← Все статьи

«Проверяемый» — это слово, которое обожают политики. Вот что оно на самом деле должно означать.

Верховный суд Кении аннулировал президентские выборы не потому, что была доказана фальсификация, а потому, что никто — ни судья, ни журналист, ни обычный избиратель — не мог независимо проверить, как был получен результат.

Утро 1 сентября 2017 года. Шесть судей в Найроби разделились четыре к двум по вопросу, который будет звучать в судебных залах от Малави до Германии и вплоть до вашей гостиной: если вы не можете проследить голос от избирательного участка до национального подсчёта, имеют ли вы вообще выборы?

Объявленным победителем президентских выборов в Кении от 8 августа был Уху Кеньятта с примерно 54% голосов. Но Верховный суд отменил результат не потому, что цифры были неправильными. Он отменил результат, потому что никто не мог проверить, правильны ли цифры. Форма 34A — протокол результатов на уровне избирательного участка, который конституция требовала электронно передать в национальный центр подсчёта, — пришла не в полном объёме. Финальная форма не имела водяного знака, серийного номера. Председатель избирательной комиссии объявил победителя ещё до получения всех исходных документов. Цепь от отдельного голоса к национальному итогу имела разорванные звенья, и в конституционной демократии разорванные звенья — это не техническое неудобство. Это вся суть проблемы.

«Выборы не проводились в соответствии с Конституцией», — написало большинство в полном обосновании, выпущенном 20 сентября. Требование: чтобы голосование было простым, точным, проверяемым, безопасным, подотчётным и прозрачным. Не доверительным. Не сертифицированным. Проверяемым.

Это слово — проверяемым — выполняет огромную работу в этом предложении. Политики его постоянно используют, но почти никогда не определяют. Суды, оказывается, вынуждены определять.

Что суд имеет в виду под «проверяемым»

Верховный суд Кении толковал статью 86 конституции Кении, которая устанавливает эти шесть свойств как требования — не стремления, требования. Но более глубокий вклад решения в том, что оно подразумевает о содержании этого слова.

Проверяемый — это не то же самое, что проверено кем-то, кому вы доверяете. Это не то же самое, что наши аудиторы это проверили. Это означает: любой человек, не только эксперт, может проследить существенные этапы — от голоса в урне до числа в протоколе — и подтвердить их совпадение. Неразорванная, независимо проверяемая цепь. Каждое звено открыто, документировано, защищено от подделок.

Кенийская система потерпела неудачу на нескольких звеньях одновременно. Протоколы не передавались как требовалось. Пришедшие протоколы не имели одинаковых защитных признаков. Финальная агрегация произошла до получения исходных документов, которые она должна была отражать. Ничего из этого не означает, что голоса были украдены. Суд явно не пришёл к выводу о совершении фальсификации. Но структура подсчёта сделала фальсификацию необнаружимой — а необнаружимая ошибка неотличима от необнаружимой фальсификации. В этом суть.

Новые выборы были назначены в течение 60 дней. Проигравший, Раила Одинга, их бойкотировал. Кеньятта победил снова. Был ли точен исходный голос в августе 2017 года, мы действительно не знаем — и это в точности та проблема, которую назвал Суд.

Немецкая формулировка: не требуется специальных знаний

За четыре месяца до того, как был проведён кенийский референдум, суд на другом конце света провёл ту же линию, но более чётко.

3 марта 2009 года Федеральный конституционный суд Германии запретил использование электронных машин для голосования Nedap на федеральных выборах 2005 года. Машины были широко использованы. Они были сертифицированы. Никто не нашел доказательств подделки. Ничего из этого не имело значения.

Рассуждение Суда стоит запомнить дословно: существенные этапы голосования и определения результата должны быть проверяемы гражданином надёжно и без специальных знаний. Это вытекает из принципа открытости выборов, закреплённого в Основном законе — основополагающем демократическом требовании конституции Германии.

Машины хранили голоса только в электронной памяти. Не существовало независимой записи, которую избиратель мог бы проверить. Никакой обычный человек не мог проследить переход от «я нажал эту кнопку» к «это число появилось в итоге». Суд назвал это конституционным дефектом, точка. Он отказался аннулировать результат 2005 года — выборы состоялись, не было доказательств неправильного функционирования, и Суд взвесил это против нарушений парламента — но запретил машины на будущее.

Два суда, два континента, две конституционные традиции. Одно определение проверяемого. Цепь от голоса к итогу должна быть проверяемой кем-то, без необходимости доверять слову техника.

Что означает «проверяемый»

Вот где концепция уточняется тем, что она исключает.

Это не «мы посчитали вручную». Ручной подсчёт — полезная проверка, но он не самопроверяемый. В округе Антрим, Мичиган, в 2020 году сотрудники избирательных комиссий провели полный ручной аудит каждого президентского голоса после ошибки в машинном подсчёте. Ручной подсчёт отличался от исправленного машинного подсчёта примерно на дюжину голосов из примерно 15 700 поданных. Двенадцать голосов. Это неустранимая человеческая ошибка в ручном процессе — усталость, решения по неоднозначным отметкам, голос, кратко оказавшийся в неправильной стопке. В гонке, решённой несколькими голосами, метод, который сам по себе ошибается на несколько голосов, не может разрешить вопрос. «Ручной подсчёт это подтвердил» — это уверенность. Это не доказательство.

Это не «мы сертифицировали систему». Ирландия купила национальную систему электронного голосования — машины Nedap/Powervote, 7500 штук — и независимая комиссия заключила, что она просто не может рекомендовать развёртывание с «необходимой степенью уверенности». Не потому, что была обнаружена фальсификация. Потому что точность и секретность не были доказаны в удовлетворении комиссии. Машины пролежали на складе пять лет, затем были разломаны. Сертификация — это утверждение. Задача комиссии была тестировать утверждение. Утверждение не прошло.

Это не «старший чиновник сказал, что всё хорошо». В Венесуэле в августе 2017 года Smartmatic — компания, построившая и управлявшая избирательной инфраструктурой страны более десяти лет — выпустила заявление, говоря, что она знает «без малейшего сомнения», что объявленная явка на выборах Национального учредительного собрания 30 июля была манипулирована, отличаясь от фактического участия как минимум на миллион голосов. Официальный результат был объявлен. Сам производитель его отрицал. Когда люди, построившие машину, не могут согласовать то, что машина записала, с тем, что было объявлено, и не существует независимой проверки, публике не на что опираться.

Это даже не «наше криптографическое доказательство опубликовано». Swiss Post и её поставщик Scytl опубликовали полный исходный код своей системы интернет-голосования в 2019 году именно как жест прозрачности. Независимые исследователи Sarah Jamie Lewis, Olivier Pereira и Vanessa Teague прочитали код и обнаружили люк в доказательстве перемешивания микснета: кто-то, знающий значения люка, мог создать проверяющий протокол, который прошёл бы каждую проверку, при этом молча изменив голоса. Швейцарские власти приостановили систему. Доказательство выглядело действительным. Дефект был невидим, пока внешние криптографы без заинтересованности в результате не начали его искать. Утверждение проверяемости имеет значение только если оно выдерживает критику заинтересованных внешних сторон.

Пять звеньев в цепи

Если «проверяемый любым обычным человеком» — конституционный стандарт, что это на самом деле требует на практике? Кенийский случай, рассмотренный в отношении немецкого случая и накопленных доказательств с десяток других стран, предполагает пять конкретных звеньев, которые все должны держаться.

Первое: защищённая от подделок запись в точке голосования. Голос — бумажный или его эквивалент — должен зафиксировать намерение избирателя в форме, которую ни машина, ни последующий обработчик не смогут изменить без обнаружения. QR-кодовые устройства для маркировки голосов, рассмотренные в Curling v. Raffensperger в Джорджии, иллюстрируют режим отказа: федеральный суд обнаружил, что система «не предоставляет проверяемого и поддаваемого аудиту голоса, потому что она опирается на QR-код для подсчёта голосов, и сам этот код не может быть прочитан и проверен избирателем». То, что считается, должно быть тем, что избиратель может проверить. Это должны быть один и тот же артефакт.

Второе: документированная, подписанная цепь опеки. На австрийских президентских выборах во втором туре 2016 года почтовые голоса были открыты и подсчитаны преждевременно, неавторизованными людьми, без необходимых свидетелей. Австрийский конституционный суд аннулировал результат — 77 000 поражённых голосов превысили маржу в 30 000 голосов — хотя не нашёл доказательств фальсификации. Процедурная цепь существовала именно для того, чтобы сделать манипуляцию обнаружимой. Как только цепь разорвана, вы не можете отличить процедурное нарушение от скрытой фальсификации. Результат становится юридически неустойчивым не потому, что он неправильный, а потому что он непроверяемый.

Третье: открытая запись на каждом этапе агрегации. В Кении конституционное требование было передачей в реальном времени Формы 34A с каждого избирательного участка. Это требование существовало специально, чтобы каждый — журналист, представитель партии, частное лицо — мог сравнить сумму снизу вверх с объявлением сверху вниз. Когда этого не происходит, национальный итог отделяется от своих исходных документов. В Малави в 2019 году избирательные чиновники использовали корректирующую жидкость на официальных протоколах перед вводом их в подсчёт. Конституционный суд аннулировал выборы. Вы не можете проверить число, которое кто-то уже стёр и переписал. Защищённые от подделок исходные записи — это не бюрократическая педантичность; это доказательственная база, на которой зависит любой последующий аудит.

Четвёртое: независимый аудит со статистическими зубами. Проверка от того же учреждения, которое произвело число, не является независимой. Колорадо в 2017 году провёл первый в Соединённых Штатах аудит с ограничением риска — процедуру, которая проверяет достаточно ручного подсчёта бумажных голосов, чтобы дать математически определённый уровень уверенности, что машинный итог правильный. Это работает только потому, что существуют надёжные бумажные голоса, которые физически можно сравнить с выводом машины. Логика аудита является состязательной: она предназначена для выявления неправильного результата с высокой вероятностью, а не для автоматического одобрения объявленного победителя. Вот как выглядит независимая проверка.

Пятое: результаты опубликованы на самом низком уровне, мгновенно, в машиночитаемой форме. Требование Кенийской конституцией Формы 34A было правильной идеей по этой причине: прозрачность в восходящем направлении на уровне избирательного участка делает ошибки агрегации сразу видимыми, потому что каждый может добавить формы и сравнить. Комиссия по помощи выборам США рекомендует чиновникам публиковать результаты на уровне округа в загружаемых машиночитаемых форматах, чтобы граждане могли сами согласовать подсчёт. Это проверяемость, сделанная практичной — не «мы выложили PDF», а «вот сырые данные; проверьте нашу арифметику».

Все пять звеньев должны держаться. Одно разорванное звено достаточно, чтобы сделать цепь непроверяемой. Кенийская цепь разорвалась на звеньях три и пять одновременно. Австрийская разорвалась на звене два. Малавийская разорвалась на звене три. Вот почему результаты, уверенно объявленные во всех трёх случаях, были всё ещё юридически несостоятельны.

Доверие — это не то же самое, что проверяемость — и разница имеет значение

Есть версия этого аргумента, которая кажется неудобной, потому что она, похоже, ставит под сомнение выборы, которые большинство наблюдателей считают честно проведёнными. Это неудобство стоит с собой справить.

Дело не в том, что Кения 2017 или Австрия 2016 были фальсифицированы. Суды в обоих случаях отказались найти фальсификацию. Дело в том, что честный результат, произведённый непроверяемым процессом, неотличим для публики от нечестного результата, произведённого тем же процессом. Доверие, которое оказывается оправданным, всё ещё доверие. Это не проверяемость. И доверие — к чиновникам, к поставщикам, к пресс-релизу государственного секретаря — это именно то, что эксплуатируют коррупция, насилие и изощрённые технические манипуляции.

Нидерланды поняли это в 2007 году, когда их консультативная комиссия опубликовала доклад под названием «Голосование с уверенностью» и затем рекомендовала отказаться от электронного голосования. Его логика: в избирательном процессе «нет секретов», и «вопросы должны иметь ответы, и ответы должны быть проверяемы и верифицируемы». Она вернулась к бумаге и ручному подсчёту — не потому, что машины были доказаны скомпрометированными, а потому что прозрачность и проверяемость рассматривались как неотъемлемые, независимо от того, насколько честны текущие операторы.

Это архитектура, на которую стоит строить. Не системы, которым вы доверяете. Системы, которые вы можете проверить. Системы, результаты которых каждый может независимо верифицировать без доступа к проприетарному коду, секретным журналам или уверениям поставщика. Где доказательство открыто, подвергается состязательному тестированию и не зависит от веры в человека, который его произвёл.

Потому что следующее правительство может быть не таким честным, как это. Следующий поставщик может быть не таким внимательным. Следующие выборы могут быть решены на маржу, слишком очевидную, чтобы уловить ошибку. Конституционное требование не «проверяемо, когда мы внимательно следим». Это проверяемо по конструкции, кем угодно, как дело обычного курса.

Что всё ещё не проверяемо — и что это сделало бы

Вот что решение Кении, решение Германии и полный набор доказательств выше оставляют неразрешённым:

В большинстве демократий вы всё ещё не можете, как обычный гражданин, независимо подтвердить, что число, сообщённое с вашего избирательного участка, совпадает с тем, что было записано в машину. Вы не можете проверить, что агрегация от участка к округу к уезду к национальному итогу была проведена правильно. Вы не можете проверить, содержит ли программное обеспечение, которое подсчитало ваш голос, код, который был сертифицирован, или более позднюю версию, которая не прошла. Вы не можете сравнить QR-код на вашей помеченной бумаге с читаемым человеком текстом, который вы думали, что выбираете — потому что сканер читает штрих-код, а не текст.

Это не гипотетические пробелы. Суды их назвали. Исследователи их эксплуатировали. Избирательные органы власти, в некоторых случаях, их исправили — и во многих случаях нет.

Что это сделало бы проверяемым? Опубликованные, подписанные результаты на уровне избирательного участка в момент их финализации. Голоса, помеченные избирателем, с читаемым человеком текстом, который сканируется. Программное обеспечение с открытым исходным кодом для подсчёта голосов, которое независимые эксперты могут читать, тестировать и переподтестировать — не один раз при сертификации, а постоянно. Обычные, состязательные, открытые аудиты, связанные с заявленным уровнем уверенности, а не фиксированным процентом. И цепь опеки, документированная на каждом этапе, с защищёнными от подделок печатями, которые может физически проверить после проведения выборов любой, имеющий право это делать.

Ничто из этого не требует доверия правительству, поставщику или государственному секретарю. В этом суть.

Результат выборов, который вы не можете независимо проверить, в конституционном смысле не является результатом. Это объявление.

Узнайте, где появляется этот пробел по всему миру →

Прочитайте двухминутную версию →

Исследуйте конкретные случаи стран →

Источники

Все статьиИзучить уязвимости