משמורת היא אחריות מתמשכת, לא כספת
כאשר אנשים חוששים ממה שקורה לפתק ההצבעה שלהם לאחר שהם משלשלים אותו לקלפי, הם בדרך כלל מדמיינים רגע פגיע אחד — חדר נעול שמישהו עשוי לפרוץ אליו בלילה. אבטחת פתקי הצבעה בפועל אינה פועלת כך כלל. אין מדובר בכספת אחת; זוהי שרשרת רציפה של מסירות מתועדות, וחוזקה נובע מן הרישום, לא מן הסודיות.
בכל פעם שפתקי הצבעה מחליפים ידיים או מיקום, שלושה דברים קורים: מישהו חותם על קבלתם, החותמות נרשמות, והספירות מתועדות. חבר מספיק חוליות כאלה, ומתקבל נתיב שבו כל התערבות — הוספה, הסרה או החלפה של פתק הצבעה — חייבת לשבור מספר חותמת, לזייף חתימה או לשבש סך שמישהו אחר כבר רשם. זהו כל הרעיון. משמורת אינה מנסה להפוך התערבות לבלתי אפשרית. היא הופכת התערבות לגלויה.
זהו אותו היגיון שמסדיר את האופן שבו תוצאה ארצית נבנית מספירות מקומיות: אבטחה באמצעות שלבים מדורגים וניתנים לצפייה, ולא באמצעות רשות אחת שניתן לתת בה אמון.
מה חותמת עושה בפועל
חותמת המגלה התערבות היא רצועה או מנעול ממוספרים לשימוש חד-פעמי, שלא ניתן להסירם ולהחילם מחדש בלי שייראה נזק. כשלעצמה, חותמת היא דבר קטן. כוחה נובע מכך שהיא נרשמת: מספר החותמת נכנס ליומן משמורת, היומן נחתם נגדית, ומאותו רגע החותמת הפיזית והרישום על הנייר חייבים להתאים.
לכן חותמת אינה מונעת מגנב נחוש לפתוח קופסה. מה שהיא עושה הוא להבטיח שאם יעשה זאת, המספר שעל הקופסה לא יתאים עוד למספר ביומן — ואי-התאמה זו היא חריגה מתועדת, שגורמים רשמיים ומשקיפים הוכשרו במיוחד לחפש.
| בקרה | מה היא עושה | כיצד נראה כשל |
|---|---|---|
| חותמות ממוספרות המגלות התערבות | קושרות מיכל פיזי למספר מתועד | מספר החותמת על הקופסה ≠ מספר החותמת ביומן |
| שלמות של שני אנשים | אף גורם רשמי אינו לבדו עם פתקי הצבעה | מסירה עם חתימה אחת בלבד |
| יומן משמורת / טופס העברה | מתעד מי החזיק בפתקי ההצבעה, מתי, ובאיזו חותמת | פער זמן ללא מחזיק מתועד |
| התאמה | משווה פתקי הצבעה לבוחרים מתועדים | יותר פתקי הצבעה מבוחרים, או פחות |
| גישת משקיפים | עיניים עצמאיות עוקבות אחר פתקי ההצבעה | משקיפים מורחקים או מסולקים מן החדר |
המספרים חייבים להתאים
בקרת המשמורת השקטה והחזקה ביותר היא חשבון פשוט. לפני שסופרים את פתקי ההצבעה, הגורמים הרשמיים מבצעים התאמה: מספר פתקי ההצבעה חייב להתאים למספר הבוחרים שרשימת הבוחרים תיעדה, מספר פתקי ההצבעה שהונפקו חייב להתאים למספר שהוחזרו והושחתו, ובהצבעה בדואר, מספר פתקי ההצבעה חייב להתאים למספר מעטפות ההחזרה התקפות.
שבירה בשרשרת המשמורת כמעט תמיד תתגלה כאן תחילה, כפער בהתאמה. לכן מניפולציה חמורה בפתקי הצבעה פיזיים כה קשה: אי אפשר פשוט להוסיף ערימת פתקי הצבעה לקופסה, משום שהספירה תעלה אז על מספר האנשים שתועדו כמי שהצביעו, ואי-התאמה זו היא בדיוק מה ששלב הבדיקה וההתאמה נועד לגלות.
שני מבחנים ממשיים: כשהשרשרת מחזיקה, וכשהיא נחסמת
הערך של משמורת ניכר ביותר כאשר משווים בין שתי מערכות בחירות שבהן היא פעלה בכיוונים מנוגדים.
Georgia, United States, 2020. לאחר תוצאה צמודה, המדינה ערכה ספירה חוזרת ידנית מלאה של כל פתק הצבעה על נייר. מאחר ששרשרת המשמורת שמרה על תיעוד נייר שלם — פתק פיזי אחד לכל קול — ניתן היה להשוות ישירות את הספירה במכונות לנייר, והיא התאימה עד כדי טעות אנוש רגילה. גורמי אבטחת הבחירות הפדרליים כינו את הבחירות המאובטחות ביותר בהיסטוריה האמריקאית וקבעו שאין ראיות לכך שמערכת הצבעה כלשהי שינתה קולות. זו הסיבה העמוקה לכך שהטענה כי מכונות הצבעה החליפו קולות בחשאי קורסת: הנייר היה קיים, המשמורת נשמרה, והשניים התאימו.
Belarus, 2020. ההפך. הרשויות לא פרסמו פרוטוקולים של תוצאות ברמת התחנה, ומשקיפים עצמאיים למעשה נחסמו — גוף הבחירות של OSCE לא הוזמן בזמן כדי לצפות. כאשר השרשרת הייתה אטומה מלמעלה עד למטה, התוצאה הרשמית שהעניקה למכהן כ-80% לא יכלה להיות מאומתת באופן עצמאי. שימו לב מה הייתה הבעיה: לא החלפה מסוימת שהוכחה, אלא היעדר שרשרת הניתנת לבדיקה. כאשר המשמורת מוסתרת, האימות נעשה בלתי אפשרי — והאטימות עצמה היא נורת האזהרה.
כיצד לדעת אם השרשרת החזיקה
אין צורך להיות גורם רשמי כדי להעריך אם שרשרת המשמורת של פתק הצבעה אמינה. יש לשאול אם המערכת בנויה כך שניתן לבדוק אותה:
- האם נהלי המשמורת מתפרסמים מראש, לפני שמישהו יודע מי ניצח?
- האם מספרי החותמות נרשמים ומתואמים, ולא רק מודבקים?
- האם משקיפים עצמאיים מן הצדדים המתחרים יכולים לעקוב אחר פתקי ההצבעה?
- האם נתוני ההתאמה — פתקי הצבעה מול בוחרים — מתפרסמים, כך שגורמים חיצוניים יוכלו לחשבם מחדש?
- האם פתקי ההצבעה נשמרים די זמן כדי לאפשר ספירות חוזרות, ביקורות מגבילות סיכון, ואתגרי משפט להגיע אליהם?
כאשר התשובות חיוביות, טענה על התערבות חשאית ובלתי ניתנת לגילוי בפתקי הצבעה חייבת להסביר כיצד היא עקפה את כל אחת מן השכבות הללו בבת אחת. כאשר התשובות שליליות, התגובה הנכונה אינה להניח הונאה — אלא להתייחס לשרשרת החסרה כאל הדבר שהכי צריך תיקון.