← Все статьи11 июля 2026 г.

Корректирующая жидкость решила исход выборов — пока суды не заметили

Небольшой флакон белой корректирующей жидкости изменил достаточно много протоколов подсчёта голосов, чтобы аннулировать весь президентский выбор — и суды заявили, что никакие официальные заверения не смогут это исправить.

Утро 3 февраля 2020 года, и пять судей в Блантайре, Малави только что совершили то, что потрясло все избирательные комиссии континента: они аннулировали победу на выборах действующего президента.

Не потому, что были украдены бюллетени. Не потому, что голоса были взломаны. Потому что у кого-то была бутылка Тип-Экс.

Эта единственная деталь — корректирующая жидкость, такая, которую студенты используют для исправления домашних заданий — оказалась достаточной, чтобы сделать весь президентский результат юридически не поддающимся проверке. Конституционный суд Малави аннулировал выборы президента Питера Мутарики в мае 2019 года после того, как обнаружил, что официальные протоколы результатов были исправлены корректирующей жидкостью, существовали дублирующие формы протоколов, а целые стопки форм были без подписей или ненадлежащим образом обработаны. Верховный апелляционный суд подтвердил это решение 8 мая 2020 года в деле Mutharika & Electoral Commission v Chilima & Chakwera (MSCA Constitutional Appeal No. 1 of 2020). Было назначено новое голосование.

Избирательная комиссия объявила об узкой победе Мутарики. Ответ судов был точным: узкая победа на документах, которые можно незаметно стереть, — это не победа, которую закон может проверить.

Документ — это выборы

Вот то, о чём большинство людей не думают в день выборов, когда вращаются графики и ведущие говорят о различиях: каждое число, которое вы видите, возникло как отметка на физическом листе бумаги где-то, сделанная человеком на избирательном участке в 22 часа тем ручком, что под рукой.

Этот лист — это выборы. Не телевизионная графика. Не база данных в национальном центре подсчёта. Не пресс-релиз избирательной комиссии.

Если этот лист можно изменить — ручкой, корректирующей жидкостью, просто заменив его дубликатом — то всё, что следует дальше, построено на песке. База данных неверна. Графика неверна. Пресс-релиз неверен. И что самое важное, никакая проверка базы данных не выявит проблему, потому что база данных отражает изменённый лист.

Это не абстрактный риск. На Малави суды обнаружили, что это происходит в широком масштабе: повсеместное использование корректирующей жидкости в официальных протоколах подсчёта, циркулирующие дубликаты, неподписанные документы, поступающие в подсчёт. Результатом стали президентские выборы, которые невозможно было воссоздать из собственных исходных документов.

Урок не в том, что Малави необычайно коррумпирована. Урок в том, что лист протокола без защиты от подделки — это уязвимое место, в любом уголке мира, и эта хрупкость невидима, пока кто-то не оспорит результат в суде.

Что на самом деле означает «защита от подделки»

Вы вероятно держали в руках защиту от подделки, не думая об этом. Пластиковая полоса на бутылке с лекарством. Воск на юридическом документе. Пронумерованная пластиковая стяжка на сумке с бюллетенями после закрытия избирательного участка.

Это не просто церемониал. Они служат конкретной функции проверки: если уплотнение разорвано или документ изменён, сама доказательство подделки видна. Вам не нужно доверять, что никто не трогал бутылку; вы можете видеть, что кольцо целое.

Официальный протокол подсчёта, который можно перечеркнуть корректирующей жидкостью, ничего из этого не имеет. Изменение не оставляет очевидного следа. «Исправленная» цифра выглядит ровно так же авторитетно, как и оригинал. Форма, подписанная только после исправления, не может подтвердить, какой была первоначальная цифра.

Более сильная версия защиты от подделки для бумажного документа — это множественная подпись: если форма подписана представителями всех сторон чернилами перед тем, как кто-либо уходит с избирательного участка, то любое последующее изменение требует либо подделки всех этих подписей, либо согласия всех этих представителей на изменение. Либо путь намного сложнее, чем бутылка Тип-Экс.

Пойдём дальше: форма может быть немедленно сфотографирована агентом каждой стороны на свой телефон и загружена. Теперь «оригинал» существует в нескольких независимых копиях в момент его создания. Более позднее изменение физического листа может быть выявлено путём сравнения с любой из этих копий.

Ещё дальше: система может потребовать, чтобы протоколы результатов были цифровой подписью с использованием ключа, который каждый агент держит независимо, и чтобы подписанные данные передавались в общедоступное хранилище в момент закрытия избирательного участка. Теперь результат криптографически привязан к моменту подсчёта. Корректирующая жидкость не может его затронуть.

Ничего из этого не является экзотичным. Всё это существует. Большинство мира их не использует.

Кения, 2017: та же проблема на уровень выше

Уязвимость Малави была на уровне физической формы — бумаги, которую заполняет избирательный участок. Но тот же принцип работает на каждом уровне цепи.

В Кении в 2017 году Верховный суд аннулировал президентские выборы не потому, что формы избирательных участков были явно изменены, а потому, что передача и обработка этих форм на национальном уровне не могли быть проверены. Согласно статье 86 конституции Кении, голосование должно быть «точным, поддающимся проверке, безопасным, подотчётным и прозрачным». Суд обнаружил, что не все формы результатов избирательных участков были переданы в электронном виде одновременно, как требуется законом, что формы не имели последовательных средств защиты, и что окончательная национальная форма результатов не имела водяного знака или серийного номера. Председатель объявил результат до поступления всех исходных форм.

Полное решение Верховного суда Кении →

Более глубокая суть — идентичная в обоих случаях — это: результат выборов — это цепь хранения, а не число. Каждое звено в этой цепи, от момента, когда избиратель отмечает бюллетень, до момента объявления победителя, должно быть независимо проверяемо. Разорвите одно звено, и вся цепь не может быть надёжной, даже если всё остальное совершенно.

Цепь Малави разорвалась на самом базовом звене: исходном документе. Цепь Кении разорвалась при передаче и агрегировании. Уязвимость отличается; режим отказа одинаков.

Что на самом деле означает «проверка подтвердила это»

Когда избирательная комиссия говорит, что проверка подтвердила результат, это утверждение столь же сильно, как и то, против чего проверялось.

Если аудиторы проверили суммы машин по протоколам подсчёта, а протоколы подсчёта были изменены до проверки, проверка подтверждает изменённый результат. Она ничего не выявляет.

Это неустранимое ограничение любой проверки, которая работает в обратном направлении от единственной цепи документов. Проверка может выявить только изменения, оставившие обнаруживаемый след — в конкретных документах, на которые смотрят аудиторы, используя конкретные методы, которые они применяют. Если исходный документ — это точка атаки, проверка производных записей ничего вам не скажет об исходном.

Ручной пересчёт в Джорджии в 2020 году — примерно пять миллионов бюллетеней, округ за округом, менее чем за шесть дней — это самая сильная версия проверки на бумаге. Она проверяла суммы машин по физическим бюллетеням, а не по протоколам подсчёта. Разница составляла около одной десятой процента. Это экстраординарный результат, и он означает кое-что точное: бюллетени, которые подсчитывали машины, — это с высокой уверенностью те бюллетени, которые отметили избиратели.

Но эта уверенность полностью зависит от целостности физической цепи бюллетеней. Если сами бюллетени были изменены или заменены до пересчёта, ручной пересчёт подтвердил бы мошенничество, а не выявил его. Ручной пересчёт в Джорджии работал, потому что цепь бюллетеней была неповреждена. На Малави цепь протокола подсчёта не была.

Разница между «проверка подтвердила результат» и «результат поддаётся проверке как правильный» — ровно величина каждого неоспоренного предположения в цепи хранения проверки.

Изменяемый протокол подсчёта — это пробел с названием

В TrustVoting мы отслеживаем конкретный класс уязвимости, называемый изменяемый протокол подсчёта — пробел, который открывается, когда исходный документ результата можно перечеркнуть, продублировать или заменить без того, чтобы изменение было обнаруживаемо независимой стороной.

Малави — это самый чёткий, задокументированный судом пример, но основное состояние — протоколы подсчёта, которые не имеют криптографической подписи, многосторонней аттестации, неизменяемой временной метки и независимо хранящейся копии — распространено по всему миру в десятках избирательных систем. Случай Малави примечателен не потому, что был необычным, а потому, что суды имели достаточно доказательств, чтобы действовать.

Вопрос в том, сколько выборов имеют ту же уязвимость, и никто не имеет стоящих причин её оспаривать, или суд не готов действовать, или никакие доказательства не сохранились после подсчёта.

Посмотрите, насколько распространён этот пробел по всему миру →

Структурное решение: проверяемость, которую чиновник не может переопределить

Вот аргумент в чистом виде.

Проблема на Малави была не в том, что избирательные чиновники были ненадёжны. Проблема в том, что система требовала вам им доверять. Протокол подсчёта не имел никакого свойства, которое позволило бы кому-либо ещё — агенту проигравшей стороны, журналисту, гражданину — независимо проверить, что число на листе — это число, записанное в момент подсчёта.

Когда система требует доверия, она уязвима для того, кто контролирует доверенный элемент. Тип-Экс дёшев. Точно так же дублирующая форма. Точно так же благосклонный председатель избирательной комиссии, который решает, какая версия оспариваемого листа попадёт в подсчёт.

Структурное решение — спроектировать системы, где доверие не требуется, потому что независимая проверка возможна.

Как это выглядит на практике?

Это означает, что протоколы результатов подписаны агентами всех участвующих сторон, на избирательном участке, перед тем как кто-либо уходит — и эти подписи находятся в записи, используемой для составления национального результата. Это не новая идея; это стандартная практика на хорошо организованных выборах, и её отсутствие на Малави было частью того, что заметили суды.

Это означает, что подписанные формы фотографируются, и изображения загружаются немедленно, чтобы любое последующее изменение физического документа было обнаруживаемо путём сравнения.

Это означает, что загруженные данные криптографически подписаны ключом, которым владеет независимая сторона — не избирательная комиссия — чтобы «официальная» запись не могла быть тихо изменена между загрузкой и публикацией.

Это означает, что опубликованный результат, на уровне избирательного участка, немедленно загружаемый в машиночитаемом формате любым человеком, так что сумма результатов избирательных участков независимо вычисляемо без просьбы разрешения у кого-либо.

Ни одно из этих свойств не требует доверия избирательной комиссии к тому, что она честно считала. Это ровно суть. Проверяемость означает, что каждый может проверить арифметику. Это не означает, что кто-либо должен принять арифметику на веру.

Что всё ещё не проверяемо — и что это изменит

Вот что могли проверить суды Малави: что корректирующая жидкость была нанесена на официальные формы, что существовали дубликаты, что не хватало подписей. Вот что они не могли проверить: какими на самом деле были исходные, неизменённые цифры.

Эта информация потеряна. Выборы не могут быть воссозданы из исходных документов, которые должны были быть их основой, потому что исходные документы были перечеркнуты. Единственным средством правовой защиты судов было аннулирование результата и проведение нового голосования.

Система с независимо хранящимися, криптографически заблокированными копиями каждого результата избирательного участка, созданными в момент подсчёта и хранящимися сторонами вне контроля избирательной комиссии, позволила бы суду — или журналисту, или юридической команде проигравшего кандидата — сравнить «официальную» цифру с исходной подписанной записью и увидеть точно, где произошло изменение и на сколько.

Это сравнение в настоящее время невозможно в большей части мировых выборов. Исходные документы держит та же власть, которая составила результат из них. Проверка проверяет записи власти по записям власти.

Что это сделает проверяемым для каждого: подписанные, независимо хранящиеся, общедоступные результаты на уровне избирательного участка, опубликованные в момент закрытия каждого избирательного участка, в форме, которую ни одна власть не может тихо изменить после факта.

Это не утопичное пожелание. Это инженерная спецификация. Некоторые компоненты уже существуют. Что отсутствует, на Малави и в большей части мира, — это институциональная и правовая база, которая это требует — и независимая технология, чтобы это осуществить.

Суд с достаточным количеством доказательств может аннулировать результат. Система с подлинной проверяемостью никогда не нуждалась бы в этом.

Прочитайте двухминутную версию этого пробела →

Посмотрите полный индекс пробелов →

Источники

Все статьи Изучить уязвимости