← Все статьи

Мэр смещен с должности: дело о голосовании по почте, потрясшее Лондон

Английский судья смещен сидящего мэра с должности за почтовое голосование мошенничество, взяточничество и персонацию — и это дело показывает ровно то, почему голосование вне избирательного участка является самой сложной проблемой в безопасности выборов.

Это утро 23 апреля 2015 года, и в зале суда Лондона судья читает приговор, которого в британской политике не было живой памяти. Лютфур Рахман — исполнительный мэр лондонского боро Тауэр-Хамлетс, избранный в мае 2014 года более чем 18 000 избирателями — смещается с должности. Не на выборах. Не голосованием парламента. Судом.

Решение Erlam & Ors v Rahman & Anor [2015] EWHC 1215 (QB) занимает сотни параграфов. Уполномоченный Ричард Морей QC, заседающий в качестве суда по выборам в соответствии с Законом о представительстве народа 1983 года, установил, что выборы были скомпрометированы коррумпированными и противоправными действиями, совершенными самим мэром и через его агентов. Список замечателен: персонация, мошенничество с почтовым голосованием, взяточничество, подкуп, ложные заявления и неправомерное духовное влияние — вместе с общей коррупцией, настолько широко распространенной, что можно разумно предположить, что она повлияла на результат.

Рахман был смещен. Выборы были признаны недействительными. Был проведен новый голос.

И зарытый глубоко в решении, если вы его внимательно прочитаете, находится урок, который не имеет ничего общего с одним боро на востоке Лондона — и все имеет отношение к тому, как любая демократия работает с бюллетенями, путешествующими по почте.

Избирательный участок был создан для решения ровно этой проблемы

Полезно начать с первых принципов.

Тайное голосование — конверт, частная кабина, немаркированная бумага — было изобретено не как любезность. Это была система безопасности. Когда Виктория взошла на трон, голосование в Британии было открытым: ваш выбор был объявлен вслух, записан в книгу, и книга была опубликована. Землевладельцы смотрели. Работодатели смотрели. Кредиторы смотрели. Если вы голосовали неправильно, вы знали, что будет дальше. Закон о тайном голосовании 1872 года положил этому конец. Он заменил открытое голосование на запечатанный ящик и частный отсек — не для защиты ваших чувств, а для уничтожения способности принудителя проверить сделку.

Механизм точен. Голос, который не может быть наблюдаем или доказан, не может быть куплен или принужден, потому что покупатель не может подтвердить доставку. Весь рынок рушится, когда проверка не удается.

Личное голосование на контролируемом избирательном участке сохраняет эту гарантию. Незнакомец не может стоять над вашим плечом, пока вы отмечаете свой бюллетень. Партийный агент не может забрать вашу бумагу и проверить ее перед тем, как она попадет в ящик. Цепь хранения — чистый бюллетень в, запечатанный ящик из, открыт на публике при подсчете — делает персонацию сложной и манипуляцию проверяемой.

Теперь извлеките бюллетень из этой контролируемой среды. Отправьте его по почте на домашний адрес. Позвольте ему лежать на кухонном столе. И сразу же гарантия трескается в двух отдельных местах: кто его на самом деле отметил, и кто его обработал до того, как он прибыл.

Это не гипотетическое беспокойство. Тауэр-Хамлетс — это пример.

Что суд по выборам на самом деле установил

Решение Тауэр-Хамлетса стоит прочитать полностью — не для политической драмы, а для операционной специфики. Суд не установил, что компьютер был взломан или что подсчет был неправильно рассчитан. Он установил, что выборы были скомпрометированы в период до и во время голосования, через механизмы, которые уникально позволяет удаленное голосование.

Персонация — голосование от имени кого-то другого — крайне сложно на контролируемом избирательном участке. Это значительно проще, когда бюллетень по почте доставлен по адресу, и личность человека, который его отметил, проверяется только подписью и датой рождения на конверте.

Мошенничество с почтовым голосованием, как установлено в деле Тауэр-Хамлетс, — это эксплуатация этого зазора. Герметичная среда избирательной кабины заменяется частным жилищем (или любым другим местом, где бюллетень может путешествовать), и цепь хранения, которую построил Закон о тайном голосовании — пустая бумага, частная кабина, запечатанный ящик, публичный подсчет — заменяется документооборотом, который проходит через руки, которые суд не видит и которые не были предназначены для наблюдения.

Поверхность атаки для удаленного голосования — это не подсчет. Это хранение.

Северная Каролина: тот же механизм, другой континент

Тауэр-Хамлетс — не изолированный курьез. Рассмотрим, что произошло в 9-м избирательном округе Северной Каролины в 2018 году.

После выборов Государственная комиссия по выборам отказалась сертифицировать видимый результат. Она расследовала нарушения с почтовыми бюллетенями, отправленными по почте. 21 февраля 2019 года комиссия единогласно приказала новые выборы, установив то, что она назвала "скоординированной, незаконной и существенно финансируемой схемой почтового голосования" в округах Блейден и Робсон. Ответственный оператор, Макрэй Даулес, позже был обвинен в тяжких преступлениях.

Механизм был таким же, как в Тауэр-Хамлетсе, переведенный через океан и другую правовую систему: третьи стороны собирают, обрабатывают и в некоторых случаях изменяют почтовые бюллетени других людей. Бюллетень покидал контролируемую среду избирательного участка, и без надежных проверок цепи хранения стало возможно вмешаться в него между рукой избирателя и запечатанным ящиком.

В обоих случаях единственным средством было признание выборов недействительными и их повторное проведение. Нет способа очистить бюллетень, который уже был подделан и подсчитан. Вы не можете вычесть мошенничество из результата; вы можете только начать заново.

Австрия: что означает цепь хранения на практике

Вот версия той же проблемы, где мошенничество вообще не было обнаружено — и выборы все равно были аннулированы.

Весной 2016 года Австрия провела второй тур президентских выборов между Александром Ван дер Беленом и Норбертом Хофером. Ван дер Белен выиграл примерно на 30 000 голосов из почти 4,6 миллиона поданных. Партия Хофера оспорила результат. 1 июля 2016 года Конституционный суд Австрии аннулировал все выборы — не потому, что было доказано мошенничество, а потому, что нарушены правила обработки почтовых бюллетеней.

Закон требовал, чтобы бюллетени для голосования отсутствующих лиц открывались и подсчитывались только после 9:00 в день после выборов районной избирательной комиссией с обязательным присутствием членов совета и свидетелей. В нескольких районах этого не произошло. Конверты открывали рано, несанкционированные люди, без свидетелей. Примерно 77 000 голосов были затронуты — число, превышающее разницу в победе примерно на 30 000.

Логика суда была точна: правила о том, кто может обрабатывать бюллетени и когда, — это не бюрократические формальности. Они являются механизмом, который делает результат независимо проверяемым. Когда они нарушаются, даже честно, цепь хранения нарушается. Вы не можете доказать, что манипуляция не произошла в то время и в том месте, где защиты отсутствовали. Второй тур был проведен в декабре 2016 года.

Урок неудобен, потому что он применяется даже когда все действуют добросовестно. Австрийские должностные лица не были обвинены в мошенничестве. Их обвинили в том, что они сделали результат невозможным для проверки. На тесных выборах, этого достаточно.

Почему почтовое голосование структурно отличается

Подумайте конкретно о том, что происходит на избирательном участке. Вы входите. Ваше имя проверяется в регистре. Вы получаете бюллетень — один бюллетень, для вас. Вы берете его в частную кабину. Вы отмечаете его, складываете и бросаете в запечатанный ящик. Никто не видел, что вы написали. Никто вам не вручил предварительно отмеченную бумагу. Никто не наблюдал за тем, как вы уходите.

Теперь подумайте о том, что происходит с почтовым бюллетенем. Бумага приходит по почте, адресованная имени. Любой в доме может открыть конверт. Нет контроля над тем, кто его отметит. Партийный агент может сидеть за столом. Член семьи может стоять над плечом. Лидер сообщества может собрать форму. Проверка личности — обычно подпись и дата рождения — проверяется только позже, после возврата конверта, и проверяется против записи, которая была составлена до выборов.

Проверка личности ретроспективна. Возможность влияния одновременна.

Это не аргумент против почтового голосования как такового. Это аргумент для понимания ровно того, что требует почтовое голосование, чего не требует голосование в избирательном участке: надежная верификация личности в точке подачи заявки, герметичное хранение со взломостойким уплотнением с момента, когда бюллетень покидает руку избирателя, и проверяемая запись каждого шага между ними.

Без этого защита закона о тайном голосовании испаряется. Голос может быть наблюдаем. Голос может быть принужден. Голос может быть заменен.

Более глубокая проблема: когда проверка перестает быть возможной

Дела Тауэр-Хамлетс и Северной Каролины были поймана. Суд расследовал, заслушал доказательства и признал результаты недействительными. Это система, работающая — медленно, дорого, и только после того, как ущерб нанесен.

Но механизм обнаружения зависел от масштабности мошенничества, достаточной для создания доказательств: свидетели, закономерности в данных, показания людей, которые видели, что произошло. Мелкомасштабное мошенничество с почтовым голосованием, проводимое осторожно среди большого количества бюллетеней, может не оставить никакого следа.

Это разрыв, который имеет значение для целостности выборов в целом. Не драматическое дело, которое заканчивается в зале суда, а тихая манипуляция, которая никогда не доходит туда.

Рассмотрим дело Австрии еще раз. Суд установил процедурные нарушения и аннулировал выборы. Но суд также не нашел доказательств фактического мошенничества. Проблема заключалась в том, что он не мог опровергнуть мошенничество, потому что условия, которые сделали бы мошенничество обнаруживаемым — полная, проверенная свидетелями, отмеченная по времени цепь хранения — были нарушены. Строгая цепь хранения не просто выявляет манипуляцию. Она делает манипуляцию невозможной скрыть, поэтому цепь существует.

Та же логика применяется к любой системе удаленного голосования. Вопрос не просто "было ли совершено мошенничество?" Вопрос: "разработана ли система так, чтобы мошенничество, если совершено, оставило обнаруживаемый, независимо проверяемый след?"

Если ответ нет — если единственные люди, которые могут подтвердить целостность почтового бюллетеня, это должностные лица, обрабатывающие бюллетени — то "мошенничество не было обнаружено" — это успокоение, а не доказательство. И в системе, построенной на доверии, а не на проверяемости, стимул манипулировать никогда полностью не удаляется. Это только надеется не быть предпринятым.

Что "проверяемое хранение" на самом деле выглядело бы

Здесь аргумент поворачивает от диагноза к архитектуре.

Проблема цепи хранения почтового бюллетеня имеет известную форму. Решение имеет известную форму тоже — оно просто требует ее построения намеренно, вместо того чтобы предполагать, что она существует.

Проверяемое хранение удаленного бюллетеня требует трех вещей, которые в настоящее время существуют только фрагментами:

Во-первых, верификация личности в точке получения бюллетеня, а не только подачи заявки. Проверка подписи ретроспективно против базы данных — это слабый контроль. Криптографическая верификация, привязанная к уникальному удерживаемому избирателем учетному данному — выданному до выборов и используемому один раз — сделала бы персонацию структурно сложной, а не просто противоправной.

Во-вторых, герметичная цепь с момента, когда избиратель отмечает бумагу, до момента ее подсчета. Это означает запечатанное, зарегистрированное хранение на каждой точке передачи, с проверяемой записью, которую любая независимая сторона может проверить против подсчета — не записью, которую могут получить только должностные лица.

В-третьих, результат, который каждый может проверить без доверия к официальному лицу, которое его объявляет. Когда Конституционный суд Германии отклонил электронные избирательные компьютеры в 2009 году, он поставил принцип в конституционные термины: существенные шаги в голосовании и определении результата должны быть examinable гражданином надежно и без специальных знаний. Этот стандарт применяется так же резко к почтовому голосованию. Результат, чья цепь хранения только должностные лица могут реконструировать, его не выполняет.

Ничто из этого не требует отказа от удаленного голосования. Это требует построения инфраструктуры, которой удаленное голосование не имеет по умолчанию — той же инфраструктуры, которую избирательный участок обеспечивает физически и процедурно.

Вопрос, на который должностные лица не могут ответить за вас

23 апреля 2015 года, после решения Тауэр-Хамлетс, мэр был смещен. Были назначены новые выборы. Наблюдатели сказали, что система сработала.

И в узком смысле, она сработала. Мошенничество было поймано. Результат был признан недействительным. Демократия исправила себя.

Но вот что официальный счет не может вам сказать: сколько мошенничества с почтовым голосованием не было поймано? Суд установил то, чем поддерживаются доказательства перед ним. Он установил, что коррупция была настолько обширна, чтобы аннулировать выборы. Он не — не мог — реконструировать каждый подделанный бюллетень, каждый персонированный голос, каждый собранный конверт. Суды работают с тем, что до них доходит.

Дела, которые доходят до судов, — это те, которые создают достаточно доказательств для подачи. Дела, которые никогда не достигают судов, невидимы по определению.

Это аргумент для встраивания проверяемости в систему до выборов, а не полагаться на судебное разбирательство для реконструкции после. Почтовый бюллетень, чье хранение криптографически зарегистрировано, чья проверка личности независимо проверяема, и чье место в подсчете любой гражданин может проверить без привлечения адвоката — этот бюллетень не требует доверия избирательному должностному лицу, обработавшему его, или суду, который ретроспективно рассмотрел процесс, или государственному секретарю, который говорит, что все прошло хорошо.

Это требует проверки записи. И запись там.

Это то, что мы строим. Посмотрите, насколько распространен разрыв в хранении по всему миру — или прочитайте двухминутную версию этой проблемы.

Источники

Все статьиИзучить уязвимости