Один бюллетень. Проверяемый от начала до конца.
Проследите за одним голосом — от рук избирателя до результата, который может перепроверить любой желающий. Четыре зоны, одно правило: бумажный бюллетень — это истина, а данные покидают машину для голосования только на запечатанном, подписанном носителе, который человек передаёт лично, — никогда по сети.
Подано так, как задумано
Вы видите и проверяете свой напечатанный бумажный бюллетень до того, как он попадёт в ящик.
Учтено так, как подано
Бумажный бюллетень и есть запись голоса. Машина только считывает и подсчитывает его.
Посчитано так, как учтено
Каждый итог имеет цифровую подпись и может быть перепроверен по бумаге любым желающим.
Путь бюллетеня
Читайте слева направо. Обратите внимание на то, чего нет: ни одна линия не ведёт обратно к машине для голосования, и ничто не касается интернета вплоть до самого конца.
Как читать эту схему
Программы, открытые для проверки
До выборов программное обеспечение создаётся открыто, чтобы эксперты могли убедиться: именно этот код будет считать голоса.
- 1Публичные воспроизводимые сборки — любой желающий может пересобрать программу и получить точно такой же цифровой отпечаток.
- 2Каждый выпуск цифровым образом подписывается несколькими уполномоченными лицами (Сертификат обеспечения программного обеспечения).
◆ Подписанный выпуск программы + цифровой отпечаток сборки
✓ Пересоберите из исходного кода и убедитесь, что отпечаток совпадает
Избирательный участок
Здесь вы голосуете. Каждое устройство опечатано, защищено от вскрытия и полностью отключено от сети.
- 1Регистрация: сотрудник участка удостоверяется в вашем праве голоса и выдаёт одноразовый жетон.
- 2Заполнение: устройство для разметки бюллетеней печатает бумажный бюллетень, который вы можете прочитать и проверить.
- 3Проверка и опускание: вы убеждаетесь, что бумага верна, и опускаете её в урну.
- 4Подсчёт: сканер считывает бюллетень и ведёт подписанный, защищённый от подделки нарастающий итог.
◆ Бумажный бюллетень в урне + подписанные итоги устройств
✓ Каждый бюллетень существует на бумаге, независимо от каких-либо машин
Районный / региональный штаб
Запечатанные результаты доставляются сюда вручную, проверяются, суммируются и заверяются.
- 1Получение: опечатанные носители с каждого участка поступают с задокументированной цепочкой хранения.
- 2Проверка: каждая цифровая подпись и каждый сертификат проверяются прежде, чем учитывается хотя бы одна цифра.
- 3Сведение и заверение: итоги объединяются, а официальный результат подписывается.
- 4Публикация: формируется пакет публичной проверки для всего мира.
◆ Подписанный районный протокол + пакет публичной проверки
✓ Сложите подписанные итоги по участкам самостоятельно
Публичная проверка
Единственная часть, которая подключена к интернету, — и она может только публиковать данные, но никем не управляет.
- 1Результаты, сертификаты и отчёты об аудите публикуются в открытом доступе.
- 2Журнал прозрачности с защитой от изменений не даёт тихо подправить уже опубликованные цифры.
- 3Бесплатная программа проверки с открытым исходным кодом позволяет каждому убедиться в подлинности подписей и итогов.
◆ Публичные результаты + доказательства из журнала прозрачности
✓ Запустите открытую программу проверки — доверяйте математике, а не словам
Voting center
Что такое один избирательный терминал
Каждая машина в центре — это одинаковый защищённый компьютер с единственной задачей, созданный так, чтобы доказать: к нему никто не прикасался.
Никакой сети — никогда
Ни Wi-Fi, ни Bluetooth, ни Ethernet. Данные передаются только на опечатанных носителях, которые переносит человек.
Защита от вскрытия на уровне железа
Датчики следят за корпусом, портами и пломбами. Любое вмешательство активирует необратимый флаг и выводит терминал из работы.
Запечатанные ключи (TPM)
Ключи машины разблокируются только если программное обеспечение не изменено и вмешательства не зафиксировано.
Бумага — это документ
Терминал печатает бюллетень, который вы проверяете глазами. Подсчитывается именно бумага, а не то, что на экране.
Журнал аудита с хеш-цепочкой
Каждое действие записывается в журнал с защитой от изменений — задним числом его не переписать.
Подпись при закрытии
По окончании голосования терминал формирует один подписанный и опечатанный пакет экспорта — единственное, что когда-либо покидает машину.
Три роли, одна защищённая основа
Терминал регистрации — подтверждает право на участие и выдаёт одноразовый жетон бюллетеня.
Терминал разметки бюллетеня — печатает бумажный бюллетень, который вы проверяете и опускаете в урну.
Сканер / счётчик — считывает бумагу и хранит подписанные итоги.
Как проверить результат — не доверяя нам на слово
Проверяемость означает, что вам не нужно верить никому на слово. Вот что любой гражданин, журналист или представитель партии может проверить самостоятельно.
Проверьте программное обеспечение
Соберите программу из открытого исходного кода и убедитесь, что её отпечаток совпадает с подписанным релизом, который работал на машинах.
Сверьте подсчёт с бумагой
Бумажные бюллетени — это источник истины. Аудит с ограничением риска сравнивает случайную выборку бумаги с объявленными итогами.
Проверьте подписи
Скачайте публичный пакет проверки и запустите бесплатную программу с открытым кодом, чтобы убедиться: каждый итог подписан по-настоящему.
Убедитесь, что данные нельзя изменить
Журнал прозрачности с защитой от изменений означает: однажды опубликованная цифра не может быть тихо подправлена — это заметят все.
Узнайте, насколько распространены эти пробелы
Посмотрите, как сегодняшние выборы соответствуют этим гарантиям в проанализированных нами регионах.
Тот же путь — словами
Понятное описание схемы выше, доступное в том числе для программ чтения с экрана.
- 1
До выборов избирательное программное обеспечение создаётся открыто и подписывается цифровой подписью — эксперты могут убедиться, что именно это будет запущено.
- 2
На избирательном участке — полностью без подключения к сети — вы регистрируетесь и получаете одноразовый жетон.
- 3
Машина печатает бумажный бюллетень. Вы читаете его, убеждаетесь, что всё верно, и опускаете в урну.
- 4
Сканер подсчитывает бумажные бюллетени и ведёт подписанный, защищённый от подделки текущий итог.
- 5
По окончании голосования каждая машина формирует один подписанный и запечатанный файл с результатами. Его доставляют в штаб вручную — ничего не передаётся по сети.
- 6
В штабе проверяют все подписи, суммируют итоги, удостоверяют результат и публикуют открытый пакет для проверки.
- 7
Любой желающий в любой точке мира может скачать результаты и запустить бесплатную программу проверки — а бумажные бюллетени остаются для независимого аудита.