← Все статьи

Как на самом деле выглядела бы полностью проверяемая выборы для избирателя

Как бы это было — голосовать в системе, которую вы могли бы проверить сами, не доверяя чиновнику, а проверив математику?

Будний день в Бразилиа. Группе людей, которые не являются избирательными чиновниками, вручают ключи от машины.

Не в переносном смысле. Квалифицированный исследователь — компьютерный учёный, независимый исследователь, гражданин, чей план тестирования был одобрен — сидит перед бразильской urna eletrônica, электронной машиной для голосования, которую используют более 150 миллионов избирателей. Ей официально и в письменной форме приказано попытаться взломать её. Tribunal Superior Eleitoral, Высший избирательный суд Бразилии, опубликовал правила, открыл двери и пригласил публику. Что бы ни обнаружилось, ВИС берёт обязательство исправить это до следующих всеобщих выборов.

Это Teste Público de Segurança — Открытый тест безопасности — который Бразилия проводит с 2009 года. Он регулируется Резолюцией TSE 23.444/2015 и охватывает весь цикл выборов: создание бюллетеней, голосование, подсчёт, передачу файлов и аудит-системы для проверки электронного подсчёта. Полученные результаты используются для улучшения систем. Исправления перепроверяются при подтверждающем тестировании перед выборами. Никаких закрытых комнат. Никаких слов поставщика.

Вы можете спросить: что всё это имеет общего с вами, избирателем?

Всё.

Как на самом деле выглядит "проверяемость" с вашей точки зрения

Большинство избирателей переживают выборы одинаково. Вы приходите, что-то отмечаете, уходите. Может быть, получаете наклейку. Через несколько дней кто-то объявляет победителя.

На ни одном этапе этой последовательности вы не можете лично, независимо, без звонка на горячую линию или чтения пресс-релиза, подтвердить, что ваш голос был подсчитан, что он был подсчитан правильно, и что итоговый результат отражает то, что действительно выбрали все избиратели вашего избирательного участка.

Это не паранойя. Это описание того, как работает практически любая существующая избирательная система. Подсчёт происходит где-то ещё, применяется к чему-то, чем вы больше не владеете, в процессе, который вы не можете напрямую наблюдать.

Вопрос, на который должна ответить полностью проверяемая система выборов: что должно быть истинным, чтобы вы могли проверить это сами, прямо сейчас, своими собственными глазами?

Этот вопрос сложнее, чем кажется. И несколько мест в мире начали отвечать на него конкретно.

Сцена в Бразилиа и что она доказывает

Открытый тест безопасности Бразилии — это не пиар-упражнение. Квалифицированные исследователи подают планы тестирования, получают доступ к реальным системам и выполняют свои атаки под контролем в условиях, охватывающих весь избирательный цикл. ВИС публикует программу и её результаты. Это институционализированный состязательный обзор — избирательный орган, относящийся к собственным системам как к подозреваемым, пока посторонние не попытаются их взломать.

Это важно по конкретной причине: это меняет то, что означает "сертифицированный".

В Ирландии в 2004 году государственная комиссия не могла рекомендовать электронную систему голосования, которую правительство уже оплатило, потому что она не могла независимо убедить себя в точности и секретности системы. Система никогда не использовалась. В Германии в 2009 году Федеральный конституционный суд постановил, что электронное голосование легитимно только тогда, когда обычные граждане — не только эксперты — могут проверить существенные этапы подсчёта без специальных знаний. Консультативная комиссия собственного правительства Нидерландов пришла к тому же выводу в том же году: в избирательном процессе нет секретов и что любой метод, приемлемый для демократии, должен давать результаты, которые можно проверить и верифицировать публике.

Сертификация одного органа, один раз, перед развёртыванием, — это не то, что просили эти суды и комиссии. Они просили что-то текущее, открытое и независимо проверяемое.

Тест Бразилии, несовершенный, как любое человеческое учреждение, указывает на правильную цель: вы приглашаете публику атаковать вашу систему, вы исправляете найденное, и вы документируете всё это. Это не доверие. Это проверка.

Конкретный опыт избирателя: что меняется, когда система построена таким образом

Давайте сделаем это физическим. Представьте, как выглядит голосование в системе, спроектированной с нуля для публичной проверяемости.

Вы приходите на избирательный участок. Машины, запускающие подсчёт, строятся на открытом исходном коде, находящемся в публичной собственности — это означает, что код, который подсчитывает ваш голос, не является коммерческой тайной. Любой может читать его, компилировать и подтверждать, что версия, работающая сегодня, — это версия, которая была проверена. Voting Solutions for All People (VSAP) округа Лос-Анджелеса — первая система подсчёта голосов в публичной собственности с открытым исходным кодом, сертифицированная в Калифорнии, сертифицированная государственным секретарём 21 августа 2018 года — сделала именно этот шаг: округ создал группу по открытому исходному коду, чтобы независимые эксперты могли проверить работающий код, а не просто полагаться на слово поставщика.

Вы отмечаете свой бюллетень. В хорошо спроектированной системе артефакт, который вы отмечаете, — это артефакт, который получает подсчёт. Не QR-код, который может прочитать только машина — федеральный суд в Джорджии установил в 2020 году, что устройства, помечающие бюллетени в Джорджии, полагались на QR-код для подсчёта голосов, который избиратель не может прочитать и проверить, что означало, что физический бюллетень на самом деле не был тем, что считалось. В проверяемой системе то, что вы отмечаете и что сканируется, — это одно и то же удобочитаемое.

Вы помещаете свой бюллетень в опломбированный ящик, защищённый от подделки. Номер печати записывается. Вы можете его запомнить.

Ваш избирательный участок считает свои бюллетени. Результат — не только победитель, но полная разбивка на уровне участка в машиночитаемом формате, который любой может загрузить — опубликовывается в момент его окончательности. Не агрегируется в итоговый результат округа, который появляется часы спустя без детальной резервной копии. Цифры вашего участка, прямо там, доступны для загрузки, согласуемы любой электронной таблицей.

После выборов независимая комиссия по аудиту извлекает статистически определённую выборку физических бюллетеней и проверяет их на соответствие машинному подсчёту. Не потому, что предполагается мошенничество, а потому что это то, как вы подтверждаете результат вместо того, чтобы просто его объявить. Колорадо стал первым штатом, запустившим стороны аудит с ограничением риска в масштабе штата в 2017 году — методом, который размер ручной проверки к разнице в результате, придав определённый уровень статистической уверенности, а не фиксированный процент выборочной проверки, которая доказывает почти ничего в тесном состязании.

На каждом этапе цепь хранения документируется и публична: кто опломбировал ящик, кто его перевезил, кто открыл, кто наблюдал. Конституционный суд Австрии аннулировал президентские выборы в 2016 году — не потому, что было доказано мошенничество, а потому, что конверты с отсутствующими голосами были открыты и голоса считаны неавторизованными людьми без необходимых свидетелей в количествах, превышающих победившую разницу. Цепь хранения нарушилась, и когда она нарушается, результат нельзя доверять, даже если он случайно оказался правильным.

Число, которое вы можете проверить сами

Вот версия избирательного вечера, которую делает возможной проверяемость.

Ваш избирательный участок закрывается в 20:00. К 20:45 печать с подсчётом от оптического сканера опубликована на стене избирательного участка, так как это уже требуют многие юрисдикции. Через несколько минут — или в тот же вечер — результат участка опубликован онлайн в загружаемом файле.

Вы идёте домой. Вы открываете браузер. Вы вызываете файл результатов на уровне участка. Вы находите свой участок. Вы проверяете цифры против того, что видели опубликованным на избирательном участке.

Они совпадают.

Теперь вы проверяете все участки вашего округа. Вы их суммируете. Вы получаете итог округа. Вы проверяете его против опубликованного итога округа.

Он совпадает.

Любой в стране может делать это одновременно. Журналисты. Учёные. Случайные пенсионеры-бухгалтеры. Волонтёры политических партий. Результат, который никто не может изменить в приватном порядке, потому что тысячи людей наблюдают арифметику со стороны, — это принципиально другое от результата, который вас просят доверять.

Комиссия по помощи выборам США уже призывает чиновников делать результаты загружаемыми в общих форматах — .csv, .xml — и указывать, какие типы бюллетеней включает каждый отчёт. Айдахо опубликовывает результаты на уровне участка с загружаемыми необработанными данными. Это строительные блоки. Архитектура — это не научная фантастика.

Что даёт вам открытый код — и что не даёт

VSAP графства Лос-Анджелеса стоит того, чтобы на ней остановиться на момент, потому что она демонстрирует как силу, так и ограничения открытого исходного кода на выборах.

Публичное владение исходным кодом означает, что программное обеспечение, подсчитывающее голоса, может быть проверено независимыми экспертами. Никакой защиты коммерческой тайны. Никакого "доверьте поставщику". Когда собственная система голосования округа Coffee County, Джорджия была скопирована и утекла в январе 2021 года — группа криминалистов ушла с System Management System, опросными колодками, устройствами, помечающими бюллетени, и программным обеспечением Dominion Джорджии в масштабе штата — эпизод показал ровно то, как хрупка секретность как стратегия безопасности. Секреты утекают. Открытый код не нужно держать в секрете; его нужно сделать правильным.

Но открытого кода недостаточно. Интернет-система голосования Swiss Post имела опубликованный исходный код в 2019 году. Независимые исследователи Sarah Jamie Lewis, Olivier Pereira и Vanessa Teague обнаружили, что доказательство перемешивания основывалось на схеме обязательства люка — это означало, что орган, знающий значения люка, может создать доказательство, прошедшее проверку, при фактическом изменении голосов. Код был открыт. Ошибка всё ещё была там. Швейцарские органы приостановили систему.

Открытый код необходим. Но он недостаточен. Код, который работает в день выборов, также должен быть кодом, который был проверен — это требует воспроизводимых сборок, элементов управления цепью хранения скомпилированного программного обеспечения и независимого подтверждения того, что то, что находится на машине, совпадает с тем, что находится в репозитории.

И сверх программного обеспечения: физическая цепь хранения каждого бюллетеня, независимость аудиторов, публичная детальность результатов и наличие долговечной бумажной записи, которую аудит может проверить против — всё это требуется. Оставьте что-то одно, и остальные куски не суммируются в проверяемость.

Части, которые избиратель не может проверить сегодня

Вот где интеллектуальная честность требует от нас перестать описывать возможное и начать называть пробел.

Даже с открытым исходным кодом, публичными результатами на уровне участка, бумажными бюллетенями и статистическими аудитами, большинство избирателей в большинстве выборов сегодня не могут независимо проверить следующее:

Что программное обеспечение, работающее в день выборов, — это программное обеспечение, которое было проверено. Воспроизводимые сборки — технический процесс подтверждения того, что скомпилированная программа совпадает с проверенным исходным кодом, — ещё не являются стандартной практикой в администрировании выборов где-либо в Соединённых Штатах.

Что физический бюллетень, который они отметили, — это бюллетень, который вошёл в подсчёт. Аудит с ограничением риска проверяет статистическую выборку. Подсчёт рук в Джорджии в 2020 году примерно пяти миллионов президентских бюллетеней — 41 881 пакета менее чем за шесть дней — подтвердил машинный итог в пределах примерно одной десятой процента. Это впечатляет. Но криминалистический аудит Windham, Нью-Хэмпшир в 2021 году обнаружил, что линия сгиба и немного пыли на линзе сканера неправильно подсчитали сотни правильно отмеченных бюллетеней, без мошенничества, без вредоноса и без того, чтобы кто-то это поймал, пока потом. Ошибка была восстанавливаемой только потому, что бумага существовала и ручной подсчёт мог восстановить намерение избирателя. Аудит сработал — но это требовало, чтобы кто-то его приказал. В большинстве выборов никто этого не делает.

Что результаты на уровне участка опубликованы своевременно в машиночитаемой форме. Многие юрисдикции этого ещё не делают. ЕИК это рекомендует. Некоторые штаты это делают. Большинство нет, или делают это дни спустя, или публикуют форматы, требующие специализированных инструментов для анализа.

Что аудит независим. Аудит, проводимый теми же чиновниками, которые проводили выборы, проверяющий собственную работу, без независимой третьей стороны, проверяющей процесс, — это уверенность — не доказательство. Конституционный суд Германии сказал это ясно: если только эксперт, назначенный органом, может проверить подсчёт, это не публичные выборы в каком-либо значимом конституционном смысле.

Что сделало бы его проверяемым кем-либо — прямо сейчас

Контрольный список недолгий. Ничего из этого не требует новой технологии, которая не существует.

Открытое исходный код в публичной собственности, компилируемый воспроизводимо. Чтобы код, считающий голоса, был кодом, который был проверен, проверяемым любым, у кого есть компилятор.

Ручные отмеченные бумажные бюллетени как артефакт записи. Не QR-код. То, что избиратель касается, — это то, что получает подсчёт — и может быть пересчитано, вручную, кем-либо, кому позволено наблюдать.

Результаты на уровне участка, опубликованные в ночь выборов в машиночитаемых форматах. Каждый участок. Каждый тип бюллетеня. Загружаемый. Согласуемый. Чтобы итог округа был суммой, которую любой может независимо проверить.

Обязательные независимые аудиты с ограничением риска перед сертификацией. Размер разнице. Запущен аудиторами, которые не работают в органе, проверяемом. С результатами, опубликованными полностью.

Документированная, публичная цепь хранения каждого бюллетеня и каждой карты памяти — от избирательного участка к подсчёту к архиву — чтобы физическое доказательство могло быть отслежено, и любой разрыв в цепи был сразу видим.

Институционализированное публичное состязательное тестирование программного обеспечения и систем на регулярном цикле перед каждыми выборами. Не потому, что орган нечестен. Потому что приглашение взломать систему — это единственный способ доказать, что она не была взломана.

Бразилия запускает тест. Лос-Анджелес открыл код. Колорадо построил аудит. Ни один из них не сделал всё это вместе.

Система голосования, которую вы можете проверить, — это не система, которой вы доверяете, потому что чиновник вам это сказал. Это система, арифметику которой вы можете проверить сами, прямо сейчас, с электронной таблицей и публичной загрузкой.

Эта система существует кусочками. Она ещё не существует целиком. Куски не классифицированы. Они даже не дорогие. То, что отсутствует, — это политическая воля, чтобы их собрать — и общественный спрос, чтобы на этом настаивать.

Посмотрите, как часто этот пробел встречается в разных странах →

Прочитайте 2-минутную версию проблемы проверяемости →

Изучите полную базу данных пробелов →

Источники

Все статьиИзучить уязвимости