← Все статьи

Не все бумажные следы одинаковы: чек, который вы можете прочитать, и тот, который вы не можете

Вы проголосовали. Машина напечатала квитанцию с вашим выбором — и штрихкодом, который вы не можете прочитать. Федеральный суд подтвердил: штрихкод, а не слова, — это то, что учитывается при подсчёте.

Утро 3 ноября 2020 года. Где-то на избирательном участке округа Гвиннет, Джорджия, избиратель стоит перед устройством маркировки бюллетеней Dominion. Она касается экрана. Она делает свой выбор. Машина печатает бумажный бюллетень — настоящий, физический лист бумаги, который она может держать. Она может прочитать имена кандидатов на нём. Она подаёт его в сканер.

Что она не может прочитать — это QR-код, напечатанный рядом с этими именами.

Именно этот штрихкод считает сканер. Не текст, читаемый человеком. Штрихкод. И если что-то между её касаниями экрана и этим штрихкодом пошло не так — если программное обеспечение, вредоносное или просто содержащее баги, закодировало другой выбор, чем тот, который она сделала — у неё не было бы никакого способа это узнать. Бумага в её руке, вещь, которую она только что «проверила», не сказала бы ей ничего, что она могла бы проверить.

Это не гипотетическое беспокойство. Федеральный суд сказал об этом официально в октябре 2020 года.

Суд читает квитанцию — и обнаруживает, что её невозможно прочитать

В Curling v. Raffensperger Окружной суд США Северного округа Джорджии рассмотрел экспертные показания о системе маркировки бюллетеней Dominion в Джорджии. Решение и постановление суда от 11 октября 2020 года были однозначны: система «не обеспечивает проверяемый и аудируемый бюллетень, потому что она полагается на QR-код для подсчёта голосов, и сам этот код не может быть прочитан и проверен избирателем».

Суд также процитировал вывод Национальных академий 2018 года — что не существует технического механизма, который гарантировал бы, что приложение подсчёта голосов дало бы точные результаты, и что только тестирование не может гарантировать, что система не была скомпрометирована.

Экспертные показания, включая показания доктора Дж. Алекса Халдермана, описали практическую возможность кибератаки, которая могла бы поменять или удалить голоса, изменив QR-код. Злоумышленник, который попал в программное обеспечение маркировки бюллетеней — даже ненадолго, даже удалённо — мог бы закодировать другой выбор без изменения ни единого слова, читаемого человеком, на напечатанной странице.

Суд не приказал Джорджии перейти на заполненные вручную бумажные бюллетени до ноября 2020 года. Выборы были на расстоянии недель. Изменения системы в последний момент несут свои собственные риски, и суды взвешивают их. Это разумное судебное решение о сроках. Это не свидетельство чистоты системы.

Более глубокая точка остаётся неоспоримой: бумажный след, который вы не можете прочитать, — это не проверяемый избирателем бумажный след. Это квитанция за операцию, которую вы не можете аудировать.

Посмотрите, как пробел QR-кода соответствует глобальной картине непроверяемых систем

Что на самом деле означает «проверяемый избирателем» — и чего это не означает

Фраза «бумажный аудит-след, проверяемый избирателем» — VVPAT — звучит утешительно. Это подразумевает, что избиратели что-то проверяют, что существует бумага, что происходят аудиты. На практике эти слова могут описывать системы, которые разительно отличаются друг от друга.

Подумайте о том, что требует проверка. Избиратель должен иметь возможность прочитать запись. Запись должна кодировать намерение — фактический выбор, сделанный избирателем — в форме, которую избиратель может подтвердить перед тем, как отдать свой голос. И любой аудит этой записи должен учитывать человеко-читаемое намерение, а не перевод машины.

QR-код не проходит все три теста одновременно. Избиратель не может прочитать его. Он кодирует вывод машины, а не напрямую видимое намерение. И аудит, который сканирует штрихкод, аудирует кодирование машины, а не намерение избирателя.

Теперь сравните это с бюллетенем, заполненным вручную. Избиратель отмечает овал рядом с «Кандидат X». Овал — это запись. Избиратель может видеть её. Аудитор может видеть её. Суд может видеть её. Между действием избирателя и подсчитанным артефактом не существует промежуточного слоя. Ручной подсчёт Джорджии 2020 года — в котором 159 округов вручную подсчитали примерно 5 миллионов президентских бюллетеней за менее чем шесть дней — работал потому что эти бюллетени были заполнены вручную и человеко-читаемая отметка была голосом. Разница между подсчётом машины и ручным подсчётом составила около одной десятой процента, что стоит знать, и ручной подсчёт подтвердил результат с любым уровнем доверия, который может обеспечить ручной процесс.

Но заметьте, что этот ручной подсчёт не смог бы сделать если бы в Джорджии было только QR-кодированные бюллетени в ящике: ему пришлось бы повторно сканировать штрихкоды. Это означает, что он аудировал бы машину с помощью машины. Бумага в ящике становится просто механизмом доставки штрихкода, и штрихкод — это единственная запись, которая существует.

«Бумажный бюллетень» и «проверяемый избирателем бюллетень» — это не синонимы. Один описывает среду. Другой описывает, является ли намерение избирателя независимо читаемым человеком.

Индия пробует что-то другое: квитанция, которую вы действительно видите

Теперь путешествуйте на 8000 миль на восток.

Индия проводит самые крупные демократические выборы в мире — сотни миллионов избирателей, электронные машины для голосования (EVM) в каждом избирательном округе, страна, где одна логистика является ошеломляющей проблемой. Годами истцы утверждали, что EVM должны быть полностью отменены, или что каждый электронный голос должен быть перепроверен против бумаги. В апреле 2024 года судейский состав Верховного суда судей Санджива Ханны и Дипанкара Датта вынес решение именно по этим вопросам в Association for Democratic Reforms v. Election Commission of India.

Суд отказался приказать вернуться к бумажным бюллетеням или 100% ручной проверке слипов VVPAT. Но вот ключевая деталь дизайна: Индийский VVPAT производит квитанцию, которую избиратель действительно может прочитать.

После нажатия кнопки на индийской EVM печатается бумажная квитанция позади небольшого стеклянного окна. Избиратель видит имя и символ кандидата. Он может подтвердить, что это соответствует тому, что он нажал. Квитанция затем падает в запечатанный отсек — она никогда не находится в руках избирателя, поэтому её нельзя сфотографировать как квитанцию о покупке голоса — но избиратель имел, в реальном и прямом смысле, возможность проверить запись перед тем, как она была запечатана.

Это категорически отличается от QR-кода на бюллетене Джорджии. Один — это человеко-читаемое подтверждение. Другой — это непрозрачное кодирование, которому избирателю предлагается доверять.

Индийский Верховный суд действительно ужесточил правила вокруг этой квитанции: он приказал, чтобы блоки загрузки символов были запечатаны и защищены после процесса загрузки символов, хранились в течение как минимум 45 дней после результатов, и были доступны для проверки микроконтроллера в 5% EVM в каждом избирательном округе, если кандидаты подадут запрос с оплатой. Суд, по сути, добавлял больше ступеней в лестницу аудита, даже отказываясь требовать верхнюю ступень.

Система Индии не без критиков. Петиции 2024 года подняли законные вопросы о том, достаточно ли пять случайно отобранных избирательных участков на избирательный округ, чтобы поймать систематическую компрометацию VVPAT. Эти вопросы реальны. Но архитектура VVPAT — человеко-читаемая квитанция, которую избиратель видит перед запечатыванием — делает что-то, что QR-код Джорджии не делает: это даёт избирателю момент подлинной, непосредственной проверки.

Прочитайте больше о VVPAT и глобальных стандартах бумажных следов на нашем трекере пробелов

Аудит, который аудирует неправильную вещь

Вот вопрос, который следует из проблемы QR-кода, и он сложнее, чем кажется.

Когда избирательный орган аудирует выборы, проведённые на машинах для маркировки бюллетеней, что он действительно подсчитывает?

Если аудит повторно сканирует QR-коды — даже скармливая напечатанные бюллетени в другой сканер — он проверяет, согласны ли две машины. Это полезная проверка против определённых аппаратных сбоев. Это не проверка против программного обеспечения, которое с самого начала закодировало неправильный выбор, потому что обе машины читают тот же штрихкод, который произвело исходное программное обеспечение.

Если аудит читает только текст, читаемый человеком, и игнорирует QR-код, он делает что-то странное: подсчитывает имена кандидатов, которые не являются операционной записью. Сканер, который работал в ночь выборов, не считал эти имена. Он считал штрихкод. Текст, читаемый человеком, и QR-код могут, в принципе, расходиться — и в скомпрометированной системе это расхождение — именно атака.

Аудит, который проверяет намерение избирателя — отметку, сделанную человеком, или квитанцию, виденную человеком — категорически отличается от аудита, который пересчитывает вывод машины. Конституционный суд Германии сформулировал этот принцип в конституционных терминах в 2009 году: существенные этапы голосования и подсчёта «могут быть проверены гражданином надёжно и без каких-либо специальных знаний». Гражданин не может прочитать QR-код без специальных знаний. Гражданин может прочитать имя на квитанции.

Комиссия голландского правительства 2007 года «Голосование с доверием» заключила, что любой электронный метод приемлем только если он «производит бумажный голос, который избиратель может проверить». Акцент делается на способность избирателя проверить — не аудитора, не производителя, не назначенного судом эксперта.

Посмотрите решение Германии 2009 года и комиссию Голландии в нашей библиотеке проверенных дел

Квитанция, которая становится оружием: ещё одно усложнение

Есть напряжение, встроенное в любой проверяемый избирателем документ, и дизайн индийского VVPAT сознательно его преодолевает.

Квитанция читаема. Но она никогда не находится в руках избирателя.

Это имеет значение, потому что бюллетень, который вы можете забрать домой — или сфотографировать — это бюллетень, который вы можете доказать третьей стороне. И бюллетень, который вы можете доказать третьей стороне — это бюллетень, который покупатель голосов может потребовать у вас показать. Суды были явны по этому механизму. В Rideout v. Gardner Апелляционный суд США Первого округа проследил историю: реформы тайного голосования были приняты именно для того, чтобы предотвратить покупку голосов, удалив у покупателя возможность проверить покупку. Фотография помеченного бюллетеня восстанавливает эту проверку и вновь открывает рынок.

Квитанция VVPAT Индии видна избирателю, но запечатана перед тем, как он покидает кабину. Вы можете подтвердить свой голос. Вы не можете доказать это никому другому. Это правильный баланс: проверка избирателем без архитектуры принуждения.

Машина для маркировки бюллетеней, которая печатает полный, человеко-читаемый бумажный бюллетень — тот вид, который избиратель подаёт в отдельный сканер — это шаг вперёд от системы только с QR. Но это создаёт новый вопрос: может ли эта бумага быть сфотографирована? Если да, то кем и на каком этапе процесса? Свойства безопасности «проверяемого избирателем» зависят от физического обращения с бумагой, а не только от того, что на ней напечатано.

Проверяемость — это свойство системы, а не функция. Это требует читаемых записей, запечатанного обращения, независимых аудитов намерения избирателя, и цепочки опеки, которая предотвращает как подделку, так и принуждение. Каждый элемент имеет значение. Удалите любой, и гарантия разваливается.

Более глубокая проблема: кто проверяет проверяющего?

Джорджия провела ручной подсчёт 5 миллионов бюллетеней в 2020 году и подтвердила результат машины с точностью одной десятой процента. Это реальное свидетельство об одних выборах. Вопрос, который оставляет открытым Curling — и на который официальное заявление CISA от ноября 2020 года не отвечает — это что происходит на будущих выборах, где бумага в ящике — это бюллетени с QR-кодом.

Заявление CISA отметило, что бумажные записи «позволяют переподсчёты и аудиты при необходимости». Это правда. Но то, что это заявление не говорит — и что имеет огромное значение — это какой вид записи позволяет осмысленный аудит. QR-код на листе бумаги — это бумажная запись. Это не проверяемая избирателем запись.

Если Джорджия или любой штат, использующий машины для маркировки бюллетеней, проведут аудит после выборов, который повторно сканирует QR-коды, они получат свидетельство того, что машины были согласованы друг с другом. Согласованность — это не корректность. Исследователи из Принстона, которые превратили Diebold AccuVote-TS в вирус для кражи голосов в 2006 году, создали код, который изменял все записи, журналы и счётчики, чтобы остаться внутренне согласованными. Аудит внутренней согласованности был именно тем, на что было рассчитано это программное обеспечение.

Эпизод Coffee County в 2021 году — когда программное обеспечение голосования Dominion всего округа было скопировано и утечено — показал, насколько хрупка безопасность закрытого кода на практике. Секретность исходного кода — это не свойство безопасности. Это удобство, которое исчезает в момент, когда кто-то с доступом решает им поделиться.

Ответ — это не предполагать, что какие-либо из этих атак произошли. Это построить системы, где это не имело бы значения, если бы они произошли — потому что человеко-читаемая запись в запечатанном ящике противоречила бы любому скомпрометированному электронному выводу, и независимый ручной аудит этой записи обнаружил бы несоответствие.

Это архитектура, которую система Джорджии не может обеспечить, и индийский VVPAT, несовершенно, пытается это сделать.

Что действительно закроет пробел

Тест простой для формулировки, сложнее для реализации и в настоящее время не соответствует большинству развёртываний машин для маркировки бюллетеней в Соединённых Штатах.

Проверяемая избирателем бумажная запись должна быть:

1. Читаема человеком в момент голосования. Избиратель видит слова и символы — не штрихкод — и может подтвердить, что они соответствуют его намерению перед запечатыванием записи.

2. Операционной записью для подсчёта. Артефакт, который ручным путём аудируется, должен быть тем же артефактом, который избиратель проверил, а не переводом машины. Если сканер считает штрихкод, аудит должен считать что-то, что доказывает, что штрихкод соответствует текст, читаемому человеком.

3. Запечатана перед тем, как её можно доказать третьей стороне. Квитанция, которую контролирует избиратель — это инструмент принуждения. Квитанция, которую видит избиратель но не может забрать — это механизм проверки.

4. Подлежит независимым аудитам, которые учитывают намерение избирателя. Не аудиты вывода машины. Не проверки согласованности. Аудиты, где один человек читает то, что другой человек отметил, и эти два числа сравниваются с выводом машины.

Ничто из этого не требует отказа от электронной помощи для избирателей, которым она нужна. VSAP округа Лос-Анджелеса был построен как находящаяся в собственности общественности, открытая система, основанная на предпосылке, что программное обеспечение, занимающееся подсчётом, должно быть проверяемым посторонними, а не защищённым как торговый секрет производителя. Проверяемое программное обеспечение плюс человеко-читаемая запечатанная запись плюс независимый аудит намерения избирателя — это другая архитектура безопасности, чем только проверяемое программное обеспечение — и полностью другая от закрытого программного обеспечения плюс QR-код.

Что всё ещё не проверяемо — и что сделало бы это проверяемым

Вот что решение Curling от октября 2020 года не решает, и на что ни одно официальное заявление с тех пор не ответило:

На любых выборах, проведённых на машинах для маркировки бюллетеней с QR-кодом, где аудит после выборов состоял из повторного сканирования штрихкодов, не существует публично доступного доказательства того, что имена кандидатов, читаемые человеком, на напечатанных бюллетенях совпадали с QR-кодами, которые фактически были подсчитаны. Это сравнение не выполнялось систематически. Может быть, технически невозможно выполнить его после факта, если бюллетени не сохранены в формате, который позволяет независимое прочтение человеком в масштабе.

Вопрос не в том, произошла ли мошенничество. Это касается того, делает ли архитектура системы этот вопрос ответываемым кем-либо вне производителя и избирательного органа. Прямо сейчас для систем BMD с QR-кодом честный ответ: не полностью.

Что сделало бы это проверяемым? Рутинное, заранее определённое, публично наблюдаемое ручное прочтение статистически значимой случайной выборки напечатанных бюллетеней — не повторное сканирование, ручное прочтение — сравнение имён кандидатов с результатами, сообщёнными машиной, с размером выборки и методологией, опубликованными до выборов, а не выбранными после.

Это не партийное требование. Это тот же стандарт, который Конституционный суд Германии, комиссия Голландии «Голосование с доверием» и Верховный суд Индии все достигли с разных направлений: гражданин должен иметь возможность проверить существенные этапы, без специальных знаний, используя запись, которую он проверил сам.

QR-код не может быть этой записью.

Бумажный след защищает вас только если он записывает то, что вы имели в виду — на языке, который вы можете прочитать.

Посмотрите глобальный пробел проверяемой бумаги в юрисдикциях | Прочитайте 2-минутную версию этого аргумента

Источники

Все статьиИзучить уязвимости