← Все статьи

Когда единственный работающий аудит — это судебное разбирательство, система уже потерпела крах

Три страны провели президентские выборы. Три верховных суда должны были их аннулировать. Вопрос не в том, почему суды вмешались — вопрос в том, почему выборы вообще нуждались в спасении.

Утро 1 сентября 2017 года. Шесть судей в Найроби вот-вот совершат историю, которую никто не хотел совершать.

Президентские выборы состоялись 22 дня назад. Ухуру Кenyatta объявлен победителем. Голоса пересчитаны — или произошло что-то похожее на подсчёт. Миллионы кенийцев стояли в очередях, отмечали свой выбор и ждали. И теперь Верховный суд большинством четырёх голосов против двух делает то, чего никогда не делал ни один суд в истории Африки: полностью аннулирует результат.

Не потому что обнаружил масовое мошенничество. Не потому что голоса были явно украдены.

Потому что никто не мог доказать, что они не были украдены.

Что действительно сказал кенийский суд

Прочитайте судебное решение внимательно — Presidential Election Petition No. 1 of 2017 — и вы обнаружите нечто более тревожное, чем история коррупции. Суд беспокоился о структуре. Конституция Кении требует, чтобы выборы были простыми, точными, проверяемыми, защищёнными, подотчётными и прозрачными. Независимая избирательная комиссия установила систему, которая должна была это обеспечить: протоколы результатов со всех избирательных участков (так называемые Формы 34A) должны были передаваться в электронном виде и одновременно в национальный центр подсчёта, создавая отслеживаемую связь в реальном времени от каждой урны для голосования к окончательному числу.

Эта система работала не так, как задумано. Не все Формы 34A были переданы. В окончательной национальной форме подсчёта отсутствовали водяной знак и серийный номер. Председатель комиссии объявил победителя до того, как пришли все исходные документы. Когда суд искал цепочку доказательств, которая позволила бы ему — или кому-либо — независимо проверить объявленный результат, цепочка имела пробелы.

Двое судей выступили против: они считали, что доказательственная база для аннулирования недостаточна. Это честное разногласие само по себе часть истории. Большинство и диссидентское мнение спорили не о мошенничестве. Они спорили о доказательствах. О том, достаточно ли было того, что существовало. О том, оправдывает ли отсутствие проверяемой цепочки аннулирование выборов, в которых участвовали десятки миллионов людей.

Суд распорядился провести новые выборы в течение 60 дней. Кения провела их. Пробел в проверяемости, вызвавший аннулирование — проектная проблема, а не просто сбой в исполнении — остался предметом политических споров позже.

Суд выявил что-то реальное. Но он выявил это наиболее сложным способом, задним числом, под политическим давлением, когда страна ждала.

Проблема штрихов корректора в Малави

В восьми тысячах километров южнее, в феврале 2020 года, Конституционный суд Малави сделал то же самое.

Президентские выборы в мае 2019 года вернули Питера Мутхарику узким победителем. Но когда истцы оспорили результат и суды изучили официальные протоколы подсчёта — физические документы, которые должны быть основой любого проверяемого подсчёта — они обнаружили то, чего не должно быть ни в какой серьёзной избирательной системе.

Штрихи корректора. Типекс, нанесённый на официальные государственные протоколы результатов, закрывавший первоначальные цифры.

Не только в одном районе. Не только в одном регионе. Повсеместно. Наряду с дубликатами протоколов, неподписанными формами и неправильно обработанными подсчётами. Апелляционный суд подтвердил аннулирование 8 мая 2020 года, установив, что нарушения означают, что объявленный результат нельзя рассматривать как проверяемое, законное отражение голосования.

Подумайте о том, что означают штрихи корректора в этом контексте. Это не сложная атака. Это не кибератака. Это бутылка белой краски стоимостью в доллар. И этого было достаточно, чтобы сделать всё президентское голосование юридически непроверяемым.

Протокол подсчёта должен быть единственным защищённым от подделок артефактом, который не может лгать. Это лист бумаги, подписанный на избирательном участке перед свидетелями, фиксирующий результаты подсчёта. Как только вы вносите штрихи корректора, вы уничтожаете защиту от подделки. Вы превращаете проверяемую запись в изменяемую, а изменяемая запись — это вообще не запись.

Малави провела новые выборы в июне 2020 года.

Разрыв цепочки хранения доказательств в Австрии

В июле 2016 года Конституционный суд Австрии аннулировал второй тур президентских выборов, решённый примерно 30 000 голосов. Суд выявил процессуальные нарушения в отношении примерно 77 000 почтовых бюллетеней: конверты, открытые раньше времени, подсчёты, начатые неавторизованными лицами, отсутствующие обязательные свидетели. Победившее большинство было меньше, чем количество голосов, обработанных с нарушением правил.

Критически важно — и это точка, которую упустило большинство сообщений — суд не обнаружил свидетельств мошенничества. Никого не обвинили в изменении голосов. Суд аннулировал выборы не потому, что обнаружил манипуляцию, а потому, что не мог проверить, что манипуляция не произошла. Процедуры, которые существуют, чтобы сделать выборы независимо проверяемыми, были нарушены в масштабе, который мог повлиять на результат.

Повторный второй тур был проведён в декабре 2016 года.

Вот в чём суть Австрии: нарушенные процедуры — это не неясные технические детали. Это механизмы проверяемости. Кто может обращаться с бюллетенями, в чьём присутствии, в какое время — эти правила существуют, чтобы каждый имеющий право мог посмотреть на запись и подтвердить, что неавторизованное лицо не имело возможности изменить содержимое конвертов. Когда вы открываете конверты до разрешённого времени без свидетелей, вы не просто нарушаете правило. Вы уничтожаете доказательственную базу, которая делает результат проверяемым. Вы делаете проверку задним числом невозможной.

Поэтому у суда не было выбора. Это было не о наказании за ошибку. Это был основной вопрос о том, существует ли вообще законный, проверяемый результат.

Три выборы, одна основная проблема

Кения. Малави. Австрия. Три совершенно разные страны. Три совершенно разных режима отказа — цифровой разрыв передачи, бутылка типекса, преждевременное открытие конвертов. Три верховных суда, вынужденных действовать как последняя линия защиты.

Но заметьте, что их объединяет: во всех случаях отказ в проверяемости был выше по течению от суда. Проблема была не в отказе судебной системы. Проблема была в том, что избирательная система не произвела независимо проверяемую запись. Суд был призван рассмотреть то, что уже стало непроверяемым.

Суд, который не может проверить результат и аннулирует выборы, делает ровно то, для чего суды предназначены. Но это также признак того, что всё, что должно было предотвратить необходимость этого вмешательства, уже потерпело крах.

Суды работают медленно. Они дорогие. Они по своей природе политическая среда — как напоминают нам двое кенийских диссидентских судей, разумные люди, изучающие одну и ту же запись, могут прийти к разным выводам о том, выдерживают ли доказательства пороговое значение. Раздельное голосование суда не приводит к переподсчёту; оно просто оставляет спорный результат действительным.

Суд — это крайняя мера, а не механизм проверки. И различие имеет огромное значение, потому что к моменту вовлечения суда ущерб легитимности уже нанесён.

Как бы выглядела встроенная проверка

Конституционный суд Германии в своём решении 2009 года по электронным избирательным машинам четко сформулировал принцип: существенные этапы голосования и определения результата могут быть проверены гражданином надёжно и без какого-либо специального знания. Не судьёй. Не компьютерным учёным. Гражданином.

Это более высокий порог, чем кажется. И это ровно тот порог, который не преодолели Кения, Малави и Австрия — до того, как в дело вступил какой-либо суд.

Как выглядело бы преодоление этого порога на практике?

В Кении это означало бы, что каждая Форма 34A фотографируется, передаётся с защищённой от подделки подписью и публикуется в реальном времени по публичному URL-адресу, который каждый может проверить. Избиратель в Момбасе мог бы найти результат своего избирательного участка, сравнить его с национальным подсчётом и обнаружить любое несоответствие без юриста или постановления суда.

В Малави это означает протоколы подсчёта, подписанные ручкой, удостоверенные, сфотографированные и хешированные — так, чтобы если кто-либо нанесёт типекс на оригинал, цифровая запись показала, что форма говорила до того, как была нанесена краска.

В Австрии это означает журналы цепочки хранения с временными метками и свидетелями, которые сами являются частью публичной записи, а не частной административной документацией, которую может запросить только суд.

Это не гипотетические идеи. Колорадо проводит аудиты с ограничением риска в масштабе штата с 2017 года — статистические проверки, которые обеспечивают определённые уровни достоверности вместо успокаивающих слов. Грузия вручную пересчитала примерно пять миллионов бюллетеней в 2020 году, получив результат, который каждый может сравнить с машинными итогами. Различие составило около десятой доли процента. Это не совершенство, но это проверяемое, публичное, независимо воспроизводимое число. Комиссия по выборам голландского правительства пришла к выводу в 2007 году, что выборы заслуживают доверия только если общественность может их проверить — и страна вернулась к бумажным бюллетеням и ручному подсчёту.

Общая нить такова: проверяемость — это не функция, которую вы добавляете позже. Это свойство, которое вы либо встраиваете с самого начала, либо его у вас вообще нет.

Почему «аудит это подтвердил» — это не урок

Когда избирательные должностные лица ссылаются на аудит, который подтвердил результат, ответ всегда должен быть: подтвердил как, и я могу это проверить?

Протокол подсчёта с типексом, который прошёл поверхностную проверку, — это не подтверждение. Журнал электронной передачи, доступный только комиссии, — это не подтверждение. Суд, разделённый четырьмя к двум, — это не подтверждение, это оспариваемый вывод, который опасно близко подошёл к противоположному результату.

Даже ручной переподсчёт — предполагаемый золотой стандарт — сопряжён с неустранимой ошибкой человека. Декабрьский аудит графства Антрим, штат Мичиган, 2020 года президентских бюллетеней отличался от машинного подсчёта примерно на дюжину голосов из примерно 15 700 поданных. Двенадцать голосов. В небольшом округе с удобным большинством это шум. В гонке, решённой меньшим числом голосов, это решение. И как показал судебно-медицинский аудит Windham, New Hampshire в 2021 году, сгиб бюллетеня из арендованной машины для складывания — без вредоноса, без мошенничества, без заговора — был достаточен, чтобы сканер прочитал складку как отмеченный овал сотни раз.

«Ручной подсчёт это подтвердил» — это успокоение. «Аудит это подтвердил» — это успокоение. Государственный секретарь, говорящий «всё совпало» — это успокоение.

Успокоения не проверяются. Записи — да.

Верховный суд Кении не был предоставлен записями, которые ему были нужны. Суды Малави посмотрели на записи и выявили, что они были изменены. Суд Австрии выявил, что запись о том, кто обращался с бюллетенями и когда, попросту не существовала.

Три суда. Три аннулирования. Без встроенной проверки.

Вопрос, который остаётся открытым

Ни один из трёх повторных выборов, последовавших в Кении, Малави и Австрии, не устранил системную проблему, вызвавшую первоначальное аннулирование. Каждая страна провела новое голосование в рамках той же структурной архитектуры, которая потерпела крах. Повторные выборы в Кении в октябре 2017 года были бойкотированы основной оппозицией, и основной вопрос о том, как сделать передачу цифровых результатов независимо проверяемой, так и не был полностью разрешён. Повторное голосование в Малави в июне 2020 года произвело другого победителя, но дизайн протокола подсчёта — бумага, подписанная ручкой, восприимчивая к типексу — не был заменён.

Что действительно закрыло бы пробел? Не новый суд. Не более агрессивный аудит после события. Не более громкое заявление от избирательного органа.

Система, где цепь от бюллетеня к объявленному результату криптографически хеширована, снабжена временной меткой, опубликована и независимо загружаема кем-либо — до того, как будет подано первое судебное возражение.

Не система, где суд должен приказать предоставить документы. Система, где записи уже публичны, уже машиночитаемы, уже архивированы в форме, которую ни один чиновник не может тихо изменить.

Это именно то, что суды постоянно обнаруживают отсутствие. Это то, что потребовал в принципе Конституционный суд Германии. Это то, что требовала конституция Кении и не доставила комиссия. Это то, что типекс протоколов подсчёта Малави уничтожил. Это то, что подорвали открывающие конверты раньше времени в Австрии.

Суд всегда крайняя мера. Вопрос, достойный внимания — до выборов, а не после — состоит в том, была ли ваша система построена так, чтобы суд никогда не нужно было призывать.

«Суд, который не может проверить результат и аннулирует выборы, делает свою работу. Система, которая ставит суд в такое положение, уже потерпела крах.»

Посмотрите, насколько распространён этот пробел в проверяемости по всему миру →

Прочитайте двухминутную версию о том, почему встроенная проверяемость имеет значение →

Изучите пробелы в системе выборов вашей страны →

Источники

Все статьиИзучить уязвимости