← Всички статии

Одит, който не може да промени резултата, е церемония

Два от най-славните избирателни одити в новата американска история не можаха да променят нито един резултат. Това не е преимущество — това е признание.

Сутринта на 8 декември 2007 г., един доклад току що пристига на бюрото на секретаря на щата Охайо Дженифър Брунър. Девет седмици работа на екипи от Пенсилванския държавен университет, Университета на Пенсилвания и WebWise Security, Inc. — екипи, които получиха действителния изходен код и оборудването на системите за гласуване, използвани в цял Охайо. Техният извод, приложен към всяка система, която изучаваха, е ясен.

Всички изследвани системи имат критични проблеми със сигурността, които правят техническите контроли недостатъчни, за да гарантират надеждни избори.

Не някои. Всички. Докладът EVEREST — Evaluation and Validation of Election-Related Equipment, Standards and Testing — документира общи проблеми: атаки на вътрешни потребители, които софтуерът не можеше да спре, неправилно приложена криптография, одитни логове, които можаха да бъдат подделани или изтрити от самите хора, които бяха призвани да ги наблюдават. В случая с системата ES&S, докладът отбеляза, че тя никога преди това не е получила подробен одит на изходния код и преглед на сигурността от червения екип.

Избирателните процеси на Охайо работеха на тези машини. И одитите, предназначени да хванат проблемите с тези машини? В тях всички окръзи в щата одитите не бяха обвързващи. Резултатът остана независимо от това какво намериха.

Това е пропастта, за която говори този пост.

Какво „необвързващ одит" всъщност означава

Одит, който не може да промени резултата, не е гарант. Това е церемония.

Думата „одит" носи огромно значение. Подразбира проверка, отговорност, възможност за коригиране. Използваме я в финансите, защото неудачен одит спира нещо — може да анулира набор сметки, да предизвика преизчисление, да сложи край на кариера. Когато избирателните служители казват „проведохме одит след избори", повечето хора предполагат, че имат предвид същото. Обикновено не са.

Необвързващ одит е наблюдение на резултата без зъбци. Може да намери несъответствие. Ще подаде доклад. Сертифицираният резултат остава сертифициран.

В повечето американски юрисдикции — и много демокрации по света — няма автоматичен, предварително определен праг, при който несъответствието в одита да предизвика коригиране, камо ли преизборност. Откритието влиза в документ. Документът лежи в архив. Победителят встъпва в длъжност.

Това не е хипотетичен проблем. Преглядът EVEREST на Охайо — независим, на ниво изходен код, враждебен анализ на сигурността — намери критични проблеми във всяка система, която изучава. Беше издаден публично под Закона за публичните записи на Охайо. Охайо продължи да използва тези системи. Окончателният доклад EVEREST ясно показва, че надеждният одит беше сам по себе си компрометиран, с логове, които са „обикновено подделими или изтривни от хората, които бяха призвани да ги наблюдават". Одит, построен на подделими логове, не е одит. Това е документооборот.

Ние проследяваме тази категория структурна пропаст в юрисдикции тук — /gaps/non-binding-audit.

Двата одита, които си струва да се изследват заедно

Ако искате да разберете какво прави един истински одит по-различно, начнете с два американски примера, които наистина си струва да изследвате — не защото доказват, че избирателите са откраднати, а защото илюстрират точно какво означава думата „одит", когато има зъбци, и какво все още не може да докаже сам по себе си.

Колорадо, 2017 г. След избирателните си избори в ноември, Колорадо се превърна в първия щат в САЩ, който завърши одит на цялата държава с ограничение на риска (RLA). Дизайнът е математически конкретен: вместо да проверява фиксиран процент бюлетини, RLA определя размера на своята проба според близостта на избора. Избор, решен с един процент, изисква много повече ръчно проверени бюлетини, за да се постигне статистическа увереност, отколкото един, решен с двадесет. Колорадо започна с девет процента граница на риска и по-късно я затегна до три процента, което означава, че имаше най-много три процента вероятност одитът да одобри неправилния победител. Секретарят на щата Колорадо обяви завършването на 22 ноември 2017 г.. Това не беше преброяване. Това беше статистически тест с определено ниво на увереност, основан на ръчно проверени хартиени бюлетини.

Джорджия, 2020 г. Когато мандатът за президент в Джорджия дойде на приблизително 11 000 гласа от близо пет милиона гласувани, първият одит на цялата държава с ограничение на риска на щата трябваше да стане нещо по-голямо. Тъй като мандатът беше толкова тесен, статистическите изисквания означаваха одит на практически всяка бюлетина. Така че Джорджия направи точно това: 159 окръзи, 41 881 пакет, приблизително пет милиона президентски бюлетини ръчно преброени от човешки очи за по-малко от шест дни. Резултатът се различаваше от машинното преброяване с около една десета от един процент — добре в рамките на диапазона на вариабилност на човешкото броене. Georgia Public Broadcasting съобщи потвърждението на 19 ноември 2020 г..

И двата са по всяка мярка по-сериозни от петностопна проверка. Въпросът, който си струва да зададем, е какво все още не могат да направят — и какво се случва в дузините щати, които не правят нито едно.

Пропастта между „проверихме" и „можете да проверите"

Ето какво одитите на Колорадо и Джорджия споделят с всеки други одит след избори: те се провеждат от същите служители, които провеждаха избирателния процес. Външни наблюдатели могат да наблюдават. Кандидатите могат да изпратят представители. Но фундаменталния акт — издирване на бюлетини, провеждане на преброяването, докладване на резултатите — се случва в рамките на правителствен процес, контролиран от служители на правителството, документиран от правителствени записи.

Това не е заговор. Това е структурно наблюдение на това как функционира доверието.

Немският федерален конституционен съд го изрази ясно през 2009 г., когато реши, че машините за електронно гласуване не отговарят на стандарта на демократическата легитимност: съществените стъпки на гласуване и определяне на резултатите трябва да бъдат проверяеми от гражданина без специализирано знание. Решението на Bundesverfassungsgericht в делата 2 BvC 3/07 и 2 BvC 4/07 е за компютрите — но неговата логика се разпростира директно към одитите. Процес, който не можете независимо да проверите, не е проверяем процес, каквото и да се нарича.

Холандия дойде до подобно място през 2007 г., когато правителственият си консултативен комитет публикува Stemmen met vertrouwen („Гласуване с доверие") и заключи, че прозрачност и проверяемост — controleerbaarheid — бяха неговорими основи на надеждни избори. Отговорът на комисията не беше по-добри машини или по-добри одити от служители; това беше четливо с човешко око хартиено досие, което всеки наблюдател можеше да потвърди. Холандия напълно отхвърли своите машини за гласуване. Kiesraad държи пълния доклад.

Одит, провеждан от служители, потвърден от служители, докладван служителям и архивиран в официални записи, е по-добър от нищо. Това не е същото като независима проверяемост.

Какво „потвърдено" оставя отворено

Върнете се към Джорджия 2020 за миг, защото това е най-силният случай за одити с ръчно броене — и дори той носи заяват, който си струва да се назове.

Варианция от една десета от един процент между машинното преброяване и ръчното преброяване в пет милиона бюлетини звучи като шум. Вероятно е. Но една десета от един процент на пет милиона е пет хиляди гласа. Печелившият мандат беше приблизително единадесет хиляди. Това означава, че варианцията между двата метода беше приблизително половината от мандата на победата — в избори, където губещият изискваше преброяване и резултатът беше горещо оспорван в национален мащаб.

„Ръчното преброяване потвърди машинното преброяване" и „ръчното преброяване беше идентично машинното преброяване" са различни твърдения. Ръчното преброяване на Джорджия потвърди резултата — същия кандидат спечели с мандат достатъчно голям, за да преживее варианцията. Това е точно това, което RLA е предназначен да направи: потвърди победителя със статистическа увереност, не достигне нулева грешка. РЛА на Колорадо прави същото.

Но сега намалете проблема. Окръг Antrim, Мичиган, 2020 г.: малък окръг, където човешката грешка произведе явно неправилни неофициални резултати. Когато е коригиран и одиран ръчно, окончателното ръчно преброяване се различаваше от машинното резюме приблизително на дузина гласа от приблизително 15 700 гласа. Дванадесет гласа. В избори, решени от няколко гласа, ръчно преброяване, което е само по себе си неправилно на дузина гласа, не е доказателство за точност. Това е измерване с граница на грешка — и граница на грешка трябва да бъде по-малка от мандата на победата, преди методът да може да „потвърди" нещо.

Честния урок не е, че ръчното преброяване е ненадеждно или че нещо е подозрително. Честния урок е, че дори и златния стандарт на ръчното преброяване носи неразрешима човешка грешка — и грешка без систематична, независима проверка е просто грешка, която сме се съгласили да приемем.

Необвързващ одит на система без хартия не може дори да достигне това ниво на честна неопределеност. Това е просто броене на електрони и подаване на доклад.

Одитът, който наистина промени нещо — защото беше враждебен

Преглядът EVEREST на Охайо промени нещо. Не защото беше обвързващо по резултатите — не беше — а защото беше наистина независим и враждебен, с достъп до действителния изходен код и оборудване, провеждан от изследователи, които нямаше интерес да защитават съществуващата система.

Калифорния направи нещо подобно през 2007 г. Секретарят на щата Дебра Боун поръча всеобхватен преглед от компютърни учени от Университета на Калифорния, които получиха изходния код на системите за гласуване, сертифицирани в щата. Докладът на Diebold установи, че технологичните контроли „не осигуряват достатъчна сигурност, за да гарантират надеждни избори" и идентифицира уязвимости към вируси, които могат да се разпространяват между машини. Докладът на Sequoia установи „значителни проблеми със сигурността в целата система". Докладът на Hart InterCivic установи компоненти, които „в основна степен си доверяват един на друг" с несигурни мрежови интерфейси.

Тези открития произведоха приложими условия — укрепени изисквания за сигурност, обявени на 3 август 2007 г. — защото преглядите бяха независими, резултатите бяха публикувани, и Секретарят на щата трябваше да отговори публично на това, което публичният контрол произведе.

Това е структурно различно от избирателна власт, преглеждаща своя собствено преброяване и деклариращо го потвърдено. И това сочи директно към модела, който работи: не одити от вътрешни лица, а проверяемост от външни лица — криптографска, публична, четлива за машини, и текуща.

Бразилия провежда официален публичен враждебен тест на сигурността преди всеки основен избор, поканвайки всеки квалифициран изследователь да се опита да разбие urna eletrônica, с открития, използвани да подобрят системата преди да бъде развернута. Програмата на Tribunal Superior Eleitoral е институционална версия на това, което Охайо и Калифорния поръчаха като еднократни преглади — освен че е редовна, очаквана, и вградена в избирателния цикъл.

Въпросът на дизайна, на който одитите не могат да отговорят

Ето какво никой одит след избори, обвързващ или не, не може да отговори: Бюлетината, която отбелязах, беше ли бюлетината, която беше преброена?

В Curling v. Raffensperger, решено на 11 октомври 2020 г., Федералния съд на САЩ за Северния окръг на Джорджия записа експертни показания за машините на Джорджия за маркиране на бюлетини на Dominion, което прави това живо. Съдът установи, че системата „не осигурява проверяем и одитен запис на бюлетина, защото разчита на QR кода за резюме на гласове и този код сам по себе си не може да бъде прочетен и проверен от избирателя". Мнението на съда също цитира заключението на Национална академия, че не съществува технически механизъм, който да гарантира, че приложение за резюме на гласове произвежда точни резултати и че тестването само по себе си не може да гарантира, че системи не са компрометирани.

Ръчно преброяване в Джорджия през 2020 г. преброи отпечатания текст на онези листове резултати от машините за маркиране. Но машините изчислиха от QR кодовете. Ако машина е печатала текст, казващ „Кандидат А", докато кодира гласуване за „Кандидат Б" в баркода — сценарий, с който съдът се отнесе като теоретично възможен — ръчно преброяване на четимия за човека текст щеше да потвърди манипулацията, не да я хване.

Това не е твърдение, че това се е случило. Това е описание на архитектурен проблем, че никой одит след избори не може напълно да разреши, ако артефактът, който се одитира, не е идентичен с артефакта, който е резюмиран. Одитът на Windham, Ню Хемпшир през 2021 г. илюстрира обратното: сканерите погрешно прочетоха сгънати бюлетини, защото гънка на гънката в неправилното място изглеждаше като отбелязан овал за сензора. Докладът на SB 43 forensic audit не намери измама, не намери малуер — просто физика. И грешката беше само открита, защото трайна хартия съществува и ръчно преброяване могъл да възстанови избирателското намерение. Без хартия нямаше какво да се възстанови.

Система, която резюмира от код, който избирателят не може да чете, одирана от процес, който избирателят не може да повтори, потвърдена от служители, на които избирателят трябва да вярва — това не е проверяеми избори. Това е театрално представление на проверка.

Какво наистина одит ще изисква

Обвързващ одит е един, който може да промени резултата. Това означава, преди избирателния процес да начне, дефиниране в закон: какво несъответствие на праг предизвиква ръчно преброяване; какво ръчно преброяване на праг предизвиква разследване; какво разследване на намирането предизвиква свежи избори. Не „ще разглеждаме това". Специфично, автоматично, предварително ангажирано ескалиране.

Значителен одит също изисква:

Надеждна артефакт, за да одиираме срещу — запис на проверена от избирателя хартия, която избирателят физически потвърди, не баркод, който не могат да четат, произведен от машина, която не могат да инспектират.

Независимост от служителите, които се одитират — не наблюдатели, които могат да наблюдават, а одитори, които могат да налагат достъп, провеждат свои преброявания, и публикуват свои открития.

Публични, четливи за машини резултати на ниво на избирателен участък — така всеки гражданин със таблица да може да копира резултатите от първия ред сами, без да имате нужда от правителствена посредник, който да ви каже преброяването беше правилно.

И, в крайна сметка, криптографска край-до-край проверяемост — типът система, където избирателят може да провери, използвайки публични данни само, че неговата бюлетина е включена в окончателния резюме без да научи гласовете на всеки друг. Провалът на швейцарския iVote през 2019 г. — където изследователи Sarah Jamie Lewis, Olivier Pereira, и Vanessa Teague намериха криптографска задна врата, която може да направи променени гласа да произведе преминаващо доказателство за проверка — показва колко е трудно да го направиш правилно. Но също показва точно защо проверяемост на изходния код от независими криптографи е единственият начин да знаеш дали проверяемостта е реална.

Одит, който не може да промени резултата, е церемония. Може да бъде добренамерена церемония, провеждана от честни служители с нищо да крият. Това не го прави проверка. Проверка е това, което се случва когато отговорът щеше да изглежда по-различно ако преброяването беше неправилно — и когато всеки може да провежде тест, не само хора, които сертифицираха резултата.

Какво все още не е проверяемо — и какво щеше да го направи проверяво

В повечето американски юрисдикции днес, ето какво независим член на публиката не може да направи:

  • Потвърдете, че бюлетината, която отбелязаха, съвпада с това, което е резюмирано, без да верват машината.
  • Копирайте окръжното ниво резултат от резултати на ниво на избирателен участък, четливи за машини в същата нощ, резултатите са издадени.
  • Проверете, че пробата одит е изтегната произволно и не е избрана по избор.
  • Знайте, преди избирателния процес, какво несъответствие ниво автоматично предизвиква обвързваща коригиране.

Какво щеше да направи всеки от тези проверяво: проверена от избирателя хартиени бюлетини с человешки четлив марки; мигновено издаване на резултати на ниво на избирателен участък, четливи за машини; криптографски проверяема селекция на пробата одит; и законодателни прагове ескалиране, написани в закон преди всеки избирателен процес начне — не преговаряни след изненадващ резултат.

Колорадо РЛА е стъпка към втория и четвъртия. Ръчното преброяване на Джорджия 2020 е стъпка към втория. Нито един не е пълна проверка. Нито един не е церемония. Пропастта между тях и щатите, които не правят нито едно, е документирана в нашия gap tracker.

Целта не е недоверие всеки избирателен служител. Целта е изграждане на системи, където тяхната честност е неуместна на въпроса — защото отговорът е проверяво от всеки.

Проучете как тази пропаст се появява в юрисдикции →

Вижте пълния пейзаж на разлики в整合性 →

Двуминутен резюме →

Izvori

Вижте всички статииРазгледай пропуските