 миллионов имеющих право голоса избирателей в стране континентального масштаба, какую часть электронного подсчёта любой гражданин может независимо проверить?

Суд ответил отказом на оба требования.

А затем немедленно приказал усилить пломбировку бумаги, обязательное защищённое хранилище и новый механизм проверки споров, привязанный к бумажному следу.

Это сочетание — поддержать машины, усилить проверку бумаги — стоит того, чтобы в нём разобраться. Потому что оно содержит аргумент, который пересекает каждую демократию, которая когда-либо пыталась провести выборы на компьютере.

Что на самом деле делают индийские машины и что на самом деле сказал суд

Электрические избирательные машины Индии (EVM) — это автономные устройства, не подключённые к сети. Они не подключены к интернету. Они не работают на коммерческом операционном ПО. Избирательная комиссия Индии описывает их как специально разработанные, устойчивые к подделкам установки. С 2013 года система работает в паре с системой проверки бумажного аудита, поддаваемой проверке избирателем — VVPAT — небольшой принтер за стеклянным окном, который отображает в течение семи секунд листок бумаги, показывающий символ партии и имя кандидата, записанные машиной. Листок падает в запечатанный ящик, который избиратель не может трогать.

В деле Association for Democratic Reforms v. Election Commission of India (2024 INSC 341, решение от 26 апреля 2024 года) Верховный суд Индии отказался приказывать вернуться к бумажным бюллетеням или делать полный подсчёт на 100% листков VVPAT вручную. Существующий режим — обязательная ручная проверка листков VVPAT на пяти случайно выбранных избирательных участках на округ — выжил.

Но суд не просто сказал «мы доверяем Избирательной комиссии». Он издал конкретные указания:

Устройства загрузки символов (SLU) — устройства, используемые для загрузки символов кандидатов и партий на EVM перед выборами — должны быть запечатаны и защищены после процесса загрузки символов и храниться минимум 45 дней после объявления результатов.
Кандидаты могут, при оплате сбора, потребовать проверку сожженного микроконтроллера памяти в 5% EVM на округе в случае спора.

Внимательно прочитайте эти два указания. Суд не говорил, что машины в порядке, доверьте нам. Он говорил: запечатайте устройства, которые касаются машин перед голосованием, держите их доступными для проверки позже, и дайте проигравшим кандидатам механизм оспорить подсчёт против свидетельства физического оборудования.

Даже решение, которое поддержало электронную систему, в каждый тревожный момент опиралось на логику независимой, основанной на бумаге и оборудовании проверяемости.

Это аргумент. Не аргумент Индии — аргумент всех.

Вопрос, к которому в конечном итоге приходит каждый суд в каждой стране

В марте 2009 года восемь судей в Карлсруэ, Германия, пришли к тому, что сейчас является самым чётким судебным заявлением основополагающего принципа. Федеральный конституционный суд Германии, рассматривая использование избирательных компьютеров Nedap на выборах в Бундестаг в 2005 году, постановил, что электронное голосование законно только когда «существенные этапы голосования и определения результата могут быть проверены гражданином надёжно и без какого-либо специального знания».

Не сертифицированным экспертом. Не избирательной властью. Гражданином.

Машины хранили голоса только в электронной памяти, без независимо проверяемого документа, который избиратель мог бы проверить. Они не прошли тест. Ордонанс о федеральных избирательных машинах был признан неконституционным.

Верховный суд Индии в 2024 году боролся с тем же вопросом в гораздо большем масштабе, с другой архитектурой машины, и пришёл к другому итоговому результату — но обратите внимание на то, что он сохранил в обоих направлениях: бумажный листок, который избиратель смотрит, когда он падает в ящик, и свидетельство оборудования, которое оспариваемый округ теперь может потребовать проверить. Суд провёл линию между доверием к машине и наличием чего-то для проверки машины против него.

Эта линия не является изобретением Индии. Это неснижаемый минимум, который в конечном итоге требует каждый серьёзный национальный суд.

Что происходит, когда нечего проверять

Дело округа Сарасота, Флорида, с 2006 года остаётся самым ясным единственным примером того, что на самом деле стоит вам отсутствие бумажного следа. Примерно 18 000 бюллетеней в 13-м округе Конгресса Флориды не показали зарегистрированного выбора в гонке — 13% невыразительных голосов на бумажных сенсорных машинах ES&S iVotronic. Гонку выиграли на 369 голосов. GAO проверила системы и не смогла выявить неисправность машины, но отметила, что проверяемый избирателем бумажный след мог бы предоставить независимое подтверждение того, что сенсорные экраны правильно записали голоса.

Не было ничего, что можно было бы пересчитать. Нет листка в ящике. Нет физического артефакта, созданного под наблюдением избирателя. Машины сказали, что они сказали, и не было независимого слоя для допроса.

Машина, которая не оставляет проверяемого следа, — это не система подсчёта. Это декларация.

Режим VVPAT Индии, какими бы ни были его ограничения, является структурным отказом от этого результата. Бумажный листок существует. Вопрос, который рассматривал Верховный суд, был не о том, иметь ли бумажный след, а какую часть его должно быть проверено вручную, и при каких условиях оборудование под ним может быть проверено.

Это реальный аргумент, стоящий того, чтобы его иметь. Это не тот же аргумент, что иметь ли вообще какую-либо проверку.

Почему выборка из пяти избирательных участков — это подлинное напряжение, а не комфортный ответ

Суд сохранил требование о ручном подсчёте листков VVPAT на пяти случайно выбранных избирательных участках на округ. В Индии тысячи округов. Выборка невелика.

Критики решения — и истцы перед судом — возражали, что небольшая случайная выборка не может обеспечить статистическую уверенность, необходимую для сертификации близкого результата. Это законное техническое возражение, а не маргинальное.

Сравните подход Колорадо: в 2017 году Колорадо стал первым штатом США, завершившим аудит с ограничением риска на уровне штата, метод, который размеры выборки своей ручной проверки к близости гонки. Разгром нужен небольшой выборке для подтверждения. Почти эквивалент требует гораздо большего количества бюллетеней, проверенных вручную. RLA обеспечивает определённую статистическую уверенность; фиксированная выборка из пяти участков — нет, и в близкой гонке математика имеет значение.

Ответ индийского суда — не то, что пять участков — это оптимально. Его ответ — это то, что архитектура разрешения споров — запечатанные SLU, хранящиеся 45 дней, с проверкой микроконтроллера, доступной по требованию — обеспечивает другой уровень проверки, который одна пятиучастковая выборка не делает.

Является ли этот слой достаточным — это технический вопрос, который решение полностью не разрешает. Это нерешённый вопрос — это не изъян в аргументе этого материала — это именно вопрос, который придаёт решению его напряжение.

Суд поддержал машины. Он добавил проверку споров на уровне оборудования. Он не предоставил математическую гарантию статистической уверенности в близких гонках. Эти три вещи одновременно верны, и если кто-то скажет вам, что верно только одно, этот человек рассказывает вам комфортную историю.

Более глубокая проблема: что означает «проверено» на семисекундном окне

Вот часть, которую решение суда оставляет подлинно открытой, и о которой стоит сказать ясно.

Листок VVPAT появляется за стеклянным окном на семь секунд. Избиратель смотрит на него. Затем он падает в запечатанный ящик.

Что избиратель проверил — это то, что листок правильно напечатался. Он не проверил, что машина правильно подсчитала этот листок. Листок попадает в запечатанный ящик, который подсчитывается вручную только на выбранных участках.

В Соединённых Штатах федеральный суд в Атланте сделал структурно похожее наблюдение в 2020 году. В Curling v. Raffensperger, рассматривая устройства для маркировки бюллетеней Dominion в Джорджии, суд обнаружил, что система «не обеспечивает проверяемый и поддающийся аудиту запись бюллетеня, потому что она опирается на QR-код для подсчёта голосов и этот код сам по себе не может быть прочитан и проверен избирателем». Бумажный отпечаток существовал. Артефакт табуляции — QR-код — был нечитаем для человека.

Ситуация в Индии отличается по архитектуре: листок VVPAT читаем для человека, и табуляция происходит на самой EVM, а не кодируется в штрих-коде. Но структурный вопрос — это то же самое: артефакт, который избиратель проверяет, и артефакт, который определяет подсчёт, должны быть одним артефактом, и связь между ними должна быть независимо проверяемой.

Новый механизм проверки микроконтроллера индийского суда — это шаг к тому, чтобы сделать эту связь проверяемой в оспариваемых случаях. Это не механизм общественной проверки, доступный любому гражданину по праву.

Этот разрыв — между тем, что суд может приказать в качестве средства, и тем, что система должна обеспечивать по умолчанию — это место, где живёт подлинный аргумент проектирования.

Как бы выглядела система, построенная для проверяемости

Решение Индии, немецкий конституционный стандарт и отчёт нидерландского правительства 2007 года (в котором Нидерланды вернулись к бумажным бюллетеням на явных основаниях того, что выборы должны быть прозрачны и проверяемы) все указывают на одну спецификацию.

Надёжный подсчёт требует:

Читаемый человеком, проверяемый избирателем физический документ — не семисекундное окно, а долгосрочный артефакт, который избиратель подтверждает и который система сохраняет.
Протокол общественного аудита, который статистически разработан для выявления неправильных результатов, размер которого определяется размером маржи, а не удобством.
Цепочки опеки оборудования и ПО, которые запечатаны, залогированы и независимо проверяемы — не только кандидатами, которые платят сбор, но как вопрос прозрачного общественного ведения.
Мгновенное, на уровне участка опубликование результатов в машиночитаемых форматах, которые кто-либо может загрузить и сверить с документом на бумаге.

Ни одна из этих четырёх вещей не требует отказа от электронного голосования. Суд Индии не сказал отказаться от него. Суд Германии не сказал отказаться от него — он сказал сделать его проверяемым обычными гражданами. Нидерландская комиссия не сказала, что технология неправильна — она сказала, что прозрачность и проверяемость являются непреклонными, и бумага в настоящее время их обеспечивает лучше.

Сквозная линия во всех юрисдикциях — это не предпочтение бумаги перед кремнием. Это требование того, чтобы система производила свидетельства, которые общество может независимо изучать — свидетельства, которые не просят никого доверять власти, объявляющей победителя.

Бразилия проводит официальные публичные состязательные тесты безопасности на своих машинах, приглашая любого, чей план тестирования одобрен, попытаться взломать систему. Округ Лос-Анджелес создал открытую систему подсчёта, принадлежащую общественности, специально для того, чтобы посторонние могли проверить код. Колорадо разработал свой аудит для обеспечения статистической уверенности, а не просто внешнего вида.

Ни одна из них не говорит «бумажные бюллетени — магия». Все они говорят «вот свидетельство; приходите и проверьте это самостоятельно».

Что остаётся нерешённым — и что сделало бы его проверяемым

Решение Индии от апреля 2024 года — это значительная точка данных, а не окончательное заключение.

Вот что остаётся подлинно открытым:

Выборка из пяти участков VVPAT не была показана, чтобы обеспечить достаточную статистическую уверенность в случае близкой гонки на уровне округа. Ни один индийский суд, ни органы выборов не опубликовали математический анализ, демонстрирующий какой риск неправильного результата принимает текущая выборка.
Механизм проверки микроконтроллера доступен только кандидатам, только в оспариваемых случаях, только при оплате и только в 5% EVM. Это юридическое средство, а не прозрачный публичный аудит.
Требование пломбировки SLU — это улучшение цепочки опеки. Записываются ли печати независимо, кто имеет опеку над журналами и как несоответствие будет выявлено и рассмотрено, не публично указано в решении.
ПО EVM остаётся закрытым. Ни один независимый исследователь не опубликовал анализ безопасности текущих индийских EVM, похвальный на рецензирование, сравнимый с анализом команды Принстона 2006 года системы Diebold AccuVote-TS, или анализом эстонского электронного голосования, который выявил риски необнаруживаемой манипуляции.

Что сделало бы любое из этого независимо проверяемым?

Опубликуйте расчёты размера выборки. Опубликуйте журналы опеки печатей. Откройте прошивку EVM для независимого криптографического анализа. Требуйте, чтобы подсчёт листков VVPAT каждого округа был опубликован в сравнении с его суммой EVM на уровне избирательного участка, в машиночитаемом формате, который любой гражданин может загрузить и проверить.

Суд переместил циферблат. Циферблат ещё не находится на «кто-нибудь может проверить».

Это не обвинение. Это спецификация дизайна — и это та же спецификация, которую Германия сформулировала в 2009 году, та же, которую Верховный суд Кении применил в 2017 году, когда он аннулировал президентские выборы, потому что цепочку результатов не было возможно независимо отследить, и та же, которая делает разницу между выборами, которые вы можете проверить, и выборами, которых вас просят доверить.

Доверие — это не цель. Проверяемость — это. Это не одно и то же.

Посмотрите, где этот разрыв появляется на выборах во всём мире · Прочитайте версию из двух минут · Исследуйте полный архив дел

Источники

Все статьи Изучить уязвимости