Proč je papír oporou důvěryhodného sčítání
Zeptejte se bezpečnostního experta na jedinou nejdůležitější věc, kterou může volba udělat, aby byla důvěryhodná, a odpověď bývá obvykle jediné slovo: papír. Ne proto, že by papír byl zastaralý nebo nostalgický, ale proto, že je to jediná část systému, kterou hacker nebo softwarová chyba nemůže nepozorovaně přepsat. Každé jiné zajištění — audity, přepočty, soudní spory — se nakonec opírá o to, že existuje fyzický záznam, s nímž lze výsledek porovnat.
Logika je jednoduchá. Samotné počítání na počítači vás žádá, abyste důvěřovali počítači. Papírový záznam mění důvěru v ověření: protože papír existuje mimo stroje, lze stroje porovnat s ním. Odstraňte papír a každé navazující zajištění ztratí oporu, protože nezůstane nic nezávislého, s čím by bylo možné elektronický výsledek porovnat.
Stejný princip prochází i jak se hlasy počítají: bezpečnost vychází z vrstev, které lze zkontrolovat, a papír je vrstva, na níž vše ostatní závisí.
Dva druhy papíru
„Papírová stopa“ zahrnuje dvě související, ale odlišné věci, a rozdíl je důležitý:
| Typ | Jak je hlas zaznamenán | Ověřovací otázka |
|---|---|---|
| Ručně označený papírový hlasovací lístek | Volič označí papír přímo | Přečetl skener značky správně? |
| Zařízení pro označování hlasovacích lístků (BMD) s výtiskem | Stroj vytiskne voličovy volby na papír | Zkontroloval volič, že výtisk odpovídá jeho záměru? |
Oba mohou poskytnout pevnou papírovou stopu — ale pouze tehdy, je-li papír ověřen voličem. Právě to je klíčové. Výtisk, kolem něhož volič jen letmo projde pohledem, nebo jej vůbec nevidí, není skutečně ověřen: chyba nebo manipulace mezi obrazovkou a papírem by mohla projít bez povšimnutí. Toto zajištění funguje jen tehdy, pokud člověk potvrdil, že papír odráží jeho volby.
Softwarová nezávislost
Formální název tohoto principu je softwarová nezávislost: neodhalená chyba nebo závada ve volebním softwaru by neměla být schopna způsobit neodhalitelnou změnu výsledku voleb. To zajišťuje papír. Pokud software sečte hlasy chybně — kvůli chybě nebo útoku — papírový záznam lze sečíst ručně a nesoulad odhalit.
Tím se přerámuje celý strach „co když byly stroje napadeny?“. V systému bez papíru je tato otázka nezodpověditelná, a právě proto narušuje důvěru. V systému založeném na papíru má konkrétní odpověď: sečtěte papír. Odborný konsenzus, včetně přelomového přehledu U.S. National Academies, je proto jednoznačný — používejte čitelné papírové hlasovací lístky a systémy bez papíru postupně vyřazujte.
Co papírová stopa umožňuje
Papír není samo zajištění; je to to, co zajištění umožňuje. Zajišťuje:
- Přepočty — nové sečtení fyzických hlasovacích lístků, když je rozdíl těsný nebo je výsledek sporný.
- Audity — ruční kontrolu vzorku papíru proti zveřejněným součtům, aby se potvrdil výsledek.
- Kontroly řetězce úschovy — porovnání počtu papírových hlasovacích lístků s počtem zaznamenaných voličů.
Nic z toho není možné bez důvěryhodného fyzického záznamu. Papír je surovina, z níž je každý kontrolní úkon vyroben.
Když papír chybí
Hodnota papírové stopy je nejzřetelnější tam, kde chybí. Dva případy ukazují dva způsoby, jak k tomu dochází.
- Systémy bez papíru. Tam, kde se hlasuje v čistě elektronických systémech, které neuchovávají žádný papírový záznam, nelze sporný výsledek nezávisle ověřit vůbec — prostě není co přepočítat. Proto je trendem napříč demokraciemi takové systémy vyřazovat.
- Zadržované záznamy. Papír (nebo jeho ekvivalent) může existovat a přesto být skryt. V Bělorusku v roce 2020 úřady nezveřejnily protokoly na úrovni volebních místností, takže oficiální výsledek nebylo možné porovnat s podkladovými záznamy. Papírová stopa, kterou nikdo nesmí zkontrolovat, neposkytuje žádnou jistotu.
Papírová stopa v praxi
Pozitivní případ je stejně konkrétní. Po uzavření výsledku 2020 v Georgii provedli úředníci úplné ruční přepočítání každého papírového hlasovacího lístku. Protože pro každý hlas existoval papírový záznam ověřený voličem, bylo možné ruční sčítání přímo porovnat se strojovým součtem — a shodovalo se v mezích běžné lidské chyby. Papírová stopa proměnila výbušné tvrzení „stroje byly napadeny“ v otázku s ověřitelnou, a nakonec uklidňující, odpovědí.
To je celý smysl zachování papíru. Nepředpokládá, že stroje jsou důvěryhodné, ani že nejsou — činí odpověď v obou případech ověřitelnou. A nástrojem, který toto ověření provádí efektivně a ve velkém měřítku, je volební audit.