Системы сквозного аудита или сквозной проверки избирателей ( E2E ) — это системы голосования со строгими свойствами целостности и сильной устойчивостью к несанкционированному вмешательству . Системы E2E используют криптографические методы для предоставления избирателям квитанций, которые позволяют им проверить, что их голоса были подсчитаны как поданные, не раскрывая, каких кандидатов поддержал избиратель , внешней стороне. Таким образом, эти системы иногда называют системами на основе квитанций . [1]
Электронные системы голосования подсчитывают окончательные итоги голосов в ходе ряда этапов:
Классические подходы к честности выборов фокусируются на обеспечении безопасности каждого шага в отдельности, от намерения избирателя до окончательной суммы. Такие подходы, как правило, вышли из моды у разработчиков распределенных систем , поскольку эти локальные локальные фокусы могут упускать некоторые уязвимости, одновременно чрезмерно защищая другие. Альтернативой является использование сквозных мер, которые призваны демонстрировать честность всей цепочки. [2]
Всестороннее освещение честности выборов часто включает несколько этапов. Ожидается, что избиратели удостоверятся, что они отметили свои бюллетени так, как предполагалось, пересчеты или аудиты используются для защиты шага от отмеченных бюллетеней до итогов в урне для голосования, а публикация всех промежуточных итогов позволяет публично проверить, что общие итоги правильно суммируют итоги в урне для голосования. [3] Обычные схемы голосования не соответствуют этому стандарту и, как следствие, не могут окончательно доказать, что ни один голос не был подделан на каком-либо этапе; вместо этого избиратели и аудиторы должны убедиться, что каждый отдельный шаг полностью защищен, что может быть сложно и приводит к многочисленным точкам отказа . [4]
Хотя такие меры, как проверенные избирателями бумажные контрольные следы и ручной пересчет голосов, измеряют эффективность некоторых шагов, они предлагают лишь слабое измерение целостности физических или электронных урн для голосования. Бюллетени можно было бы изымать, заменять или на них можно было бы добавлять отметки без обнаружения (например, для заполнения недооцененных конкурсов голосами за желаемого кандидата или для переголосования и порчи голосов за нежелательных кандидатов). Этот недостаток побудил к разработке сквозных проверяемых систем голосования, обсуждаемых здесь, иногда называемых системами голосования E2E . Они пытаются охватить весь путь от попытки избирателя до итогов выборов всего двумя мерами:
В связи с важностью права на тайное голосование большинство схем голосования E2E также пытаются выполнить третье требование, называемое отсутствием необходимости в получении бюллетеня :
Первоначально считалось, что объединение обоих свойств невозможно. [5] Однако дальнейшие исследования показали, что эти свойства могут сосуществовать. [6] Оба свойства объединены в Руководящих принципах системы добровольного голосования 2005 года , обнародованных Комиссией по содействию выборам . [7] Это определение также преобладает в академической литературе. [8] [9] [10] [11]
Для решения проблемы вброса бюллетеней могут быть приняты следующие меры:
В качестве альтернативы утверждения о вбросе бюллетеней могут быть проверены извне путем сравнения количества имеющихся бюллетеней с числом зарегистрированных избирателей, зарегистрированных как проголосовавшие, а также путем проверки других аспектов системы регистрации и доставки бюллетеней.
Поддержка сквозного аудита, основанная на предыдущем опыте его использования при очных выборах, также рассматривается многими экспертами как необходимое условие для удаленного голосования через Интернет . [12]
В 2004 году Дэвид Чаум предложил решение, которое позволяет каждому избирателю проверить, что его голоса поданы надлежащим образом и что голоса точно подсчитаны с помощью визуальной криптографии . [13] После того, как избиратель выбирает своих кандидатов, машина для голосования распечатывает специально отформатированную версию бюллетеня на двух прозрачных пленках. Когда слои накладываются друг на друга, они показывают голос, читаемый человеком. Однако каждая прозрачная пленка зашифрована с помощью формы визуальной криптографии, так что она сама по себе не раскрывает никакой информации, если она не расшифрована. Избиратель выбирает один слой для уничтожения на голосовании. Машина для голосования сохраняет электронную копию другого слоя и выдает физическую копию в качестве квитанции, чтобы позволить избирателю подтвердить, что электронный бюллетень не был впоследствии изменен. Система обнаруживает изменения в бюллетене избирателя и использует процедуру дешифрования смешанной сети [14] для проверки того, правильно ли подсчитан каждый голос. Састри, Карлофф и Вагнер указали, что существуют проблемы с обоими криптографическими решениями Чаума и VoteHere. [15]
Команда Чаума впоследствии разработала Punchscan , который обладает более высокими свойствами безопасности и использует более простые бумажные бюллетени. [16] Голосование проводится по бумажным бюллетеням, а затем часть бюллетеня, обеспечивающая конфиденциальность, сканируется оптическим сканером.
Система Prêt à Voter , изобретенная Питером Райаном, использует перетасованный порядок кандидатов и традиционную смешанную сеть . Как и в Punchscan, голоса подаются на бумажных бюллетенях, а часть бюллетеня сканируется.
Система Scratch and Vote, изобретенная Беном Адидой, использует стираемую поверхность для сокрытия криптографической информации, которая может быть использована для проверки правильности печати бюллетеня. [17]
Протокол голосования ThreeBallot , изобретенный Роном Ривестом , был разработан для предоставления некоторых преимуществ криптографической системы голосования без использования криптографии. В принципе, его можно реализовать на бумаге, хотя представленная версия требует электронного верификатора.
Системы Scantegrity и Scantegrity II обеспечивают свойства E2E. Вместо того, чтобы заменять всю систему голосования, как это было во всех предыдущих примерах, она работает как дополнение к существующим системам оптического сканирования голосования, производя обычные бумажные бюллетени, проверяемые избирателями, подходящие для аудитов, ограничивающих риск . Scantegrity II использует невидимые чернила и была разработана командой, в которую входили Чаум, Ривест и Райан.
Система STAR-Vote [18] была определена для округа Трэвис, пятого по численности населения округа в Техасе, где находится столица штата Остин. [19] Она иллюстрирует другой способ объединения системы E2E с традиционно проверяемыми бумажными бюллетенями, произведенными в этом случае устройством для маркировки бюллетеней . [20] В 2016 году проект подготовил подробную спецификацию и запрос предложений , и были получены заявки на все компоненты, но ни один существующий подрядчик с сертифицированным голосованием EAC не был готов адаптировать свою систему для работы с новыми криптографическими компонентами с открытым исходным кодом, как того требовал запрос предложений. [21] [22]
Основываясь на опыте STAR-Vote, Джош Беналох из Microsoft руководил проектированием и разработкой ElectionGuard, программного обеспечения , которое можно объединить с существующими системами голосования для добавления поддержки E2E. Система голосования интерпретирует выбор избирателя, сохраняет их для дальнейшей обработки, затем вызывает ElectionGuard, который шифрует эти интерпретации и печатает квитанцию для избирателя. Квитанция имеет номер, который соответствует зашифрованной интерпретации. Затем избиратель может дезавуировать бюллетень ( испортить его ) и проголосовать снова. Позже независимые источники, такие как политические партии, могут получить файл пронумерованных зашифрованных бюллетеней и суммировать различные конкурсы в зашифрованном файле, чтобы увидеть, соответствуют ли они итогам выборов. Избиратель может спросить эти независимые источники, есть ли в файле номер(а) на квитанции(ах) избирателя. Если достаточное количество избирателей проверит, есть ли их номера в файле, они обнаружат, были ли пропущены бюллетени. Избиратели могут получить расшифрованное содержимое своих испорченных бюллетеней, чтобы определить, соответствуют ли они тому, что помнит избиратель, что было в этих бюллетенях. Избиратель не может получить расшифрованные копии проголосованных бюллетеней, чтобы предотвратить продажу голосов. Если достаточное количество избирателей проверит испорченные бюллетени, они покажут ошибки в шифровании. [23] [24] ElectionGuard не обнаруживает вбросы бюллетеней, которые должны быть обнаружены традиционными записями. Он не обнаруживает людей, которые подделывают квитанции, утверждая, что их бюллетень отсутствует или был интерпретирован неправильно. Сотрудникам избирательных комиссий необходимо будет решить, как отслеживать заявленные ошибки, сколько их необходимо для начала расследования, как проводить расследование и как исправлять ошибки. Закон штата может не давать сотрудникам полномочий для принятия мер. [24] ElectionGuard не подсчитывает вписанные данные, за исключением недифференцированного итога. Он несовместим с избыточными голосами . [23] [24] [25]
Город Такома-Парк, штат Мэриленд, использовал Scantegrity II на городских выборах 2009 и 2011 годов. [26] [27]
Helios использовался с 2009 года несколькими организациями и университетами для проведения всеобщих выборов, выборов в совет директоров и выборов в студенческие советы. [28] [29]
Система голосования Wombat использовалась на выборах в студенческий совет частного исследовательского колледжа Междисциплинарный центр Герцлия в 2011 и 2012 годах, [30] [31] , а также на предварительных выборах израильской политической партии Мерец в 2012 году. [32]
Модифицированная версия Prêt à Voter использовалась как часть системы электронного голосования vVote на избирательных участках на выборах в штате Виктория в Австралии в 2014 году. [33]
ElectionGuard был объединен с системой голосования VotingWorks и использовался на весенних предварительных выборах в Фултоне, штат Висконсин , 18 февраля 2020 года. [34]
Система DRE-ip была опробована на избирательном участке в Гейтсхеде 2 мая 2019 года в рамках местных выборов в Соединенном Королевстве 2019 года . [35] [36]