Miért a papír a megbízható számlálás alapja
Ha egy biztonsági szakértőt megkérdeznek, mi az az egyetlen legfontosabb dolog, amelyet egy választásnak meg kell tennie ahhoz, hogy megbízható legyen, a válasz rendszerint egy szó: papír. Nem azért, mert a papír elavult vagy nosztalgikus, hanem mert ez az a rendszerbeli elem, amelyet egy hacker vagy egy szoftverhiba nem tud észrevétlenül átírni. Minden más biztosíték — az auditok, az újraszámlálások, a bírósági kifogások — végső soron azon alapul, hogy létezik egy fizikai nyilvántartás, amelyhez viszonyítani lehet.
A logika egyszerű. Egy számítógépes számlálás önmagában arra kér, hogy bízzunk a számítógépben. A papíralapú nyilvántartás az ellenőrzéssé alakítja a bizalmat: mivel a papír a gépektől függetlenül létezik, a gépek összevethetők vele. Ha a papírt eltávolítják, minden további biztosíték elveszíti az alapját, mert nem marad semmi független, amivel az elektronikus eredményt össze lehetne hasonlítani.
Ugyanez az elv jelenik meg a hogyan számolják a szavazatokat című anyagban is: a biztonság az ellenőrizhető rétegekből fakad, és a papír az a réteg, amelytől minden más függ.
A papír két típusa
A „papírnyom” két összefüggő, de eltérő dolgot fed le, és a különbség számít:
| Típus | Hogyan rögzítik a szavazatot | Az ellenőrzés kérdése |
|---|---|---|
| Kézzel jelölt papírszavazólap | A választó közvetlenül a papíron jelöl | A szkenner helyesen olvasta-e le a jelöléseket? |
| Szavazólap-jelölő eszköz (BMD) nyomtatott lappal | Egy gép papírra nyomtatja a választó döntéseit | A választó ellenőrizte-e, hogy a nyomtatott lap megfelel az akaratának? |
Mindkettő biztosíthat szilárd papírnyomot — de csak akkor, ha a papír választó által ellenőrzött. Ez a kifejezés a lényeg. Az a nyomtatott lap, amelyen a választó csak átsiklik a tekintetével, vagy amelyet soha nem lát, nem tekinthető valóban ellenőrzöttnek: a képernyő és a papír közötti hiba vagy manipuláció észrevétlen maradhat. A biztosíték csak akkor működik, ha egy ember megerősítette, hogy a papír tükrözi a döntéseit.
Szoftverfüggetlenség
Az elv hivatalos neve szoftverfüggetlenség: a szavazási szoftver észrevétlen hibája vagy meghibásodása nem okozhat észrevétlen változást a választás kimenetelében. Ezt biztosítja a papír. Ha a szoftver hibásan számol — egy hiba vagy támadás miatt —, a papíralapú nyilvántartás kézzel megszámolható, és az eltérés feltárható.
Ez új keretbe helyezi a teljes „mi van, ha feltörték a gépeket?” félelmet. Papír nélküli rendszerben a kérdés megválaszolhatatlan, és éppen ezért rombolja a bizalmat. Papíralapú rendszerben konkrét válasz adható: számolják meg a papírt. A szakértői konszenzus, beleértve az Egyesült Államok National Academies mérföldkőnek számító áttekintését is, ezért egyértelmű: használjanak ember által olvasható papírszavazólapokat, és fokozatosan vonják ki a papír nélküli gépeket.
Mire ad lehetőséget a papírnyom
A papír nem maga a biztosíték; hanem az, ami lehetővé teszi a biztosítékokat. Alapja:
- Újraszámlálások — a fizikai szavazólapok ismételt összeszámlálása, ha szoros az eredmény vagy vitatott a kimenetel.
- Auditok — a papíralapú szavazatok mintájának kézi ellenőrzése a jelentett összesítésekhez viszonyítva az eredmény megerősítésére.
- Láncolati őrzési ellenőrzések — a papírszavazólapok számának egyeztetése a rögzített szavazók számával.
Ezek egyike sem lehetséges megbízható fizikai nyilvántartás nélkül. A papír az az alapanyag, amelyből minden ellenőrzés készül.
Amikor nincs papír
A papírnyom értéke ott a legszembetűnőbb, ahol hiányzik. Két eset mutatja meg, hogyan történhet ez.
- Papír nélküli gépek. Ahol a szavazatokat kizárólag elektronikus rendszereken adják le, amelyek nem őriznek papíralapú nyilvántartást, a vitatott eredmény egyáltalán nem ellenőrizhető függetlenül — egyszerűen nincs mit újraszámolni. Ezért az a tendencia a demokráciákban, hogy az ilyen rendszereket kivonják a használatból.
- Visszatartott nyilvántartások. Papír (vagy annak megfelelője) létezhet úgy is, hogy közben elrejtik. Belarus 2020-ban a hatóságok nem tették közzé a szavazóhelyiségi protokollokat, így a hivatalos eredményt nem lehetett összevetni az alapul szolgáló nyilvántartásokkal. Az a papírnyom, amelyet senkinek sem engednek megvizsgálni, nem nyújt biztosítékot.
A papírnyom a gyakorlatban
A pozitív példa ugyanilyen konkrét. A 2020-as eredmény Georgiában a szavazás lezárása után a tisztviselők minden egyes papírszavazólapot teljes kézi számlálásnak vetettek alá. Mivel minden szavazathoz létezett választó által ellenőrzött papíralapú nyilvántartás, a kézi számlálás közvetlenül összevethető volt a gépi összesítéssel — és az a szokásos emberi hibahatáron belül egyezett. A papírnyom az „feltörték a gépeket” állítást egy olyan kérdéssé alakította, amelyre ellenőrizhető, és végső soron megnyugtató válasz adható.
Ez a papír megőrzésének teljes célja. Nem feltételezi, hogy a gépek megbízhatóak, és azt sem, hogy nem azok — hanem lehetővé teszi, hogy a válasz ellenőrizhető legyen bármelyik esetben. És az az eszköz, amely ezt az ellenőrzést hatékonyan, nagy léptékben elvégzi, a választási audit.