Почему бумага — это опора заслуживающего доверия подсчёта
Спросите специалиста по безопасности, что является единственной наиболее важной вещью, которую выборы могут сделать, чтобы быть заслуживающими доверия, и ответ обычно будет состоять из одного слова: бумага. Не потому, что бумага устарела или вызывает ностальгию, а потому, что это та часть системы, которую хакер или программная ошибка не могут незаметно переписать. Все остальные меры защиты — аудиты, пересчёты, судебные оспаривания — в конечном счёте опираются на наличие физического учёта, с которым можно свериться.
Логика проста. Подсчёт на компьютере сам по себе требует доверять компьютеру. Бумажный учёт превращает доверие в проверку: поскольку бумага существует вне машин, машины можно сверять с ней. Уберите бумагу — и все последующие меры защиты теряют опору, потому что не остаётся ничего независимого, с чем можно сравнить электронный результат.
Это тот же принцип, который проходит через как подсчитываются голоса: безопасность обеспечивается слоями, которые можно проверить, и бумага — это слой, от которого зависит всё остальное.
Два вида бумаги
«Бумажный след» охватывает две связанные, но разные вещи, и это различие имеет значение:
| Тип | Как фиксируется голос | Вопрос проверки |
|---|---|---|
| Бумажный бюллетень, заполненный вручную | Избиратель непосредственно отмечает бумагу | Правильно ли сканер прочитал отметки? |
| Устройство для маркировки бюллетеней (BMD) с распечаткой | Машина печатает на бумаге выбор избирателя | Проверил ли избиратель, что распечатка соответствует его намерению? |
Оба варианта могут обеспечить надёжный бумажный след — но только если бумага проверена избирателем. Именно в этом суть. Распечатка, которую избиратель лишь бегло просматривает или вовсе не видит, по-настоящему не проверена: ошибка или вмешательство между экраном и бумагой могут остаться незамеченными. Эта мера защиты работает только в том случае, если человек подтвердил, что бумага отражает его выбор.
Независимость от программного обеспечения
Формальное название этого принципа — независимость от программного обеспечения: незамеченная ошибка или сбой в программном обеспечении для голосования не должны быть способны вызвать незаметное изменение результата выборов. Именно это обеспечивает бумага. Если программное обеспечение неверно подсчитает голоса — из-за ошибки или атаки — бумажный учёт можно пересчитать вручную, и расхождение станет очевидным.
Это по-новому формулирует весь страх «а что, если машины были взломаны?». В системе без бумаги этот вопрос не имеет ответа, и именно поэтому он подрывает доверие. В системе, основанной на бумаге, ответ конкретен: пересчитайте бумагу. Поэтому экспертный консенсус, включая знаковый обзор U.S. National Academies, однозначен — использовать бумажные бюллетени, читаемые человеком, и постепенно выводить из эксплуатации системы без бумаги.
Что позволяет бумажный след
Бумага сама по себе не является мерой защиты; она делает меры защиты возможными. Она лежит в основе:
- Пересчётов — повторного подсчёта физических бюллетеней, когда разрыв минимален или результат оспаривается.
- Аудитов — ручной сверки выборки бумажных бюллетеней с опубликованными итогами для подтверждения результата.
- Проверок цепочки хранения — сопоставления числа бумажных бюллетеней с числом зарегистрированных избирателей.
Ни одна из этих процедур невозможна без надёжного физического учёта. Бумага — это сырьё, из которого делается каждая проверка.
Когда бумаги нет
Ценность бумажного следа особенно очевидна там, где его нет. Два случая показывают, как это происходит.
- Системы без бумаги. Там, где голоса подаются через полностью электронные системы, не оставляющие бумажного учёта, оспариваемый результат вообще нельзя независимо проверить — для пересчёта просто нечего нет. Именно поэтому в демократических странах такие системы выводят из эксплуатации.
- Скрытые записи. Бумага (или её эквивалент) может существовать и при этом быть скрыта. В Belarus in 2020 власти не опубликовали протоколы по избирательным участкам, поэтому официальный результат нельзя было сверить с исходными записями. Бумажный след, который никому не разрешено проверять, не даёт никаких гарантий.
Бумажный след на практике
Положительный пример столь же конкретен. После завершения 2020 result in Georgia должностные лица провели полный ручной подсчёт каждого бумажного бюллетеня. Поскольку для каждого голоса существовал проверенный избирателем бумажный учёт, ручной подсчёт можно было напрямую сравнить с машинным итогом — и он совпал в пределах обычной человеческой ошибки. Бумажный след превратил взрывоопасное утверждение «машины были взломаны» в вопрос, на который можно дать проверяемый и в конечном счёте успокаивающий ответ.
В этом и состоит вся цель сохранения бумаги. Она не предполагает, что машины заслуживают доверия, и не предполагает обратного — она делает ответ проверяемым в любом случае. А инструмент, который обеспечивает такую проверку эффективно и в масштабах, — это избирательный аудит.