Dlaczego papier jest kotwicą wiarygodnego liczenia
Jeśli zapytać eksperta ds. bezpieczeństwa o pojedynczą najważniejszą rzecz, jaką wybory mogą zrobić, by były wiarygodne, odpowiedź zwykle brzmi jednym słowem: papier. Nie dlatego, że papier jest przestarzały lub nostalgiczny, lecz dlatego, że jest jedyną częścią systemu, której haker ani błąd oprogramowania nie mogą po cichu przepisać. Każde inne zabezpieczenie — audyty, ponowne liczenia, spory sądowe — ostatecznie opiera się na istnieniu fizycznego zapisu, z którym można porównać wynik.
Logika jest prosta. Liczenie komputerowe, samo w sobie, wymaga zaufania do komputera. Papierowy zapis zamienia zaufanie w weryfikację: ponieważ papier istnieje poza maszynami, można go porównać z ich wynikiem. Jeśli usunąć papier, każde dalsze zabezpieczenie traci oparcie, ponieważ nie pozostaje już nic niezależnego, z czym można porównać wynik elektroniczny.
Ta sama zasada przewija się przez jak liczone są głosy: bezpieczeństwo wynika z warstw, które można sprawdzić, a papier jest warstwą, od której zależy wszystko inne.
Dwa rodzaje papieru
„Ślad papierowy” obejmuje dwie powiązane, lecz odrębne rzeczy, a różnica ma znaczenie:
| Rodzaj | Jak głos jest rejestrowany | Pytanie weryfikacyjne |
|---|---|---|
| Papierowa karta do głosowania wypełniana ręcznie | Wyborca zaznacza papier bezpośrednio | Czy skaner prawidłowo odczytał zaznaczenia? |
| Urządzenie do oznaczania kart do głosowania (BMD) z wydrukiem | Maszyna drukuje na papierze wybory wyborcy | Czy wyborca sprawdził, że wydruk odpowiada jego intencji? |
Oba rozwiązania mogą zapewnić solidny ślad papierowy — ale tylko wtedy, gdy papier jest zweryfikowany przez wyborcę. To sformułowanie jest kluczowe. Wydruk, na który wyborca tylko pobieżnie spojrzał albo którego w ogóle nie widział, nie jest naprawdę zweryfikowany: błąd lub manipulacja między ekranem a papierem mogłyby pozostać niezauważone. Zabezpieczenie działa tylko wtedy, gdy człowiek potwierdził, że papier odzwierciedla jego wybory.
Niezależność od oprogramowania
Formalna nazwa tej zasady to niezależność od oprogramowania: niewykryty błąd lub usterka w oprogramowaniu wyborczym nie powinny być w stanie spowodować niewykrywalnej zmiany wyniku wyborów. To właśnie zapewnia papier. Jeśli oprogramowanie zliczy błędnie — wskutek błędu albo ataku — papierowy zapis można policzyć ręcznie, a rozbieżność ujawnić.
To zmienia perspektywę całego lęku „a co, jeśli maszyny zostały zhakowane?”. W systemie bez papieru pytanie pozostaje bez odpowiedzi, i właśnie dlatego podważa zaufanie. W systemie opartym na papierze odpowiedź jest konkretna: policzyć papier. Konsensus ekspertów, w tym przełomowy przegląd U.S. National Academies, jest więc jednoznaczny — używać papierowych kart do głosowania czytelnych dla człowieka i wycofywać maszyny bez papieru.
Co umożliwia ślad papierowy
Papier nie jest samym zabezpieczeniem; jest tym, co sprawia, że zabezpieczenia są możliwe. Stanowi podstawę dla:
- Ponownych liczeń — przeliczenia fizycznych kart, gdy różnica jest niewielka lub wynik jest kwestionowany.
- Audytów — ręcznego sprawdzania próby papierowych kart względem ogłoszonych sum, aby potwierdzić wynik.
- Kontroli łańcucha przekazania — uzgadniania liczby papierowych kart z liczbą zarejestrowanych wyborców.
Żadne z tych działań nie jest możliwe bez wiarygodnego fizycznego zapisu. Papier jest surowcem, z którego wykonuje się każdą kontrolę.
Gdy nie ma papieru
Wartość śladu papierowego najdobitniej widać tam, gdzie go brakuje. Dwa przypadki pokazują dwa sposoby, w jakie do tego dochodzi.
- Maszyny bez papieru. Tam, gdzie głosy oddaje się w czysto elektronicznych systemach, które nie tworzą papierowego zapisu, spornego wyniku nie da się w ogóle niezależnie zweryfikować — po prostu nie ma czego ponownie liczyć. Dlatego w demokracjach obserwuje się tendencję do wycofywania takich systemów.
- Ukryte zapisy. Papier (lub jego odpowiednik) może istnieć, a mimo to pozostawać ukryty. W Białorusi w 2020 władze nie opublikowały protokołów na poziomie komisji, więc oficjalnego wyniku nie można było porównać z podstawowymi zapisami. Ślad papierowy, którego nikt nie ma prawa sprawdzić, nie daje żadnej pewności.
Ślad papierowy w praktyce
Pozytywny przykład jest równie konkretny. Po zamknięciu wyniku 2020 w Georgia urzędnicy przeprowadzili pełne ręczne liczenie każdej papierowej karty do głosowania. Ponieważ dla każdego głosu istniał papierowy zapis zweryfikowany przez wyborcę, ręczne liczenie można było bezpośrednio porównać z wynikiem maszynowym — i zgadzało się ono w granicach zwykłego błędu ludzkiego. Ślad papierowy przekształcił wybuchowe twierdzenie „maszyny zostały zhakowane” w pytanie z odpowiedzią, którą można sprawdzić, a ostatecznie uznać za uspokajającą.
Na tym właśnie polega sens zachowania papieru. Nie zakłada on, że maszyny są wiarygodne, ani że nie są — sprawia, że odpowiedź jest weryfikowalna w obu przypadkach. A narzędziem, które dokonuje tej weryfikacji, sprawnie i na dużą skalę, jest audyt wyborczy.