← Все статьи17 июля 2026 г.

Ирландия купила национальную систему электронного голосования, а затем не смогла доказать, что она работает

Ирландия потратила миллионы на избирательные машины, которые пять лет лежали на складе, а затем были утилизированы — потому что независимая комиссия не смогла доказать, что они работают.

Весна 2004 года. На одном из складов Ирландии находится будущее ирландской демократии — всё ещё в оригинальной упаковке.

Правительство Ирландии закупило примерно 7500 машин для электронного голосования и подсчёта голосов Nedap/Powervote. Сделка обошлась в десятки миллионов евро. Машины прошли собственные тесты производителя. Выборы были запланированы. Персонал избирательных участков прошёл обучение. Правительство было готово.

Была одна проблема. Независимую комиссию по электронному голосованию попросили проверить эту систему. И когда она внимательно её изучила, она не смогла сказать, что машины работают.

Не «машины сломаны». Не «мы нашли мошенничество». Что-то более тревожное, чем что-либо из этого: мы не можем убедить себя с надлежащей степенью уверенности, что они работают.

Это предложение — взвешенное, техническое, разрушительное — именно оно остановило всю национальную программу электронного голосования. Машины были консервированы. В 2009 году они официально утилизированы. И вопрос, который поставила комиссия, так и не исчез.

«Не доказано» — это не то же самое, что «нормально»

Промежуточный отчёт комиссии по электронному голосованию от 2004 года не был теорией заговора. Это не был политический удар. Это была группа независимых экспертов, перед которыми стояла конкретная задача: можем ли мы проверить, в достаточной для нас степени, что эта система точна и секретна?

Их ответ: нет.

Комиссия явно заявила, что её вывод не означает, что система не будет работать. Это означало, что система не была доказана комиссии в достаточной степени для того, чтобы работать. Это другой и более строгий стандарт — и это правильный стандарт.

Точность означает: каждый поданный голос становится подсчитанным голосом? Секретность означает: никто не может связать бюллетень с избирателем, который его подал? Это не экзотические технические требования. Это две неотъемлемые свойства легитимных выборов. И комиссия, после изучения системы Nedap/Powervote в том виде, в котором она была представлена, не смогла подтвердить ни одно из них в достаточной для себя степени.

Промежуточный отчёт комиссии — короткий документ, и его стоит прочитать целиком. То, что он не говорит, столь же важно, как и то, что он говорит. Он не говорит, что производитель солгал. Он не говорит, что правительство действовало недобросовестно. Он говорит: представленные доказательства были недостаточны для независимой проверки. А для устройства, единственная задача которого — обеспечить надёжный подсчёт, «не независимо проверяемый» — это смертельный дефект, а не незначительный пробел, который можно скрыть пообещаниями.

Машины отправили на хранение.

Стандарт по умолчанию всегда должен быть: не развертывайте недоказанные системы

Вот что история Ирландии делает конкретным. Производитель сказал, что машины работают. Правительство поверило производителю. Была совершена покупка, потрачены деньги, проведено обучение. Система была на пороге использования для определения фактических результатов выборов для миллионов ирландских избирателей.

И затем независимый орган задал простой вопрос — можете ли вы это доказать? — и ответ был нет.

Эта последовательность перевёрнута. Доказательство должно предшествовать развёртыванию, а не следовать за ним. Ирландская комиссия, к её чести, рассматривала «ещё не доказано» как достаточное основание для «не использовать». Это правильный подход по умолчанию. Бремя доказывания лежит на системе. Избирательный орган, который не может продемонстрировать независимым проверяющим, что его технология точна и секретна, не прошёл испытание. Он просто выбрал не проходить его перед живым развёртыванием.

Машины Nedap/Powervote, использованные в Ирландии, были от того же производителя, чьи машины Германия использовала на своих федеральных выборах 2005 года — голосование Бундестага позже было оспорено в Федеральном конституционном суде. В марте 2009 года немецкий суд постановил, что машины электронного голосования, работа которых не может быть независимо проверена обычными гражданами без специальных знаний, нарушают конституционный принцип открытых выборов. Решение Bundesverfassungsgericht осторожно и стоит прочитать: это не запрет на компьютеры на выборах. Это требование, чтобы при использовании любой технологии граждане могли сами проверить существенные этапы от бюллетеня к результату. Машины Nedap не прошли этот тест в немецком конституционном суде пять лет спустя после того, как ирландская комиссия уже достигла того же вывода другим способом.

Две страны. Одинаковые машины. Одинаковый вердикт. Ни одна не требовала доказательств конкретного мошенничества. Обе пришли к одному и тому же результату: непроверяемое неприемлемо.

«Сертифицировано» — это утверждение, а не доказательство

Машины прошли тестирование производителя. Была проведена какая-то версия процесса сертификации. Ирландское правительство одобрило закупку. Этого было недостаточно для комиссии.

Это не особенность ирландского случая. Это постоянный разрыв в сердце надзора за технологиями выборов.

В Соединённых Штатах GAO сообщила в 2005 году — в свете HAVA, закона, который Конгресс принял для модернизации выборов после беспорядков 2000 года — что федеральные усилия по повышению безопасности и надёжности электронного голосования были «в процессе, но ключевые действия остались незавершёнными». Отчёт GAO выявил, что стандарты нуждаются в усилении, процедуры сертификации нуждаются в установлении, репозитории программного обеспечения нуждаются в создании. Годы спустя после кризиса, который спровоцировал реформу, механизм уверенности всё ещё создавался. «Мы используем сертифицированные системы» было, в тот момент, утверждением о процессе, который ещё не был полностью функционален.

Сертификация, проведённая надлежащим образом, — это значимая проверка. Проведённая как формальность — упражнение в поставлении галочек органом, у которого нет доступа, времени или независимости для подлинного исследования системы — она становится обязательством. Она создаёт видимость уверенности без содержания. А видимость уверенности на выборах хуже, чем открытая неопределённость: она останавливает людей от более острых вопросов.

Ирландская комиссия не имела необходимого доступа. То, что ей показано, было недостаточно для проверки точности и секретности системы. Этот разрыв — между тем, что представляет производитель, и тем, что независимый проверяющий действительно может проверить — это то, что делает заявления о сертификации стоящими проверки, а не принятия.

Что на самом деле означает «не может проверить секретность»

Давайте сделаем это конкретным, потому что «секретность» может звучать абстрактно.

Избирательная машина, которая не может быть независимо проверена на предмет секретности, — это такая машина, где вы должны доверять слову производителя в том, что ваш голос не связан с вами. На практике это означает: если программное обеспечение записывает не только какой кандидат получил голос, но и идентификатор, связывающий этот голос с конкретным терминалом, смарт-картой или меткой времени, которая его произвела, эта информация существует внутри машины. Если вы не можете проверить код — а на проприетарной системе вы не можете — вы не можете подтвердить, что это не так.

Это не гипотетическая уязвимость. В 2006 году исследователи из Принстона изучили реальную машину Diebold AccuVote-TS и обнаружили, что вредоносный код может быть установлен менее чем за минуту физического доступа, и что этот код может изменять подсчёты голосов, сохраняя при этом все внутренние журналы консистентными. Их статья показала работающий вирус кражи голосов, который мог распространяться автоматически между машинами во время обычной избирательной деятельности. Журналы аудита выглядели бы чистыми. Итоги выглядели бы правдоподобными. Ничто снаружи это не поймало бы.

Ирландской комиссии не нужно было находить конкретную уязвимость, чтобы прийти к своему выводу. Ей нужно было только не исключить её. Вот как должна работать независимая техническая проверка: система должна продемонстрировать свою надёжность, а не просто её утверждать. Отсутствие подтверждённой атаки — это не то же самое, что подтверждённое отсутствие возможности атаки.

Нидерланды усвоили тот же урок, но с лучшим результатом

Ирландия была не одинока в этом подсчёте. Правительство Нидерландов заказало собственный независимый обзор — комиссию Korthals Altes — которая доложила в сентябре 2007 года под названием Stemmen met vertrouwen: «Голосование с доверием». Его выводы были однозначными.

Комиссия установила, что в избирательном процессе нет секретов — это означает, что механика того, как голоса подаются и подсчитываются, должна быть наблюдаемой и проверяемой, а не скрытой в микрокоде. Она пришла к выводу, что бумажные бюллетени на избирательном участке предпочтительнее с точки зрения прозрачности и проверяемости, и что любой электронный метод приемлем только если он производит бумажную запись, которую избиратель может проверить.

Отчёт нидерландской комиссии достигла своего заключения после общественных споров, после того как активисты с лозунгом «Мы не доверяем избирательным компьютерам» продемонстрировали вживую, как легко машины утекают радиосигналы, которые могли бы выявить, как кто-то голосовал. Регулирование 1997 года, одобривавшее избирательные машины, было отменено. Нидерланды вернулись к бумаге и ручному подсчёту.

То, что сделали Нидерланды, чего, возможно, не сумела сделать Ирландия — потому что машины были остановлены до развёртывания — это сделать политическое обязательство явным и долговечным. По умолчанию изменилось. Бремя доказывания переместилось с «докажите, что машина сломана» на «докажите, что машина может быть независимо проверена». Когда это доказательство не могло быть предоставлено, ответом была бумага.

Более глубокая проблема: кто решает, что означает «доказано»?

Вот вопрос, который оставляет открытым история Ирландии, и это не удобный вопрос.

Комиссия по электронному голосованию существовала, потому что кто-то решил её создать. Независимому органу была предоставлена власть сказать «ещё нет». В Ирландии в 2004 году этот механизм существовал и был использован. Машины были остановлены.

Но такой результат был структурно не гарантирован. Он зависел от правительства, готового заказать подлинный независимый обзор, независимой комиссии, готовой прийти к неудобному выводу, и политической среды, которая приняла этот вывод, а не отменила его. Удалите любой из этих трёх элементов, и машины начинают работать. Выборы определяются системой, которую никто вне офисов производителя значимо не проверил. Результаты объявляются. Чиновники говорят, что система сертифицирована. И вопрос о том, действительно ли она работает, исчезает в архив.

Это живой риск в каждой юрисдикции, которая использует проприетарную, закрытую технологию голосования: инфраструктура проверки является опциональной и эпизодической, а не структурной и непрерывной. Независимая комиссия может быть создана или не создана. Обзор может быть щедро финансирован или получить выходные и стопку PDF-файлов. Неудобный вывод может быть принят или тихо похоронен.

Исправление — это не доверять, что нужная комиссия будет создана в нужный момент. Исправление — это создание систем, где доказательство не хранится внутри проприетарного чёрного ящика производителя, а является открытым для проверки, математически проверяемым и проверяемым кем угодно — не только экспертами, которых правительство нанимает в этом цикле.

Система VSAP округа Лос-Анджелеса, сертифицированная государственным секретарём Калифорнии в 2018 году, — это конкретный пример другого направления: государственная собственность, открытый исходный код, который внешние эксперты могут проверить, вместо того чтобы просто о нём узнать. Это не полное решение — реализация, цепочка хранения и постоянные аудиты всё ещё важны — но это устраняет один основной слой непрозрачности. Проблема ирландской комиссии, если сказать просто, была в том, что производитель контролировал, что комиссия могла видеть. Код с открытым исходником не может играть в эту игру.

Что ирландский склад действительно нас учит

7500 машин ждали. Они никогда не были использованы. Они были в конце концов проданы как лом — сообщается, что ирландское государство восстановило часть от того, что потратило на их закупку.

Оптимистическое прочтение этой истории: система сработала. Независимая комиссия выполнила свою работу, пришла к честному выводу, и правительство её услышало. Ни одни выборы никогда не проводились на недоказанной системе. Демократия была защищена.

Честное прочтение: Ирландии повезло — повезло создать комиссию с реальной независимостью, повезло, что комиссия имела мужество сказать «нет», повезло, что политическая цена отказа от этого вердикта была слишком высока.

Система, которая зависит от везения, это не система. Это серия вещей, которые могут пойти не так.

Настоящий урок машин Nedap/Powervote, сидящих в своих неоткрытых коробках, не в том, что Ирландия приняла правильное решение — хотя и приняла. Урок в том, что правильное решение требовало цепи независимых, институциональных проверок, которые могли бы также просто не быть там.

Стандарт по умолчанию для недоказанной системы должен быть: не развертывайте. Не «развертывайте и проверяйте позже». Не «развертывайте и доверяйте производителю». Не «развертывайте и ждите проблемы на поверхность». Не развертывайте. Бремя доказывания лежит на технологии, и оно должно быть исполнено перед тем, как будут поданы голоса — независимыми проверяющими с подлинным доступом, а не собственной документацией производителя.

И «независимая проверка» не может означать одну комиссию, созванную один раз, чей вывод может быть принят или проигнорирован. Это должно означать опубликованное, машиночитаемое, криптографически проверяемое доказательство, которое любой квалифицированный наблюдатель — не только те, которых нанило правительство — может проверить в любое время.

До тех пор, пока эта планка не достигнута, «система сертифицирована» — это предложение, которое заслуживает ровно столько же доверия, сколько ирландская комиссия ему дала.

Что означает: совсем немного.

Хотите посмотреть, как разрыв между «недоказанной сертификацией» проявляется по всему миру? Изучите наш глобальный атлас выборов. Или прочитайте двухминутную версию того, почему заявления о сертификации нуждаются в независимой проверке: разрывы, объяснённые. Для более глубокого рассмотрения того, что на самом деле требует проверяемое голосование, начните отсюда.

Источники

Все статьи Изучить уязвимости