← Все статьи

Страна, которая отказалась от компьютеризированного голосования

В 2007 году комиссия голландского правительства задала простой вопрос: может ли обычный гражданин проверить, что компьютер для голосования подсчитал правильно? Ответ изменил то, как голосует страна.

Осень 2006 года. Группа голландских активистов под названием «Wij vertrouwen stemcomputers niet» — «Мы не доверяем компьютерам для голосования» — стоит перед телекамерой и делает то, что смутит правительство.

Им удалось раздобыть машину для голосования Nedap, такую же, как используется по всей Нидерландах. На камеру они её открывают. Они демонстрируют, что её можно манипулировать. Они показывают, что её радиоизлучение можно обнаружить снаружи избирательного участка, потенциально раскрывая, как голосовал человек. Они не учёные, публикующие статьи в научных журналах. Это граждане, доказывающие свою точку зрения публично, по телевидению, где люди, управляющие выборами, должны это смотреть.

Голландское правительство их не отмело.

В течение нескольких месяцев правительство отозвало одобрение машин, находившихся в использовании, и поручило независимому консультативному органу — Комиссии по консультированию избирательного процесса во главе с Ф. Коршалсом Алтесом — изучить весь вопрос о том, как должны проводиться выборы в Нидерландах. 27 сентября 2007 года эта комиссия опубликовала свой доклад. Его название было Stemmen met vertrouwen.

Голосование с уверенностью.

Что на самом деле сказала комиссия

Комиссия Коршалса Алтеса опубликовала не технический документ для инженеров. Она опубликовала демократический аргумент.

Она установила основные требования: прозрачность, проверяемость (controleerbaarheid), целостность и тайну голосования. Она заявила, с заметной прямотой, что в избирательном процессе нет секретов — что вопросы должны иметь ответы, и эти ответы должны быть проверяемы и поддаваться проверке. Не проверяемы в принципе. Проверяемы публикой, на практике, без специальных знаний.

Затем она провела черту. Голосование с помощью бумажных бюллетеней на избирательном участке предпочтительнее с точки зрения прозрачности и проверяемости. Любой электронный метод приемлем только если он дает бумажный бюллетень, который избиратель может лично проверить.

Машины для голосования, находившиеся в использовании, не давали этого бумажного бюллетеня. Они давали число, хранящееся в электронной памяти, в запечатанной коробке, которую обычный гражданин не мог проверить никоим образом. Комиссия пришла к выводу, что этого недостаточно. Голландское правительство согласилось. Постановление 1997 года об одобрении машин для голосования было отозвано.

Нидерланды вернулись к бумаге и карандашу. Выборы теперь считаются вручную.

Это чрезвычайный шаг для современной, технологически развитой страны. Стоит задать вопрос, почему они подумали, что это необходимо — и что это означает для каждой другой страны, которая их не последовала.

То, что разоблачили телекамеры

Демонстрация активистов была не в первую очередь о взломе. Это было о более фундаментальной проблеме: вы не можете наблюдать, как думает компьютер.

Когда бюллетень попадает в бумажный ящик и считается человеком в освещённой комнате, вы видите бюллетень. Вы видите руку. Вы можете оспорить решение. Каждый этап наблюдаем для кого-то, присутствующего там — представителя кандидата, журналиста, подозрительного соседа. Федеральный конституционный суд Германии выразил это точно в своём историческом решении 2009 года, запретившем электронные машины для голосования: основные этапы голосования и определения результата должны быть проверяемы гражданином без каких-либо специальных знаний. Это не технический стандарт. Это демократический стандарт.

Компьютер для голосования не может соответствовать этому по конструкции. Вы передаёте ему свой голос, а он возвращает вам число. Между этими двумя моментами в машине что-то произошло, что вы не можете наблюдать, и машина вам не показывает свою работу.

Ответ голландской комиссии был не «делайте лучше компьютеры». Это было «требование публичной проверяемости не может быть удовлетворено никакой непрозрачной машиной, поэтому удалите машины».

Это более жёсткий вывод, чем готовы были сделать большинство правительств. Но логика безупречна.

Что происходит, когда нет бумаги

Чтобы понять, от чего ушли Нидерланды, посмотрите, что произошло в округе Сарасота, Флорида в ноябре 2006 года — в том же году, когда голландские активисты появлялись на телевидении.

Сарасота использовала машины для голосования ES&S iVotronic с сенсорным экраном без бумаги. В ночь выборов округ сообщил примерно 18 000 недопроголосов в гонке за место в Конгрессе от 13-го округа Флориды — примерно 13 процентов всех поданных бюллетеней, не показывающих записанного голоса за Конгресс. Гонка была решена 369 голосами.

Пересчитывать было нечего.

Управление финансового контроля США протестировало машины и не могло найти сбой, объясняющий недоголос. Оно также отметило, тщательно подбирая слова, что проверенный избирателем бумажный след мог бы дать независимое подтверждение того, что сенсорные экраны правильно записали голоса. Без него вопрос о том, что имели в виду 18 000 избирателей, был просто без ответа. Результат остался, и никто не мог доказать, что он был правильным.

Это пробел без бумаги в его самом ярком виде: близкие выборы, аномалия, которую нельзя объяснить, и независимая запись для проверки. Не заговор. Не мошенничество. Просто неприводимая неопределённость, которая подрывает доверие общества именно в тех гонках, где общественное доверие имеет наибольшее значение.

Голландская комиссия взглянула на эту логическую ловушку и решила: мы не будем строить систему, которая может закончиться здесь. Бумага — это страховка, которая делает остальное проверяемым.

Норвегия приходит к похожему выводу с другого угла

Нидерланды не были одиноки в отказе от электронного голосования после его тщательного изучения.

Норвегия проводила пилотные проекты интернет-голосования на выборах в муниципалитеты в 2011 году и на парламентских выборах 2013 года в двенадцати муниципалитетах — осторожно, как дополнение к голосованию на бумаге, только в период предварительного голосования. По словам ответственного министерства, пилотные проекты не привели к увеличению явки. Обещанный прирост удобства не материализовался.

В 2014 году Министерство местного самоуправления и модернизации Норвегии решило прекратить дальнейшие пилотные проекты интернет-голосования. Правительство пришло к выводу, что при отсутствии широкой политической поддержки интернет-голосования и с учётом неразрешённых вопросов о том, может ли быть проверено, что голоса записаны правильно, было бы неуместно тратить дополнительное время и деньги на дополнительные пилотные проекты.

Эта фраза — неразрешённые вопросы о том, может ли быть проверено, что голоса записаны правильно — несёт большую смысловую нагрузку. Норвегия — это не страна с хрупкими учреждениями или историей оспариваемых выборов. Она проводила пилотные проекты осторожно, честно оценивала результаты и пришла к выводу, что если уверенность в том, что каждый голос подсчитан правильно, не может быть достигнута, этот канал не стоит затрат.

Заметьте, что общего у Норвегии и Нидерландов: обе принимали решения через прозрачные открытые процессы, исходя из проверяемости как неприступаемого требования. Ни одна не отвечала на мошенничество. Обе отвечали на невозможность проверить, что мошенничество не произошло — что, оказывается, это одна и та же проблема.

Машина, которая не могла быть поймана врасплох на лжи

Для понимания того, что означает «непроверяемо» в его наиболее экстремальном виде, рассмотрим то, что продемонстрировали исследователи Принстона в 2006 году. Работая с реальной машиной для голосования Diebold AccuVote-TS с сенсорным экраном — тогда одной из наиболее широко распространённых в Соединённых Штатах — Ариэль Фельдман, Дж. Алекс Халдерман и Эдвард Фелтен показали, что злоумышленник с примерно одной минутой физического доступа может установить вредоносный код, который будет красть голоса, изменять все журналы и счётчики, чтобы оставались внутренне согласованными, и распространяться автоматически на другие машины посредством обычной избирательной деятельности.

Машина не выглядела бы сломанной. Она бы выдала итоговый подсчёт. Итоговый подсчёт был бы внутренне согласованным. Ничто в собственных записях машины не указало бы на проблему.

Единственное, что могло бы это поймать — это проверенная избирателем бумажная запись, которой машина не контролировала бы — что-то, что машина не смогла бы изменить, чтобы совпадать с собственным мошенничеством. AccuVote-TS не выдавал такого.

Это то, что голландская комиссия имела в виду под «нет секретов в избирательном процессе». Если запись, доказывающая подсчёт, произведена и хранится исключительно машиной, которая проверяется, то это не проверка. Это машина, проверяющая своё собственное домашнее задание.

«Мы подсчитали это вручную» — это уверение, а не доказательство — если бумага там есть

Защитники электронных систем часто указывают на проверки: ручные подсчёты, проверки после выборов, аудиты с ограничиваемым риском. Это реальные улучшения. Колорадо провел первый в штате аудит с ограничиваемым риском в 2017 году. Джорджия вручную подсчитала примерно пять миллионов президентских бюллетеней в 2020 году, и различие между машинным подсчётом и ручным подсчётом составило примерно одну десятую одного процента.

Но каждый из этих методов проверки зависит от одного и того же: долговечной бумажной записи, которой машина не контролировала бы исключительно. Вы не можете подсчитать вручную то, что никогда не было напечатано. Вы не можете проверить карту памяти против самой себя.

Ручной подсчёт в Джорджии сработал, потому что в Джорджии были бюллетени, отмеченные избирателями на бумаге. Ручной подсчёт подтвердил машинный итог, потому что было что-то независимое для сравнения.

В Сарасоте 2006 года не было такого сравнения. В 13-м округе Флориды было преимущество в 369 голосов, 18 000 необъясненных недопроголосов, и нечего было пересчитывать. Вариант проверки был недоступен. Он был исключен из системы.

Нидерланды посмотрели на это и сделали выбор: бумага в первую очередь, всегда, потому что без неё вариант проверки, который вам может отчаянно понадобиться, не существует.

Есть дальнейшее осложнение, которое стоит назвать напрямую. Даже ручные подсчёты несут неприводимые человеческие ошибки. Декабрьская ручная проверка 2020 года в округе Антрим, Мичиган — небольшой округ, примерно 15 700 бюллетеней — дала окончательный подсчёт, который всё ещё отличался от машинного подсчёта примерно на дюжину голосов. Не тысячи. Двенадцать. При проверке округа с низкими ставками, которая подтвердила однозначный результат, это преимущество безвредно.

В гонке, решённой несколькими голосами, метод, который сам по себе ошибается на несколько голосов, не может разрешить вопрос. «Ручной подсчёт это подтвердил» — это уверение. Это не доказательство. Единственное, что преобразует уверение в доказательство — это система, где каждый — не только должностные лица, проводящие проверку — может независимо проверить основные записи против криптографически поддающейся проверке цепи хранения.

Это пробел, который Нидерланды решили, что не могут с ним жить. Бумага плюс ручной подсчёт лучше, чем чёрный ящик. Но бумага плюс ручной подсчёт плюс криптографически поддающиеся проверке записи цепи, которые может проверить каждый — это ещё лучше.

Более глубокий аргумент: заменить доверие на проверяемость

Каждая страна, которая отказалась от непрозрачной технологии голосования, сделала одно и то же наблюдение, обычно после кризиса: проблема не в том, что машины определённо неправильны. Проблема в том, что вы не можете сказать в любом случае.

Конституционный суд Германии сказал это в 2009 году, аннулировав использование машин Nedap на федеральных выборах 2005 года. Выборы, правильность которых зависит от скрытого программного обеспечения, не проходят тест публичной проверяемости независимо от того, когда-либо доказано ли какое-либо вмешательство.

Конституционный суд Австрии аннулировал второй тур президентских выборов 2016 года не потому, что мошенничество было доказано — оно не было — а потому, что цепь хранения для почтовых бюллетеней была нарушена таким образом, что мошенничество стало невозможно исключить. Логика Суда: результат, который никто не может проверить, — это не заслуживающий доверия результат, даже если победил правильный человек.

Верховный суд Кении аннулировал президентские выборы в 2017 году, потому что цифровая цепь от избирательного участка к национальному итогу не могла быть проверена против защищённых от подделок исходных записей. Подсчёт не мог быть проверен. Результат был аннулирован.

Сквозная линия всегда одна и та же. Это не о том, какая партия победила. Это не о доказательстве мошенничества. Это о том, может ли публика — не должностные лица, не поставщик, не секретарь штата — независимо проверить подсчёт. Когда они не могут, результат зависит от доверия к органу власти, который его объявляет. А доверие, которое нельзя проверить, это не уверенность. Это подчинение.

Постоянный вклад голландской комиссии состоял в том, чтобы настоять на проверяемости как на предпосылке, а не как на дополнительной функции. Результат: страна, которая всё ещё голосует с помощью бумаги и карандаша, выборы которой могут быть наблюдаемы от бюллетеня к окончательному итогу любым гражданином, находящимся в комнате, и правительство которой не должно просить вас принять его слово на веру.

Что всё ещё нельзя проверить — и что это исправит

Вот что ещё не решено, даже в Нидерландах.

Подсчитанные вручную выборы на бумаге проверяемы в сильном смысле: бюллетени — это физические объекты, наблюдаемые несколькими сторонами, и подсчёт наблюдается в реальном времени. Но процесс по-прежнему зависит от того, что люди считают правильно, от полных записей цепи хранения для каждого бюллетеня и от предположения, что бюллетени, поступившие в подсчёт, те же самые, которые отметили избиратели. Человеческие ошибки в подсчётах, неполные журналы хранения и позднее замещение — всё это по-прежнему возможно.

Голландская модель драматически лучше, чем бумажная машина без бумаги. Она не является криптографически доказуемой в том смысле, к которому стремятся программные системы со сквозной проверяемостью — системы, в которых каждый избиратель может независимо подтвердить, что его бюллетень был включен в окончательный подсчёт, не раскрывая, как он голосовал, и где любой наблюдатель может проверить итог, не видя выбор какого-либо человека.

Этот пробел имеет наибольшее значение в близких гонках. В гонке, решённой десятками голосов, метод, который сам по себе ошибается на несколько голосов, не может окончательно решить, кто победил. Это не аргумент против бумаги. Это аргумент за добавление независимой, математической проверяемости поверх бумаги — за построение системы, в которой публика не должна доверять подсчёту, потому что они могут проверить это сами.

Проверяемый факт это это: прямо сейчас, в большинстве юрисдикций, нет такой независимой проверки, доступной для вас. Итог опубликован. Должностное лицо говорит, что он правильный. Пересчёт может быть доступен или нет. Основная цепь проверки может быть или не быть опубликована в форме, которую вы можете скачать и проверить.

Это пробел проверяемости — и он может быть закрыт. Всё, что нужно, это опубликовать результаты на уровне избирательных участков мгновенно, в форме, читаемой машинами, против защищённой от подделок цепи хранения, которую любой член публики может независимо примирить. Не просить публику доверять подсчёту. Показать им подсчёт, в форме, которую они могут проверить.

Нидерланды отказались от машины, когда не могли ответить на вопрос: можешь ли ты доказать, что этот подсчёт правильный?

Этот вопрос всё ещё ждёт лучшего ответа, чем «доверьтесь нам».

Интересно, насколько распространён пробел без бумаги во всём мире? Посмотрите полную картину по юрисдикциям. Хотите двухминутную версию того, что означает проверяемость на практике? Начните отсюда. Или углубляйтесь в понимание того, как выглядит реальная цепь проверки — и как нет — на нашей странице пробелов.

Источники

Все статьиИзучить уязвимости