Miksi paperi on luotettavan laskennan ankkuri
Kysy tietoturva-asiantuntijalta, mikä on yksittäinen tärkein asia, jonka vaalit voivat tehdä ollakseen luotettavat, ja vastaus on yleensä yksi sana: paperi. Ei siksi, että paperi olisi vanhanaikainen tai nostalginen, vaan siksi, että se on järjestelmän ainoa osa, jota hakkeri tai ohjelmistovirhe ei voi hiljaisesti kirjoittaa uudelleen. Kaikki muut turvatoimet — tarkastukset, uudelleenlaskennat, oikeudelliset haasteet — perustuvat lopulta siihen, että on olemassa fyysinen tallenne, johon voidaan verrata.
Logiikka on yksinkertainen. Pelkkä tietokoneen suorittama laskenta pyytää luottamaan tietokoneeseen. Paperinen tallenne muuttaa luottamuksen todentamiseksi: koska paperi on olemassa koneiden ulkopuolella, koneet voidaan tarkistaa sitä vasten. Kun paperi poistetaan, jokainen myöhempi turvatoimi menettää perustansa, koska jäljellä ei ole mitään riippumatonta, johon sähköistä tulosta voisi verrata.
Tämä on sama periaate, joka kulkee läpi miten äänet lasketaan: turvallisuus syntyy tarkastettavista kerroksista, ja paperi on kerros, josta kaikki muu riippuu.
Kaksi paperin lajia
"Paperijälki" kattaa kaksi toisiinsa liittyvää mutta erillistä asiaa, ja ero on olennainen:
| Tyyppi | Miten ääni kirjataan | Varmistuskysymys |
|---|---|---|
| Käsin merkitty paperinen äänestyslippu | Äänestäjä merkitsee paperin suoraan | Lukiko skanneri merkinnät oikein? |
| Äänestyslipun merkintälaitteella (BMD) tulostettu lippu | Kone tulostaa äänestäjän valinnat paperille | Tarkistiko äänestäjä, että tuloste vastaa hänen tarkoitustaan? |
Molemmat voivat tarjota vankan paperijäljen — mutta vain, jos paperi on äänestäjän varmentama. Tämä ilmaus on ratkaiseva. Tuloste, jonka äänestäjä vilkaisee ohimennen tai jota hän ei koskaan näe, ei ole aidosti varmennettu: virhe tai manipulointi näytön ja paperin välillä voisi jäädä huomaamatta. Turvatoimi toimii vain, jos ihminen vahvisti, että paperi vastaa hänen valintojaan.
Ohjelmistoriippumattomuus
Periaatteen muodollinen nimi on ohjelmistoriippumattomuus: havaitsematon virhe tai vika ääniohjelmistossa ei saa pystyä aiheuttamaan havaitsematonta muutosta vaalien lopputulokseen. Paperi toteuttaa tämän. Jos ohjelmisto laskee väärin — virheen tai hyökkäyksen vuoksi — paperinen tallenne voidaan laskea käsin ja ero paljastaa.
Tämä muotoilee koko "entä jos koneet hakkeroitiin?" -pelon uudelleen. Paperittomassa järjestelmässä kysymykseen ei ole vastausta, ja juuri siksi se nakertaa luottamusta. Paperipohjaisessa järjestelmässä vastaus on konkreettinen: laske paperi. Asiantuntijakonsensus, mukaan lukien Yhdysvaltain National Academiesin merkkipaaluarvio, on siksi yksiselitteinen — käytä ihmisen luettavissa olevia paperisia äänestyslippuja ja poista paperittomat koneet käytöstä vaiheittain.
Mitä paperijälki mahdollistaa
Paperi ei ole turvatoimi itsessään; se on se, mikä tekee turvatoimista mahdollisia. Se mahdollistaa:
- Uudelleenlaskennat — fyysisten äänestyslippujen laskemisen uudelleen, kun ero on pieni tai tulos kiistanalainen.
- Tarkastukset — paperin käsin tarkistamisen otoksesta suhteessa ilmoitettuihin kokonaismääriin lopputuloksen vahvistamiseksi.
- Ketjun hallinnan tarkistukset — paperisten äänestyslippujen määrän sovittamisen kirjattujen äänestäjien määrään.
Mikään näistä ei ole mahdollista ilman luotettavaa fyysistä tallennetta. Paperi on raaka-aine, josta jokainen tarkistus tehdään.
Kun paperia ei ole
Paperijäljen arvo näkyy selvimmin silloin, kun se puuttuu. Kaksi tapausta osoittaa kaksi tapaa, joilla näin tapahtuu.
- Paperittomat koneet. Kun ääniä annetaan puhtaasti sähköisissä järjestelmissä, jotka eivät säilytä paperista tallennetta, kiistanalaista tulosta ei voida lainkaan varmentaa riippumattomasti — yksinkertaisesti ei ole mitään, mitä voisi laskea uudelleen. Siksi suuntaus demokratioissa on poistaa tällaiset järjestelmät käytöstä.
- Pidätetyt tallenteet. Paperi (tai sen vastine) voi olla olemassa ja silti piilossa. Valko-Venäjällä vuonna 2020 viranomaiset eivät julkaisseet äänestyspaikkakohtaisia protokollia, joten virallista tulosta ei voitu tarkistaa suhteessa taustalla oleviin tallenteisiin. Paperijälki, jota kenenkään ei sallita tarkastaa, ei anna varmuutta.
Paperijälki käytännössä
Myönteinen esimerkki on yhtä konkreettinen. Vuoden 2020 tuloksen Georgiassa päätyttyä viranomaiset suorittivat kaikkien paperisten äänestyslippujen täydellisen käsinlaskennan. Koska jokaisesta äänestä oli olemassa äänestäjän varmentama paperinen tallenne, käsinlaskenta voitiin verrata suoraan koneelliseen laskentaan — ja se täsmäsi tavanomaisen inhimillisen virheen rajoissa. Paperijälki muutti räjähdysherkän väitteen "koneet hakkeroitiin" kysymykseksi, johon oli tarkistettava ja lopulta rauhoittava vastaus.
Siinä on koko paperin säilyttämisen tarkoitus. Se ei oleta, että koneet ovat luotettavia, eikä myöskään sitä, etteivät ne olisi — se tekee vastauksesta todennettavan kummassakin tapauksessa. Ja väline, joka tekee todentamisen tehokkaasti ja laajassa mittakaavassa, on vaalitarkastus.