← Все статьи

«Верьте нам» или «проверьте сами»: единственный важный спор в выборах

12 ноября 2020 года девять высокопоставленных чиновников объявили выборы безопасными. Утверждение было верным — и почти полностью неопровержимым. В этом разрыве вся суть проблемы.

12 ноября 2020 года, через девять дней после закрытия избирательных участков, небольшая группа старших американских чиновников по безопасности выборов собралась и написала заявление. Они не были партийцами. Они были профессионалами — из Агентства безопасности кибернетической инфраструктуры, из избирательных комиссий штатов и местных органов власти, из частного сектора. Они потратили месяцы на наблюдение за атаками на избирательную инфраструктуру. И у них было что сказать.

«Выборы 3 ноября», — писали они, — «были самыми безопасными в американской истории».

Прочитайте это предложение медленно. Это замечательное утверждение. И замечательное в нём не то, что оно ошибочно — нет никаких достоверных свидетельств того, что это так. Замечательное в нём — это форма утверждения. Это утверждение, основанное на авторитете. Оно просит вас доверять людям, которые это говорят.

Это ровно неправильная основа для демократической легитимности. И, скрытая в собственной логике заявления, официальные лица кажется наполовину это понимают.

Что на самом деле говорится в заявлении CISA

Откройте совместное заявление от 12 ноября 2020 года и прочитайте дальше заголовка. Официальные лица не сказали «верьте нам». Они предложили причину: «Нет свидетельств того, что какая-либо система голосования удалила или потеряла голоса, изменила голоса или каким-либо образом была скомпрометирована».

А потом они сказали что-то решающее: заявление подчеркнуло ценность бумажных записей голосов как возможности для пересчёта и аудита при необходимости.

Вот оно. Спрятано в заверении о безопасности признание того, как безопасность может быть проверена. Уверенность самого заявления основана на существовании независимо проверяемых бумажных записей — артефактов, которые может изучить кто-то, кроме органа власти. Без этих записей заверение было бы неопровержимым: никто не смог бы его проверить вообще.

Официальное утверждение «выборы были безопасными» — это претензия. Её ценность зависит от того, может ли общественность независимо её проверить — или они должны просто принять слово людей, которые проводили выборы.

Это не партийный момент. Это структурный момент. И он применяется к любым выборам, проводимым любой партией в любой стране.

Вопрос, к которому сводятся все выборы

Вот в чём суть каждого крупного спора о выборах, который вы когда-либо читали. Отбросьте шум, адвокатов, графику кабельных новостей. В центре каждого из них всегда один и тот же вопрос:

Может ли общественность независимо это проверить, или они должны принять чей-то слово?

В Малави в 2020 году суды аннулировали президентские выборы, потому что официальные протоколы подсчёта были перезаписаны корректирующей жидкостью. Избирательная комиссия объявила победителя. Подсчёт выглядел как подсчёт. Но исходные документы — то, по чему вы проверили бы подсчёт — были тихо изменены. Проверяемость была утрачена, и вместе с ней результат. Апелляционный суд подтвердил аннулирование.

В Венесуэле в 2017 году компания, чьи машины проводили выборы — Smartmatic — публично заявила, что знает «без каких-либо сомнений», что объявленная явка была манипулирована как минимум на миллион голосов. Органы выборов объявили одно число. Производитель машин объявил другую реальность. Ни то, ни другое не могло быть независимо проверено против защищённой от подделок записи, к которой кто-либо вне правительства имел доступ. Спор не мог быть разрешён. Он всё ещё не разрешён.

В Кении в 2017 году Верховный суд аннулировал президентские выборы, потому что результаты форм с избирательных участков не были электронно переданы в соответствии с законом, финальный протокол подсчёта не имел водяного знака или серийного номера, и председатель объявил победителя до получения всех подлежащих проверке форм. Большинство суда постановило, что цепь доказательств, необходимая для независимой проверки подсчёта, была нарушена. Результат не был проверяемым. Он был аннулирован.

Три разные страны. Три разные технологии. Одна идентичная проблема.

Ответ Германии: если только эксперт может это проверить, это не настоящие выборы

3 марта 2009 года восемь судей в Карлсруэ вынесли решение, переосмысляющее весь спор.

Федеральный конституционный суд Германии в объединённых делах 2 BvC 3/07 и 2 BvC 4/07 запретил использование управляемых компьютером машин для голосования Nedap на федеральных выборах. Не потому, что машины дали сбой. Не потому, что кто-то мог доказать, что голоса были изменены. Но потому, что машины сохраняли голоса только в электронной памяти без независимо проверяемой записи, которую гражданин мог бы проверить.

Рассуждения суда заслуживают прочтения в оригинале. Суд постановил, что использование электронных машин для голосования требует, чтобы «существенные этапы голосования и определения результата могли быть проверены гражданином надёжно и без каких-либо специальных знаний предмета».

Без каких-либо специальных знаний. Гражданин — не компьютерный специалист, не сертифицированный аудитор, не секретарь штата — должен иметь возможность видеть и проверять существенные этапы подсчёта своих собственных выборов.

Это следует из того, что суд назвал принципом Öffentlichkeit der Wahl — открытости выборов — закреплённым в немецком основном законе. Выборы — это общественные акты. Их легитимность вытекает из общественной видимости. Процесс подсчёта, требующий оценки специалиста по программному обеспечению, не является открытым для публики. Это приватное доверие.

Конституционный суд Германии запретил электронное голосование не потому, что машины недостойны доверия. Он запретил его потому, что «верьте мне, я эксперт» структурно несовместимо с демократическими выборами.

Нидерланды пришли к тому же выводу двумя годами ранее через свою независимую комиссию. Доклад Korthals Altes, Stemmen met vertrouwen — Голосование с уверенностью, изложил основные требования к любой системе голосования: прозрачность, проверяемость — controleerbaarheid — целостность и секретность голосования. Его вывод состоял в том, что в процессе выборов нет секретов, вопросы должны быть отвечены, ответы должны быть проверяемы и верифицируемы. Бумага выиграла. Не как ностальгическое предпочтение. Как единственный метод, соответствующий стандарту.

Что остаётся открытым в утверждениях, основанных на доверии

Вернитесь к заявлению CISA. Официальные лица были правы, что бумажные записи позволяют проводить аудиты и пересчёты. Но не каждый штат в 2020 году имел одинаково проверяемые бумажные записи — и заявление не различает их.

Рассмотрим то, что федеральный суд обнаружил о устройствах маркировки бюллетеней Джорджии в тот же месяц. В Curling v. Raffensperger Федеральный районный суд Северного района Джорджии обнаружил, что система Dominion «не обеспечивает проверяемый и поддающийся аудиту бюллетень, потому что она полагается на QR-код для подсчёта голосов, и этот код сам не может быть прочитан и проверен избирателем».

Подумайте об этом на минуту. Есть бумага. Вы можете её держать. Но то, что на самом деле определяет ваш голос — QR-код — неразборчив для человеческого глаза. Если машина молча изменит QR-код, оставляя читаемый человеком текст без изменений, вы не сможете это обнаружить. Ручной пересчёт бумаги пересчитал бы выход штрих-кодов, а не вашу намеренность.

Это не теория заговора. Это описание архитектуры системы, подтверждённое федеральным судом, рассматривавшим свидетельство эксперта.

Заявление CISA не ошибается, указывая на бумажные записи. Но бумажные записи так же хороши, как то, что на них напечатано, и способность общественности независимо прочитать и проверить их. Бумажный след, требующий для интерпретации сканера штрих-кодов, — это не то же самое, что бумажный след, который гражданин с нормальным зрением может проверить.

В заявлении также не сказано: «и вот где вы можете загрузить результаты каждого избирательного округа, чтобы проверить итоги сами». Собственное руководство Комиссии по оказанию помощи при выборах США призывает официальных лиц делать результаты загружаемыми в машиночитаемых форматах, таких как .csv и .xml. Некоторые штаты соответствуют; некоторые нет. Заверение в том, что выборы были безопасны, — это не то же самое, что опубликованная, машиночитаемая запись, которую каждый может сверить.

Что на самом деле означает «проверка»

Вот что требует независимая проверяемость — и что она не требует.

Она не требует паранойи. Она не означает, что официальные лица — лжецы. Ошибка округа Антрим, Мичиган в 2020 году — когда неправильные результаты были ненадолго опубликованы — была вызвана человеческой ошибкой программирования, а не мошенничеством. Она была поймана не внутренней защитой, а потому, что результат был невероятно неправильным для округа, чью политику каждый знал. Более тонкая ошибка в более близкой гонке в округе без очевидной предыдущей базовой линии могла бы не привлечь такое же внимание.

И даже ручной подсчёт, предназначенный для подтверждения исправления, был неправильным примерно на дюжину голосов. В гонке, решённой десятками голосов, метод проверки, который сам по себе неправильный на десятки голосов, — это не доказательство. Это лучшее приближение с его собственной неприводимой ошибкой.

Настоящая проверяемость означает три вещи:

Во-первых, запись, которая подсчитывается, должна быть той же записью, которую может проверить избиратель. Бюллетень, отмеченный избирателем от руки, или отпечаток устройства маркировки бюллетеня с открытым человеческим читаемым текстом, который избиратель может проверить перед тем, как опустить его, это удовлетворяет. QR-код нет.

Во-вторых, результаты должны быть опубликованы в форме, которую каждый может проверить без разрешения. На уровне избирательных округов, машиночитаемые, с временной меткой, загружаемые. Айдахо это уже делает. Так же поступает большинство штатов, согласно NCSL. Но делать это лучше — мгновенно, для каждого избирательного округа, в формате, который каждый может сверить с сообщённым итогом, — это разница между претензией и доказательством.

В-третьих, независимое противостоящее тестирование должно быть встроено в систему, а не приклеено после возникновения споров. Верховный избирательный суд Бразилии проводит официальный общественный тест безопасности с 2009 года, приглашая любого квалифицированного гражданина попытаться взломать его машины для голосования и программное обеспечение перед каждым избирательным циклом. Обнаруженные проблемы исправляются и переестируются. Это не театр сертификации — это противоположность «верьте нам». Это «попытайтесь это сломать, и вот правила».

Сравните это с тем, что произошло в Новом Южном Уэльсе в 2015 году: проверка безопасности одобрила онлайн-систему iVote, примерно 280 000 голосов уже были поданы, и независимые исследователи обнаружили серьёзные недостатки во время проведения выборов — включая механизм проверки, который сам мог быть манипулирован. Или Швейцария в 2019 году, где публикация исходного кода для независимого рассмотрения позволила криптографам найти люк в доказательстве перемешивания, который позволил бы органу власти создать действительное криптографическое доказательство при том, что голоса на самом деле были изменены. Недостаток не мог быть найден в закрытой системе и был найден в открытой системе.

Закономерность состояния одна и та же во всех случаях: проверка посторонними лицами находит то, что пропускает внутренняя сертификация.

То, что не может быть проверено

Вот что всё ещё не проверяемо — и что сделало бы это проверяемым.

Заявление CISA говорило, что нет свидетельств компрометации систем голосования. Это правда. Это также неопровержимо во многих юрисдикциях, потому что возможность проведения аудита сильно варьируется. Колорадо провёл первый аудит ограничения риска на уровне штата в 2017 году — математически строгую процедуру, которая статистически подтверждает сообщённый результат или его перехватывает с установленной уверенностью. Джорджия провела полный ручной пересчёт примерно 5 миллионов бюллетеней в 2020 году, который подтвердил машинный подсчёт с точностью до одной десятой процента. Это значимые проверки.

Но другие юрисдикции полагаются на меньшее. И даже ручной пересчёт Джорджии — впечатляющий по масштабу — проверил бумажные бюллетени, некоторые из которых человеческий читаемый текст мог не совпадать с QR-кодами, которые были подсчитаны, потому что ручной пересчёт читал человеческий текст, а не штрих-коды.

Верховный суд Индии в своём апрельском решении 2024 года отказался отменять электронное голосование, но ужесточил правила: устройства загрузки символов должны быть опечатаны и храниться 45 дней после объявления результатов, и кандидаты могут запросить проверку памяти микроконтроллера в 5% машин, если они оспаривают результат. Суд, который одобрил электронную систему, всё ещё счёл необходимым укрепить физическую цепь хранения и расширить права независимой проверки. Потому что уверенность вытекает из проверяемых доказательств — а не из объявления результата.

Вопрос в том, безопасны ли выборы 2020 года. Вопрос в том, можете ли вы это проверить независимо, без принятия чьего-либо слова.

Для многих гонок во многих юрисдикциях вы всё ещё не можете.

Это не стабильная основа для демократической легитимности. Исправление — это не более хорошее заявление от официальных лиц. Исправление — это система, которая публикует мгновенные, на уровне избирательных округов, машиночитаемые результаты, которые может загрузить и проверить каждый — и программное обеспечение для подсчёта, которое может проверить каждый.

«Самые безопасные в американской истории» — это начало разговора о том, что на самом деле выглядит как проверяемая безопасность. Это не конец разговора.

Посмотрите, насколько распространён этот пробел в проверяемости по всему миру — откройте глобальный атлас целостности выборов. Или прочитайте двухминутную версию того, что делает систему голосования независимо проверяемой — начните отсюда. Если вы хотите углубиться в конкретные случаи, когда этот пробел имел значение — изучите нашу базу данных.

Источники

Все статьиИзучить уязвимости