← Все статьи9 июля 2026 г.

Верховный суд аннулировал президентские выборы, потому что никто не мог проверить результаты

Верховный суд Кении не просто отменил выборы — он постановил, что результат, который никто не может самостоятельно отследить от избирательного участка до национального подсчёта, вообще не является результатом.

Это утро 1 сентября 2017 года. Верховный суд Кении только что сделал то, чего не делал ни один суд в истории Африки: аннулировал президентские выборы.

Не из-за переворота. Не из-за насилия на избирательных участках. Потому что числа невозможно было отследить.

Раила Одинга проиграл действующему президенту Кеньятте примерно на 1,4 миллиона голосов — разница, достаточно значительная, казалось бы, чтобы сама за себя говорить. Но суд не согласился. Большинством 4:2 суд полностью аннулировал результат и назначил новые выборы в течение шестидесяти дней. Полные обоснования, опубликованные 20 сентября 2017 года, стоит внимательно прочитать. Суд постановил, что Независимая избирательная комиссия не выполнила конституционное требование о том, чтобы голосование было простым, точным, проверяемым, защищённым, подотчётным и прозрачным. Не одно из этих слов — каждое из них.

Разница в голосах не была сутью. Суть была в цепочке.

Цепочка, которая разорвалась

Кенийская система выглядела на бумаге образцом современного избирательного администрирования. Каждый из примерно 40 000 избирательных участков страны должен был заполнить бланк Form 34A — защищённый от подделки лист результатов с подсчётом голосов на участке. Этот бланк должен был быть одновременно передан в электронном виде в национальный центр подсчёта голосов, а его физическая копия должна была подняться вверх через окружные и областные уровни в виде Forms 34B и 34C.

Идея была элегантна: каждое число сверху должно было быть восстанавливаемым из чисел снизу. Любой гражданин, имеющий доступ к исходным бланкам, теоретически мог сложить их и самостоятельно проверить национальный итог.

Но суд установил, что не все Forms 34A были переданы, как требовала закон. Суд обнаружил, что итоговые бланки не имели последовательных защитных элементов. Финальный итоговый документ — бланк, объявляющий, кто станет президентом — не имел водяного знака и серийного номера. А председатель IEBC объявил Кеньятту победителем ещё до того, как все подлежащие бланки вообще прибыли.

Подумайте, что это означает физически. Где-то в Найроби официальный представитель встал перед камерами и объявил победителя президентских выборов, в то время как стопка бланков — само доказательство, на котором это объявление основывалось — всё ещё была в пути. Начало цепочки было объявлено ещё до того, как была собрана её нижняя часть.

Это не подсчёт. Это утверждение.

Почему разница в голосах не спасла результат

Самое распространённое возражение, которое вы услышите на решение кенийского суда: 1,4 миллиона голосов. Если бы мошенничество или ошибка, необходимые для переворота результата, требовали бы подделки более миллиона избирательных бюллетеней, разве не был бы результат очевидно правильным независимо от документов?

Это неправильный вопрос. Это вопрос человека, который доверяет числу. Суд задавал другой вопрос: как мы знаем, что число истинно?

Избирательный результат не является самоудостоверяющимся. Объявленный итог так же надёжен, как и процесс, который его произвёл. Если Forms 34A были переданы не все, если защитные элементы были непоследовательны, если финальный документ не имел серийного номера — тогда объявленный итог не является проверенной суммой. Это цифра, которая вышла из непрозрачного процесса и была объявлена правильной властью, задачей которой было объявлять вещи правильными.

В этом различие между доверительными выборами и выборами, достойными доверия. Выборы, достойные доверия, позволяют вам проверить. Доверительные выборы просят вас верить.

Кенийский суд не обвинял IEBC в мошенничестве. Он говорил что-то более фундаментальное: процесс не был спроектирован так, чтобы мошенничество было невозможно скрыть. А выборы, которые не могут доказать отсутствие мошенничества, на самом деле не доказаны ни в каком смысле.

Это не только африканская история

Суды в других демократиях пришли к тому же выводу другим путём, и стоит быть точным в том, что их связывает — потому что связь не в коррупции, не в развивающихся демократиях и не в каком-либо удобном отстранении, к которому мы прибегаем, когда история вроде кенийской вызывает у нас дискомфорт.

В 2009 году Федеральный конституционный суд Германии запретил использование электронных избирательных машин на выборах в Бундестаг 2005 года. Машины сохраняли голоса в электронной памяти без независимого записи, которую избиратель мог проверить. Суд постановил, что существенные этапы голосования и определения результата должны быть проверяемы гражданином надёжно и без какого-либо специального знания. Не экспертами. Не правительством. Гражданином. Машины не прошли этот тест, и ордонанс, их разрешавший, был признан неконституционным.

В 2016 году Конституционный суд Австрии аннулировал второй тур президентских выборов — с разницей примерно в 30 000 голосов — не потому, что было обнаружено мошенничество, а потому что правила, регулирующие, кто может обрабатывать почтовые бюллетени и когда, были нарушены в достаточном количестве мест, что примерно 77 000 голосов подверглись риску. Суд явно объяснил свои рассуждения: защита от манипуляций была нарушена в количествах, способных повлиять на результат. Не то, что манипуляция произошла. Что её невозможно исключить.

Та же логика. Разные страны. Разные технологии. Одно и то же фундаментальное требование: результат, который никто не может самостоятельно проверить, не может считаться результатом, которому можно доверять.

В Малави в 2020 году суды аннулировали президентские выборы после того, как официальные итоговые бланки были обнаружены с исправлениями корректирующей жидкостью — типекс, нанесённый на цифры в документах, которые должны были быть защищены от подделки. Если исходные документы можно тихо переписать, то исходного документа нет. Объявленный итог становится тем, что решила последняя человек с бутылкой Тип-Экса.

Что на самом деле требует «проверяемость»

Эти дела, прочитанные вместе, обрисовывают точное техническое требование, которое легко сформулировать, но трудно реализовать.

Проверяемость означает три вещи одновременно:

Во-первых, каждый голос должен создать прочный, защищённый от подделки запись в момент его подачи — Form 34A, бумажный бюллетень, опечатанная коробка с цепью хранения.

Во-вторых, этот запись должна быть передана или перемещена на следующий уровень агрегирования способом, который независимо проверяем — в электронном виде и одновременно, с последовательными защитными элементами, не в процессе, который может быть прерван или изменён между избирательным участком и центром подсчёта.

В-третьих, финальный итог должен быть восстанавливаемым из исходных документов кем угодно — не избирательной комиссией, не нанятым аудитором, а любым человеком, у которого есть время и данные.

Кенийская система правильно понимала концепцию. Она требовала, чтобы Forms 34A были переданы в электронном виде и одновременно именно для того, чтобы общественность могла проверить арифметику. Чего ей не хватало, так это принудительного соблюдения этого требования и — критически — технической архитектуры, которая делала нарушение видимым в реальном времени, а не только обнаруживаемым в суде недели спустя.

Этот пробел — суть истории.

Пробел между проектом и проверяемостью

Вот более сложная версия этого аргумента, та, которая выходит за рамки Кении.

Система передачи результатов, которая работает правильно, производит числа, которые может проверить любой. Система передачи результатов, которая молча даёт сбой — или которой может обойти официальное лицо, объявив победителя ещё до того, как все бланки прибыли — производит числа, которые выглядят одинаково, но не проверяемы.

Со стороны вы не можете сказать, какую из них вы видите.

Вот почему «избирательная комиссия говорит, что результаты правильные» не может быть концом анализа. IEBC сказала, что результаты правильные. Кенийский верховный суд установил, что не может проверить это утверждение по исходным документам. Не потому, что обнаружила мошенничество — суд не обнаружил мошенничества. Потому что документы, которые должны были сделать утверждение проверяемым, отсутствовали, были непоследовательны или прибыли постфактум.

Та же логика применяется каждый раз, когда официальное лицо или пресс-релиз говорит вам, что аудит подтвердил результат. Аудит, который проверяет цепь передачи, которая уже разорвалась, это не аудит выборов — это проверка того, что попало в центр подсчёта. Является ли это всеми голосами, большинством из них или избранной выборкой, — это именно то, что цепь хранения должна доказать.

Бразилия предлагает поучительный противопример: её избирательная комиссия ежегодно проводит публичное состязательное тестирование своих избирательных машин, приглашая любого квалифицированного гражданина попытаться взломать систему до того, как в игру вступают реальные бюллетени. Это не пресс-релиз. Это структурированное обязательство перед внешней проверкой. Пробел между этим подходом и «мы объявляем результаты сертифицированными» — это пробел между проверяемостью и доверием.

Что сделало бы результат Кении проверяемым

Проект кенийской системы был не ошибочным. Конституционное требование — одновременная электронная передача Forms 34A с каждого избирательного участка — была ровно правильной идеей. Чего не хватало, так это общественной принудительной силы этого требования.

Представьте вместо этого систему, где каждая Form 34A, в момент, когда она подписана и отсканирована на избирательном участке, публикуется в общественный, неизменяемый логий — с временной меткой, криптографически хэшированная и доступная для скачивания. Любой агент кандидата, любой журналист, любой избиратель с ноутбуком может суммировать эти бланки непрерывно по мере их поступления. В момент, когда опубликованный национальный итог расходится с суммой опубликованных бланков, расхождение видно всем одновременно.

В такой архитектуре председатель не может объявить победителя до того, как все бланки прибудут — потому что объявление и лежащее в его основе доказательство оба общественны и одно явно противоречит другому. Проблема, которую кенийский суд должен был реконструировать после недель разбирательства, была бы видна в реальном времени любому со спредшитом.

Это не фантазия. Результаты на уровне избирательных округов в машиночитаемом формате уже публикуются в реальном времени в нескольких демократиях. Собственное руководство Комиссии по оказанию помощи выборам США рекомендует должностным лицам публиковать результаты в распространённых форматах, чтобы их можно было независимо сверить. Архитектура существует. Что варьируется, так это то, привязала ли данная юрисдикция к этому обязательство.

Вывод, который ни один официальный пресс-релиз не разместит

Решение Верховного суда Кении, по сути, является судебным выражением принципа, вокруг которого должна быть построена каждая избирательная система с самого начала: результат, который никто не может самостоятельно проверить, не является результатом — это объявление.

Разница между объявлением и результатом — проверяемость. Не уверенность в проверяемости. Не заявленное существование следа аудита. Реальная, публичная, независимо проверяемая проверяемость: исходные документы, защищённые от подделки по замыслу, переданные способом, который делает отсутствие передачи немедленно видимым, и опубликованные в форме, которую любой может использовать для восстановления итога без просьбы разрешения.

Двое судей не согласились в кенийском деле, считая, что бремя доказывания не было выполнено. Это несогласие не без значения — оно говорит вам, насколько близко суд подошёл к принятию официального результата по вере, а не к настоянию на том, чтобы оно было доказано. В другом суде, в другой день, с другим стандартом доказывания тот же непроверяемый процесс мог бы быть пропущен.

Это версия этой истории, которая должна не дать вам спать. Не случай, когда суд это поймал.

Версия, когда никто этого не сделал.

Что всё ещё не проверяемо: выдержит ли архитектура передачи результатов вашей собственной страны тест, который применил кенийский суд. Создаёт ли каждый избирательный участок результат публичный, с временной меткой, криптографически защищённый от подделки в момент его подсчёта? Может ли любой гражданин самостоятельно просуммировать эти записи и воспроизвести национальный итог? Если вы не можете ответить «да» на оба вопроса, архитектура просит вас доверять — а не проверять.

Посмотрите, насколько распространён этот пробел в мире · Читайте двухминутную версию · Изучите этот конкретный пробел

Источники

Все статьи Изучить уязвимости