← Все статьи

Тайное голосование — это функция безопасности, а не вежливость

Тайное голосование было изобретено не для защиты вашей приватности — оно было изобретено, чтобы сделать покупку голосов и угрозы в адрес избирателя бесполезными, а телефонная камера в кабине тихо это отменяет.

В 2023 году международные наблюдатели следили за национальными выборами в Европейском союзе и записали что-то прямолинейное. На ранних парламентских выборах в Республике Болгария в апреле того года органы мониторинга выборов ОБСЕ зафиксировали «давние проблемы с куплей-продажей голосов и контролируемым голосованием». Их наблюдатели заметили нарушение тайны голосования в 7 процентах наблюдений на избирательных участках и отметили признаки купли-продажи голосов за пределами участков. Когда они обратились в правоохранительные органы, ответ был показателен: получить доказательства сложно, и большинство случаев не доходит до предварительного расследования.

Это не история о молодой хрупкой демократии из какого-то далёкого века. Это современное, документированное судами и мониторами событие, которое происходит, когда тайное голосование перестаёт быть тайным. Голос, который можно наблюдать при его подаче — или который вы позже сможете доказать, что подали — это голос, который можно купить, арендовать или вынудить.

В этом весь смысл тайны голосования. Это никогда не была вежливость в отношении приватности. Это механизм безопасности. И он тихо дает сбой так, о чём большинство избирателей никогда не думают.

Почему тайна — это функция безопасности

Начнём с механизма, сказанного ясно.

Куплей-продажа голосов работает как контракт: я платю вам, вы голосуете так, как я хочу. Но контракт, который невозможно проверить, бесполезен. Если у меня нет способа проверить, как вы на самом деле голосовали, я не могу узнать, выполнили ли вы свою часть соглашения — поэтому разумный ход — не платить вообще. Принуждение работает по той же логике в обратном порядке: если я угрожаю вам, но никогда не смогу подтвердить, что вы сделали в кабине, моя угроза — это пустой звук.

Тайна — это то, что делает подкуп и угрозу неисполнимыми. Удалите её, и обе снова станут рациональными.

Именно поэтому тайное голосование было изобретено в первую очередь. Австралийская избирательная комиссия отмечает, что до 1850-х годов люди «голосовали публично, что делало их уязвимыми для запугивания и принуждения» — поэтому была создана независимая избирательная комиссия и было введено «так называемое "австралийское голосование", иначе известное как тайное голосование». Единый, напечатанный государством бюллетень, отмеченный наедине, который ни работодатель, ни арендодатель, ни босс партии не могли наблюдать. Идея распространилась на демократии в следующие десятилетия, потому что она работала: она сделала взгляд мастера и инструкции арендодателя невозможными для исполнения.

Поэтому когда аудит избирательной системы обнаруживает вывод о том, что «бюллетень не является по-настоящему тайным», это не сноска о приватности. Это структурный отказ с документированной ценой.

Телефон в вашем кармане вновь открыл рынок

Вот современный поворот, и американский федеральный суд изложил его с необычной ясностью.

В Rideout v. Gardner (2016) Апелляционный суд США первого округа рассмотрел закон Нью-Гэмпшира, который запрещал избирателям фотографировать свои собственные отмеченные бюллетени — «селфи с бюллетенем». Защита штата перешла прямо к логике безопасности: запрет существовал, чтобы «сохранить тайну голосования» от купли-продажи и принуждения, потому что фотография позволяет избирателю доказать, как он голосовал. Суд согласился с историей, отметив, что реформы тайного голосования были первоначально приняты для «борьбы с широко распространёнными куплей-продажей и запугиванием избирателей» — практиками, которые работают только когда покупатель или тот, кто принуждает, может проверить голос.

Прочитайте это снова, потому что это суть всего этого материала: доказательство — это проблема. Фотография отмеченного бюллетеня — это функционально квитанция — а квитанция — это именно то, что нужна покупателю голосов для исполнения сделки.

Суд всё равно отменил запрет на основании свободы слова, постановив, что он не был достаточно узко сформулирован, потому что штат не показал недавних доказательств того, что фотографии бюллетеней действительно привели к куплей-продаже голосов. Вы можете спорить о вопросе свободы слова по-разному. Но заметьте, что подтвердил суд и что не подтвердил: он подтвердил механизм — тайна побеждает куплю-продажу голосов, а фото отменяет тайну — оставляя дверь открытой для камеры, чтобы вернуться в кабину.

Эта дверь теперь открыта в большей части мира. Каждый носит с собой высокого разрешения камеру. Технология, против которой было разработано тайное голосование — доказуемое голосование — снова в каждом кармане, и Болгария 2023 — это то, как это выглядит, когда доказательство начинают использовать.

Не нужен хакер. Нужен пробел.

Другой способ, которым тайна голосования исчезает, ещё более низкотехнологичен: кто-то другой прикасается к вашему бюллетеню.

После выборов 2018 года в 9-м избирательном округе Северной Каролины кандидат, казалось, победил. Избирательная комиссия штата отказалась утвердить результаты и провела расследование. 21 февраля 2019 года Комиссия единогласно приказала провести совершенно новые выборы после обнаружения того, что она назвала, своими словами, «скоординированной, незаконной и значительно финансируемой схемой с голосованием по почте» в округах Блейден и Робесон. Оперативник по имени Маккрэй Даулесс руководил сетью, которая собирала почтовые бюллетени избирателей — некоторые пустые, некоторые частично заполненные — чтобы их дополнили, подали или отбросили при необходимости. Были проведены новые выборы. Победил другой кандидат. Это остаётся одним из редких случаев, когда результат выборов в палату представителей США был отменен из-за фальсификации.

Ни один автомат не был взломан. Ни одна иностранная держава не была задействована. Механизм — это буфер обмена и корзина.

Цепочка хранения и есть тайное голосование. Момент, когда ваш неотмеченный или частично отмеченный бюллетень попадает в руки третьей стороны, защита уже потеряна — не потому что бумага изменилась, а потому что теперь кто-то другой, помимо вас, знает и контролирует, что в нём написано. Северная Каролина — это ясное современное доказательство того, что куплей-продажа и принуждение голосов не требуют изощрённости. Они требуют только пробела между избирателем и бюллетенем.

Машинный вариант той же раны

Есть более тонкий способ, которым разрывается связь между избирателем и голосом, встроенный в некоторые электронные системы.

Определённые устройства маркировки бюллетеней печатают штрих-код. Вы делаете выбор на сенсорном экране; машина печатает бюллетень с читаемым человеком резюме и штрих-кодом; и когда бюллетень считывается, сканер читает штрих-код, а не текст, который вы отметили. Вам предлагается «проверить» ваш бюллетень, прочитав резюме. Почти никто не проверяет штрих-код, потому что почти никто не носит с собой читатель штрих-кодов на избирательный участок.

То, что считывается, — это штрих-код. То, что вы отметили, — это распечатанное резюме. В принципе, эти две вещи могут отличаться — и вы бы никогда об этом не узнали.

Это отказ тайного голосования с другого направления. Здесь опасность не в том, что ваш голос можно отследить обратно к вам; опасность в том, что голос, записанный от вашего имени, может быть не тем, который вы подали. Намерение избирателя отделено от записи. Похожий отказ скрывается везде, где серийные номера бюллетеней или порядок печати могут быть перекрёстно сверены с журналами регистрации: если бюллетень можно сопоставить с именем через любой доступный записанный документ, тайна голосования закончена. Не гипотетически. Структурно.

Ловушка в «просто дайте избирателям квитанцию»

Если доказательство — это проблема, вы можете подумать, что решение — позволить каждому избирателю сохранить доказательство того, что его голос был учтён. Это очевидное побуждение, и это ловушка.

Любая система, которая позволяет избирателю выйти с доказательством как они голосовали, решила проблему проверяемости путём воссоздания точной уязвимости, которую тайное голосование было построено закрыть. Вы дали избирателю квитанцию, которую его могут заставить показать — работодателю, арендодателю, партийному оперативнику, кому угодно, кто имеет влияние. Это проблема Болгарии, произведённая в масштабе, по замыслу.

Поэтому настоящий инженерный вопрос в безопасности выборов сложнее, чем «можем ли мы проверить подсчёт?» Это: можем ли мы позволить каждому проверить подсчёт, не позволяя никому доказать свой конкретный выбор? Эти две цели находятся в подлинном напряжении, и претворить в жизнь, что они не такие, — это как системы строятся, которые тихо жертвуют одной для другой.

Это проблема, над которой сквозное верифицируемое (E2E) голосование работало десятилетия: дайте каждому избирателю математическое доказательство того, что их зашифрованный голос был включён в подсчёт, не раскрывая никогда — даже избирателю, даже принуждающему, стоящему над его плечом — что этот голос был. Криптография реальна, и подход звучит правильно. Это также не то, как большинство людей голосуют. Большинство избирателей используют системы, которые никогда даже не назвали компромисс, не говоря уже о том, чтобы его разрешить.

То, что не может сказать ни одно пресс-релиз

Вот то, что ни один официальный отчёт, резюме аудита или заверение государственного секретаря не может в настоящее время подтвердить вам как независимому гражданину:

  • Что ни один бюллетень в вашей юрисдикции не был дополнен или изменён третьей стороной перед подсчётом.
  • Что ни одно устройство маркировки бюллетеня не закодировало выбор в своём штрих-коде, отличающийся от показанного на экране.
  • Что ни один серийный номер и ни один записанный документ о последовательности не существуют нигде, который мог бы связать ваш бюллетень с вашим именем.
  • Что математика системы — не просто её политика — делает невозможным отследить ваш голос обратно к вам, или продать доказуемый.

Это не обвинения. Это пробелы. И пробелы не закрываются потому, что чиновник достоин доверия; они закрываются, когда система построена так, что независимая проверка возможна без доверия кому-либо. Голос, который никто не может доказать, — это голос, который никто не может купить. Подсчёт, который каждый может проверить, — это подсчёт, в котором никому не нужно верить на слово.

Это работа. Не заверение — архитектура.

«Вы не можете заплатить кому-то за голос, который вы не можете проверить. Дайте избирателю способ доказать это — камеру, квитанцию, проследимый серийный номер — и подкуп снова становится рациональным.»

Посмотрите, где пробел «бюллетень не является по-настоящему тайным» проявляется в избирательных системах →

Изучите полный глобальный атлас пробелов целостности выборов →

Прочитайте 2-минутную версию этой темы →

Источники

Все статьиИзучить уязвимости