← Все статьи

Когда сама компания, создавшая избирательные машины, говорит: не доверяйте этим цифрам

В 2017 году компания, которая создала избирательные машины Венесуэлы, заявила миру, что официальная явка — это ложь минимум на один миллион голосов. Никто не мог доказать обратное.

Вечер 30 июля 2017 года. Национальный избирательный совет Венесуэлы только что объявил, что на выборах в Учредительное собрание проголосовало 7,5 миллионов человек. Эта цифра облетает редакции по всему миру. Правительства выпускают заявления. Оппозиция называет это фальсификацией. И затем, два дня спустя, происходит то, что почти не имеет прецедентов в истории выборов где-либо на земле.

Компания, которая создала машины — которая писала программное обеспечение, управляла серверами, считала каждый электронный голос — подходит к микрофону и говорит: мы знаем без всяких сомнений, что эта цифра неправильна. Не из-за ошибки округления. Не из-за нескольких тысяч голосов. На минимум один миллион.

Этой компанией была Smartmatic.

Поставщик отрицает подсчёт

2 августа 2017 года Smartmatic выпустила официальное заявление о выборах в Учредительное собрание, прошедших двумя днями ранее. Генеральный директор компании заявил, что она знает «без всяких сомнений», что цифра явки, объявленная Национальным избирательным советом Венесуэлы, была манипулирована, и оценил разрыв между фактической и объявленной явкой в «минимум один миллион» голосов.

Прочитайте это ещё раз медленнее.

Люди, которые создали систему, которые лучше кого-либо понимали её архитектуру, сказали, что официальной цифре нельзя доверять. Не политический противник. Не иностранное государство. Не исследователь, работающий со стороны. Поставщик.

Smartmatic была партнером Венесуэлы по технологиям автоматизированного голосования с 2004 года. Она проводила выборы по всей сложной географии страны. Она знала, что записывали машины. И то, что записывали машины, по словам Smartmatic, не совпадало с тем, что объявило правительство.

После этого заявления Smartmatic отказалась участвовать в региональных и муниципальных выборах Венесуэлы в 2017 году и полностью прекратила деятельность в стране в 2018 году.

Вопрос, который остаётся без ответа после этого заявления — навсегда, как оказалось — это: что действительно записали машины? Потому что без независимого аудита никто вне правительства никогда не смог найти ответ на этот вопрос.

Разрыв, который невозможно закрыть

Вот в чём структурная проблема. Избирательная система создаёт записи. Эти записи находятся у того, кто управляет системой. Когда эта власть объявляет результат, единственные люди, которые могут проверить, совпадает ли объявление с записями, — это люди, которые держат записи в руках.

В Венесуэле в 2017 году это было правительство, которое хотело, чтобы цифра 7,5 миллионов сохранилась.

Smartmatic могла сказать — и действительно сказала, — что что-то не так. Но даже заявление Smartmatic имело предел. Компания могла говорить о том, что она знала из собственного доступа и понимания архитектуры системы. Она не могла самостоятельно опубликовать базовые журналы машин, итоги по избирательным округам или криптографически проверяемый аудит. Не потому, что она что-то скрывала, а потому что результат, который может проверить только одна сторона, структурно не поддаётся проверке для всех остальных.

Вот предложение, которое стоит сохранить в скриншот: Результат, который может проверить только одна сторона, структурно не поддаётся проверке для всех остальных.

Это не венесуэльская проблема. Это не проблема, которая существует только в авторитарных государствах. Это стандартное состояние любой избирательной системы — независимо от добрых намерений её администраторов, — которая не публикует защищённый от подделок, машиночитаемый, независимо проверяемый список каждого голоса на каждом этапе подсчёта.

Почему вам следует об этом беспокоиться, даже если вы не живёте в Каракасе

Венесуэльский случай экстремален. Масштаб предполагаемой манипуляции — если расчёт Smartmatic верен — это не ошибка округления; это один миллион голосов. Политический контекст не двусмыслен.

Но механизм проблемы универсален и проявляется в более мягких формах на выборах, которые никто не оспаривает.

В округе Антрим, Мичиган в 2020 году на выборах ночью были опубликованы неправильные результаты — не из-за мошенничества, а из-за ошибки конфигурации. Цифры были обнаружены только потому, что результат был явно невероятен для округа, политическую ориентацию которого все знали. Более тонкая ошибка — такая, которая чуть сдвинула бы тесную гонку, не меняя цвета округа, — могла бы пройти совсем незамеченной. Даже ручной аудит, который последовал, ошибся примерно на дюжину голосов, напоминая, что ни один метод проверки не является идеально чистым.

В округе Сарасота, Флорида в 2006 году примерно 18 000 голосов просто исчезли из гонки в Конгресс, решённой 369 голосами. Машины были без бумажных копий. Федеральные аудиторы не смогли найти неисправность, но они также не могли её исключить — потому что не было ничего независимого, с чем сравнивать. Слово машин было всем, что было.

В обоих случаях — один честный сбой, один постоянный вопрос без ответа, — режим отказа был идентичен венесуэльскому на структурном уровне: единственное свидетельство того, что произошло, принадлежало той же системе, которая произвела результат.

Что на самом деле означает «поставщик это подтвердил»

Вот версия событий, которая звучит утешительно: избирательный орган проводит подсчёт, поставщик сертифицирует систему, аудит подтверждает результат, и государственный секретарь объявляет, что всё совпадает.

Теперь вот более сложная версия: избирательный орган объявляет результат. Поставщик сертифицировал систему перед выборами, не конкретный подсчёт после. Аудит проводится тем же органом, который держит бюллетени. Объявление государственного секретаря основано на докладах этого органа. Каждое звено в этой цепочке подтверждения проходит через одни и те же руки.

Это не теория заговора. Это просто описание того, как на самом деле работают большинство избирательных аудитов. Аудиторы часто достойны доверия, внимательны и действуют добросовестно. Но «достойные доверия люди это подтвердили» — это не то же самое, что «кто угодно может это независимо проверить», и эти две вещи не взаимозаменяемы, когда результат близок или оспорен.

Федеральный конституционный суд Германии провёл эту же линию в 2009 году, постановив, что электронное голосование законно только тогда, когда обычные граждане — не только специалисты — могут проверить каждый существенный этап подсчёта сами. Не потому, что Суд подозревал мошенничество. Потому что результат, для проверки которого требуется экспертиза, и эта экспертиза живёт только у органа, проводящего подсчёт, не отвечает минимальному стандарту публичных, демократических выборов.

Верховный суд Кении по той же структурной причине аннулировал президентские выборы в 2017 году: не потому, что он мог доказать, что цифры неправильны, а потому что цифровую цепь от избирательного участка к национальному итогу нельзя было независимо проверить против защищённых от подделок исходных записей. Принцип звучит так: не «кто-то что-то сделал неправильно», а «никто вне комнаты не может подтвердить, что они этого не сделали».

Тест на примере Демократической Республики Конго: когда наблюдатели не могут попасть внутрь

В ноябре 2011 года Демократическая Республика Конго провела президентские и законодательные выборы. Миссия по наблюдению за выборами Европейского союза находилась на месте, развёрнута по всей стране. Её окончательный доклад пришёл к выводу, который следует прочитать вместе с венесуэльским: результаты не внушали доверия.

Что обнаружила миссия ЕС, — это не набивание бюллетеней на глазах у камеры. Это была структурная непрозрачность. Избирательная комиссия не была прозрачна в том, как она компилировала и публиковала предварительные результаты на местном и национальном уровне. Наблюдателям было отказано в доступе к соответствующим судебным решениям, которые должны были рассмотреть споры. Отсутствие функционирующего Конституционного суда означало, что не было независимого органа для публичного контроля подсчёта.

Никто не мог проверить цифры. Не потому, что кто-то спрятал улику, — а потому что архитектура процесса не включала окно, через которое посторонние могли бы смотреть.

Это ДРК в 2011 году. Это Венесуэла в 2017 году. И в менее драматичной форме это каждая избирательная система, которая публикует окончательный итог, не публикуя записи по избирательным округам в машиночитаемом формате, защищённые от подделок, которые позволили бы любому заинтересованному лицу самому примирить итог.

Объявление победителя — это не доказательство подсчёта. Это разные вещи.

Почему слова поставщика никогда не должны были быть достаточны

Заявление Smartmatic 2017 года было экстраординарным именно потому, что поставщики почти никогда не говорят так. Стимул работает полностью в другом направлении: поставщик, система которого связана со спорным результатом, теряет контракты. Высказаться было, с коммерческой точки зрения, актом самоуничтожения.

Но даже если бы каждый поставщик на каждых выборах был одинаково готов рассказать неудобные истины, свидетельства поставщика не являются независимой проверкой. Поставщик знает собственную систему. Он не знает, что избирательный орган сделал с результатами после того, как система его передала. Он не может проверить передачу, агрегацию, окончательную компиляцию. В Венесуэле Smartmatic могла сказать, что объявленная цифра неправильна. Она не могла предоставить проверенную цифру.

Этот разрыв — между «что-то не так» и «вот что правильно, и вот доказательство» — это то, что независимая, криптографически проверяемая архитектура аудита предназначена для закрытия. Не путём доверия поставщику. Не путём доверия органу власти. Путём публикации записей, которые защищены от подделок по конструкции, чтобы любая сторона — журналист, кандидат оппозиции, иностранный наблюдатель, член общественности — могла сама подсчитать цифры и прийти к тому же ответу.

Колорадо провёл первый в американской истории аудит ограничения риска в масштабе штата в 2017 году. Процесс произвёл статистическое доказательство — привязанное к физическим бумажным бюллетеням, — которое любой статистик мог бы воспроизвести. Джорджия вручную пересчитала примерно пять миллионов президентских бюллетеней в 2020 году. Бумага существовала; подсчёт был публичным; методология была проверяемой. Это лучше, чем ничего. Это не потолок.

Потолок — это система, которая публикует криптографическое обязательство для каждого поданного голоса в момент его подачи — чтобы окончательный итог мог быть проверен не путём повторного подсчёта, а путём доказательства, математически, что между избирателем и результатом ничего не было добавлено, удалено или изменено. Такого рода проверяемость не требует доверия любому чиновнику, любому поставщику или любой команде аудита. Требуется только, чтобы математика была правильной.

Что остаётся непроверяемым — и что это изменило бы

Вот что никто вне венесуэльского правительства не смог независимо подтвердить с 30 июля 2017 года: фактическая явка на выборах в Учредительное собрание.

Smartmatic сказала, что официальная цифра ошибалась минимум на один миллион голосов. Правительство сказало, что нет. Нет независимого аудита. Нет криптографического обязательства, опубликованного перед началом подсчёта. Нет файла результатов в машиночитаемом формате по избирательным округам, который третья сторона могла бы скачать и примирить с объявленным итогом.

Дело закрыто — не потому, что вопрос получил ответ, а потому что не существует механизма для ответа на него.

Это проблема не только Венесуэлы. Это проблема, которая живёт внутри любой избирательной системы, которая путает объявление результата с доказательством результата. Решение — это не лучше чиновники. Решение — это не более честный поставщик. Решение — это система, разработанная так, чтобы то, что записали машины, то, что агрегировал подсчёт, и то, что объявила власть, могли все быть проверены друг против друга кем угодно — до, во время и после подсчёта — используя доказательства, которые не контролирует одна сторона.

Поставщик никогда больше не должен быть тем, кто говорит: доверьте мне, цифра неправильна. Архитектура должна сделать это проверяемым для всех.

Посмотрите, как часто разрыв между объявленными результатами и независимо проверяемыми встречается по всему миру: изучите атлас. Или прочитайте двухминутную версию, почему проверяемость лучше доверия: краткую версию. Для глобальной карты случаев, когда результаты не могли быть независимо подтверждены, см. базу данных разрывов.

Источники

Все статьиИзучить уязвимости