Бумажный аудитный след для проверки голосов избирателей

Введение

Метод предоставления обратной связи избирателям

Подтверждаемая избирателями бумажная аудиторская тропа (VVPAT) или проверенная бумажная запись (VPR) – это метод предоставления обратной связи избирателям при использовании системы голосования без бюллетеней. VVPAT предназначена как независимая система проверки для машин для голосования, позволяющая избирателям удостовериться в правильности регистрации их голоса, выявлять возможные фальсификации или сбои в работе избирательной системы и обеспечивать возможность аудита сохраненных электронных результатов. Она содержит имя кандидата (за которого был отдан голос) и символ партии/индивидуального кандидата. Хотя использование VVPAT в Соединенных Штатах увеличилось по сравнению с системами голосования без бюллетеней, не оснащенными ей, маловероятно, что она превзойдет бумажные бюллетени, заполняемые вручную. VVPAT предлагает ряд принципиальных отличий как бумажный, а не электронный носитель информации при хранении голосов. Бумажную VVPAT можно прочитать человеческим глазом, и избиратели могут непосредственно интерпретировать свой выбор. Компьютерная память требует устройства и программного обеспечения, которые потенциально являются проприетарными. Записи о голосовании, сохраненные на небезопасных машинах, могут быть быстро изменены без обнаружения самой машиной. Машинам для голосования было бы сложнее искажать записи без вмешательства человека. Неисправные или скомпрометированные машины для голосования могут незаметно сохранять голоса, отличные от тех, которые имел в виду избиратель. VVPAT позволяет избирателям удостовериться, что их голоса были зарегистрированы правильно, и служит дополнительным барьером против изменения или уничтожения голосов. VVPAT включает в себя систему электронного голосования с прямой записью (DRE) для гарантии избирателям, что их голоса были зафиксированы в соответствии с их намерением. Она рассматривается, а некоторыми считается необходимой, как средство обнаружения фальсификаций и неисправностей оборудования. В зависимости от избирательного законодательства бумажная аудиторская тропа может являться юридически действительным бюллетенем и, следовательно, обеспечивать возможность ручного пересчета голосов в случае необходимости. Решение было впервые продемонстрировано (Нью-Йорк, март 2001 г.) и использовано (Сакраменто, Калифорния, 2002 г.) компанией AVANTE International Technology, Inc.

В системах голосования без использования бюллетеней – как в механических машинах для голосования, так и в машинах для голосования DRE – избиратель не имеет возможности просмотреть материальный бюллетень для подтверждения того, что система голосования точно зафиксировала его намерение. Кроме того, избирательный чиновник не может вручную пересчитать бюллетени в случае возникновения спора. В связи с этим критики утверждают, что возрастает риск фальсификации выборов или сбоев, и эксперты по безопасности, такие как Брюс Шнайер, потребовали внедрения подтверждаемых избирателями бумажных аудиторских троп. Системы голосования без использования бюллетеней позволяют проводить только пересчет "сохраненных голосов". Эти "сохраненные голоса" могут не отражать истинное намерение избирателя, если машина была скомпрометирована или вышла из строя. Основным препятствием для внедрения бумажных аудиторских троп является эффективность и авторитет аудита. Системы аудита на бумаге увеличивают стоимость электронных систем голосования, могут быть сложными в реализации, часто требуют специализированного внешнего оборудования и могут быть сложными в использовании. В Соединенных Штатах 27 штатов требуют наличия бумажной аудиторской тропы в соответствии с законом или нормативными актами для всех машин электронного голосования с прямой записью, используемых на публичных выборах. Еще 18 штатов не требуют этого, но используют их либо на уровне штата, либо в местных юрисдикциях. В пяти штатах США практически отсутствует бумажная аудиторская тропа. В Индии система подтверждаемой избирателями бумажной аудиторской тропы (VVPAT) была внедрена в 8 из 543 парламентских округов в качестве пилотного проекта на всеобщих выборах 2014 года. VVPAT была внедрена в избирательных округах Лакхнау, Гандинагар, Бангалор Юг, Ченнаи Центральный, Джадавпур, Райпур, Патна Сахиб и Мизорам. Подтверждаемая избирателями бумажная аудиторская тропа впервые была использована на выборах в Индии в сентябре 2013 года в Ноксене (законодательный округ) в штате Нагаленд. VVPAT вместе с электронными голосовочными машинами (EVM) была использована в широком масштабе впервые в Индии, в 10 из 40 законодательных округов на выборах в Законодательное собрание штата Мизорам в 2013 году. VVPAT, установленная в EVM, была использована во всем штате Гоа на выборах в законодательное собрание в 2017 году, что стало первым случаем внедрения VVPAT во всем штате Индии. Система подтверждаемой избирателями бумажной аудиторской тропы (VVPAT), позволяющая электронным голосовочным машинам регистрировать каждый отданный голос путем генерации квитанции EVM, была внедрена во всех 543 избирательных округах Лок Сабха на всеобщих выборах в Индии 2019 года.

In non document ballot voting systems – both mechanical voting machines and DRE voting machines – the voter does not have an option to review a tangible ballot to confirm the voting system accurately recorded his or her intent. In addition, an election official is unable to manually recount ballots in the event of a dispute. Because of this, critics claim there is an increased chance for electoral fraud or malfunction and security experts, such as Bruce Schneier, have demanded voter verifiable paper audit trails. Non document ballot voting systems allow only a recount of the "stored votes". These "stored votes" might not represent the correct voter intent if the machine has been corrupted or suffered malfunction. A fundamental hurdle in the implementation of paper audit trails is the performance and authority of the audit. Paper audit systems increase the cost of electronic voting systems, can be difficult to implement, often require specialized external hardware, and can be difficult to use. In the United States, 27 states require a paper audit trail by statute or regulation for all direct recording electronic voting machines used in public elections. Another 18 states do not require them but use them either statewide or in local jurisdictions. Five US states basically have no paper trail. In India, the voter verifiable paper audit trail (VVPAT) system was introduced in 8 of 543 parliamentary constituencies as a pilot project in 2014 Indian general election. VVPAT was implemented in Lucknow, Gandhinagar, Bangalore South, Chennai Central, Jadavpur, Raipur, Patna Sahib and Mizoram constituencies. Voter verifiable paper audit trail was first used in an election in India in September 2013 in Noksen (Assembly Constituency) in Nagaland. VVPAT along with EVMs was used on a large scale for the first time in India, in 10 assembly seats out of 40 in 2013 Mizoram Legislative Assembly election. VVPAT fitted EVMs was used in entire Goa state in the 2017 assembly elections, which was the first time that an entire state in India saw the implementation of VVPAT. voter verified paper audit trail (VVPAT) system which enables electronic voting machines to record each vote cast by generating the EVM slip, was introduced in all 543 Lok sabha constituencies in 2019 Indian general election.

История

Когда избиратель голосует на машине с прямой записью голосов, он "не получает через органы чувств подтверждения того, что его голос был учтен. Максимум, что можно сказать, это то, что если машина работала должным образом, то он проголосовал". Это наблюдение было сделано Горацио Роджерсом в 1897 году, и оно остается актуальным для машин для голосования DRE, как и для ранних механических машин для голосования, о которых говорил Роджерс. В 1899 году Джозеф Грей решил эту проблему, разработав механическую машину для голосования, которая одновременно регистрировала голоса в своем механизме и делала отметки на бумажном бюллетене, который избиратель мог проверить перед помещением его в урну. Грей объяснил, что "таким образом мы получаем механическую проверку бюллетеней, а бюллетень, в свою очередь, является проверкой счетчика голосов". Эта проверка эффективна, разумеется, только при наличии аудита для сопоставления бумажных и механических записей. Идея создания параллельного бумажного следа для машины с прямой записью голосов оставалась невостребованной в течение столетия, пока Ребекка Меркури не "переоткрыла" её в 1992 году, предложив по сути ту же самую идею. Метод Меркури, как его иногда называют, был доработан в её докторской диссертации, защищенной в октябре 2000 года; в окончательной версии бумажная запись печатается за стеклом, чтобы избиратель не мог её забрать или изменить. Первыми коммерческими системами голосования, оснащенными принтерами для создания проверяемого бумажного следа, были Avante Vote Trakker и модернизированная Sequoia AVC Edge под названием VeriVote Printer. Система Avante впервые была использована в 2002 году, а в 2003 году штат Невада обязал использовать технологию VVPAT по всему штату и внедрил систему Sequoia. Стоит отметить, что в конструкции Avante защитный экран, предотвращающий изъятие бумажной записи избирателем, был добавлен позднее, в то время как в конструкции Sequoia записи последовательных избирателей печатались последовательно на одном рулоне бумаги.

Применение

Для реализации бумажного аудиторного следа могут использоваться различные технологии. Подключение принтера к машинам для непосредственной записи электронных голосов (DRE), печатающим бумажные записи, хранящиеся в устройстве. В таких конструкциях запись обычно представляется избирателю за прозрачной поверхностью, чтобы он мог убедиться, что печатная копия соответствует электронному бюллетеню. Эти записи можно подсчитать вручную и сравнить с общим числом электронных голосов в случае возникновения споров. Решение, связывающее изображения электронных бюллетеней и проверенную избирателем бумажную запись с уникальным идентификатором сеанса голосования, сгенерированным случайным образом, защищено выданными и находящимися на рассмотрении патентами. Подключение принтера к машинам для голосования DRE, печатающим бумажные записи на специальной бумаге с элементами защиты. Напечатанная страница содержит запись в виде обычного текста и простой штрих-код, отражающий выбор избирателя. Эта страница является официальным бюллетенем, который затем подается через сканер в запертый ящик для голосования, чтобы сохранить все оригиналы на случай пересчета или аудита. Электронная запись с DRE сравнивается с данными сканера штрих-кода, и в случае расхождений для определения официального результата используются бумажные бюллетени, а не электронная запись. Избиратель имеет возможность проверить бюллетень перед помещением его в сканер/ящик и аннулировать его в случае ошибки, как это всегда было возможно в существующих системах ручного голосования. Подключение принтера к машинам для голосования DRE, печатающим зашифрованную квитанцию, которую избиратель может сохранить или которая хранится в устройстве. Если квитанция сохраняется, ее можно подсчитать вручную и сравнить с общим числом электронных голосов в случае спора. Эти системы не использовались на выборах в Соединенных Штатах. Создание зашифрованного аудиторного следа одновременно с созданием электронного бюллетеня в машине для голосования DRE – форма системы свидетелей. В случае спора к аудиторному следу можно получить доступ и сравнить его с общим числом электронных голосов. Использование оптических сканеров или табуляторов с датчиками отметки вместо DRE. В этой простой и экономичной системе избиратели заполняют бумажные бюллетени, которые затем подсчитываются в электронном виде табулятором на избирательном участке, подобно технологии, используемой для оценки стандартизированных тестов. Оптические сканеры используются десятилетиями и по умолчанию обеспечивают проверенный избирателем аудиторный след. Табуляторы могут обнаруживать переполнение бюллетеней на избирательном участке, чтобы предоставить избирателю возможность исправить испорченный бюллетень. Системы, позволяющие избирателям доказывать, как они проголосовали, не соответствуют общепринятому определению тайного голосования, поскольку такое доказательство повышает риск запугивания избирателей и купли-продажи голосов. Поэтому системы, допускающие такое доказательство, обычно запрещены в соответствии с условиями многочисленных международных соглашений и национального законодательства. Профессор Ави Рубин выступил перед Комитетом Палаты представителей США по административным вопросам Палаты представителей в поддержку систем голосования, использующих бумажные бюллетени, и против систем, использующих модернизированные устройства VVPAT. Он заявил в своем личном блоге, что «после четырех лет изучения этого вопроса я теперь считаю, что DRE с VVPAT не является разумной системой голосования». Аудируемая система, такая как предоставляемая VVPAT, может использоваться при случайных пересчетах для выявления возможных неисправностей или мошенничества. При использовании метода VVPAT бумажный бюллетень может рассматриваться как официальный бюллетень. В этом сценарии бюллетень является основным, а электронные записи используются только для первоначального подсчета или, в некоторых случаях, если VVPAT поврежден или нечитаем. При любых последующих пересчетах или оспариваниях для подсчета будет использоваться бумажный, а не электронный бюллетень. Когда бумажная запись служит законным бюллетенем, эта система будет подвергаться тем же преимуществам и проблемам, что и любая система бумажного голосования. Мэтт Куинн, разработчик оригинальной австралийской системы DRE, считает, что в будущем должно быть: «Нет причин, по которым избиратели должны доверять системе, в которой этого нет, и их не следует об этом спрашивать. Почему на земле [избирателям] нужно доверять мне – человеку, заинтересованному в успехе проекта? Проверенный избирателем аудиторный след – единственный способ «доказать» целостность системы подавляющему большинству избирателей, которые, в конце концов, владеют демократией». В Индии в одном случае VVPAT помог разрешить проблему с подсчетом голосов в Канчипураме (избирательный округ штата) на выборах в Законодательное собрание Тамилнаду в 2016 году, поскольку количество голосов, внесенных в форму 17C избирательного участка, не совпало с общим числом голосов, зарегистрированных в устройстве контроля EVM этого участка. В июне 2018 года Избирательная комиссия Индии представила встроенный козырек над датчиком контрастности и рулоном бумаги, который не впитывает влагу, во всех VVPAT, чтобы защитить его от избыточного света и тепла. В случае расхождений между информацией на VVPAT и EVM пересчитываются бумажные квитанции с соответствующего избирательного участка. Если расхождение сохраняется, подсчет, установленный бумажными квитанциями VVPAT, имеет преимущественную силу над подсчетом голосов, зарегистрированным на EVM.

Various technologies can be used to implement a paper audit trail. Attachment of a printer to direct recording electronic (DRE) voting machines that print paper records stored within the machine. Such designs usually present the record to the voter behind a transparent surface to enable a voter to confirm a printed record matches the electronic ballot. The records can be manually counted and compared to the electronic vote totals in the event of a dispute. The solution linking electronic ballot images and the voter verified paper record with randomly generated unique voting session identifier is covered by patents issued and pending. Attachment of a printer to DRE voting machines that print paper records on special paper with security features. The printed page contains both a plain text record and a simple barcode of the voter's selections. This page is the official ballot that is then fed through a scanner into a locked ballot box so that all originals are saved in case of the need for a recount or audit. The electronic record from the DRE is compared with the barcode scanner record and in case of any discrepancy, the paper ballots are used to determine the official vote, not the electronic record. The voter has the ability to proofread the ballot before it is placed into the scanner/lockbox and have it voided if there is any error, just as has always been possible with existing manual voting systems. Attachment of a printer to DRE voting machines that print an encrypted receipt that is either retained by the voter or stored within the machine. If the receipt is retained, the receipts can be manually counted and compared to the electronic vote totals in the event of a dispute. These systems have not been used in elections in the United States. Creation of an encrypted audit trail at the same time the electronic ballot is created in a DRE voting machine, a form of witness system. The audit trail can be accessed and compared to the electronic vote totals in the event of a dispute. Use of precinct based optical scan or mark sense tabulators instead of DREs. In this simple and cost effective system, voters fill out paper ballots which are then counted electronically by a tabulator at the precinct, similar to the technology used to score standardized tests. Optical scan machines have been in use for decades, and provide a voter verified audit trail by default. Tabulators can detect overvotes at the poll so that the voter can be given the opportunity to correct a spoiled ballot. Systems that allow the voters to prove how they voted do not conform to the generally accepted definition of voting by secret ballot, as such proof raises the risk of voter intimidation and vote selling. As such, systems that allow such proof are generally forbidden under the terms of numerous international agreements and domestic laws. Professor Avi Rubin has testified in front of the United States House Committee on House Administration in favor of voting systems that use a paper ballot and disfavoring systems that use retrofitted VVPAT attachments. He has said on his personal blog that "after four years of studying the issue, I now believe that a DRE with a VVPAT is not a reasonable voting system." An auditable system, such as that provided with VVPAT, can be used in randomized recounts to detect possible malfunction or fraud. With the VVPAT method, the paper ballot can be treated as the official ballot of record. In this scenario, the ballot is primary and the electronic records are used only for an initial count or, in some cases, if the VVPAT is damaged or otherwise unreadable. In any subsequent recounts or challenges the paper, not the electronic ballot, would be used for tabulation. Whenever a paper record serves as the legal ballot, that system will be subject to the same benefits and concerns of any paper ballot system. Matt Quinn, the developer of the original Australian DRE system, believes that in the future there should be a, "There's no reason voters should trust a system that doesn't have it, and they shouldn't be asked to. Why on earth should [voters] have to trust me – someone with a vested interest in the project's success? A voter verified audit trail is the only way to 'prove' the system's integrity to the vast majority of electors, who after all, own the democracy." In India, in an instance VVPAT was helpful in resolving an issue pertaining to a tally of votes in Kancheepuram (State Assembly Constituency) in 2016 Tamil Nadu Legislative Assembly election as the number of votes entered in the Form 17C of a polling booth and the total number of votes recorded in the EVM control unit of that booth did not tally. In June 2018, Election Commission of India introduced a built in hood on top of the contrast sensor and paper roll that does not soak humidity in all VVPATs to prevent it from excess light and heat. In case of a discrepancy between the information on VVPATs and the EVMs, the paper slips of the particular polling station in question are recounted. If the discrepancy persists, the count established by the VVPAT paper slips prevails over the vote count registered on the EVMs.

Удобство использования и эргономические проблемы

Для избирателя печатная копия представляет собой "информацию в другом формате, чем бюллетень, расположенную в другом месте, проверяемую в другое время и имеющую иную графическую компоновку с различными параметрами контрастности и освещения". В ноябре 2003 года в Уилтоне, штат Коннектикут, практически всех избирателей пришлось инструктировать, чтобы они нашли и проверили свою квитанцию, что увеличило время, необходимое для голосования, и нагрузку на членов избирательной комиссии. VVPAT усложняет процесс голосования, который и так является сдерживающим фактором для участия в выборах, что не осознавали избиратели, не имевшие возможности проверить бумажный след. В своем итоговом отчете комиссия по пересмотру выборов округа Куяхога предложила убрать непрозрачные дверцы, закрывающие VVPAT, за исключением тех, которые оборудованы для избирателей с нарушениями зрения. В целом, сбор и подсчет этих печатных копий может быть затруднительным. В 2007 году Джим Кропчо и Джеймс Мойер провели и обнародовали экспериментальное подтверждение этой теории. Через запрос доступа к общественным записям они извлекли данные об идентификации избирателей из списков избирателей и предпочтения избирателей из VVPAT для избирательного участка округа Делавэр, штат Огайо, с несколькими машинами для голосования. Поскольку оба набора данных независимо фиксировали порядок подачи электронных бюллетеней, они напрямую связали идентификационные данные избирателя с его выбором. Под угрозой оказалось более 1,4 миллиона зарегистрированных избирателей в десяти округах Огайо. Ситуация была урегулирована до следующих выборов путем исключения последовательных номеров с удостоверений на голосование из списков избирателей. Однако аналогичные уязвимости могут сохраняться и в других штатах.

Проблемы с эффективностью

Также проблематично, что избиратели не обязаны фактически проверять бумажную контрольную ленту перед подачей бюллетеня, что критически важно для подтверждения достоверности голосования. Хотя возможность ознакомиться с бумажной копией может успокоить отдельного избирателя, система VVPAT не обеспечивает эффективного контроля над неисправностями или фальсификациями, если в проверке не участвует статистически значимое число избирателей.

Проблемы с доступностью

Нынешние системы VVPAT недоступны для некоторых избирателей с инвалидностью. Сенатор Кристофер Додд (Д-КТ) дал показания перед Комитетом Сената США по правилам и администрации на слушаниях в июне 2005 года, посвященных проверке голосов на федеральных выборах: "Слепые не могут проверить свой выбор, используя только бумажный носитель, таким образом, чтобы это было одновременно независимо и конфиденциально. Также человек с нарушением опорно-двигательного аппарата, например, с ограниченной подвижностью рук, не сможет самостоятельно проверить бумажный носитель, если ему потребуется поднять и держать его в руках".

Юридические вопросы

Один из важных вопросов, связанных с системами VVPAT, касается времени проведения аудита. Некоторые предлагают проводить случайные проверки машин для электронного голосования с прямой записью в день выборов для защиты от сбоев в работе машин. Однако частичный подсчет голосов до закрытия избирательных участков может создать проблему, аналогичную той, что возникает на всеобщих выборах в США, когда победитель объявляется на основании результатов с Восточного побережья задолго до закрытия участков на Западном побережье. Кроме того, частичный подсчет голосов до закрытия избирательных участков может быть незаконным в некоторых юрисдикциях. Другие предлагают проводить случайные проверки машин для электронного голосования с прямой записью после выборов или только в случае возникновения споров. Если аудит проводится после выборов и обнаруживается расхождение между подсчетом бюллетеней и результатами аудита, то неясно, какой подсчет считать достоверным. В некоторых юрисдикциях законодательно установлено, что авторитетным считается подсчет бюллетеней, что ставит под вопрос роль аудита. Поскольку VVPAT – относительно новое дополнение к системам прямого голосования, вопрос об авторитетности результатов остается нерешенным.