Поддающийся проверке бумажный аудиторский след избирателя ( VVPAT ) или проверенная бумажная запись ( VPR ) — это метод предоставления обратной связи избирателям, которые используют электронную систему голосования . VVPAT позволяет избирателям проверить, что их голос был подан правильно, обнаружить возможные фальсификации выборов или неисправности, а также предоставить средства для проверки сохраненных электронных результатов. Он содержит имя и партийную принадлежность кандидатов, за которых был подан голос. В то время как VVPAT получил распространение в Соединенных Штатах по сравнению с системами голосования без бюллетеней без него, бюллетени с ручной пометкой используются большей частью юрисдикций. [1]
Как бумажный носитель, VVPAT предлагает некоторые фундаментальные преимущества по сравнению с электронным носителем записи при хранении голосов. Бумажный VVPAT читается человеческим глазом, и избиратели могут напрямую интерпретировать свой голос. Для компьютерной памяти требуется устройство и программное обеспечение, которые потенциально являются запатентованными . Небезопасные записи машины для голосования [2] потенциально могут быть быстро изменены без обнаружения самой машиной для голосования. Проверяемые бумажные бюллетени затрудняют для машин для голосования искажение записей без вмешательства человека. Поврежденные или неисправные машины для голосования могут хранить голоса, отличные от тех, которые намеревался избиратель, незаметно. VVPAT позволяет избирателям проверять, что их голоса поданы так, как предполагалось, что является дополнительным препятствием для изменения или уничтожения голосов.
VVPAT включает в себя систему электронного голосования с прямой записью (DRE), чтобы гарантировать избирателям, что их голоса были записаны так, как предполагалось, а также как средство обнаружения мошенничества и неисправностей оборудования. В зависимости от избирательного законодательства, бумажный контрольный след может представлять собой законный избирательный бюллетень и, следовательно, предоставлять средство, с помощью которого можно провести ручной подсчет голосов, если необходим пересчет.
В системах голосования без использования документов — как в механических машинах для голосования, так и в машинах для голосования DRE — у избирателя нет возможности просмотреть материальный бюллетень, чтобы подтвердить, что система голосования точно зафиксировала его или ее намерение. Кроме того, должностное лицо, ответственное за выборы, не может вручную пересчитать бюллетени в случае возникновения спора. Из-за этого критики утверждают, что существует повышенная вероятность фальсификаций или сбоев на выборах, а эксперты по безопасности, такие как Брюс Шнайер , потребовали проверяемых избирателями бумажных контрольных журналов. [3] Системы голосования без использования документов позволяют пересчитывать только «сохраненные голоса». Эти «сохраненные голоса» могут не отражать правильное намерение избирателя, если машина была повреждена или имела сбой.
По состоянию на 2024 год системы VVPAT используются в таких странах, как США, Индия, [4] Венесуэла, [5] Филиппины, [6] и Болгария. [7] В США 98,5 процента зарегистрированных избирателей проживают в юрисдикциях, предлагающих какую-либо форму бумажного голосования, будь то заполненные вручную или VVPAT. Только 1,4 процента используют электронные системы без бумажной записи. [8]
В 1897 году, отвечая на вопрос губернатора Род-Айленда Чарльза В. Липпитта о законности использования недавно разработанной машины для голосования с прямой записью Мактамани [9] , судья Верховного суда Род-Айленда Горацио Роджерс отметил, что избиратель, голосующий на такой машине без письменной записи, «не имеет никаких чувственных знаний о том, что он добился результата. Самое большее, что можно сказать, это то, что если машина сработала так, как предполагалось, то он... проголосовал». [10] Это замечание остается в центре беспокойства в отношении машин для голосования DRE без бюллетеней сегодня.
В 1899 году Джозеф Грей решил эту проблему с помощью механической машины для голосования, которая одновременно регистрировала голоса в своем механизме и пробивала эти голоса на бумажном бюллетене, который избиратель мог проверить, прежде чем опустить его в урну для голосования . Грей объяснил, что «таким образом, у нас есть механическая проверка билетов [бюллетеней], в то время как билет также является проверкой в регистре [механическом счетчике голосов]». [11] Эта проверка эффективна только в том случае, если есть аудит для сравнения бумажных и механических записей.
Идея создания параллельного бумажного следа для механизма прямой записи голосования оставалась бездействующей в течение столетия, пока ее не открыла заново Ребекка Меркьюри , которая предложила по сути ту же самую идею в 1992 году. [12] Метод Меркьюри , как некоторые его называют, был усовершенствован в ее докторской диссертации в октябре 2000 года; в ее окончательной версии бумажная запись печатается за стеклом, так что избиратель не может ее взять или изменить. [13]
Первыми коммерческими системами голосования, включавшими в себя проверяемые избирателями бумажные контрольные принтеры, были Avante Vote Trakker и модифицированная версия Sequoia AVC Edge под названием VeriVote Printer. [14] Система Avante впервые была опробована в 2002 году, а в 2003 году штат Невада потребовал использования технологии VVPAT по всему штату и принял систему Sequoia. Примечательно, что в проекте Avante щит, не позволяющий избирателю взять бумажный бланк, был второстепенным, в то время как в проекте Sequoia бумажный бланк для последующих избирателей печатался последовательно на одном рулоне бумаги.
Проверяемый избирателями бумажный контрольный след был впервые использован на выборах в Индии в сентябре 2013 года в Ноксене (избирательный округ Ассамблеи) в Нагаленде. [15] [16] Система VVPAT была введена в 8 из 543 парламентских округов в качестве пилотного проекта на всеобщих выборах в Индии в 2014 году . [17] [18] [19] [20] VVPAT была внедрена в избирательных округах Лакхнау , Гандинагар , Бангалор Южный , Ченнаи Центральный , Джадавпур , Райпур , Патна Сахиб и Мизорам . [21] [22] [23] [24] [25] [26] VVPAT вместе с EVM впервые была использована в больших масштабах в Индии, [27] в 10 из 40 мест в собрании на выборах в Законодательное собрание Мизорама в 2013 году . [28] Системы электронного голосования с системой VVPAT использовались во всем штате Гоа на выборах в ассамблею 2017 года , и это был первый случай внедрения VVPAT во всем штате Индии. [29] [30] Система VVPAT была введена во всех 543 избирательных округах Лок сабхи на всеобщих выборах в Индии в 2019 году . [31] [32]
В июле 2019 года, после юридических проблем и опасений по поводу безопасности и надежности своих устаревших электронных машин для голосования, [33] должностные лица Джорджии одобрили контракт на сумму 107 миллионов долларов с Dominion Voting Systems на оснащение всех 159 округов Джорджии новыми устройствами для маркировки бюллетеней, которые предоставляют бумажный бюллетень для каждого поданного голоса (VVPAT). Модернизация была завершена как раз к праймериз президента Джорджии республиканцев и демократов 2020 года .
Система оказалась критически важной во время всеобщих выборов в ноябре 2020 года. Незначительный перевес Джо Байдена (0,23 процента или 11 779 голосов) — первый для кандидата в президенты от Демократической партии в штате с 1992 года — автоматически инициировал общештатный аудит, который стал возможным благодаря новой системе проверяемых бумажных бюллетеней. Аудит выявил несколько человеческих ошибок на уровне округа, что принесло Трампу 1274 голоса. По просьбе кампании Трампа за этим последовал полный ручной пересчет бумажных бюллетеней по всему штату, который подтвердил результат. [34]
Начиная с 2002 года, когда по всему штату были приняты DRE, и совсем недавно, на выборах 2016 года, отсутствие системы, производящей проверяемые бумажные бюллетени, сделало бы пересчет голосов невозможным. Система VVPAT позволяла чиновникам перепроверять электронные результаты с бумажными записями, подтверждая точность окончательного подсчета голосов [35] и опровергая заявления президента Трампа в телефонном разговоре 2 января 2021 года с госсекретарем Джорджии Брэдом Раффенспергером о том, что подсчет был неточным.
Помимо обеспечения прозрачности, новая система VVPAT в Грузии помогла противостоять мощной кампании по дезинформации, обеспечив в общей сложности три перекрестных подтверждающих подсчета — первоначальное голосование, аудит и ручной пересчет. Это повысило доверие избирателей, предоставив надежный метод проверки результатов во время интенсивного изучения выборов 2020 года. Опрос, проведенный Центром инноваций и исследований в области выборов до и после выборов, выявил меньшее, чем ожидалось, падение доверия избирателей Грузии (с 90% в октябре 2020 года до 85% в январе 2021 года) к тому, что их голоса будут учтены так, как предполагалось. [36]
Для реализации контрольного журнала на бумажных носителях могут использоваться различные технологии.
Системы, которые позволяют избирателям доказать, как они проголосовали, не соответствуют общепринятому определению тайного голосования , поскольку такое доказательство повышает риск запугивания избирателей и продажи голосов . Таким образом, системы, которые позволяют такое доказательство, как правило, запрещены в соответствии с условиями многочисленных международных соглашений и внутренних законов.
Профессор Ави Рубин дал показания перед Комитетом по управлению палатой представителей США в поддержку систем голосования, использующих бумажный бюллетень, и выступил против систем, использующих модернизированные приспособления VVPAT. В своем личном блоге он сказал, что «после четырех лет изучения этого вопроса я теперь считаю, что DRE с VVPAT не является разумной системой голосования». [38]
Проверяемая система, например, предоставляемая с VVPAT, может использоваться при рандомизированных пересчетах для обнаружения возможных неисправностей или мошенничества. С методом VVPAT бумажный бюллетень может рассматриваться как официальный бюллетень для голосования. В этом сценарии бюллетень является первичным, а электронные записи используются только для первоначального подсчета или, в некоторых случаях, если VVPAT поврежден или иным образом нечитаем. В любых последующих пересчетах или оспариваниях для подсчета голосов будет использоваться бумажный, а не электронный бюллетень. Всякий раз, когда бумажный бюллетень служит законным бюллетенем, эта система будет подвержена тем же преимуществам и проблемам, что и любая система бумажного голосования.
Мэтт Куинн, разработчик оригинальной австралийской системы DRE, считает, что «нет никаких причин, по которым избиратели должны доверять системе, которая не имеет [проверенного избирателями контрольного следа], и их не следует об этом просить. С какой стати [избиратели] должны доверять мне – человеку, кровно заинтересованному в успехе проекта? Проверенный избирателями контрольный след – единственный способ «доказать» честность системы подавляющему большинству избирателей, которые, в конце концов, владеют демократией». [39]
В Индии в одном случае VVPAT помог решить проблему, связанную с подсчетом голосов в Канчипураме (избирательный округ Ассамблеи штата) на выборах в Законодательное собрание Тамил Наду в 2016 году , поскольку количество голосов, введенных в форму 17C избирательной кабины, и общее количество голосов, зарегистрированное в блоке управления EVM этой кабины, не совпадали. [40] В июне 2018 года Избирательная комиссия Индии представила встроенный колпак поверх датчика контрастности и рулона бумаги, который не впитывает влагу во всех VVPAT, чтобы защитить их от избыточного света и тепла. [41] [42] В случае расхождения между информацией на VVPAT и EVM , бумажные бланки конкретного избирательного участка пересчитываются. [43] Если расхождение сохраняется, подсчет, установленный бумажными бланками VVPAT, преобладает над подсчетом голосов, зарегистрированным на EVM . [44]
Распространенные проблемы VVPAT:
Другие препятствия при внедрении бумажных контрольных журналов включают производительность и авторитетность аудита. Бумажные системы аудита увеличивают стоимость электронных систем голосования, могут быть сложными в реализации, часто требуют специализированного внешнего оборудования и могут быть сложными в использовании. В Соединенных Штатах двадцать семь штатов требуют бумажного контрольного журнала в соответствии с законом или постановлением для всех электронных машин для голосования с прямой записью, используемых на публичных выборах . [47] Еще восемнадцать штатов не требуют их, но используют их либо на уровне штата, либо в местных юрисдикциях. [48]
Внедрение вредоносного программного обеспечения в систему VVPAT может привести к преднамеренной неверной регистрации выборов избирателей. Эта атака может минимизировать обнаружение, манипулируя только небольшим процентом голосов или только для менее известных гонок. [49]
Еще одной проблемой безопасности является то, что VVPAT может печатать, когда ни один избиратель не наблюдает за бумажным следом, что является формой вброса бюллетеней . [50] Даже если бы дополнительные голоса были обнаружены путем сопоставления со списком избирателей, было бы невозможно отличить законные бюллетени от поддельных.
В качестве альтернативы принтер может сделать отпечатанную запись недействительной после того, как избиратель уйдет, и напечатать новый поддельный бюллетень. Эти бюллетени невозможно будет обнаружить, поскольку недействительные бюллетени довольно распространены во время выборов. [51] Кроме того, системы VVPAT, которые технически способны реверсировать подачу бумаги, могут быть открыты для манипулирования программным обеспечением, перезаписывающим или изменяющим VVPAT после того, как избиратель его проверит.
Для избирателя распечатанная запись находится «в другом формате, чем бюллетень, в другом месте, проверяется в другое время и имеет другой графический макет с другими параметрами контрастности и освещения». [52] В ноябре 2003 года в Уилтоне, штат Коннектикут, практически всем избирателям пришлось искать и проверять свои квитанции, что увеличило время, необходимое для голосования, и работу для работников избирательных участков. VVPAT усложняет голосование, и без того сдерживающее его. [52]
Кроме того, компонент VVPAT может быть нелегко использовать работникам избирательных участков , многие из которых уже испытывают трудности с обслуживанием и использованием DRE и новыми требованиями избирательного законодательства. На первичных выборах 2006 года в округе Кайахога, штат Огайо, исследование показало, что 9,6 процента лент VVPAT были либо уничтожены, пусты, неразборчивы, утеряны, склеены или иным образом скомпрометированы. В одном случае термобумага была загружена в принтер задом наперед, оставив пустую ленту, [53] [54] что не было замечено избирателями, которые не могли проверить бумажный след. Комиссия по проверке выборов Кайахоги предложила в своем заключительном отчете снять непрозрачные дверцы, закрывающие VVPAT, за исключением тех, которые оснащены оборудованием для слепых избирателей. [55] В целом сбор и подсчет этих печатных записей может быть затруднен. [52]
Подсчет голосов, напечатанных на непрерывных рулонах бумаги, сложнее, чем подсчет стандартных бумажных бюллетеней или даже перфокарт . [52]
Системы DRE VVPAT, которые печатают записи бюллетеней в том порядке, в котором они были поданы (часто известные как системы с рулона на рулон), вызывают проблемы с конфиденциальностью, если порядок голосования также может быть записан. Принтеры VVPAT, которые разрезают бумагу после каждого голосования для формирования отдельных бюллетеней, могут избежать этой проблемы. Если есть несколько машин для голосования, будет сложнее сопоставить полный список избирателей и VVPAT.
В качестве альтернативы, злоумышленник может наблюдать за порядком, в котором люди используют определенную систему голосования, и отмечать порядок каждого конкретного голоса, который его интересует. Если этот злоумышленник позже получит записи бумажных бюллетеней, он может сравнить их и поставить под угрозу конфиденциальность бюллетеня. Это также может привести к продаже голосов и запугиванию избирателей . [56]
В 2007 году Джим Кропчо и Джеймс Мойер выполнили и опубликовали доказательство концепции этой теории. С помощью запроса на публичные записи они извлекли идентификацию избирателей из избирательных бюллетеней и предпочтения избирателей из VVPAT для округа Делавэр, штат Огайо , избирательного участка с несколькими машинами для голосования. Поскольку оба набора записей независимо устанавливали порядок подачи электронных бюллетеней, они напрямую связывали идентификацию избирателя с его или ее предпочтениями. [57] Более 1,4 миллиона зарегистрированных избирателей в десяти округах Огайо были затронуты. Ситуация была разрешена перед следующими выборами путем исключения последовательных номеров в бюллетенях Authority To Vote из записей избирательных бюллетеней. Однако подобные уязвимости могут все еще существовать в других штатах.
Также проблематично то, что избиратели не обязаны проверять бумажный аудит перед тем, как проголосовать, что имеет решающее значение для «проверки» голоса. Хотя возможность посмотреть на бумагу может успокоить отдельного избирателя, VVPAT не служит эффективной проверкой на предмет неисправностей или мошенничества, если в голосовании не участвует статистически значимое число избирателей.
Текущие системы VVPAT не могут использоваться некоторыми избирателями с ограниченными возможностями. Сенатор Кристофер Додд (демократ от Коннектикута) дал показания перед Комитетом Сената США по правилам и администрированию на слушаниях в июне 2005 года по проверке избирателей на федеральных выборах «Слепые не могут подтвердить свой выбор только с помощью листа бумаги способом, который является независимым или конфиденциальным. Также человек с ограниченными возможностями передвижения, такими как ограничения по руке, не может проверить только лист бумаги, если ему необходимо поднять и держать его в руках». [58]
Системы VVPAT также могут вызывать повышенную обеспокоенность по поводу надежности. Профессор Майкл Шамос отмечает, что «добавление устройства для печати на бумаге к машине DRE естественным образом добавляет еще один компонент, который может выйти из строя, закончиться чернила, застрять или закончиться бумага. Если DRE уже, как утверждается, склонны к сбоям, добавление бумажного следа не может улучшить этот показатель». [59] В Бразилии в 2003 году, где небольшое количество участков установили бумажные следы, отказ принтеров задержал избирателей на целых 12 часов, что было бы катастрофическим показателем в США [60]
Текущая реализация систем VVPAT использует термопринтеры для печати своих бумажных записей бюллетеней. Записи бюллетеней, напечатанные на термобумаге, со временем выцветают. Кроме того, тепло, применяемое к бумаге до или после выборов, может разрушить печать. [52]
Может быть значительно сложнее реализовать VVPAT как функцию постфактум. Для юрисдикций, в настоящее время использующих машины для голосования DRE, в которых отсутствует VVPAT, реализация может быть дорогостоящей для добавления и сложной для реализации из-за требуемого специализированного внешнего оборудования. Чтобы добавить компонент VVPAT к машине DRE, юрисдикция должна будет приобрести систему, разработанную поставщиком машины DRE, по контракту на покупку из одного источника без торгов. Это предполагает, что поставщик разработал компонент, совместимый с используемой машиной DRE. Поставщик мог не разработать компонент VVPAT, совместимый с используемой машиной DRE, таким образом, требуя от юрисдикции приобрести совершенно новую систему голосования .
Для юрисдикций, в настоящее время не использующих машины DRE, введение новой системы голосования , включающей компонент VVPAT, будет иметь меньше проблем с реализацией. Некоторые реализации VVPAT налагают высокую когнитивную нагрузку на избирателя и чрезвычайно подвержены ошибкам. [61]
Один из важных вопросов систем VVPAT касается времени аудита. Некоторые предлагают проводить выборочные аудиты машин для электронного голосования с прямой записью в день выборов, чтобы защитить машину от сбоев. Однако частичный подсчет голосов до закрытия избирательных участков может создать проблему, похожую на ту, что происходит на американских национальных выборах, где победитель объявляется на основе результатов голосования на Восточном побережье задолго до закрытия избирательных участков на Западном побережье. Кроме того, частичный подсчет голосов до закрытия избирательных участков может быть незаконным в некоторых юрисдикциях. Другие предлагают проводить выборочные аудиты машин для электронного голосования с прямой записью после выборов или только в случае возникновения спора.
В случае, если аудит проводится после выборов и обнаруживается несоответствие между подсчетом голосов и подсчетом аудита, неясно, какой подсчет является авторитетным подсчетом. Некоторые юрисдикции законодательно определили бюллетень как авторитетный подсчет, оставив роль аудита под вопросом. Поскольку VVPAT является недавним дополнением к системам прямого голосования, вопрос о полномочиях остается неясным.