← Все статьи

«Общественность» в выборах: правовая идея, достойная возрождения

В 2009 году высший суд Германии постановил, что если обычные граждане не могут самостоятельно проверить подсчёт голосов — без специальных знаний — это вообще не является по-настоящему демократическими выборами.

Утро 3 марта 2009 года. Восемь судей в Карлсруэ только что вынесли решение, которое большинство избирательных администраторов мира никогда не прочитают — хотя им стоило бы.

Дело, рассмотренное Федеральным конституционным судом Германии, на первый взгляд касалось технического спора об электронных машинах голосования. Конкретно: электронные машины для голосования Nedap, использовавшиеся на федеральных выборах в Германии в 2005 году. Критики утверждали, что эти машины хранили голоса только в электронной памяти. Никаких независимых записей. Никакого способа для избирателя — или наблюдателя на участке, или журналиста, или просто любопытного гражданина — посмотреть что-либо впоследствии и подтвердить правильность подсчёта.

Суд согласился. И затем вынес решение, которое выходит намного дальше самих машин.

Существенные этапы процесса голосования и определения результата должны быть доступны для проверки гражданином надёжным образом и без каких-либо специальных знаний.

Это предложение из объединённых дел 2 BvC 3/07 и 2 BvC 4/07 — не техническая рекомендация. Это утверждение о том, что такое выборы в сущности. Не к чему они должны стремиться. Что они должны быть конституционно, чтобы считаться демократическим актом вообще.

Машины не прошли этот тест. И их больше не использовали.

Принцип старше, чем машины

Легко прочитать немецкое решение как историю об электронном голосовании — забавную драму начала 2000-х годов, теперь благополучно разрешённую. Это было бы ошибкой.

Суд не спорил о машинах Nedap. Он восстановил принцип, который назвал Öffentlichkeit der Wahl — общественный характер выборов — закреплённый в статьях 38, 20.1 и 20.2 Основного закона Германии. Идея такова: в демократии суверенитет принадлежит народу. Подсчёт, определяющий, кто осуществляет власть от имени народа, должен быть поэтому доступен для наблюдения народом. Не через их представителей. Не через экспертов, которым они должны доверять. Самим народом, непосредственно, своими собственными глазами.

Бумажные бюллетени и открытые избирательные комиссии были придуманы не потому, что бумага романтична. Они были придуманы потому, что любой мог войти, посмотреть, как человек разбирает стопку бюллетеней по кучкам, и увидеть число, написанное на форме. Цепь ответственности была, в принципе, чем-то, за чем мог проследить даже пенсионер без технической подготовки.

Электронное голосование разорвало эту цепь. И суд назвал ровно то, почему это имеет значение: когда существенные этапы происходят внутри герметичного ящика, который может допросить только инженер, общественность тихо исключена из процесса, который должен её представлять.

Это не аргумент против технологии. Это аргумент за тем, что любая технология, используемая на выборах, должна обеспечить: результаты, которые общественность может проверить независимо, без разрешений, без диплома по информатике.

Что именно означает «проверяемость для общественности»

Давайте сделаем это конкретнее. Потому что «общественная проверяемость» может звучать как лозунг, пока вы не спросите, что она требует на практике.

Избиратель входит на избирательный участок. Она отмечает бумажный бюллетень. Бюллетень кладётся в запечатанный ящик. В конце дня работники открывают ящик, разбирают бюллетени и записывают число на форму, которую подписывают и вывешивают на дверь избирательного участка. Любой наблюдатель, присутствующий там, может считать вместе с ними. Любой прохожий может сфотографировать вывешенный результат.

Эта цепь — отметить, запечатать, разобрать, вывесить — проверяема общественностью в смысле немецкого суда. Каждый этап можно наблюдать человеческим глазом. Ни один этап не требует доверия проприетарному алгоритму.

Теперь проведите тот же сценарий через машину голосования без бумаги. Избиратель касается экрана. Где-то в памяти машины число изменяется. В конце дня число печатается на ленте. Может ли избиратель подтвердить, что её касание записано правильно? Нет. Может ли наблюдатель на участке подтвердить, что память совпадает с тем, что говорит лента? Нет. Может ли кто-нибудь — без специальных знаний — проследить хотя бы один существенный этап? Нет.

К такому же выводу пришли нидерландцы в 2007 году, когда комиссия правительства опубликовала доклад под названием Stemmen met vertrouwen — «Голосование с доверием». Его критерии для легитимных выборов включали controleerbaarheid: проверяемость. В процессе выборов нет секретов. На вопросы должны быть ответы, ответы должны быть проверяемы и верифицируемы. Комиссия пришла к выводу, что бумажные бюллетени, подсчитываемые вручную, отвечают этому стандарту. Электронные методы отвечали бы ему только в том случае, если бы они производили бумажный отчёт, проверяемый избирателем. Нидерланды отказались от электронных машин и с тех пор используют бумажные бюллетени, подсчитываемые вручную.

Ирландия столкнулась с той же проблемой под немного другим углом. Независимая ирландская комиссия по электронному голосованию рассмотрела систему Nedap/Powervote, которую купило правительство — миллионы евро аппаратуры, лежавшей готовой на складе — и пришла к выводу, что была неспособна рекомендовать использование предложенной системы. Не потому, что она доказала ошибочность машин. Потому, что она не могла доказать самой себе, что машины правильны. Бремя доказательства лежит на системе, а не на скептике.

Два направления, в которых верифицируемость может отказать

Существует два различных способа, которыми система голосования может быть неверифицируемой, и их легко спутать.

Первый — когда вы не можете проверить, что записала машина. Это проблема Nedap. Проблема немецкого суда. Проблема округа Сарасота, Флорида, где 18 000 голосов исчезли в сенсорных машинах без бумаги в выборах, решённых большинством в 369 голосов, и GAO не мог найти ни одного сбоя — но также не было бумажного отчёта с отметками избирателя для проверки. Слово машины было единственным словом, и машину нельзя было поставить под сомнение.

Второй — когда бумажный отчёт существует, но артефакт, который на самом деле подсчитывается, не является тем, который может прочитать избиратель. Это более тонко и современнее. В 2020 году федеральный суд в Джорджии изучил систему машин для маркирования бюллетеней Dominion штата. Экспертные показания, в том числе от профессора Дж. Алекса Халдермана, описали, как машины печатают бумажный бюллетень — который выглядит проверяемым — но что на самом деле табулируется, так это QR-код на этой же бумаге. QR-код, который избиратель не может прочитать без отдельного устройства. Суд установил, что система «не предоставляет верифицируемый и подлежащий аудиту бумажный отчёт, потому что он полагается на QR-код для табуляции голосов, и сам этот код не может быть прочитан и проверен избирателем». Бумага существовала. Верифицируемость в смысле немецкого суда — нет.

Система, чей бумажный отчёт содержит читаемое машиной резюме, которое избиратель не может лично проверить, переместила непрозрачность с кремния на чернила. Принцип тот же: шаг, который имеет значение, происходит где-то, где гражданин не может его проследить.

«Аудит это подтвердил» — это не то же самое, что «вы могли бы это проверить»

Здесь официальные заверения систематически вводят в заблуждение.

После оспариваемого подсчёта избирательные органы регулярно объявляют, что аудит подтвердил результат. Иногда это имеет значение. Аудит штата Джорджия в 2020 году принял форму полного пересчёта вручную примерно пяти миллионов президентских бюллетеней — подлинного, масштабного упражнения в проверке выходных данных машины против бумаги с отметками избирателей. Вариация составила около одной десятой процента. Это реальная информация.

Но обратите внимание на то, что сделало это реальным: существование бюллетеней с отметками избирателей, которые могли быть повторно проверены людьми, независимо от машин. Бумага была верифицируемостью. Пересчёт вручную был возможен только потому, что артефакт, который на самом деле касался избиратель, всё ещё существовал и мог быть прочитан кем-либо.

Теперь задайте более сложный вопрос. В юрисдикции, которая использует машины для маркирования бюллетеней с нечитаемыми QR-кодами, что аудирует «пересчёт вручную»? Он аудирует бумажный отчёт — который отражает выходные данные QR-кода, а не независимую отметку избирателя. Если машина неправильно преобразовала касания в QR-коды, бумага неверна, и пересчёт вручную верно воспроизведёт неправильный ответ.

«Аудит это подтвердил» имеет смысл только если то, что аудируется, — это то, что избиратель независимо отметил, а не то, что машина произвела от его имени.

И «секретарь штата говорит, что аудит это подтвердил» — это не доказательство чего-либо. Это утверждение. Вопрос всегда: можете ли вы проверить это сами, без доверия к тому, кто делает это утверждение?

Что действительно требует первопринцип

Отойдите от отдельных случаев и конкретных технологий и спросите, что должны иметь по сути общественные выборы, если принцип немецкого суда воспринимается всерьёз.

Во-первых: каждый избиратель должен быть способен подтвердить своими собственными чувствами, что его выбор был зафиксирован так, как он намеревался. Не доверяя дисплею машины. Не принимая на слово производителя. Проверяя человечески-читаемый артефакт, который они сами создали — отмеченный бумажный бюллетень, который они могут прочитать, прежде чем он покидает их руки.

Во-вторых: артефакт, который отмечает избиратель, должен быть тем же артефактом, который подсчитывается. Не переводом этого артефакта, сделанным машиной. Не штрихкодом, полученным из него. Сама вещь, или её прозрачная и человечески-читаемая копия.

В-третьих: любой человек — без специальных знаний — должен быть способен наблюдать процесс, посредством которого отдельные артефакты объединяются в окончательный итог. При пересчёте вручную это видно в помещении. При подсчёте машиной это требует, чтобы программное обеспечение, выполняющее агрегирование, было опубликовано и независимо проверяемо, и чтобы выходные данные машины были проверяемы против физических артефактов.

В-четвёртых: опубликованный результат должен быть достаточно детальным, чтобы любой наблюдатель мог провести свои собственные расчёты. Итоги по избирательным округам, доступные в читаемом для машины формате, с момента их окончательности. Не потому что наблюдатели не доверяют чиновникам, а потому что способность независимо проверять — вот что делает доверие рациональным, а не вынужденным.

Это не утопические требования. Бумажные бюллетени, открытые подсчёты, вывешенные итоги по округам и опубликованные аудиты с ограничением риска уже обеспечивают большую часть из них в юрисдикциях, которые выбрали их внедрение. Колорадо провёл первый в США аудит с ограничением риска на уровне штата в 2017 году. Метод — не экзотичен: он выбирает бюллетени статистически, проверяя больше из них, когда гонка ближе, пока вероятность пропустить неправильный исход не упадёт ниже определённого порога. Общественность может проверить методологию. Бумага может быть повторно проверена.

То, что ни одна юрисдикция полностью не обеспечила — пока — это система, в которой криптографическое доказательство правильного подсчёта опубликовано и верифицируемо любым членом общественности без доверия к любому чиновнику или производителю. Это был бы принцип немецкого суда полностью реализован в программном обеспечении: не бумага на стене, а математический отчёт, который любой может проверить открытыми инструментами, без необходимости присутствовать при подсчёте лично или запрашивать копию у органа власти.

Злодей — не машина. Это непрозрачность.

Важно быть точным здесь, потому что немецкое решение неправильно интерпретируют в двух направлениях.

Одна неправильная интерпретация — что это голос против электронного голосования. Это не так. Суд не сказал, что электронное голосование неконституционно. Он сказал, что электронное голосование неконституционно когда обычные граждане не могут проверить существенные этапы. Система с бумажными бюллетенями с отметками, публично аудируемым программным обеспечением агрегирования и опубликованными результатами по округам удовлетворяла бы принципу столь же хорошо, как и бумажные бюллетени с пересчётом вручную — возможно, лучше, если криптографическая верифицируемость достаточно строгая.

Вторая неправильная интерпретация — что это голос за какую-то конкретную альтернативу. Это не так. Переход от одной неверифицируемой системы к другой неверифицируемой не достигает ничего. Нидерланды вернулись к бумаге — но подсчёт бумаги, который происходит за закрытыми дверями, с результатами, сообщаемыми только в совокупности, без доступных для независимой сверки данных по округам в читаемом машиной формате, по-прежнему не прошёл бы проверку принципом. Форма не имеет значения. Значение имеет проверяемость.

Злодей в каждом случае в этом архиве — ДРК в 2011 году, где миссия ЕС по наблюдению обнаружила результаты, подсчитанные без общественной видимости; Венесуэла в 2017 году, где даже производитель системы голосования отрёкся от объявленной явки; Малави в 2020 году, где сводки были перепечатаны с помощью корректирующей жидкости — это не конкретная технология. Это непрозрачность. Систематическое исключение подсчёта из способности кого-либо независимо его проверить.

И официальные заверения не растворяют непрозрачность. Они добавляют слой поверх неё.

Что остаётся неверифицируемым — и как это исправить

Вот что остаётся верным, независимо от того, что говорят чиновники, в большинстве выборов мира прямо сейчас.

Программное обеспечение, которое объединяет результаты по округам в окружной или национальный итог, проприетарно в большинстве юрисдикций, не проверено никем вне производителя и лаборатории сертификации. Выводы лаборатории сертификации редко публичны полностью. Цепь от отдельного бюллетеня к окончательному итогу проходит через несколько этапов — сканирование, табуляция, загрузка, подведение итогов — которые не индивидуально верифицируемы ни одним членом общественности.

В юрисдикциях, которые используют машины для маркирования бюллетеней вместо отмеченной вручную бумаги, артефакт, который подсчитывается, производится программным обеспечением, которое избиратель не может проверить.

В юрисдикциях без аудитов с ограничением риска, подсчёт машины проверяется выборочной проверкой с фиксированным процентом, которая не даёт статистической гарантии по близким гонкам.

В юрисдикциях без результатов в разрезе избирательных округов в читаемом для машины формате, опубликованных в реальном времени, общественность не имеет способа провести независимые расчёты против официального итога.

Немецкий суд ясно провёл линию в 2009 году. Результат, который может проверить только эксперт, не является демократически легитимным результатом. Эта линия ещё не пересечена — в направлении полной общественной верифицируемости — большинством систем, используемых сегодня.

Что пересекло бы её? Бумажные бюллетени с отметками избирателей, подсчитанные или отсканированные на виду, с отчётом в разрезе округов, вывешенным немедленно и загружаемым в формате, который может открыть любая электронная таблица. Аудит с ограничением риска для каждого близкого поединка, с выбранными бюллетенями и их вручную подсчитанными итогами опубликованными. И для криптографически амбициозных: система со сквозной верифицируемостью, в которой каждый избиратель может подтвердить, что его бюллетень был включён в окончательный итог, и любой наблюдатель может проверить математическую целостность итога, не доверяя ни одному органу власти.

Этот последний пункт технически осуществим. Швейцария попыталась его реализовать и обнаружила люк в криптографии — но обнаружила его именно потому, что независимые исследователи могли проверить опубликованный код. Люк был закрыт. Это правильный результат: общественная проверка обнаружила изъян, который пропустила приватная сертификация. Ответ на ошибочную систему криптографической верифицируемости — это не отказ от верифицируемости. Это держать код открытым, пока изъян не исчезнет.

Принцип немецкого суда не удовлетворён, пока каждый существенный этап не будет проверяем каждым гражданином, который решит на него посмотреть.

Большинство выборов прямо сейчас там не находятся.

Смотрите, как этот пробел появляется в системах выборов по всему миру →

Прочитайте двухминутную версию о том, почему верифицируемость имеет значение →

Изучите задокументированные случаи неверифицируемых выборов →

Источники

Все статьиИзучить уязвимости