Хранение — это непрерывная подотчётность, а не сейф
Когда люди беспокоятся о том, что происходит с их бюллетенем после того, как они опускают его в урну, они обычно представляют себе один уязвимый момент — запертую комнату, в которую кто-то может ночью проникнуть. Реальная безопасность бюллетеней устроена совсем иначе. Это не один сейф; это непрерывная цепочка документированных передач, и её сила основана на записи, а не на секретности.
Каждый раз, когда бюллетени переходят из рук в руки или меняют место хранения, происходят три вещи: кто-то расписывается за них, номера пломб фиксируются, и количество заносится в журнал. Если соединить достаточно таких звеньев, получается след, в котором любое вмешательство — добавление, изъятие или подмена бюллетеня — должно нарушить номер пломбы, подделать подпись или исказить итог, который кто-то уже записал. В этом и состоит вся идея. Хранение не пытается сделать вмешательство невозможным. Оно делает вмешательство видимым.
Та же логика лежит в основе того, как национальный результат складывается из местных подсчётов: безопасность обеспечивается многоуровневыми, наблюдаемыми шагами, а не одним доверенным органом.
Что на самом деле делает пломба
Пломба, позволяющая выявить вскрытие, — это пронумерованная одноразовая лента или замок, который нельзя снять и установить повторно без видимых повреждений. Сама по себе пломба — небольшая вещь. Её значение возникает из записи: номер пломбы вносится в журнал хранения, журнал заверяется второй подписью, и с этого момента физическая пломба и бумажная запись должны совпадать.
Следовательно, пломба не останавливает решительного злоумышленника, который хочет открыть ящик. Она гарантирует другое: если он это сделает, номер на ящике больше не будет совпадать с номером в журнале — а такое расхождение является задокументированной аномалией, которую должностные лица и наблюдатели специально обучены выявлять.
| Контроль | Что он делает | Как выглядит нарушение |
|---|---|---|
| Пронумерованные пломбы, позволяющие выявить вскрытие | Связывают физический контейнер с зафиксированным номером | Номер пломбы на ящике ≠ номер пломбы в журнале |
| Принцип двух лиц | Ни один должностной лицо не остаётся с бюллетенями в одиночку | Передача с одной подписью |
| Журнал хранения / форма передачи | Фиксирует, кто держал бюллетени, когда и под какой пломбой | Временной разрыв без зарегистрированного хранителя |
| Сверка | Сопоставляет бюллетени с зарегистрированными избирателями | Бюллетеней больше, чем избирателей, или меньше |
| Доступ наблюдателей | Независимые глаза следят за бюллетенями | Наблюдателей не допускают в помещение или удаляют из него |
Числа должны сходиться
Самый тихий и самый действенный контроль хранения — это арифметика. До подсчёта бюллетеней должностные лица проводят сверку: число бюллетеней должно совпадать с числом избирателей, зафиксированных в списке избирателей, число выданных бюллетеней должно совпадать с числом возвращённых и испорченных, а при голосовании по почте число бюллетеней должно соответствовать числу действительных возвратных конвертов.
Нарушение цепочки хранения почти всегда сначала проявляется именно здесь, как расхождение при сверке. Поэтому серьёзная манипуляция с бумажными бюллетенями так трудна: нельзя просто добавить пачку бюллетеней в ящик, потому что тогда их число превысит число лиц, зарегистрированных как проголосовавшие, а именно такое несоответствие и призван выявить этап проверки и сверки.
Два реальных теста: когда цепочка сохраняется и когда она блокируется
Ценность хранения легче всего увидеть, сравнив два выборных процесса, в которых оно пошло по противоположным траекториям.
Georgia, United States, 2020. После близкого результата штат провёл полный ручной пересчёт каждого бумажного бюллетеня. Поскольку цепочка хранения сохранила целостный бумажный след — один физический бюллетень на каждый голос — машинный подсчёт можно было напрямую сверить с бумагой, и он совпал в пределах обычной человеческой ошибки. Федеральные должностные лица, отвечающие за безопасность выборов, назвали эти выборы самыми безопасными в истории American history и заявили, что нет доказательств того, что какая-либо система голосования изменила голоса. В этом и состоит глубинная причина, по которой утверждение о том, что машины для голосования тайно подменили голоса, не выдерживает проверки: бумага существовала, хранение было обеспечено, и оба результата совпали.
Belarus, 2020. Противоположный случай. Власти не опубликовали протоколы результатов на уровне участков, а независимые наблюдатели фактически были отстранены — избирательный орган OSCE не был приглашён заблаговременно для наблюдения. Когда цепочка остаётся непрозрачной сверху донизу, официальный результат, давший действующему президенту около 80% не мог быть независимо проверен. Обратите внимание, в чём была проблема: не в конкретной доказанной подмене, а в отсутствии проверяемой цепочки. Когда хранение скрыто, проверка становится невозможной — и именно эта непрозрачность сама по себе является тревожным сигналом.
Как понять, сохранилась ли цепочка
Чтобы оценить, заслуживает ли доверия цепочка хранения бюллетеня, не обязательно быть должностным лицом. Нужно спросить, построена ли система так, чтобы её можно было проверить:
- Публикуются ли процедуры хранения заранее, до того, как кто-либо узнает, кто победил?
- Фиксируются ли номера пломб и проводится ли их сверка, а не просто их установка?
- Могут ли независимые наблюдатели от конкурирующих сторон следить за бюллетенями?
- Публикуются ли данные сверки — бюллетени против избирателей — чтобы посторонние могли пересчитать их?
- Сохраняются ли бюллетени достаточно долго для пересчётов, аудитов с ограничением риска и судебных оспариваний?
Если ответы положительные, утверждение о тайном, невыявляемом вмешательстве в бюллетени должно объяснить, как оно обошло все эти уровни сразу. Если ответы отрицательные, правильная реакция — не предполагать мошенничество, а рассматривать отсутствующую цепочку как то, что прежде всего нуждается в исправлении.