← Все статьи

Машина для голосования без бумаги: сделка без чека с демократией

В округе Сарасота в 2006 году 18 000 голосов исчезли в машинах, которые не оставили ничего для переподсчета. Федеральный суд в 2020 году обнаружил ту же проблему в новом обличье.

Где-то в избирательном округе Флориды в ноябре 2006 года избиратель касается экрана, смотрит страницу с итогами и нажимает «Отправить голос». Машина издает звуковой сигнал. Где-то в памяти счетчик увеличивается на единицу. И потом — ничего. Нет бумаги. Нет квитанции. Нет независимо проверяемого подтверждения того, что голос, который только что записала машина, — это голос, который избиратель действительно имел в виду.

Этот момент повторился 18 412 раз только в округе Сарасота.

Выборы, на которые это повлияло — в 13-й избирательный округ Флориды — решились с разницей в 369 голосов. И поскольку все машины в округе Сарасота были сенсорными экранами ES&S iVotronic без бумажного учета, не было абсолютно ничего для переподсчета. Ни квитанции, ни листка, ни рулона термобумаги за закрытой панелью. Просто число внутри ящика и слово самого ящика.

Это наиболее наглядная иллюстрация проблемы, о которой идет речь в этом посте. Но это не самая опасная ее версия. Самая опасная версия появилась четырнадцать лет спустя, и она включала бумагу.

Квитанция, которая не означает то, что вы думаете

В обсуждениях технологии голосования распространено одно предположение: если машина что-то печатает, проблема проверяемости решена. Бумага существует. Переподсчитайте ее.

Это предположение неверно, и федеральный суд в Атланте сказал об этом с необычной прямотой.

11 октября 2020 года судья Федерального районного суда Эми Тотенберг вынесла решение по делу Curling v. Raffensperger, рассматривая систему машин для разметки бюллетеней Dominion в Джорджии — машины, которые заменили старые сенсорные экраны без бумаги. Новая система действительно производит кусок бумаги. Избиратель подходит к машине, делает выбор на сенсорном экране, и машина печатает бюллетень. Затем этот бюллетень подается в счетное устройство для подсчета.

Но вот что обнаружил суд: на напечатанном бюллетене находится QR-код, и именно этот QR-код считывается счетным устройством для определения голоса. Читаемый человеком текст на напечатанном бюллетене — названия кандидатов — не подлежит подсчету. Подсчитывается штрихкод.

Собственные слова суда: система «не обеспечивает проверяемый и поддающийся аудиту бюллетень, поскольку полагается на QR-код для подсчета голосов, и этот код сам по себе не может быть прочитан и проверен избирателем».

Вы не можете прочитать QR-код глазами. Вы почти наверняка не пытались. Поэтому, когда вы проверили свою напечатанную сводку бюллетеня на избирательном участке и нажали подтвердить, вы проверили читаемый человеком текст — и доверились машине в том, что касается того, что она закодировала в штрихкоде.

Это не теоретическое беспокойство. Суд привел показания эксперта, доктора Дж. Алекса Халдермана, описывающие практическую возможность кибератаки, которая могла бы изменить QR-коды — подменить или удалить голоса — оставляя при этом читаемую человеком сводку неизменной. Вы видели бы правильные названия кандидатов. Штрихкод говорил бы что-то другое. Счетное устройство учитывало бы штрихкод.

Суд также ссылался на вывод Национальной академии наук 2018 года о том, что в настоящее время не существует технического механизма, обеспечивающего, чтобы приложение для подсчета голосов давало точные результаты, и тестирования одного недостаточно для обеспечения того, что системы не были скомпрометированы.

В конце концов суд отказался от срочного решения — выборы 2020 года были в нескольких неделях, и переход на другой способ голосования в ходе кампании несет в себе свои риски. Это защитимое суждение при невозможных временных ограничениях. Но вывод остается в силе независимо: Джорджия имела бумагу, и эта бумага говорила не то же самое, что подсчитанный результат.

Это модернизированная версия проблемы Сарасоты. Сарасота вообще не имела бумаги. Джорджия имела бумагу, которая говорила одно, а подсчитанная запись говорила другое.

Почему «нет бумаги» — это минимум, а не максимум

Чтобы понять, почему эти два случая образуют единый аргумент, начните с того, что на самом деле требует проверка.

Когда избирательные комиссии или суды хотят проверить подсчет машины, им нужны два независимых документа: выход машины и что-то, что избиратель сам подтвердил как правильное. Если эти две вещи совпадают, у вас есть подтверждение. Если они расходятся, у вас есть проблема, достойная расследования. Если существует только один документ — выход машины — то нечего противопоставить. Вы проверяете ответ машины, спрашивая саму машину.

В Сарасоте сенсорный экран iVotronic без бумаги произвел один документ. Когда возникли вопросы о проценте недопроголосовавших 13% — значительно выше, чем в соседних округах, использующих бумажные бюллетени — Управление подотчетности Правительства США провело тесты на этих машинах. Эти тесты не выявили неисправность, которая объясняла бы недопроголосование, при этом явно отметив, что проверенный избирателем бумажный след мог бы обеспечить независимое подтверждение того, что сенсорные экраны правильно записали голоса. GAO не говорила, что машины вышли из строя. Она говорила, что никто не мог доказать, что они не вышли из строя, потому что нечего было проверять.

Это не чистое свидетельство. Это признание в невозможности проверки.

В Джорджии проблема с документом более тонкая. Печатный бюллетень существует, но читаемая человеком часть и машиночитаемая часть — это не один и тот же документ. Избиратель может подтвердить человеческий текст. Счетное устройство читает штрихкод. Это два разных кодирования (предположительно) одних и тех же данных, созданные машиной, программное обеспечение которой избиратель не может проверить, и результат которой избиратель не может независимо перепроверить. Проверка бюллетеней Джорджии — это технически проверка штрихкодов — подтверждение того, что штрихкоды были последовательно подсчитаны, а не то, что они были правильно созданы.

Бумажный след — это инструмент проверки только в том случае, если документ, который вы проверяете, — это тот же документ, который подтвердил избиратель.

Как выглядит настоящая независимая проверка

Контраст поучителен. Стоимостная ручная переподсчета Джорджии в 2020 году — примерно пять миллионов президентских бюллетеней, подсчитанных вручную по 159 округам менее чем за шесть дней — была значимой и ценной именно потому, что она подтвердила подсчет машины с точностью около одной десятой одного процента. Этот ручной подсчет — наиболее убедительный аргумент в пользу бумажных бюллетеней: когда существует реальная, долговечная запись, близкая гонка может быть независимо проверена в масштабе.

Но обратите внимание на то, что это сделало возможным. Джорджия также использовала вручную разметанные бумажные бюллетени для многих избирателей наряду с системой машин для разметки. Вручную разметанные бюллетени в гонке Джорджии 2020 года были проверены избирателем в подлинном смысле: избиратель брал ручку, писал на бумаге, обводил имя или закрашивал овал, и разметанная бумага шла прямо в запечатанный ящик. Никакого промежуточного кодирования. Никакого QR-кода. Человеческая отметка — это запись.

Ручной подсчет сработал, потому что существал подлинный второй документ — намерение избирателя, выраженное непосредственно на бумаге — который можно было сравнить с подсчетом машины. Когда два совпадали, уверенность была оправдана.

Колорадо предоставляет другую модель. Когда Колорадо стал первым штатом, завершившим полномасштабную проверку с ограничением рисков в ноябре 2017 года, это сработало по той же причине: вручную разметанные бумажные бюллетени дали аудиторам что-то проверить против машин. RLA — это не просто выборочная проверка фиксированного процента бюллетеней. Она корректирует размер выборки в зависимости от разницы — требуя больше ручной проверки в близких гонках и меньше в односторонних, откалиброванных на заданный уровень статистической уверенности. В гонке, решенной сотнями голосов, она просматривает достаточно бюллетеней, чтобы сказать с определенной вероятностью, правилен ли результат машины.

Это мощный инструмент. Он полностью зависит от надежности бумажного следа — от того, что запись в запечатанном ящике для бюллетеней — это то, что избиратель действительно имел в виду, а не кодирование, произведенное машиной, которую избиратель не мог проверить.

Немецкий стандарт и почему США его не встречают

В марте 2009 года восемь судей в Карлсруэ разобрались с вопросом, который, вероятно, должен был быть разобран до того, как компьютеры для голосования были развернуты где-либо: когда электронная система подсчета удовлетворяет требованиям демократических выборов?

Ответ Федерального конституционного суда Германии был прямым. Электронное голосование конституционно только когда «существенные этапы голосования и определения результата могут быть проверены гражданином надежно и без какого-либо специализированного знания». Машины Nedap, использованные на федеральных выборах в Германии в 2005 году, не прошли этот тест. Они хранили голоса в электронной памяти без независимо проверяемой записи, которую избиратель мог бы проверить. Суд объявил Постановление о федеральных машинах для голосования неконституционным.

Обратите внимание на то, что суд не сказал. Он не сказал, что машины вышли из строя. Он не сказал, что голоса были изменены. Он сказал, что система, чья правильность зависит от доверия к скрытому программному обеспечению, не соответствует тесту общественной проверяемости независимо от того, когда-либо ли доказано вмешательство.

Комиссия консультантов по избирательным процессам голландского правительства пришла к тому же в 2007 году в своем отчете «Stemmen met vertrouwen» («Голосование с доверием»). Комиссия была прямолинейна: «в процессе выборов нет секретов». Прозрачность и проверяемость были неприкосновенны. Любой электронный метод был приемлем только если он производил бумажный голос, который избиратель мог подтвердить. Нидерланды вернулись к бумаге и ручному подсчету.

Ирландская комиссия по электронному голосованию, рассматривая машины Nedap/Powervote, которые правительство уже закупило, пришла к выводу, который был более тонким, но не менее важным: она не делала вывод о том, что система не будет работать. Она делала вывод о том, что система не была доказано работающей в соответствии с удовлетворением комиссии. Когда точность и секретность не могут быть независимо проверены, правильный стандарт по умолчанию — не развертывание.

Это три независимые страны, пришедшие к одной и той же позиции: бремя доказывания идет в одном направлении. Система голосования должна доказать обычным гражданам, что она работает правильно — не просить граждан доверять слову производителя или сертификации правительства.

Примените этот стандарт к Сарасоте. Примените его к машинам с QR-кодом в Curling. Стандарт не соответствует.

Неустранимая проблема с «доверьте официальным лицам»

Есть версия ответа на все это, которая звучит разумно: избирательные комиссии проверили системы. Производители их сертифицировали. Аудиторы их тестировали. Ничего не было найдено.

Это аргумент, который рушится под собственным весом, и заявление CISA от ноября 2020 года о «самых безопасных выборах в американской истории» на самом деле является самым ясным примером того, почему.

Это заявление — сделанное серьезными карьерными чиновниками — заявило, что не было «свидетельств того, что какая-либо система голосования удалила или потеряла голоса, изменила голоса или каким-либо образом была скомпрометирована». Он явно ссылался на бумажные записи и возможность переподсчета и проверки как на основу своей уверенности.

Прочитайте это еще раз. Собственный аргумент заявления в пользу надежности был: у нас есть бумажные записи, которые позволяют переподсчеты и проверки. Чиновники, которые сертифицировали выборы как безопасные, основывали эту сертификацию на существовании независимо проверяемой бумаги. Они не говорили «доверьте программному обеспечению». Они говорили «доверьте проверке бумаги».

Это означает, что вопрос для любой системы — iVotronics Сарасоты, машины с QR-кодом Джорджии, любой машины прямого электронного голосования без бумаги где-либо — это именно тот, который задавали бы сами чиновники: где независимо проверяемая запись?

Когда ее нет, «проверка подтвердила это» — циклическое утверждение. Когда избиратель не может прочитать бумажную запись, «мы переподсчитали бумагу» подтверждает только то, что штрихкоды были последовательно подсчитаны, а не то, что они были правильно созданы. Когда ручной подсчет отличается от подсчета машины на дюжину голосов в гонке, решенной десятками голосов — как произошло при проверке округа Антрим, Мичиган — «ручной подсчет подтвердил это» — это уверение, несущее в себе собственную погрешность.

GAO обнаружила в 2005 году, что федеральные усилия по повышению безопасности систем голосования были в ходе реализации, но что ключевые виды деятельности оставались неполными. Это был не вывод партийного критика. Это был вывод карьерных федеральных аудиторов. И разрыв, который они выявили — расстояние между «сертифицировано» и «проверяемо общественностью» — полностью не закрылся за два десятилетия с тех пор.

Исправление конкретно, а не символически

Это не аргумент в пользу недоверия как постоянного состояния. Это аргумент в пользу того, что бы заменило недоверие чем-то лучшим.

Исправление состоит из двух компонентов, и оба необходимы.

Первый — это прочная, проверенная избирателем запись — не резюме, сгенерированное машиной, которое избиратель подтверждает на экране, и не штрихкод, который избиратель не может прочитать. Вручную разметанный бумажный бюллетень или машина для разметки бюллетеня, которая производит читаемую человеком бумажную запись, где читаемый текст — это то, что подсчитывается и табулируется, и избиратель подтверждает это перед тем, как он покидает его руки. Запись, которую избиратель проверяет, должна быть записью, которая подлежит проверке. Нидерланды, Германия и Ирландия пришли к этому выводу через политические комиссии и конституционные суды. Колорадо и ручной подсчет Джорджии 2020 года демонстрируют, что это работает на практике.

Второй — независимая, враждебная проверка — не предвыборная сертификация одного органа, а текущая общественная проверка. Избирательное управление Бразилии приглашает квалифицированных членов общественности попытаться взломать свои машины для голосования перед каждыми общими выборами. Пилотный проект интернет-голосования округа Вашингтон 2010 года был заброшен, потому что этот вид открытого тестирования сработал: команда Мичиганского университета скомпрометировала систему примерно за 48 часов, изменяя бюллетени, читая голоса и демонстрируя атаку чиновникам. Атака была поймана, потому что система была открыта для тестирования, а не потому, что орган сертификации ее одобрил.

Верховный суд Индии в своем постановлении от апреля 2024 года по электронным машинам для голосования отказался отменять всю систему EVM страны — но ужесточил правила вокруг проверки бумаги, герметичного хранения блоков загрузки символов и проверки микроконтроллера по требованию кандидата. Даже суд, поддержавший электронную систему, ужесточил независимо проверяемые части.

Суть не в бумаге ради самой бумаги. Это запись, которую подтвердил избиратель, сохраненная в защищенной от подделок форме, проверяемая кем-либо с правами доступа, проверяемая независимыми сторонами, которые не являются должностными лицами, объявляющими результат.

Это проверяемость. Чиновник, говорящий «все было в порядке», — это не так.

Что остается непроверяемым — и что бы это изменило

Вот честный вывод, сформулированный максимально ясно.

В любом округе, в котором использовались машины для прямого электронного голосования без бумаги — каждый голос, поданный на iVotronic, каждая Diebold AccuVote-TS, любая машина, которая хранила голоса в электронной памяти без проверенной избирателем бумажной записи — подсчет не может быть независимо подтвержден. Не сейчас. Никогда. Эти голоса существуют только в памяти машины, и единственная запись о них — это то, что машина говорит. 18 412 недопроголосовавших в округе Сарасота остаются необъясненными. Это могли быть выборы избирателя. Это могла быть ошибка программного обеспечения. Нет способа узнать, потому что нечего проверять.

В любом округе, где машины для разметки бюллетеней производят QR-коды, которые избиратели не могут прочитать, табулированный подсчет — это проверка кодирования машины, а не проверка намерения избирателя. Читаемый человеком текст и сканируемый штрихкод могут идеально совпадать или нет. Без параллельного ручного подсчета читаемого человеком текста — не штрихкода — нет независимой проверки.

Что бы это изменило?

Результаты по избирательным участкам, опубликованные в момент закрытия каждого участка, в машиночитаемых форматах, которые любой может загрузить и перепроверить против итогов, сообщаемых чиновниками. Проверенная избирателем бумажная запись, сохраняемая и проверяемая, где подсчитывается то, что прочитал и подтвердил избиратель. Открытое враждебное тестирование систем перед их использованием в реальных выборах. Проверки с ограничением рисков, рассчитанные на разницу, а не на политический уровень комфорта.

Ни один из них не требует доверия какому-либо чиновнику, производителю или политической партии. В этом смысл. Исправление для «доверьте нам» — это система, спроектированная так, чтобы вы не должны.

До тех пор, пока звуковой сигнал сенсорного экрана без бумаги — это сделка без чека с демократией. Вы нажали кнопку. Что-то произошло. Вам просто придется поверить им на слово.

Посмотрите, насколько распространена проблема «нет бумаги для переподсчета» по всему миру →

Прочитайте 2-минутную версию этой проблемы →

Изучите конкретные пробелы в проверяемости по системам и юрисдикциям →

Источники

Все статьиИзучить уязвимости