Чому папір є основою достовірного підрахунку
Запитайте фахівця з безпеки, яка одна річ є найважливішою для того, щоб вибори були достовірними, і відповідь зазвичай буде одним словом: папір. Не тому, що папір застарілий або ностальгійний, а тому, що це єдина частина системи, яку хакер або програмна помилка не можуть непомітно переписати. Усі інші запобіжники — аудити, перерахунки, судові оскарження — зрештою спираються на наявність фізичного запису, з яким можна звіритися.
Логіка проста. Комп’ютерний підрахунок сам по собі вимагає довіри до комп’ютера. Паперовий запис перетворює довіру на перевірку: оскільки папір існує поза межами машин, машини можна звірити з ним. Приберіть папір — і кожен наступний запобіжник втрачає опору, бо не залишається нічого незалежного, з чим можна порівняти електронний результат.
Це той самий принцип, що проходить крізь як підраховують голоси: безпека виникає з рівнів, які можна перевірити, а папір — це рівень, від якого залежить усе інше.
Два види паперу
"Паперовий слід" охоплює дві пов’язані, але різні речі, і ця різниця має значення:
| Тип | Як фіксується голос | Питання для перевірки |
|---|---|---|
| Паперовий бюлетень, заповнений вручну | Виборець безпосередньо робить позначки на папері | Чи правильно сканер прочитав позначки? |
| Пристрій для маркування бюлетенів (BMD) із роздруківкою | Машина друкує на папері вибір виборця | Чи перевірив виборець, що роздруківка відповідає його наміру? |
Обидва варіанти можуть забезпечити надійний паперовий слід — але лише якщо папір перевірений виборцем. Саме в цьому полягає суть. Роздруківка, на яку виборець лише побіжно глянув або яку взагалі не бачив, не є справді перевіреною: помилка або маніпуляція між екраном і папером може залишитися непоміченою. Запобіжник працює лише тоді, коли людина підтвердила, що папір відображає її вибір.
Незалежність від програмного забезпечення
Формальна назва цього принципу — незалежність від програмного забезпечення: непомічена помилка або збій у виборчому програмному забезпеченні не повинні мати змоги спричинити непомітну зміну результату виборів. Саме це забезпечує папір. Якщо програмне забезпечення неправильно підрахує голоси — через помилку або атаку — паперовий запис можна перерахувати вручну, і розбіжність стане очевидною.
Це змінює саму постановку питання "а що, як машини зламали?". У системі без паперу це питання не має відповіді, і саме тому воно підриває довіру. У системі на основі паперу відповідь конкретна: порахуйте папір. Тому консенсус експертів, зокрема знаковий огляд U.S. National Academies, є однозначним — використовувати паперові бюлетені, які може прочитати людина, і поступово виводити з експлуатації системи без паперу.
Що дає паперовий слід
Папір сам по собі не є запобіжником; він є тим, що робить запобіжники можливими. Він забезпечує:
- Перерахунки — повторний підрахунок фізичних бюлетенів, коли відрив невеликий або результат оскаржено.
- Аудити — ручну перевірку вибірки паперових бюлетенів порівняно з оприлюдненими підсумками, щоб підтвердити результат.
- Перевірки ланцюга зберігання — звірення кількості паперових бюлетенів із кількістю зареєстрованих виборців.
Жоден із цих механізмів неможливий без достовірного фізичного запису. Папір — це сировина, з якої роблять кожну перевірку.
Коли паперу немає
Цінність паперового сліду найочевидніша там, де його бракує. Два випадки показують два способи, як це відбувається.
- Машини без паперу. Там, де голоси подаються через суто електронні системи, які не зберігають паперового запису, спірний результат взагалі не можна незалежно перевірити — просто немає чого перераховувати. Саме тому в демократичних країнах такі системи поступово виводять з ужитку.
- Приховані записи. Папір (або його еквівалент) може існувати й водночас бути прихованим. У Belarus у 2020 влада не оприлюднила протоколи на рівні дільниць, тож офіційний результат не можна було звірити з первинними записами. Паперовий слід, який нікому не дозволено перевірити, не дає жодної гарантії.
Паперовий слід на практиці
Позитивний приклад не менш конкретний. Після завершення 2020 result in Georgia посадовці провели повний ручний підрахунок кожного паперового бюлетеня. Оскільки для кожного голосу існував перевірений виборцем паперовий запис, ручний підрахунок можна було безпосередньо порівняти з машинним підсумком — і він збігся в межах звичайної людської похибки. Паперовий слід перетворив вибухове твердження "машини зламали" на питання з перевірюваною і зрештою заспокійливою відповіддю.
У цьому й полягає вся суть збереження паперу. Воно не виходить із припущення, що машини є надійними, або що вони ненадійні, — воно робить відповідь перевірюваною в будь-якому разі. А інструмент, який виконує цю перевірку ефективно й у масштабі, — це виборчий аудит.