← Все статьи

Вы не можете прочитать штрихкод, который считает ваш голос. Федеральный суд это заметил.

Ваш бюллетень печатает текст, читаемый человеком — но сканер игнорирует его и читает штрихкод, который вы не можете расшифровать. Федеральный суд официально зафиксировал этот факт.

Это 11 октября 2020 года, и федеральный судья в Атланте читает экспертные показания, которые большинство избирателей никогда не увидят.

Д-р Дж. Алекс Халдерман — тот же исследователь, который захватил интернет-голосование округа Колумбия за 48 часов и который два десятилетия проверяет избирательные технологии на прочность — объяснил под присягой, как на самом деле работают устройства маркировки бюллетеней Джорджии. Вы подходите к сенсорному экрану, делаете свой выбор, и машина печатает лист бумаги. На бумаге ваши выборы отображаются простым английским языком. Вы относите её к сканеру. Сканер игнорирует слова.

Он читает QR-код.

QR-код — это плотный квадрат чёрно-белых пикселей, который кодирует ваш голос в формате, который человеческий глаз не может расшифровать без отдельного устройства декодирования. У вас нет практического способа проверить, что штрихкод соответствует напечатанному тексту. И именно штрихкод — не текст — подлежит подсчёту.

Федеральный районный суд Северного округа Джорджии в своём постановлении от 11 октября 2020 года по делу Curling v. Raffensperger установил именно это: система «не предоставляет проверяемый и поддающийся аудиту бюллетень, поскольку она опирается на QR-код для подсчёта голосов, и этот код сам по себе не может быть прочитан и проверен избирателем».

Это предложение исходит не от группы защиты интересов или партийного документа. Это установленный судом факт, подкреплённый экспертными показаниями и Национальной академией наук, инженерии и медицины.

И он указывает на пробел, который выходит намного глубже, чем Джорджия, намного глубже, чем одни выборы, и намного глубже, чем любое отдельное оборудование.

То, что подлежит подсчёту, должно быть тем, что вы можете проверить

Вот принцип, который раскрывает установление суда в деле Curling.

Бюллетень должен быть вашей записью — физическим артефактом, который фиксирует ваше намерение и может быть независимо проверен кем-либо, кто его изучит. В этом весь смысл бумаги. Бумага выживает при отключениях электроэнергии, сбоях программного обеспечения и сетевых атаках. Бумагу можно считать вручную. Бумагу проверяют при аудите.

Но листок бумаги с QR-кодом — это совсем другое. На бумаге находятся две записи: одна для чтения человеком, другая для чтения машиной. Если эти две записи могут расходиться — и Халдерман показал, что они могут, через кибератаку, которая изменяет содержимое штрихкода без изменения напечатанного текста — то артефакт, который подлежит подсчёту, не является артефактом, который избиратель проверил.

То, что подлежит подсчёту, должно быть проверяемо. Если они могут отличаться друг от друга, у вас нет бумажной записи. У вас есть бумажное алиби.

Суд был недвусмысленен в отношении основного риска. Он отметил экспертные показания о «практической возможности посредством кибератаки подменить или удалить голоса и скомпрометировать систему, включая доступ и изменение QR-кода, используемого для подсчёта голосов». Он также процитировал вывод Национальной академии 2018 года о том, что «в настоящее время не существует технического механизма для обеспечения точных результатов приложения для подсчёта голосов» и что «одного тестирования недостаточно для гарантии того, что системы не были скомпрометированы».

Это не маргинальная позиция. Это обоснованное суждение ведущей научной организации страны, одобренное федеральным судом.

Что сделал суд — и что он не сделал

Вот где история становится неудобной.

После установления этих фактов суд отказался издавать какое-либо распоряжение. Учитывая, что выборы в ноябре 2020 года были в нескольких неделях, судья Тотенберг пришла к выводу, что полное исключение системы маркировки бюллетеней Джорджии и переход на вручную маркированные бумажные бюллетени не было практичным средством в экстренные сроки. Риск хаоса был слишком высок. Она взвесила конституционный дефект против нарушений, которые вызовет исправление, и решила дать возможность выборам продолжиться.

Это разумное судебное решение. Это также иллюстрация того, как системы укореняются: когда штат развернул десятки тысяч устройств маркировки бюллетеней, переквалифицировал своих избирательных работников в их использовании и напечатал свои бюллетени для чтения ими, окно для реформы закрывается именно в тот момент, когда проблема документируется.

Выводы суда остались в протоколе. Машины провели выборы. Более широкое дело в конечном счёте было отклонено в 2024 году по основаниям надлежащей процессуальной стороны — не потому, что основные выводы были неправильными, а потому, что истцы не смогли установить требуемый законом статус для продолжения дела.

«Мы нашли проблему, но не смогли её исправить вовремя» — это не успокоение. Это описание того, как непроверяемые системы становятся постоянными.

Краткая история проблемы со штрихкодом

Джорджия не изобрела этот пробел. Она его купила.

Закон о помощи Америке в голосовании 2002 года направил федеральные средства на замену перфокарточных и рычажных машин, которые дали сбой в 2000 году. Намерение было разумным: старая двусмысленная технология привела к кризису с висячими чадами. Новые цифровые технологии будут чище и точнее. Штаты потратили сотни миллионов долларов на модернизацию.

Но путь модернизации во многих случаях привёл к сенсорным машинам для прямой электронной записи — устройствам, которые не производили никакой бумаги вообще — а позже, когда бумага стала политическим требованием, к устройствам маркировки бюллетеней, которые производят бумагу со штрихкодом. Штрихкод был конструктивным выбором, который ускорил подсчёт и сделал его более надёжным для машины. Это усложнило проверку для человека.

Катастрофа в округе Сарасота, Флорида в 2006 году иллюстрировала версию этой проблемы без бумаги: 18 412 бюллетеней в гонке, решённой 369 голосами, не показали никакого выбора, и поскольку округ использовал сенсорные экраны без бумаги, не было ничего независимого для пересчёта. Управление подотчётности правительства протестировало машины и не нашло явной неисправности — что означает, что также не было никакого способа доказать, что машины работали правильно. Бумага отвечает на этот вопрос. Но «бумага» и «проверяемая бумага» — это не одно и то же.

Немецкий стандарт и почему он всё ещё имеет значение здесь

В марте 2009 года Федеральный конституционный суд Германии в Карлсруэ постановил, что электронное голосование конституционно законно только тогда, когда «существенные этапы голосования и определения результата могут быть проверены гражданином надёжно и без каких-либо специальных знаний в предмете».

Без специальных знаний. Эта фраза несёт основную нагрузку.

QR-код не проходит этот тест. Для его чтения требуется либо устройство декодирования, либо знание программного обеспечения. Вы не можете поднести штрихкод к свету и подтвердить, что он говорит то же самое, что и напечатанный текст. Стандарт немецкого суда — который вытекает из Основного закона страны и принципа публичной проверяемости выборов — был бы затруднителен для применения к маркированному штрихкодом бюллетеню Джорджии.

Немецкое постановление привело к запрету на вычислительные машины для голосования, которые не имеют независимо проверяемых записей. Нидерланды пришли к тому же выводу в том же году, вернувшись к бумажным бюллетеням и ручному подсчёту после того, как правительственная комиссия установила, что любой электронный метод должен производить «бумажный бюллетень, который избиратель может проверить».

Фраза нидерландской комиссии точна. Не просто бумага. Бумажный бюллетень, который избиратель может проверить. Маркированный штрихкодом бюллетень — это бумага. Это не обязательно бумага, которую может проверить избиратель.

Что на самом деле аудирует пересчёт

Вот ловкость рук, которую легко упустить.

Когда Джорджия провела подсчёт в масштабе штата примерно пяти миллионов президентских бюллетеней после ноября 2020 года — крупнейший ручной пересчёт в истории США — аудиторы считали маркированные штрихкодом бюллетени. Ручной подсчёт подтвердил результат машинного подсчёта с погрешностью около одной десятой процента.

Это значимая перекрёстная проверка. Она говорит вам, что сканеры последовательно читали штрихкоды. Это не говорит вам, соответствовали ли штрихкоды напечатанному тексту. Ручной пересчёт маркированных штрихкодом бюллетеней — это аудит согласованности штрихкода, а не аудит намерения избирателя.

Чтобы аудировать намерение избирателя по маркированному штрихкодом бюллетеню, вам нужно было бы декодировать каждый штрихкод и сравнить его с соответствующим напечатанным текстом. Ни один штат не делает это как обычную практику.

Криминалистический аудит Виндама, Нью-Гэмпшир в 2021 году предлагает полезное сравнение. Там сканеры AccuVote неправильно читали линии сгиба на заочных бюллетенях как отмеченные овалы — чисто механическая ошибка, которая привела к неправильному подсчёту сотен голосов без мошенничества и без вредоносного программного обеспечения. Ошибка была восстановима только потому, что физические бюллетени существовали и люди могли их изучить, чтобы определить фактическое намерение избирателя. Для этого нужна бумага: восстановить намерение, когда машина ошиблась.

На маркированном штрихкодом бюллетене, если машина закодировала неправильный выбор в штрихкод, бумага не несёт независимой записи о намерении избирателя, которую человек мог бы восстановить. Бумага — это квитанция за штрихкод, а не за голос.

Проблема округа Кофи, в сжатом виде

В январе 2021 года фирма компьютерной криминалистики была допущена в избирательный офис округа Кофи, Джорджия и уехала с копиями всего: системы управления выборами, устройств маркировки бюллетеней, сканера и программного обеспечения для голосования Dominion штата Джорджия. Это было задокументировано в депозициях в самом деле Curling v. Raffensperger — том же деле, которое только что установило, что QR-код непроверяем.

Эпизод демонстрирует что-то конкретное. Система Джорджии была защищена отчасти на основании того, что собственническое программное обеспечение было защищено, потому что было секретным. Кофи показывает, чего стоит такая защита: один инсайдер с открытой дверью и криминалистическая фирма с ноутбуком могут скопировать всю систему за полдня.

Когда программное обеспечение попадает в открытый доступ, предположение о том, что его поверхность атаки неизвестна, рушится. Аргумент безопасности в пользу закрытого, собственнического кода устройств маркировки бюллетеней был всегда слабым; после Кофи его не осталось.

Вот почему вопрос о нечитаемом QR-коде — это не просто жалоба на удобство. Это вопрос архитектуры системы. Система, чья проверяемость зависит от секретности её кода, — это один враждебный контакт от состояния, в котором нет ни того, ни другого.

Что на самом деле потребовалась бы для «проверяемости»

Установление суда в деле Curling предполагает конкретный стандарт: артефакт, который подлежит подсчёту, должен быть независимо проверяем избирателем, без специальных знаний.

Есть подходы, которые приближаются к этому больше, чем маркированные штрихкодом бюллетени.

Вручную маркированные бумажные бюллетени, читаемые оптическими сканерами, ставят собственные пометки избирателя в центр записи. Сканер интерпретирует пометки; аудитор-человек может независимо переизучить те же пометки и достичь того же вывода — или нет. Когда они не совпадают, как в Виндаме, побеждает бумага. Намерение избирателя выживает при ошибке машины.

Устройства маркировки бюллетеней только с читаемым человеком выходом — печать выборов в виде текста без штрихкода кодирования, который отличается от текста — частично закрывают пробел, хотя они всё ещё зависят от того, действительно ли избиратель просмотрит распечатку перед её подачей.

Криптографически проверяемые системы голосования, где каждый поданный бюллетень можно проверить по публично опубликованной анонимной записи, используя открытую, поддающуюся аудиту математику, идут дальше — но, как показал случай Swiss Post 2019 года, даже опубликованный исходный код и опубликованные криптографические доказательства могут содержать люки, которые только враждебный внешний пересмотр может найти. Открытость необходима; её недостаточно. Независимая, постоянная тщательная проверка — вот что делает открытость реальной.

Один ответ, который не работает — это ответ, который дала Джорджия в 2020 году: бумажная запись, которую официальный процесс рассматривает как проверяемую, но которую избиратель на самом деле не может расшифровать.

Официальное успокоение и на чём оно основано

После выборов 2020 года CISA и её партнёры по инфраструктуре выборов издали совместное заявление, объявив их «самыми защищёнными в истории Америки». В заявлении конкретно упоминались бумажные записи как причина: они позволили проводить пересчёты и аудиты.

Но собственная логика заявления CISA зависит от того, что бумажные записи означают что-то. Если бумажная запись, которая аудируется, — это штрихкод, который ни один избиратель не может прочитать, и если процедура аудита проверяет только, что штрихкоды были просканированы согласованно, а не что они кодировали выбор избирателя, то успокоение циклично. Оно говорит: мы подтвердили, что машины правильно читали штрихкоды. Оно не говорит: мы подтвердили, что штрихкоды содержали то, что выбрали избиратели.

Это не теория заговора. Это структурный пробел, который федеральный суд оформил письменно.

Установление Curling — это не свидетельство того, что результат выборов Джорджии 2020 года был неправильным. Это свидетельство того, что система не предназначена для того, чтобы вы смогли найти это независимо — и это проблема, независимо от какого-либо конкретного результата.

Что всё ещё не проверяемо — и что это исправит

Вот что остаётся открытым, согласно задокументированным фактам:

Ни один обычный процесс в Джорджии — и в большинстве штатов, которые используют маркированные штрихкодом устройства маркировки бюллетеней — не декодирует каждый QR-код и не сравнивает его с напечатанным текстом. Аудит проверяет согласованность машины, а не намерение избирателя.

Вывод Национальной академии, процитированный судом в деле Curling, стоит: в настоящее время не существует технического механизма, который гарантировал бы, что приложение для подсчёта голосов даёт точные результаты. Тестирование ловит многие ошибки. Оно не может гарантировать отсутствие всех ошибок или всех компрометаций.

Что бы сделало это проверяемым кем угодно:

Во-первых, замените маркированные штрихкодом записи о бюллетенях записями, читаемыми только человеком, или требуйте обязательного декодирования и сравнения штрихкодов с напечатанным текстом как обязательного шага аудита.

Во-вторых, публикуйте результаты на уровне избирательного участка, читаемые машиной, как только каждый участок окончателен — чтобы любой наблюдатель мог загрузить, согласовать и перепроверить без ожидания официального резюме.

В-третьих, требуйте открытого, независимо поддающегося аудиту программного обеспечения в системах голосования, чтобы внешние исследователи могли изучить код, который генерирует QR-код, а не просто бумагу, на которой он печатается.

В-четвёртых, рассматривайте «суд не нашёл доказательств манипуляции» и «официальные лица подтвердили результат» как начало разговора о проверке, а не его конец.

Суд в деле Curling нашёл проблему. Машины всё равно провели выборы. Пробел остаётся.

Исправление — это не другое должностное лицо, говорящее, что всё хорошо. Исправление — это система, которую может проверить кто угодно — включая вас.

Посмотрите, насколько распространён пробел непроверяемого бюллетеня по всему миру | Прочитайте версию за две минуты | Исследуйте полную карту дела

Источники

Все статьиИзучить уязвимости