신뢰할 수 있는 개표의 기준점으로서의 종이
보안 전문가에게 선거가 신뢰할 수 있으려면 반드시 갖추어야 할 가장 중요한 단 하나의 요소가 무엇인지 묻는다면, 대답은 대개 한 단어다: 종이. 종이가 낡았거나 향수를 불러일으켜서가 아니라, 해커나 소프트웨어 오류가 조용히 다시 쓸 수 없는 시스템의 유일한 부분이기 때문이다. 감사, 재검표, 법적 이의 제기 등 다른 모든 안전장치는 결국 대조할 수 있는 물리적 기록이 존재한다는 전제에 의존한다.
논리는 단순하다. 컴퓨터 개표만으로는 컴퓨터를 신뢰하라고 요구한다. 종이 기록은 신뢰를 검증으로 바꾼다. 종이는 기계 밖에 존재하므로, 기계는 그것과 대조해 확인할 수 있다. 종이를 제거하면 전자적 결과와 비교할 독립적인 대상이 남지 않으므로, 이후 단계의 모든 안전장치는 기반을 잃는다.
이는 투표가 어떻게 집계되는지를 관통하는 동일한 원칙이다. 보안은 검토할 수 있는 여러 층에서 나오며, 종이는 다른 모든 것이 의존하는 층이다.
두 가지 종류의 종이
"종이 흔적"은 서로 관련되지만 구별되는 두 가지를 포괄하며, 그 차이는 중요하다:
| 유형 | 투표 기록 방식 | 검증 질문 |
|---|---|---|
| 수기 표시 종이 투표지 | 유권자가 종이에 직접 표시 | 스캐너가 표시를 정확히 읽었는가? |
| 인쇄본이 있는 투표지 작성 장치(BMD) | 기계가 유권자의 선택을 종이에 인쇄 | 유권자가 인쇄본이 자신의 의사와 일치하는지 확인했는가? |
둘 다 견고한 종이 흔적을 제공할 수 있다. 그러나 종이가 유권자 검증을 거친 경우에만 그렇다. 이 표현이 핵심이다. 유권자가 대충 훑어보거나 아예 보지 않은 인쇄본은 진정으로 검증된 것이 아니다. 화면과 종이 사이에서 발생한 오류나 조작이 눈에 띄지 않은 채 지나갈 수 있기 때문이다. 이 안전장치는 사람이 종이가 자신의 선택을 반영하는지 확인했을 때만 작동한다.
소프트웨어 독립성
이 원칙의 공식 명칭은 소프트웨어 독립성이다. 즉, 투표 소프트웨어의 탐지되지 않은 오류나 결함이 선거 결과에 탐지되지 않은 변화를 초래해서는 안 된다는 뜻이다. 이를 가능하게 하는 것이 종이다. 소프트웨어가 버그나 공격으로 잘못 집계하더라도, 종이 기록을 수작업으로 집계해 불일치를 드러낼 수 있다.
이것은 "기계가 해킹되면 어떡하나?"라는 두려움을 전혀 다른 관점으로 바꾼다. 종이가 없는 시스템에서는 이 질문에 답할 수 없으며, სწორედ 그 점이 신뢰를 잠식한다. 종이 기반 시스템에서는 답이 구체적이다: 종이를 집계하라. 따라서 미국 National Academies의 획기적인 검토를 포함한 전문가들의 합의는 분명하다. 사람이 읽을 수 있는 종이 투표지를 사용하고, 종이 없는 기계는 단계적으로 퇴출하라는 것이다.
종이 흔적이 가능하게 하는 것
종이는 그 자체가 안전장치가 아니라, 안전장치를 가능하게 하는 것이다. 종이는 다음을 뒷받침한다:
- 재검표 — 차이가 근소하거나 결과가 다툼이 있을 때 물리적 투표지를 다시 집계하는 것.
- 감사 — 보고된 총계와 대조하기 위해 종이의 일부를 수작업으로 확인하여 결과를 검증하는 것.
- 보관·인계 연속성 점검 — 종이 투표지 수와 기록된 유권자 수를 대조하는 것.
신뢰할 수 있는 물리적 기록이 없으면 이들 중 어느 것도 불가능하다. 종이는 모든 점검이 만들어지는 원재료다.
종이가 없을 때
종이 흔적의 가치는 그것이 없을 때 가장 분명해진다. 다음 두 사례는 그 부재가 발생하는 두 가지 방식을 보여준다.
- 종이 없는 기계. 투표가 종이 기록을 남기지 않는 순수 전자 시스템에서 이루어질 경우, 분쟁이 있는 결과는 독립적으로 전혀 검증할 수 없다. 재검표할 것이 단순히 없기 때문이다. 이것이 민주주의 전반에서 그러한 시스템을 퇴출하는 추세가 나타나는 이유다.
- 공개되지 않은 기록. 종이(또는 그에 상응하는 기록)가 존재하더라도 숨겨질 수 있다. 2020년 Belarus에서는 당국이 투표소 단위 protocols를 공개하지 않아, 공식 결과를 기초 기록과 대조할 수 없었다. 누구도 열람할 수 없는 종이 흔적은 아무런 보증도 제공하지 않는다.
실제에서의 종이 흔적
긍정적 사례도 마찬가지로 구체적이다. 2020년 Georgia 결과 확정 후, 당국은 모든 종이 투표지를 전수 수작업으로 집계했다. 모든 투표에 대해 유권자 검증 종이 기록이 존재했기 때문에, 수작업 집계는 기계 집계와 직접 비교할 수 있었고, 통상적인 인간 오류 범위 내에서 일치했다. 종이 흔적은 "기계가 해킹됐다"는 폭발적인 주장을 검증 가능한, 그리고 결국 안심할 수 있는 질문으로 바꾸었다.
그것이 종이를 유지하는 전부의 이유다. 종이는 기계가 신뢰할 만하다고 가정하지도, 신뢰할 수 없다고 가정하지도 않는다. 어느 쪽이든 답을 검증 가능하게 만든다. 그리고 이를 효율적으로, 대규모로 검증하는 도구가 바로 선거 감사다.