← Все статьи

Голосование по почте: удобство и необходимый контроль

Судья установил, что бюллетени, поданные живыми людьми, были поданы от имени умерших — и единственным средством было аннулировать весь результат выборов.

23 апреля 2015 года, утро. В лондонском суде судья Ричард Мориэ КС объявляет решение, которого не было в британской демократии в живой памяти людей. Лютфур Рахман, мэр-председатель лондонского боро Тауэр-Хамлетс, избранный в мае 2014 года с большинством свыше 3000 голосов, отстраняется от должности.

Не отстранен. Не под следствием. Отстранен.

Решение суда по избирательным спорам — Erlam & Ors v Rahman & Anor [2015] EWHC 1215 (QB) — занимает 217 страниц и устанавливает, что выборы скомпрометированы коррупционными и незаконными действиями самого мэра и его агентов. Среди этих действий: выдача себя за другое лицо при голосовании, мошенничество с почтовыми голосами, подкуп, противоправное воздействие, ложные заявления и ненадлежащее духовное давление.

Выводы о мошенничестве с почтовыми голосами — это те, которые должны лишить сна любого администратора выборов.

Бюллетень, поданный в миле от избирательного участка

Когда вы голосуете лично, происходит контролируемая последовательность действий. Работник участка проверяет ваше имя. Вы получаете один бюллетень. Вы входите в кабину. Никто не наблюдает, как вы его отмечаете. Вы сами кладёте его в запечатанный ящик. На протяжении всего этого никто не держит ваш незаполненный бюллетень, не заполняет его рядом с вами и не переносит его куда-то для вас.

Голосование по почте нарушает каждый из этих этапов.

Ваш бюллетень путешествует по почте по адресу. Он заполняется — где-то, кем-то — вне какого-либо официального наблюдения. Его кладут в конверт, потом в другой конверт, потом в почтовый ящик. К моменту подсчёта он прошёл через руки людей, которых никто не зафиксировал.

Это не гипотетический риск. Суд Тауэр-Хамлетс обнаружил доказательства того, что бланки почтовых бюллетеней заполнялись на организованных мероприятиях — несколько бюллетеней, заполненных вместе, вне дома избирателей, иногда людьми, которые не являлись зарегистрированными избирателями. Суд обнаружил выдачу себя за другое лицо: голоса, поданные от имени людей, которые их не подавали.

Суд не счёл эти действия изолированными случаями. Он установил систематический характер, достаточный для изменения результата выборов мэра в одном из наиболее густонаселённых боро Лондона.

Средство защиты было не пересчётом. Нечего было пересчитывать. Выборы были признаны недействительными.

Проблема не в конверте — это то, что внутри него

Давайте разберёмся точно, что пошло не так в Тауэр-Хамлетс, потому что это важно для понимания.

Уязвимость была не в том, что голосование по почте существует. Уязвимость была в том, что средства контроля при голосовании по почте — проверка личности, хранение бланков бюллетеней, требование о том, чтобы избиратель лично и в приватности заполнял свою форму — были либо неадекватными, либо обойдены.

Голосование по почте имеет одно фундаментальное свойство безопасности, которого нет при личном голосовании: в момент, когда бюллетень покидает официальное хранилище, его цепь хранения прерывается. Бюллетень идёт на приватный адрес. Он заполняется без свидетеля. Он возвращается в запечатанном внешнем конверте с подписью и проверкой даты рождения, которые в 2014 году в Англии могли быть подделаны или навязаны кем-либо, стоящим рядом с избирателем.

Отправленный бюллетень — это бюллетень, который был некоторое время без наблюдения. Этот промежуток — между моментом, когда бланк попадает в дом, и моментом, когда заполненная форма возвращается в официальное хранилище — это вектор атаки.

И это вектор атаки с длительной историей использования. В 9-м избирательном округе Северной Каролины в 2018 году скоординированная схема собирала заочные бюллетени у избирателей — иногда заполняя их, иногда просто берёя их — и Государственный совет по выборам в конечном итоге приказал провести новые выборы полностью. Оперативник, стоящий в центре, Маккрей Даулесс, позже был обвинён в совершении уголовных преступлений. Другой кандидат выиграл переголосование.

Механизм в обоих случаях идентичен: перехватить бюллетень, пока он находится вне официального хранилища.

Австрия 2016: мошенничество не обнаружено, выборы аннулированы всё равно

Тауэр-Хамлетс — это случай, когда что-то плохое явно произошло. Австрия 2016 — это случай, когда процедуры сломались — и никто не мог доказать, что этого не было.

1 июля 2016 года Австрийский конституционный суд аннулировал второй тур федеральных президентских выборов — голосование, которое Александр Ван дер Беллен выиграл примерно на 30 000 голосов из 4,6 миллиона поданных. Рассуждение суда было методичным и, в своём роде, радикальным.

Австрийский закон точен в отношении почтовых бюллетеней: только районная избирательная комиссия и только она имеет право работать с ними. Конверты не могут быть открыты, голоса не могут быть подсчитаны до 9:00 утра в день после выборов. Члены избирательной комиссии и свидетели должны присутствовать.

Суд обнаружил нарушения в нескольких округах. Конверты были открыты рано. Голоса подсчитывались неуполномоченными лицами. Требуемые свидетели отсутствовали. Примерно 77 000 голосов были затронуты доказанными процедурными нарушениями.

Победная разница была 30 000 голосов.

Суд явно не нашёл доказательств фактического мошенничества. Он не сказал, что голоса были изменены. Он сказал, что поскольку гарантии против манипуляций были нарушены в масштабе, превышающем победную разницу, невозможно подтвердить, что результат — это то, что избиратели действительно решили. Выборы были аннулированы. Переголосование было проведено в декабре 2016 года.

Это более сложный аргумент, и его стоит услышать ясно: проверяемость — это не только о выявлении произошедшего мошенничества — это о процедурах, достаточно строгих, чтобы доказать, что мошенничество не могло произойти. Когда эти процедуры нарушены, результат становится непроверяемым, независимо от того, кто действительно выиграл.

Что на самом деле означает «цепь хранения» для почтового бюллетеня

Представьте цепь хранения как журнал без пропусков. Каждый человек, который прикасался к бюллетеню, когда это было и под какой властью.

Для личного бюллетеня: цепь начинается, когда бюллетень выдаётся, продолжается, пока ваш заполненный бюллетень попадает в ящик, доходит до момента открытия запечатанного ящика на подсчёте под наблюдением и заканчивается, когда партия подсчитывается и снова запечатывается. Каждое звено засвидетельствовано, записано и перепроверено.

Для почтового бюллетеня цепь имеет структурный пропуск — период, когда форма находится на приватном адресе. Процессуальный закон пытается компенсировать этот пропуск с помощью:

  1. Проверки личности перед выдачей почтового голоса (это действительно зарегистрированное и имеющее право на голосование лицо?)
  2. Проверки личности при получении конверта возврата (подпись совпадает? Указанная дата рождения совпадает?)
  3. Своевременного, засвидетельствованного открытия возвращённых конвертов под официальным надзором
  4. Безопасного, записываемого хранения полученных конвертов перед днём открытия

Выводы Тауэр-Хамлетс предполагают, что этапы 1 и 2 были скомпрометированы — через организованное заполнение форм и, в некоторых случаях, выдачу себя за другое лицо. Аннулирование Австрией выявило, что этап 3 был нарушен. Оба сбоя указывают на одну фундаментальную истину: цепь хранения почтового бюллетеня настолько надёжна, насколько надёжно её самое слабое звено, и прямо сейчас некоторые из этих звеньев — это процедурные правила, написанные на бумаге, а не обеспечиваемые каким-либо независимо проверяемым механизмом.

Правило, которое говорит: "только уполномоченные лица могут открывать конверты" — это не защитная пломба, устойчивая к взлому. Это обещание. И обещание в состязательной среде — это не то же самое, что доказательство.

Тайная подача голоса была изобретена именно для этого вида угрозы

Есть причина, по которой австралийский бюллетень — печатный государством, заполняемый в приватности бюллетень — стал глобальным стандартом в девятнадцатом веке. До этого голосование было открытым. Вы заявляли о своём предпочтении вслух или в видимой книге. Землевладельцы наблюдали за арендаторами. Работодатели наблюдали за работниками. Закон о тайном голосовании 1872 года прекратил открытое голосование в Соединённом Королевстве именно для того, чтобы остановить подкуп и принуждение, которые открытое голосование позволяло.

Логика простая: если никто не может видеть, как вы голосуете, никто не может купить или принудить ваш голос. Тайна — это свойство безопасности, а не предоставление удобства.

Голосование по почте создаёт давление на именно это свойство. Бюллетень заполняется дома, где член семьи, землевладелец, работодатель или авторитет в сообществе могут стоять рядом. В Тауэр-Хамлетс суд обнаружил доказательства того, что бюллетени заполнялись на организованных собраниях, а не в приватности момента избирателя.

Это то же самое давление, которое тайная подача голоса была предназначена предотвращать — просто перемещено с избирательного участка на кухонный стол.

Апелляционный суд США для Первого округа точно определил механизм в Rideout v. Gardner (2016): реформы тайного голосования были приняты для "борьбы с широко распространённым подкупом голосов и запугиванием избирателей", практиками, которые зависят от возможности покупателя или принудителя проверить голос. Всё, что позволяет избирателю доказать, как они голосовали — фотография бюллетеня, заполненная форма, засвидетельствованная кем-то, имеющим интерес в результате — вновь открывает рынок.

Почтовый бюллетень, заполненный под наблюдением, структурно — это бюллетень, поданный в открытом виде. Девятнадцатый век решил эту проблему для избирательных участков. Мы еще не решили её для двери дома.

Ответ — не запретить голосование по почте

Голосование по почте служит реальным потребностям. Избиратели с инвалидностью. Избиратели, которые путешествуют по работе. Избиратели в больнице. Избиратели в отдалённых районах. Избирательные комиссии во многих странах — и в большинстве пятидесяти штатов США — расширили голосование по почте именно потому, что облегчение доступа к голосованию повышает легитимность результата. Участие важно.

Вопрос не в том, разрешить ли голосование по почте. Вопрос в том, разработали ли мы его цепь хранения так, чтобы она была такой же защищённой от взлома и независимо проверяемой, как цепь хранения для бюллетеней, поданных лично.

Прямо сейчас честный ответ: не надёжно.

Вот что подлинная защита от взлома почтовых бюллетеней требует бы:

Отслеживаемые, уникальные идентификаторы бюллетеней. Каждый почтовый бюллетень должен нести криптографически уникальный идентификатор, который позволяет избирательным комиссиям — и, что решающе, самому избирателю — подтвердить, что конкретный бюллетень, выданный им, — это тот, который был получен и подсчитан, без раскрытия, как они голосовали. Это технически осуществимо; несколько стран экспериментируют с кодами проверки, видимыми избирателем.

Фотографируемое, записываемое открытие конвертов. Каждый полученный конверт возврата должен быть записан и помечен временем при получении в формате, который является открыто проверяемым и машиночитаемым. Дело Австрии зависело от отсутствия журналов, доказывающих, кто открыл что, когда. Если фотография открытия каждого конверта и хеш этих фотографий были бы опубликованы в открытом реестре, вид процедурного нарушения, который австрийский суд обнаружил, был бы немедленно обнаруживаем — не реконструирован месяцы спустя через показания свидетелей.

Проверка подписи, независимо проверяемая. Текущие процессы сопоставления подписей в основном — человеческое суждение, применяемое к бумаге. Отклонённый или принятый конверт должен генерировать рецензируемый запись, которую любая сторона может проверить. На узких выборах, рассмотрение граничных подписей — это невидимый, непроверяемый процесс. Он не должен быть таким.

Журналы хранения в режиме реального времени. На каждом этапе — от печати до отправки, получения и открытия — местоположение и обработчик почтового бюллетеня должны быть записаны в системе, которая производит защищённый от взлома след. Не бумажная форма, запертая в офисе. Машиночитаемый журнал аудита, который любой аккредитованный наблюдатель — агент кандидата, журналист, независимый исследователь — может проверить по конечному подсчёту.

Что означает «аудит это подтвердил»

После узких выборов чиновники часто говорят нам, что процесс был проверен и всё в порядке. Обычно это искренне. Это не то же самое, что доказательство.

Переподсчёт вручную в Грузии в 2020 году подтвердил результат машинной обработки с точностью примерно одна десятая процента на примерно пяти миллионах бюллетеней — значительное достижение. Система ограничивающего риск аудита Колорадо обеспечивает статистическую уверенность, откалиброванную на каждые выборы. Это реальные улучшения.

Но они аудируют подсчёт бюллетеней, которые уже находятся в ящике. Они не могут аудировать, являются ли бюллетени в ящике теми бюллетенями, которые избиратели намеревались подать. Если почтовый бюллетень был заполнен под принуждением, или заполнен кем-то, кто не является зарегистрированным избирателем, он попадает в подсчёт неотличимым от законного голоса. Переподсчёт вручную будет считать его снова, верно. Ограничивающий риск аудит будет выбирать его. Ни один метод не пометит его.

Проблема Тауэр-Хамлетс была не в подсчёте. Она была в бюллетенях. И проблема Австрии была не в результате — она была в неспособности доказать, что результат был нетронут, как только правила хранения нарушены.

Это разные режимы отказа от чего-либо, что аудит после подсчёта поймает. Они требуют контроля на другом этапе процесса: до и во время работы с бюллетенем, а не после его подсчёта.

Заявление официального лица о том, что "подсчёт был точен", не говорит о том, были ли входные данные подсчёта законными. Этот пропуск — это тот, который нужно закрыть.

Что бы сделало это проверяемым кем-либо

Стандарт, к которому мы должны приложить голосование по почте, — это тот же стандарт, который Федеральный конституционный суд Германии установил для электронного голосования в 2009 году: существенные этапы должны быть проверяемы гражданином, надёжно, без специальных знаний. (Bundesverfassungsgericht, 2 BvC 3/07.)

Для почтовых бюллетеней эти существенные этапы: был ли мой бюллетень выдан только мне? Достиг ли он избирательной комиссии запечатанным и неповреждённым? Был ли открыт только уполномоченными лицами, в законное время, со свидетелями? Был ли голос внутри отнесён к моему бюллетеню и только к моему?

Сегодня избиратель, который использовал почтовый бюллетень в большинстве юрисдикций, не может независимо проверить ни один из этих этапов. Они подают свой бюллетень в то, что с их перспективы является закрытым процессом, и полагаются на то, что чиновники соблюдали правила.

Доверие — это не проверка.

Результат, который никто не может независимо проверить, — это уверение. Результат, который каждый может независимо проверить, — это доказательство.

Технология для того, чтобы сделать цепь хранения почтового бюллетеня защищённой от взлома и открыто проверяемой, существует. Криптографическое логирование, коды подтверждения, видимые избирателем, машиночитаемые открытые реестры получения бюллетеней — ничто из этого не требует замены голосования по почте. Это требует рассмотрения цепи хранения почтового бюллетеня с той же инженерной дисциплиной, которую мы потребовали бы для любой другой безопасности критичной системы.

Выборы в Тауэр-Хамлетс были аннулированы. Новые выборы были проведены. Лютфур Рахман не был на бюллетене. Жители Тауэр-Хамлетс голосовали снова, и результат был другим.

Это то, что происходит, когда система терпит крах и суд это поймает. Но суды — это ретроспектива, они медленны и состязательны. Они — последняя мера, а не принцип проектирования.

Правильный вопрос — не "что мы делаем после того, как обнаружено мошенничество или процедурный отказ?" Правильный вопрос: что бы сделало мошенничество или процедурный отказ невозможным скрыть с самого начала?

Этот вопрос не имеет удовлетворительного ответа в большинстве систем голосования по почте, работающих сегодня. Его должен иметь.

Пропуск в цепи хранения при голосовании по почте — это один из примеров более широкой проблемы, которую мы отслеживаем в системах голосования по всему миру. Посмотрите, как этот пропуск проявляется в разных типах выборов и юрисдикциях или прочитайте 2-минутную версию проблемы проверяемости. Для полной картины того, где цепи хранения ломаются — и как выглядят независимо проверяемые альтернативы — изучите TrustVoting Атлас.

Источники

Все статьиИзучить уязвимости