← Все статьи

Аудит, который не может изменить результат, — это церемония

Два самых знаменитых аудита выборов в недавней американской истории не могли изменить ни один результат. Это не преимущество — это признание.

На рассвете 8 декабря 2007 года отчет только что попал на стол секретаря штата Огайо Дженнифер Бруннер. Девять недель работы команд из Пенсильванского государственного университета, Университета Пенсильвании и WebWise Security, Inc. — команд, которым были предоставлены исходный код и оборудование избирательных систем, используемых по всему Огайо. Их вывод, применимый к каждой изученной системе, не двусмыслен.

Все изученные системы имеют критические уязвимости безопасности, которые делают их технические средства контроля недостаточными для гарантии надежных выборов.

Не некоторые. Все. Отчет EVEREST — Evaluation and Validation of Election-Related Equipment, Standards and Testing — задокументировал общие уязвимости: внутренние атаки, которые программное обеспечение не могло остановить, неправильно применная криптография, журналы аудита, которые могли быть подделаны или стерты теми же людьми, которых они должны были контролировать. В случае системы ES&S в отчете отмечалось, что она никогда ранее не проходила детальную проверку исходного кода и проверку безопасности красной командой.

На этих машинах работали выборы в Огайо. А аудиты, предназначенные для выявления проблем с этими машинами? Во всех округах штата они были необязательны. Итоговый подсчет оставался неизменным независимо от того, что они обнаружили.

В этом зазор, о котором идет речь в этом посте.

Что на самом деле означает «необязательный аудит»

Аудит, который не может изменить результат, — это не гарантия безопасности. Это церемония.

Слово «аудит» несет огромный вес. Оно подразумевает внимательное изучение, подотчетность, возможность исправления. Мы используем его в финансовой сфере, потому что несостоятельный аудит что-то останавливает — он может аннулировать набор счетов, вызвать переоценку, положить конец карьере. Когда избирательные официальные лица говорят «мы провели постизбирательный аудит», большинство людей предполагают, что они имеют в виду то же самое. Обычно это не так.

Необязательный аудит — это наблюдение подсчета без каких-либо средств воздействия. Он может обнаружить расхождение. Он подаст отчет. Сертифицированный результат остается сертифицированным.

В большинстве юрисдикций США — и во многих демократиях по всему миру — нет автоматического, заранее определенного порога, при котором расхождение при аудите запускает исправление, не говоря уже о переголосовании. Результат попадает в документ. Документ лежит в файле. Победитель вступает в должность.

Это не гипотетическая проблема. Обзор Ohio EVEREST — независимый, на уровне исходного кода, враждебный анализ безопасности — обнаружил критические уязвимости во всех изученных системах. Он был опубликован для общественности в соответствии с Законом Огайо об открытых записях. Огайо продолжил использовать эти системы. Финальный отчет EVEREST ясно показывает, что сам надежный аудит был скомпрометирован, с журналами «обычно подделываемыми или стираемыми людьми, которых они должны были контролировать». Аудит, основанный на подделываемых журналах, — это не аудит. Это бумажная работа.

Мы отслеживаем эту категорию структурного зазора по юрисдикциям здесь — /gaps/non-binding-audit.

Два аудита, которые стоит изучать рядом

Если вы хотите понять, что действительно делает настоящий аудит, начните с двух американских примеров, которые действительно стоят изучения — не потому, что они доказывают, что выборы украдены, а потому, что они четко показывают, что может означать слово «аудит», когда оно имеет силу, и что оно все еще не может доказать самостоятельно.

Колорадо, 2017 год. После выборов в ноябре Колорадо стал первым штатом США, завершившим государственный аудит с ограничением риска (RLA). Дизайн математически специфичен: вместо проверки фиксированного процента бюллетеней, RLA определяет размер выборки на основе близости гонки. Гонка, решенная на один процент, требует гораздо больше вручную проверенных бюллетеней для достижения статистической уверенности, чем та, что решена на двадцать. Колорадо начал с лимитом риска в девять процентов, а позже сократил его до трех процентов, что означает, что было максимум три процента вероятности того, что аудит сертифицирует неправильного победителя. Секретарь штата Колорадо объявил о завершении 22 ноября 2017 года. Это был не пересчет. Это была статистическая проверка с определенным уровнем уверенности, основанная на вручную проверенных бумажных бюллетенях.

Грузия, 2020 год. Когда мажоритарное преимущество на президентских выборах в Грузии составило примерно 11 000 голосов из почти пяти миллионов поданных, первый государственный RLA штата должен был стать чем-то более крупным. Поскольку мажоритарное преимущество было таким узким, статистические требования означали аудит практически каждого бюллетеня. Так Грузия и поступила: 159 округов, 41 881 партия, примерно пять миллионов президентских бюллетеней, пересчитанных вручную человеческим глазом менее чем за шесть дней. Результат отличался от машинного подсчета примерно на десятую долю одного процента — хорошо в пределах диапазона вариабельности человеческого подсчета. Грузинское общественное вещание сообщило о подтверждении 19 ноября 2020 года.

По любым меркам оба этих аудита более серьезны, чем выборочная проверка. Вопрос, который стоит задать, — это что они все еще не могут сделать и что происходит в десятках штатов, которые не делают ни то, ни другое.

Разрыв между «мы проверили» и «вы можете проверить»

Вот что аудиты Колорадо и Грузии имеют общего со всеми остальными постизбирательными аудитами: они проводятся теми же чиновниками, которые управляли выборами. Внешние наблюдатели могут смотреть. Кандидаты могут отправлять представителей. Но основной акт — извлечение бюллетеней, проведение подсчета, отправка итогов — происходит внутри государственного процесса, контролируемого государственными служащими, задокументированного государственными записями.

Это не заговор. Это структурное наблюдение о том, как течет доверие.

Немецкий Федеральный конституционный суд ясно сказал об этом в 2009 году, когда постановил, что электронные машины для голосования не соответствуют стандарту демократической легитимности: существенные этапы голосования и определения результатов должны быть проверяемы гражданином без специальных знаний. Решение Bundesverfassungsgericht по делам 2 BvC 3/07 и 2 BvC 4/07 касается компьютеров — но его логика напрямую распространяется на аудиты. Процесс, который вы не можете независимо проверить, — это не проверяемый процесс, независимо от того, как его называют.

Голландцы пришли к похожему выводу в 2007 году, когда собственная консультативная комиссия правительства опубликовала Stemmen met vertrouwen («Голосование с уверенностью») и пришла к выводу, что прозрачность и проверяемость — controleerbaarheid — являются неоспоримыми основами надежных выборов. Ответом комиссии были не лучшие машины или лучшие аудиты со стороны чиновников; это была человекочитаемая бумажная запись, которую любой наблюдатель мог бы подтвердить. Нидерланды полностью отказались от избирательных компьютеров. Kiesraad хранит полный отчет.

Аудит, проводимый чиновниками, подтвержденный чиновниками, доложенный чиновниками и поданный в официальные записи, — это лучше, чем ничего. Это не то же самое, что независимая проверяемость.

Что оставляет открытым слово «подтверждено»

Вернемся к Грузии 2020 на мгновение, потому что это самое сильное дело для аудитов с ручным подсчетом — и даже оно имеет оговорку, которая стоит упомянуть.

Вариация в одну десятую процента между машинным подсчетом и ручным подсчетом на пять миллионов бюллетеней звучит как шум. Вероятно, это так. Но одна десятая процента от пяти миллионов — это пять тысяч голосов. Мажоритарное преимущество было примерно одиннадцать тысяч. Это означает, что вариация между двумя методами составляла примерно половину мажоритарного преимущества — в гонке, где проигравший потребовал пересчета, а результат был горячо оспариваем по всей стране.

«Ручной подсчет подтвердил машинный подсчет» и «ручной подсчет был идентичен машинному подсчету» — это разные утверждения. Ручной подсчет Грузии подтвердил результат — тот же кандидат победил с мажоритарным преимуществом, достаточным для пережившего вариацию. Это именно то, для чего предназначен RLA: подтвердить победителя со статистической уверенностью, а не достичь нулевой ошибки. Колорадо RLA делает то же самое.

Но теперь масштабируйте проблему вниз. Округ Энтрим, Мичиган, 2020 год: небольшой округ, где человеческая ошибка привела к явно неправильным неофициальным результатам. После исправления и ручного аудита финальный ручной подсчет отличался от машинного подсчета примерно на дюжину голосов из примерно 15 700 поданных. Дюжина голосов. В гонке, решенной горсткой голосов, ручной подсчет, который сам ошибается на дюжину голосов, — это не доказательство точности. Это измерение с погрешностью — и погрешность должна быть меньше мажоритарного преимущества, прежде чем метод сможет что-либо «подтвердить».

Честный урок состоит не в том, что ручные подсчеты ненадежны или что-то является мошенничеством. Честный урок состоит в том, что даже золотой стандарт ручного пересчета несет неуменьшимую человеческую ошибку — и ошибка без систематической, независимой проверки — это просто ошибка, которую мы согласились принять.

Необязательный аудит системы без бумаги не может даже достичь этого уровня честной неопределенности. Это просто подсчет электронов и подача отчета.

Аудит, который действительно что-то изменил — потому что он был враждебным

Обзор Ohio EVEREST что-то изменил. Не потому, что он был обязательным для результатов — он не был — а потому, что он был действительно независимым и враждебным, с доступом к фактическому исходному коду и оборудованию, проведенный исследователями, которые не заинтересованы в защите существующей системы.

Калифорния сделала что-то подобное в 2007 году. Секретарь штата Дебра Боуэн заказала полный обзор учеными Калифорнийского университета, которым был предоставлен исходный код для систем голосования, сертифицированных в штате. Отчет Diebold обнаружил, что технологические средства контроля «не обеспечивают достаточную безопасность для гарантии надежных выборов» и выявил уязвимости для вирусов, которые могли распространяться между машинами. Отчет Sequoia обнаружил «значительные уязвимости безопасности по всей системе». Отчет Hart InterCivic обнаружил компоненты, которые «в значительной степени полагаются друг на друга» с незащищенными сетевыми интерфейсами.

Эти результаты привели к обязательным условиям — усиленным требованиям безопасности, объявленным 3 августа 2007 года — потому что обзоры были независимыми, результаты были опубликованы, и Секретарь штата должен был публично ответить на то, что произвела общественная проверка.

Это структурно отличается от проверки избирательными органами собственного подсчета и объявления его подтвержденным. И это прямо указывает на модель, которая работает: не аудиты инсайдерами, а проверяемость аутсайдерами — криптографическая, общественная, машиночитаемая и постоянная.

Бразилия проводит формальный публичный враждебный тест безопасности перед каждыми общими выборами, приглашая любого квалифицированного исследователя попытаться взломать urna eletrônica, с выводами, используемыми для улучшения системы перед развертыванием. Программа Tribunal Superior Eleitoral — это институциональная версия того, что Огайо и Калифорния заказали как разовые обзоры — за исключением того, что это плановая, ожидаемая и встроенная в избирательный цикл.

Вопрос проекта, который аудиты не могут ответить

Вот что ни один постизбирательный аудит, обязательный или нет, не может ответить: Был ли бюллетень, который я пометил, тем бюллетенем, который был подсчитан?

В Curling v. Raffensperger, решено 11 октября 2020 года, Окружной суд США по Северному округу Грузии записал показания экспертов о машинах для отметки бюллетеней Dominion в Грузии, которые делают это наглядным. Суд обнаружил, что система «не обеспечивает проверяемый и аудируемый бюллетень, потому что он полагается на QR-код для подсчета голосов, и сам этот код не может быть прочитан и проверен избирателем». Мнение суда также цитировало вывод Национальных академий о том, что в настоящее время не существует технического механизма для обеспечения того, чтобы приложение подсчета голосов давало точные результаты, и что только тестирование не может гарантировать, что системы не были скомпрометированы.

При ручном пересчете в Грузии в 2020 году подсчитывался печатный текст на распечатанных бланках этих машин для отметки бюллетеней. Но машины подсчитывали из QR-кодов. Если машина напечатала текст, говорящий «Кандидат A», при этом кодируя голос за «Кандидата B» в штрих-коде — сценарий, который суд считал теоретически возможным — ручной пересчет читаемого человеком текста подтвердит манипуляцию, а не поймет ее.

Это не утверждение, что это произошло. Это описание архитектурной проблемы, которую ни один постизбирательный аудит не может полностью разрешить, если артефакт, аудируемый, не идентичен артефакту, который был подсчитан. Судебно-медицинский аудит Windham, Нью-Гэмпшир, в 2021 году проиллюстрировал обратное: сканеры неправильно читали сложенные бюллетени, потому что складка в неправильном месте выглядела как отмеченный овал для датчика. Отчет судебно-медицинского аудита SB 43 не обнаружил мошенничества, отсутствия вредоносного ПО — только физики. И ошибка была обнаружима только потому, что существовала прочная бумага, и ручной подсчет мог восстановить намерение избирателя. Без бумаги было нечего восстанавливать.

Система, которая подсчитывает из кода, который избиратель не может прочитать, проверенная процессом, который избиратель не может повторить, подтвержденная чиновниками, которым избиратель должен верить — это не проверяемые выборы. Это театральное представление проверки.

Что требует настоящий аудит

Обязательный аудит — это тот, который может изменить результат. Это означает, что до начала выборов, определив в законе: какое расхождение порога запускает ручной пересчет; какой порог ручного пересчета запускает расследование; какой результат расследования запускает новые выборы. Не «мы посмотрим». Специфичная, автоматическая, предварительно согласованная траектория эскалации.

Значительный аудит также требует:

Надежный артефакт для аудита — запись об избирателе, проверенная документом, которую избиратель физически подтвердил, а не штрих-код, который они не могут прочитать, произведенный машиной, которую они не могут проверить.

Независимость от аудируемых чиновников — не наблюдатели, которые могут смотреть, а аудиторы, которые могут требовать доступ, проводить собственные подсчеты и публиковать собственные результаты.

Общественные, машиночитаемые результаты на уровне участка — чтобы любой гражданин с электронной таблицей мог самостоятельно воспроизвести верхние итоги без необходимости нуждаться в правительственном посреднике, говорящем им, что подсчет был правильным.

И, в конце концов, криптографическая сквозная проверяемость — тип системы, где избиратель может проверить, используя только общественные данные, что его бюллетень был включен в финальный подсчет, не узнавая никакие других голоса. Крах швейцарского iVote в 2019 году — где исследователи Сара Джейми Льюис, Оливье Перейра и Ванесса Тиг обнаружили криптографический люк, который мог бы сделать измененные голоса давшими пропускную проверку верификации — показывает, насколько это сложно получить правильно. Но это также показывает точно, почему проверяемость исходного кода независимыми криптографами — единственный способ узнать, является ли заявление о верификации реальным.

Аудит, который не может изменить результат, — это церемония. Это может быть добросовестная церемония, проведенная честными чиновниками, которым нечего скрывать. Это не делает ее проверкой. Проверка — это то, что происходит, когда ответ выглядел бы иначе, если бы подсчет был неправильным — и когда любой может запустить проверку, не только люди, которые сертифицировали результат.

Что по-прежнему не проверяемо — и что сделает его проверяемым

В большинстве юрисдикций США сегодня вот что независимый член общества не может сделать:

  • Подтвердить, что бюллетень, который они пометили, соответствует тому, что был подсчитан, без доверия машине.
  • Воспроизвести окружной итог из машиночитаемых данных уровня участка в ночь выпуска результатов.
  • Проверить, что выборка аудита была выбрана случайно, а не произвольно.
  • Знать, до выборов, какой уровень расхождения автоматически запускает обязательное исправление.

Что сделает каждое из них проверяемым: записи об избирателе, проверенные документы с человекочитаемыми пометками; мгновенная, публикация результатов на уровне участка, машиночитаемая; криптографически проверяемый выбор образца аудита; и пороги эскалации в законе, написанные в закон до любых выборов — не обсуждаемые после удивительного результата.

Колорадо RLA — это шаг ко второму и четвертому. Ручной подсчет Грузии в 2020 году — это шаг ко второму. Ни один из них не является полной проверкой. Ни один из них не является церемонией. Разрыв между ними и штатами, которые не делают ни то, ни другое, задокументирован в нашем трекере разрывов.

Цель состоит не в том, чтобы не доверять каждому избирательному чиновнику. Цель состоит в том, чтобы построить системы, где их честность не имеет отношения к вопросу — потому что ответ проверяем для всех.

Изучите, как этот разрыв проявляется по юрисдикциям →

Посмотрите полный ландшафт пробелов в целостности выборов →

Двухминутное резюме →

Источники

Все статьиИзучить уязвимости