← Все статьи

Маленькие, скучные ошибки решают большие выборы чаще, чем мошенничество

В трёх финских городах в 2008 году 232 человека проголосовали, и их голоса просто никогда не были сохранены — никакого мошенничества, никакого взлома, просто кнопка подтверждения, о которой никто их не предупредил.

Утро 26 октября 2008 года, финский город Карккила. Избиратель входит на избирательный участок, садится у электронного терминала, делает свой выбор и вынимает смарт-карту. Она сделала всё, что её попросили. Она уходит, думая, что проголосовала.

Она не проголосовала.

Её голос никогда не был сохранён. Терминал требовал финального шага подтверждения — короткой паузы, нажатия кнопки — но инструкции на экране этого не указывали. Без этого шага система молча отбросила её выбор. То же самое произошло в Каунияйнене и Вихти. Во всех трёх муниципалитетах, проводивших в тот день пилотный проект электронного голосования Финляндии, 232 голоса исчезли в машине без звука.

Никакого сигнала тревоги. Никакого сообщения об ошибке. Никакого способа для избирателя узнать об этом.

Отказ, который никто не планировал

Финляндия — это не страна, связанная с хаосом на выборах. Она имеет одну из самых стабильных демократических традиций в мире. Пилотный проект электронного голосования 2008 года был тщательным ограниченным экспериментом — три города, контролируемые условия, бумажное голосование было доступно на тех же участках.

И всё же: 232 человека уходили с избирательных участков, веря, что они участвовали в демократическом процессе, когда на самом деле они этого не сделали. Их намерение нигде не было записано.

Верховный административный суд Финляндии (Korkein hallinto-oikeus) провёл расследование и 9 апреля 2009 года издал решение KHO:2009:39. Суд обнаружил, что недостатки в инструкциях для избирателей и дизайне машины означали, что выборы в этих трёх муниципалитетах должны были быть переповторены. Были назначены новые выборы. Финляндия не продолжила развитие электронного голосования.

Внимательно прочитайте эту последовательность. Ошибка не была кибератакой. Это не было мошенничество. Это не был нечестный чиновник. Это была ошибка удобства использования — интерфейс, который не сказал людям, что им нужно делать — в сочетании с системой, которая не имела способа предупредить избирателя о том, что его действие было неполным. Метод не предоставил избирателям независимого подтверждения того, что их бюллетень был захвачен. Поэтому, когда это не произошло, никто об этом не узнал.

Это тип отказа, на котором разговоры об целостности выборов почти никогда не сосредоточиваются. Мы приучили себя искать заговоры. Обыденные катастрофы проходят прямо мимо нас.

Почему скучные ошибки — это те, которые на самом деле решают выборы

Существует стойкое представление о том, что близкие выборы в первую очередь угрожают плохие актёры — кто-то подкладывает бюллетени, кто-то изменяет машину, кто-то подкупает работника участка. Эта угроза реальна и задокументирована. Но это не самый распространённый способ, которым узкие разрывы решаются чем-то другим, чем голоса.

Более частый виновник — обычная ошибка. И обычная ошибка по определению невидима, пока кто-то на неё не посмотрит.

Линия сгиба в неправильном месте. Пыль на линзе. Кнопка подтверждения, которую никто не нажимал. Карта памяти, которая не была обновлена. Это не драматично, и это именно проблема.

Рассмотрим, что обнаружил судебный аудит Виндхэма, Нью-Гэмпшир, в июле 2021 года. После появления расхождения между подсчётом машины и пересчётом вручную в гонке на должность представителя штата 2020 года, законодательство Нью-Гэмпшира приказало полное судебное расследование в соответствии с SB 43. Команда аудита — Харри Хёрсти, Марк Линдеман и Филип Старк — проследили неправильный подсчёт до чего-то почти комично банального: машины для складывания, которую город арендовал для несвязанных целей рассылки. Она складывала отсутствующие бюллетени, но не вдоль отпечатанных линий бюллетеня. Полученная складка проходила через овалы целей голосов. Оптические сканеры AccuVote читали значительную часть этих складок как отмеченные голоса.

Команда оценила, что примерно 44 процента складок через цели голосов были интерпретированы как голоса в ноябре, с экспериментальными показателями в диапазоне от около 20 до более чем 72 процентов в зависимости от условий. Белый порошковый осадок также скопился внутри сканеров, препятствуя линзам. Никакого вредоноса. Никакого подделки. Никакого мошенничества. Просто физика.

Ошибка была обнаружена только потому, что существовали бумажные бюллетени. Ручное обследование могло восстановить то, что избиратель на самом деле отметил — потому что бумага всё ещё была там, всё ещё читаема человеческим глазом. Отчёт об аудите пришёл к выводу, что выборы в целом были хорошо проведены. Но подсчёт машины был неправильным. И ручной подсчёт, который его поймал, был сам несовершенным, как ручные подсчёты всегда бывают.

«Ручной подсчёт это подтвердил» — это заверение, а не доказательство

Вот где стандартное заверение распадается — и где нам нужно быть честными, а не утешающими.

В округе Антрим, Мичиган, в 2020 году ошибка табуляции привела к публикации неправильных неофициальных результатов. Причина была человеческая: ошибка конфигурации, а не мошенничество или вредонос. Ошибка была обнаружена потому, что цифры были явно неправдоподобны для округа. Когда чиновники провели полный ручной аудит каждого президентского бюллетеня в декабре 2020 года, они обнаружили, что сертифицированный подсчёт машины и ручной подсчёт всё ещё отличались примерно на дюжину голосов из примерно 15 700 поданных.

Двенадцать голосов. Из ручного подсчёта. Золотой стандарт.

Метод, который сам по себе неточен на несколько голосов, не может окончательно решить гонку, решённую несколькими голосами.

Это не обвинение. Это описание того, как работает человеческий подсчёт. Люди неправильно категоризируют неоднозначные отметки. Они теряют счёт посередине стопки. Они спорят о том, пересекает ли случайная линия ручки овал. В отчёте об аудите Виндхэма было отмечено именно это: ручной подсчёт мог «определить намерение избирателя», которое сканеры неправильно прочитали — но ручной подсчёт также является человеческой деятельностью, подверженной суждениям людей и человеческим ошибкам.

Огромный ручной подсчёт Джорджии в 2020 году примерно пяти миллионов президентских бюллетеней — в 41 881 партии, 159 округах, менее чем за шесть дней — подтвердил результат машинной табуляции с разницей примерно в одну десятую одного процента. Это впечатляет в масштабе. Это также напоминание о том, что «примерно одна десятая процента» при очень близкой гонке — не ноль. Аудиты с ограничением рисков Колорадо на уровне штата, первые в своём роде при запуске в 2017 году, предлагают статистически обоснованный подход к определению размера проверки в зависимости от близости гонки — но даже эти аудиты зависят от того, будет ли запись о бумаге точной, и будет ли выборка действительно случайной.

Суть в том, что ручные подсчёты — это не бесполезно. Они необходимы. Суть в том, что «ручной подсчёт это подтвердил» и «государственный секретарь говорит, что всё хорошо» — это заявления, а не доказательства. В гонке, решённой десятками голосов, подтверждение методом, который сам по себе неопределён в пределах десятков голосов, — это заверение. Это не то же самое, что независимая проверяемость.

Структурная проблема, общая для этих двух случаев

Финляндия 2008 и Виндхэм 2020 выглядят по-разному на поверхности — один это электронный терминал для голосования в скандинавском пилотном проекте, другой — оптический сканер в городе Новой Англии. Но они имеют одну и ту же основную ошибку.

В обоих случаях система создала подсчёт, который отличался от фактических голосов, поданных, и не было механизма реального времени, с помощью которого кто-либо — избиратель, наблюдатель или чиновник — мог бы обнаружить это независимо.

У финских избирателей не было подтверждения того, что их бюллетень был захвачен. Бюллетени Виндхэма не имели способа сигнализировать о том, что линии сгиба портят сканирование. В Финляндии разрыв был найден только потому, что чиновники могли в конечном итоге сравнить количество электронных избирателей, зарегистрированных, с количеством ожидаемых бюллетеней. В Виндхэме это было найдено только потому, что пересчёт вручную произвел число, достаточно отличающееся, чтобы вызвать расследование — и затем только полностью объяснено потому, что судебная группа потратила на это месяцы.

Обе ошибки были выявлены после факта. Обе требовали значительных усилий для диагностики. В случае Финляндии единственным средством было переделать выборы полностью. В случае Виндхэма результат остался в силе — но разница в затронутой гонке была неправильной в ночь выборов, и степень, в которой окончательный сертифицированный подсчёт точно отражал намерение избирателя, это что-то, что не может быть с уверенностью ответить.

Злодей в обеих историях — это непрозрачность. Не недоброжелательность. Непрозрачность.

Что суды на самом деле сказали об этом

Это не просто технический аргумент. Суды во многих странах пришли к одному и тому же выводу с конституционной стороны.

Федеральный конституционный суд Германии, вынеся решение 3 марта 2009 года — почти ровно через два месяца после Верховного административного суда Финляндии — постановил, что электронное голосование конституционно легитимно только тогда, когда обычные граждане, без специальных знаний, могут независимо проверить каждый важный шаг от бюллетеня к результату. Суд установил, что машины, хранящие голоса только в электронной памяти, без независимо проверяемого записи, не соответствуют этому стандарту. Он отменил юридическую основу для машин даже без доказательств фактического сбоя.

Комиссия Korthals Altes голландского правительства в своём докладе 2007 года Stemmen met vertrouwen (Голосование с доверием) сформулировала принцип ещё более ясно: в процессе выборов нет секретов. Вопросы должны получать ответы, и ответы должны быть проверяемы и верифицируемы. Нидерланды отказались от избирательных компьютеров и вернулись к бумаге.

Верховный суд Кении аннулировал президентские выборы в 2017 году отчасти потому, что бланки результатов не имели согласованных защитных функций и цепь от избирательного участка к национальному подсчёту не могла быть независимо проверена. Суды Малави аннулировали президентский результат в 2020 году потому, что бланки подсчёта были изменены с помощью корректирующей жидкости — банального физического вмешательства, а не кибератаки — оставляя без надёжного записи того, что избиратели действительно решили.

Обратите внимание на то, что общего во всех этих делах. Они не о хакерах. Они об отсутствии механизма, который кто-либо вне органа подсчёта мог бы использовать для независимой проверки подсчёта. Независимо от того, является ли режимом отказа ошибка удобства использования, линия сгиба, корректирующая жидкость или нечитаемый QR-код, основная проблема одна и та же: запись, которая должна была доказать результат, не могла быть независимо проверена.

Более глубокий аргумент: верификация ловит честные ошибки, а не просто мошенничество

Общественный разговор об целостности выборов почти полностью сосредоточен на мошенничестве. Это понятно, но вводит в заблуждение. Мошенничество — это сознательный акт, и сознательные акты оставляют следы — мотивы, закономерности, выгодоприобретатели. Честные ошибки оставляют ничего, кроме неправильного числа.

Выводы важны: система, разработанная только для обнаружения мошенничества, пропустит ошибки, которые на самом деле происходят чаще всего.

Система электронного голосования Финляндии не была разработана для взлома. Она была разработана для удобства. Она не сработала, потому что её разработчики не встроили механизм, с помощью которого избиратели могли бы независимо подтвердить, что их бюллетень был подсчитан — и без этого механизма ошибка удобства использования стала необнаружимой потерей голосов.

Сканеры Виндхэма не были скомпрометированы. Они делали то, для чего они были запрограммированы: читать тёмные отметки в определённых местах. Линия сгиба — это тёмная отметка в определённом месте. Без независимой проверки физических бюллетеней выход машины был обработан как авторитетный.

Средство — это не недоверие к чиновникам. Большинство избирательных чиновников делают действительно сложную работу с ограниченными ресурсами и интенсивным контролем. Средство — прекратить строить системы, которые требуют доверие кому-либо — и строить системы, где подсчёт проверяется кем-либо, независимо, без необходимости верить конкретному человеку или организации.

Это означает бумажные бюллетени, которые избиратель действительно отмечает и может видеть подсчитанными. Это означает аудиты, разработанные статистиками для обнаружения ошибок в масштабе, который они должны были бы совершить, чтобы изменить результат — что является попыткой структуры аудита с ограничением рисков Колорадо. Это означает результаты уровня избирательного участка, опубликованные мгновенно, в машиночитаемом формате, чтобы любой со электронной таблицей мог восстановить подсчёт и обнаружить аномалии быстрее, чем любой официальный аудит. Это означает криптографические обязательства, которые позволяют независимым проверяющим подтвердить подсчёт без возможности видеть отдельные голоса.

Это не означает доверие сканеру. Это не означает доверие чиновнику, который говорит, что аудит это подтвердил. Это означает разработку системы так, чтобы доверие было не переменной.

Что всё ещё не проверяемо — и что сделало бы это проверяемым

Вот что мы не знаем и не можем знать из дел Финляндии и Виндхэма даже сейчас:

В трёх муниципалитетах Финляндии мы знаем, что 232 голоса были потеряны. Мы не знаем, кого намеревались поддержать эти избиратели. Мы не знаем, изменили бы эти 232 голоса какой-либо результат отдельной гонки. Мы знаем, что были проведены новые выборы. Мы не знаем, была ли переизбранная электоральная база идентична в составе или явке оригинальной. Суд поступил правильно. Это всё оставляет реальную неопределённость относительно того, что оригинальная электоральная база действительно решила.

В Виндхэме мы знаем, что линии сгиба вызвали неправильные подсчёты. Мы знаем, что судебная группа проделала отличную работу, диагностируя причину. Мы знаем, что ручной подсчёт восстановил намерение избирателя для изученных бюллетеней. Мы не знаем, произошли ли подобные эффекты сгиба на предыдущих выборах с тем же оборудованием. Мы не знаем точную степень ошибок для каждой партии бюллетеней. Результат был сертифицирован. Метод, который это сертифицировал, нёс с собой свою собственную неустранимую неопределённость.

Это не обвинения. Это честный остаток полагаться на обнаружение после факта, а не на верификацию в реальном времени.

Что сделало бы это проверяемым? Метод голосования, где каждый избиратель получает анонимный токен — не прослеживаемый к их личности — который они могут использовать, чтобы проверить, что их конкретный бюллетень появляется в финальном подсчёте, правильно, без раскрытия того, как они голосовали. Это то, что криптографически верифицируемые системы голосования от конца до конца пытаются предоставить. Избиратель не должен доверять терминалу, сканеру, чиновнику или поставщику. Они сами проверяют.

Эта технология существует. Она ещё не является стандартом нигде в масштабе. И до тех пор, пока это не произойдёт, каждые близкие выборы, решённые несколькими десятками голосов, — это открытый вопрос, одетый в уверенный костюм.

Ключевой момент для распространения: самая большая угроза для близких выборов — это не хакер в чужой стране — это линия сгиба, которую никто не заметил, интерфейс, который никто не объяснил, ошибка, которую никто не обнаружил, потому что система никогда не была построена для её обнаружения. Решение — это не лучшие чиновники или более громкие аудиты. Это верификация, которая работает для всех, которая не требует доверие к кому-либо, и которая ловит скучные ошибки до того, как они станут постоянной записью.

Смотрите, как часто этот пробел верификации встречается по всему миру →

Прочитайте двухминутную версию →

Исследуйте полную базу данных пробелов →

Источники

Все статьиИзучить уязвимости