מדוע הנייר הוא העוגן של ספירה מהימנה
שאלו מומחה אבטחה מהו הדבר החשוב ביותר שבחירות יכולות לעשות כדי להיות מהימנות, והתשובה היא בדרך כלל מילה אחת: נייר. לא משום שנייר הוא מיושן או נוסטלגי, אלא משום שזהו החלק היחיד במערכת שפורץ או באג בתוכנה אינם יכולים לשכתב בשקט. כל אמצעי ההגנה האחרים — ביקורות, ספירות חוזרות, אתגרים משפטיים — נשענים בסופו של דבר על קיומו של רישום פיזי שניתן לבדוק מולו.
ההיגיון פשוט. ספירה ממוחשבת, לבדה, מבקשת מכם לתת אמון במחשב. רישום נייר הופך אמון לאימות: משום שהנייר קיים מחוץ למכונות, ניתן לבדוק את המכונות מולו. אם מסירים את הנייר, כל אמצעי ההגנה בהמשך מאבד את בסיסו, משום שלא נותר דבר עצמאי להשוות אליו את התוצאה האלקטרונית.
זהו אותו עיקרון העובר דרך כיצד קולות נספרים: אבטחה נובעת משכבות שניתן לבדוק, והנייר הוא השכבה שכל השאר תלוי בה.
שני סוגי נייר
"מסלול על הנייר" כולל שני דברים קשורים אך מובחנים, וההבדל חשוב:
| סוג | כיצד הקול נרשם | שאלת האימות |
|---|---|---|
| פתק הצבעה מנייר שסומן בידי הבוחר | הבוחר מסמן ישירות על הנייר | האם הסורק קרא את הסימונים כראוי? |
| מכשיר סימון פתקי הצבעה (BMD) עם פלט מודפס | מכונה מדפיסה על נייר את בחירות הבוחר | האם הבוחר בדק שההדפסה תואמת את כוונתו? |
שניהם יכולים לספק מסלול נייר מוצק — אך רק אם הנייר הוא מאומת בידי הבוחר. זהו לב העניין. פלט שהבוחר מעיף בו מבט חולף, או שאינו רואה כלל, אינו מאומת באמת: שגיאה או מניפולציה בין המסך לנייר עלולות לחמוק מעין. אמצעי ההגנה פועל רק אם אדם אישר שהנייר משקף את בחירותיו.
עצמאות תוכנה
השם הפורמלי של העיקרון הוא עצמאות תוכנה: שגיאה או תקלה שאינה מתגלה בתוכנת ההצבעה לא אמורה להיות מסוגלת לגרום לשינוי שאינו ניתן לגילוי בתוצאת הבחירות. הנייר הוא שמספק זאת. אם התוכנה סופרת שלא כראוי — בשל באג או מתקפה — ניתן לספור את רישום הנייר ביד, והפער ייחשף.
כך ממוסגרת מחדש כל החרדה של "מה אם המכונות נפרצו?". במערכת ללא נייר השאלה אינה ניתנת למענה, וזו בדיוק הסיבה שהיא שוחקת את האמון. במערכת מבוססת נייר יש לה תשובה קונקרטית: סופרים את הנייר. הקונצנזוס המקצועי, כולל הסקירה המכוננת של ה-U.S. National Academies, הוא אפוא חד — להשתמש בפתקי הצבעה מנייר הניתנים לקריאה בידי אדם, ולהוציא בהדרגה משימוש מכונות ללא נייר.
מה מאפשר מסלול הנייר
הנייר אינו אמצעי ההגנה עצמו; הוא מה שהופך את אמצעי ההגנה לאפשריים. הוא מאפשר:
- ספירות חוזרות — ספירה מחדש של הפתקים הפיזיים כאשר הפער קטן או התוצאה שנויה במחלוקת.
- ביקורות — בדיקה ידנית של מדגם נייר מול הסכומים המדווחים כדי לאשר את התוצאה.
- בדיקות שרשרת משמורת — התאמה בין מספר פתקי ההצבעה על נייר לבין מספר הבוחרים שנרשמו.
אף אחד מאלה אינו אפשרי ללא רישום פיזי מהימן. הנייר הוא חומר הגלם שממנו עשויה כל בדיקה.
כשאין נייר
הערך של מסלול הנייר בולט במיוחד כשהוא חסר. שני מקרים מראים את שתי הדרכים שבהן הדבר קורה.
- מכונות ללא נייר. כאשר קולות ניתנים במערכות אלקטרוניות בלבד שאינן שומרות רישום נייר, תוצאה שנויה במחלוקת אינה ניתנת לאימות עצמאי כלל — פשוט אין מה לספור מחדש. זו הסיבה שהמגמה בדמוקרטיות היא להוציא מערכות כאלה משימוש.
- רישומים שהוסתרו. נייר (או המקבילה לו) יכול להתקיים ובכל זאת להיות מוסתר. ב-Belarus ב-2020, הרשויות לא פרסמו פרוטוקולים ברמת הקלפי, ולכן לא ניתן היה לבדוק את התוצאה הרשמית מול הרישומים הבסיסיים. מסלול נייר שאיש אינו מורשה לבדוק אינו מספק כל ביטחון.
מסלול הנייר בפועל
המקרה החיובי קונקרטי לא פחות. לאחר סגירת התוצאה ב-2020 ב-Georgia, הרשויות ערכו ספירה ידנית מלאה של כל פתק הצבעה מנייר. מכיוון שהיה רישום נייר מאומת בידי הבוחר לכל קול, ניתן היה להשוות את הספירה הידנית ישירות לספירה של המכונה — והיא תאמה עד כדי טעות אנוש רגילה. מסלול הנייר הפך טענה נפיצה של "המכונות נפרצו" לשאלה שיש לה תשובה שניתן לבדוק, ובסופו של דבר גם מרגיעה.
זהו כל הרעיון שבשמירת נייר. הוא אינו מניח שהמכונות מהימנות או שאינן מהימנות — הוא הופך את התשובה לניתנת לאימות בכל מקרה. והכלי שמבצע את האימות, ביעילות ובקנה מידה, הוא ביקורת בחירות.