Papírový audit trail ověřený voliči - Voter-verified paper audit trail

Volební technologie
Terminologie
Testování
Technologie
Výrobci

Voličem ověřitelný papírový audit trail ( VVPAT ) nebo ověřený papírový záznam ( VPR ) je metoda poskytování zpětné vazby voličům pomocí hlasovacího systému bez hlasování. VVPAT je zamýšlen jako nezávislý ověřovací systém pro hlasovací zařízení, jehož cílem je umožnit voličům ověřit, zda byl jejich hlas odevzdán správně, detekovat možné volební podvody nebo nesprávné funkce a poskytnout prostředky pro audit uložených elektronických výsledků. Obsahuje jméno kandidáta (pro kterého byl odevzdán hlas) a symbol strany/jednotlivého kandidáta.

VVPAT nabízí při ukládání hlasů určité zásadní rozdíly jako papír, nikoli jako elektronické záznamové médium . Papír VVPAT je čitelný lidským okem a voliči mohou svůj hlas přímo interpretovat. Paměť počítače vyžaduje zařízení a software, který je potenciálně proprietární . Nezabezpečené záznamy o hlasovacích zařízeních lze potenciálně rychle změnit bez detekce samotným hlasovacím zařízením. Pro hlasovací automaty by bylo těžší zkorumpovat záznamy bez lidského zásahu. Poškozené nebo nefunkční hlasovací zařízení mohou ukládat hlasy jinak, než jak to zamýšlel volič bez povšimnutí. VVPAT umožňuje voličům ověřit, že jejich hlasy byly odevzdány podle plánu, a tento systém může sloužit jako další překážka pro změnu nebo zničení hlasů.

VVPAT obsahuje systém přímého záznamu elektronického hlasování (DRE), který má voliče ujistit, že jejich hlasy byly zaznamenány tak, jak bylo zamýšleno. Je zamýšlen, a někteří to považují za nezbytný, jako prostředek k detekci podvodů a nesprávné funkce zařízení. V závislosti na volebních zákonech může záznam z papírového auditu představovat legální hlasování, a proto poskytnout prostředek, pomocí kterého lze provést manuální sčítání hlasů, pokud je nutné přepočítání. Řešení bylo poprvé předvedeno (New York City, březen 2001) a použito (Sacramento, CA 2002) společností AVANTE International Technology, Inc ..

V systémech pro hlasování bez dokumentu- mechanických hlasovacích zařízeních a hlasovacích automatech DRE -nemá volič možnost zkontrolovat konkrétní hlasovací lístek, aby potvrdil, že hlasovací systém přesně zaznamenal svůj záměr. Volební funkcionář navíc není schopen ručně přepočítat hlasovací lístky v případě sporu. Z tohoto důvodu kritici tvrdí, že existuje zvýšená šance na podvody nebo poruchy ve volbách, a bezpečnostní experti, jako je Bruce Schneier , požadovali papírovou auditní stopu ověřitelnou voličem. Nehlasové hlasovací systémy bez dokumentů umožňují pouze přepočítání „uložených hlasů“. Tyto „uložené hlasy“ nemusí představovat správný záměr voličů, pokud byl stroj poškozen nebo došlo k poruše.

Základní překážkou implementace papírových auditních stop je výkon a autorita auditu. Systémy papírového auditu zvyšují náklady na elektronické hlasovací systémy, mohou být obtížně implementovatelné, často vyžadují specializovaný externí hardware a jejich použití může být obtížné. Ve Spojených státech požaduje 27 států papírovou auditní stopu podle zákona nebo nařízení pro všechny elektronické hlasovací přístroje s přímým záznamem používané ve veřejných volbách . Dalších 18 států je nevyžaduje, ale používá je buď na celostátní úrovni, nebo v místních jurisdikcích. Pět amerických států v podstatě nemá papírovou stopu.

V Indii byl systém kontroly papírových záznamů (VVPAT) ověřitelný na voličích zaveden v 8 z 543 parlamentních volebních obvodů jako pilotní projekt v indických všeobecných volbách 2014 . VVPAT byl implementován ve volebních obvodech Lucknow , Gandhinagar , Bangalore South , Chennai Central , Jadavpur , Raipur , Patna Sahib a Mizoram . Voličem ověřitelná stopa papírového auditu byla poprvé použita ve volbách v Indii v září 2013 v Noksen (volební obvod) v Nagalandu. VVPAT spolu s EVM byly ve velkém použity poprvé v Indii, v 10 montážních křeslech ze 40 ve volbách do zákonodárného shromáždění Mizoram v roce 2013 . VVPAT vybavené EVM byly použity v celém státě Goa ve volbách do shromáždění 2017 , což bylo poprvé, kdy celý stát v Indii viděl implementaci VVPAT. Systém VVPAT (VVPAT) ověřený voliči, který umožňuje elektronickým hlasovacím zařízením zaznamenávat každý odevzdaný hlas generováním skluzu EVM, byl představen ve všech 543 obvodech Lok sabha v indických všeobecných volbách 2019 .

Dějiny

VVPAT použitý s indickými elektronickými hlasovacími zařízeními v indických volbách

Když volič odevzdá hlas na hlasovacím automatu s přímým záznamem , volič „svými smysly neví, že dosáhl výsledku. Nejvíce lze říci, že pokud stroj fungoval tak, jak měl, pak… . hlasoval. “ Toto pozorování provedl Horatio Rogers v roce 1897 a u hlasovacích přístrojů DRE zůstává stejně pravdivé jako u raných mechanických hlasovacích strojů, o kterých Rogers hovořil.

V roce 1899 Joseph Gray vyřešil tento problém pomocí mechanického hlasovacího zařízení, které současně zaznamenávalo hlasy ve svém mechanismu a dávalo tyto hlasy do papírového lístku, který si volič mohl prohlédnout, než jej vhodil do urny . Gray vysvětlil, že „tímto způsobem máme mechanickou kontrolu lístků [hlasovacích lístků], zatímco lístek je také kontrolou v rejstříku [mechanické počítadlo hlasů].“ Tato kontrola je účinná pouze tehdy, pokud existuje audit pro porovnání papírových a mechanických záznamů.

Myšlenka vytvořit paralelní papírovou stezku pro hlasovací mechanismus s přímým záznamem zůstala spící po celé století, dokud ji znovu neobjevila Rebecca Mercuri , která v roce 1992 navrhla v podstatě stejnou myšlenku. Metoda Mercuri , jak ji někteří nazývali, byla vylepšena v jejím Ph.D. disertační práce v říjnu 2000; ve své konečné verzi je papírový záznam vytištěn za sklem, aby jej volič nemohl převzít nebo pozměnit.

Prvními komerčními hlasovacími systémy, které začleňovaly do tisku ověřitelné voliče ověřovací tiskárny, byly Avante Vote Trakker a dodatečné vybavení pro Sequoia AVC Edge s názvem VeriVote Printer. Systém Avante zaznamenal své první zkušební použití v roce 2002 a v roce 2003 stát Nevada vyžadoval použití technologie VVPAT po celé zemi a přijal systém Sequoia. Je pozoruhodné, že v Avanteově návrhu byl štít bránící voliči v převzetí papírového záznamu dodatečnou myšlenkou, zatímco v Sequoiaově návrhu byl papírový záznam pro postupující voliče vytištěn postupně na jednu roli papíru.

aplikace

Diebold Election Systems AccuVote-TSx DRE hlasovací zařízení s připojením VVPAT
ES & S hlasovací zařízení DRE s přílohou VVPAT

K implementaci papírového auditního záznamu lze použít různé technologie.

  • Připojení tiskárny k elektronickým hlasovacím zařízením s přímým záznamem (DRE), které tisknou papírové záznamy uložené v zařízení. Takové návrhy obvykle předloží volič voličovi za průhledný povrch, aby volič mohl potvrdit, že vytištěný záznam odpovídá elektronickému hlasování. Záznamy lze v případě sporu ručně spočítat a porovnat s elektronickými součty hlasů. Řešení spojující obrázky elektronických hlasovacích lístků a papírový záznam ověřený voliči s náhodně generovaným jedinečným identifikátorem relace hlasování je pokryto vydanými a dosud nevyřízenými patenty.
  • Připojení tiskárny k hlasovacím zařízením DRE, které tisknou papírové záznamy na speciální papír s bezpečnostními funkcemi . Vytištěná stránka obsahuje záznam prostého textu i jednoduchý čárový kód voleb voliče. Tato stránka je oficiálním hlasovacím lístkem, který je poté přes skener vložen do uzamčené volební schránky, aby byly všechny originály uloženy v případě potřeby přepočítání nebo auditu. Elektronický záznam z DRE je porovnáván se záznamem čtečky čárových kódů a v případě jakýchkoli nesrovnalostí se k určení oficiálního hlasování používají papírové lístky, nikoli elektronický záznam. Volič má možnost hlasovací lístek před vložením do skeneru/skříňky zkontrolovat a nechat jej zneplatnit, pokud dojde k chybě, stejně jako to bylo vždy možné u stávajících systémů ručního hlasování.
  • Příloha tiskárny k hlasovacím zařízením DRE, která tisknou šifrovanou účtenku, která je buď uchována voličem, nebo uložena v zařízení. Pokud je účtenka zachována, lze účtenky v případě sporu ručně spočítat a porovnat s součty elektronických hlasů. Tyto systémy nebyly použity ve volbách v USA .
  • Vytvoření šifrované auditní stopy současně s vytvořením elektronického hlasovacího lístku v hlasovacím automatu DRE, což je forma systému svědků . V případě sporu je k audit trailu možné přistupovat a porovnávat jej s elektronickými součty hlasů.
  • Místo DREs použijte optické skenování založené na okrsku nebo tabelátory pro rozpoznávání značek. V tomto jednoduchém a nákladově efektivním systému voliči vyplňují papírové lístky, které jsou poté elektronicky spočítány tabulátorem na okrsku, podobně jako technologie používaná k vyhodnocování standardizovaných testů. Optické skenovací stroje se používají již desítky let a ve výchozím nastavení poskytují auditovací záznam ověřený voliči. Tabulkáři mohou v anketě zjistit přehlasování, aby měl volič možnost opravit zkažený hlas.

Systémy, které umožňují voličům prokázat, jak hlasovali, neodpovídají obecně uznávané definici hlasování tajným hlasováním , protože takový důkaz zvyšuje riziko zastrašování voličů a prodávání hlasů . Systémy, které takový důkaz umožňují, jsou jako takové obecně zakázány podle podmínek mnoha mezinárodních dohod a vnitrostátních zákonů.

Profesor Avi Rubin svědčil před Sněmovním výborem Spojených států pro domácí správu ve prospěch hlasovacích systémů, které používají papírový lístek, a znevýhodňujících systémů, které používají dodatečně vybavené přílohy VVPAT. Na svém osobním blogu uvedl, že „po čtyřech letech studia problematiky nyní věřím, že DRE s VVPAT není rozumný hlasovací systém“.

Auditovatelný systém, jako je systém dodávaný s VVPAT, lze použít v náhodných přepočtech k detekci možné poruchy nebo podvodu. U metody VVPAT může být papírový lístek považován za oficiální hlasovací lístek. V tomto scénáři je hlasování primární a elektronické záznamy se používají pouze pro počáteční počet nebo v některých případech, pokud je VVPAT poškozený nebo jinak nečitelný. Při jakýchkoli následných přepočtech nebo výzvách bude k tabelaci použit papír, nikoli elektronický hlasovací lístek. Kdykoli papírový záznam slouží jako legální hlasovací lístek, bude tento systém podléhat stejným výhodám a problémům jakéhokoli systému papírových hlasovacích lístků.

Matt Quinn, vývojář původního australského systému DRE, se domnívá, že v budoucnu by mělo existovat: „Neexistuje žádný důvod, proč by voliči měli důvěřovat systému, který ho nemá, a neměli by o to být žádáni. Proč proboha měli by mi [voliči] věřit-někdo, kdo má vlastní zájem na úspěchu projektu? Auditorský záznam ověřený voliči je jediným způsobem, jak „prokázat“ integritu systému drtivé většině voličů, kteří koneckonců vlastní demokracii . "

V Indii byl například VVPAT nápomocný při řešení problému, který se týkal součtu hlasů v Kancheepuramu (volební obvod Státního shromáždění) v roce 2016 volby do zákonodárného shromáždění v Tamil Nadu jako počet hlasů zadaných ve formuláři 17C volební místnosti a celkový počet počet hlasů zaznamenaných v řídicí jednotce EVM tohoto stánku se neshodoval. V červnu 2018 indická volební komise představila vestavěnou kapuci na horní straně kontrastního senzoru a role papíru, která nenasákne vlhkost ve všech VVPAT, aby jí zabránila v přebytku světla a tepla.

Výzvy a starosti s VVPAT

Běžné problémy

Běžné problémy s VVPAT jsou:

  1. Video z chování voličů během skutečných voleb odhalilo, že většina voličů si své volby neověřuje čtením VVPAT.
  2. Z výzkumu vyplývá, voliči, kteří dělat zkontrolovat ballot souhrnech přehlížet rozpory.
  3. Ruční přepočítávání/audit VVPAT je pracné a nákladné a pro většinu kandidátů, kteří o něj usilují, je pravděpodobně nedostupné.
  4. A přestože je VVPAT navržen tak, aby sloužil jako kontrola hlasovacích záznamníků DRE (Direct Recording Electronic), spoléhá se na stejné proprietární programování a elektroniku při vytváření audit trailu.

Mezi další překážky implementace papírových auditních stop patří výkon a autorita auditu. Systémy papírového auditu zvyšují náklady na elektronické hlasovací systémy, mohou být obtížně implementovatelné, často vyžadují specializovaný externí hardware a jejich použití může být obtížné. Ve Spojených státech požaduje sedmadvacet států papírovou auditní stopu podle zákona nebo nařízení pro všechny elektronické hlasovací přístroje s přímým záznamem používané ve veřejných volbách . Dalších osmnáct států je nevyžaduje, ale používá je buď na celostátní úrovni, nebo v místních jurisdikcích.

Bezpečnostní obavy

Zavedení škodlivého softwaru do systému VVPAT může způsobit, že záměrně zkreslí výběr voličů. Tento útok by mohl minimalizovat detekci manipulací pouze s malým procentem hlasů nebo pouze pro méně známé rasy.

Další bezpečnostní obavou je, že by VVPAT mohl tisknout, zatímco žádný volič nesleduje papírovou stopu, což je forma plnění hlasovacích lístků . I kdyby byly nalezeny další hlasy prostřednictvím přiřazení k seznamu voličů, nebylo by možné identifikovat legitimní hlasovací lístky z podvodných hlasovacích lístků.

Alternativně by tiskárna mohla zneplatnit tištěný záznam poté, co volič odejde a vytiskne nový podvodný hlasovací lístek. Tyto hlasovací lístky by byly nezjistitelné, protože znehodnocené hlasovací lístky jsou během voleb zcela běžné. Také systémy VVPAT, které jsou technicky schopné zvrátit podávání papíru, by mohly být otevřeny manipulovanému softwaru, který přepisuje nebo mění VVPAT poté, co ho volič zkontroluje.

Obavy ohledně použitelnosti a ergonomie

Pro voliče je tištěný záznam „v jiném formátu než hlasovací lístek, na jiném místě, je ověřen v jiném čase a má jiné grafické rozložení s odlišnými parametry kontrastu a osvětlení“. V listopadu 2003 ve Wiltonu, CT, museli být prakticky všichni voliči vyzváni, aby našli a ověřili svůj příjem, čímž se prodloužil čas potřebný k hlasování a práce pro volební pracovníky. VVPAT zvyšuje složitost hlasování, což je již odrazující od hlasování.

Navíc komponenta VVPAT nemusí být snadno použitelná pracovníky průzkumu veřejného mínění , z nichž mnozí již bojují s údržbou a používáním DRE a novými požadavky volebního zákona. V primárních volbách v roce 2006 v Cuyahoga County, Ohio, studie zjistila, že 9,6 procent kazet VVPAT bylo buď zničeno, prázdné, nečitelné, chyběly, přelepeny dohromady nebo jinak narušeny. V jednom případě byl termální papír vložen do tiskárny zpět a zanechal prázdnou pásku, což si voliči, kteří nemohli ověřit stopu papíru, neuvědomili. Volební kontrolní výbor Cuyahoga ve své závěrečné zprávě navrhl odstranit neprůhledné dveře zakrývající VVPAT kromě těch, které jsou vybaveny zařízením pro nevidomé voliče. Shromažďování a počítání těchto tištěných záznamů může být obecně obtížné.

Záznamy vytištěné na nekonečné role papíru jsou obtížnější než počítání standardních papírových lístků nebo dokonce děrných karet .

Obavy o soukromí

Systémy DRE VVPAT, které tisknou hlasovací lístky v pořadí, v jakém byly odevzdány (často známé jako systémy kotouč-kotouč), vyvolávají problémy s ochranou soukromí, pokud lze zaznamenat i pořadí hlasování. Tiskárny VVPAT, které řezají papír po každém hlasování a vytvářejí jednotlivé hlasovací lístky, se mohou tomuto problému vyhnout. Pokud existuje více hlasovacích automatů, bylo by obtížnější porovnat úplný seznam voličů s VVPAT.

Alternativně by útočník mohl sledovat pořadí, ve kterém lidé používají konkrétní hlasovací systém, a poznamenat si pořadí každého konkrétního hlasu, který ho zajímá. Pokud tento útočník později získá záznamy o papírových lístcích, mohl by je porovnat a ohrozit soukromí hlasování . To by také mohlo vést k prodávání hlasů a zastrašování voličů .

V roce 2007 Jim Cropcho a James Moyer popravili a zveřejnili důkaz koncepce této teorie. Prostřednictvím žádosti o veřejné záznamy, dvě extrahované identifikace voličů z hlasovacích lístků a preference voličů od VVPATs, pro Delaware County, Ohio , okrsek s více hlasovacími zařízeními. Protože obě sady záznamů nezávisle stanovily pořadí odevzdaných elektronických hlasovacích lístků, přímo spojovaly identifikaci voliče s jeho preferencí. Postiženo bylo více než 1,4 milionu registrovaných voličů v deseti krajích Ohia. Situace byla vyřešena před dalšími volbami vynecháním po sobě jdoucích čísel na složenkách úřadů pro hlasování ze záznamů volební knihy. Podobné zranitelnosti však mohou stále existovat v jiných státech.

Obavy z efektivity

Problematické je také to, že od voličů se nevyžaduje, aby před odevzdáním hlasování skutečně zkontrolovali papírový audit, což je zásadní pro „ověření“ hlasování. Přestože možnost nahlédnout do listu může poskytnout pohodlí jednotlivému voliči, VVPAT neslouží jako účinná kontrola nefunkčnosti nebo podvodu, pokud se nezúčastní statisticky relevantní počet voličů.

Problémy s přístupností

Stávající systémy VVPAT nejsou některými zdravotně postiženými voliči použitelné. Senátor Christopher Dodd (D-CT) vypovídal před Senátním výborem pro pravidla a správu Senátu USA při slyšení v červnu 2005 o ověřování voličů ve federálních volbách „Nevidomí si nemohou ověřit své volby pouze na papíře způsobem, který je buď nezávislý, nebo soukromý. Jednotlivec, který má pohybové postižení, například omezení rukou, si také nemůže ověřit kus papíru sám, pokud je tento jedinec povinen papír vyzvednout a zacházet s ním. “

Obavy o spolehlivost

Systémy VVPAT mohou také představovat zvýšené obavy ohledně spolehlivosti. Profesor Michael Shamos poukazuje na to, že „Přidání zařízení pro tisk papíru na stroj DRE přirozeně přidává další komponentu, která může selhat, dochází inkoust, zasekává se nebo dochází papír. Pokud jsou DRE údajně již náchylné k selhání, přidání papíru stezka nemůže tento rekord zlepšit. “ V Brazílii v roce 2003, kde malý počet okrsků instaloval papírové stopy, selhání tiskařů zpozdilo voliče až o 12 hodin, což je číslo, které by bylo v USA katastrofální

Současná implementace systémů VVPAT využívá k tisku záznamů o hlasování na papíře termální tiskárny . Hlasovací lístky vytištěné na termopapíru časem vyblednou. Teplo, které na papír působí před volbami nebo po nich, může také zničit tisk.

Obavy z implementace

Může být podstatně obtížnější implementovat VVPAT jako doplňkovou funkci. U jurisdikcí, které v současné době používají elektronické hlasovací zařízení s přímým záznamem a které nemají VVPAT, může být implementace nákladná a obtížně implementovatelná kvůli požadovanému specializovanému externímu hardwaru. Chcete -li do počítače DRE přidat komponentu VVPAT , bude vyžadována jurisdikce k nákupu systému navrženého prodejcem stroje DRE bez kupní smlouvy s jediným zdrojem. To předpokládá, že prodejce navrhl součást, která je kompatibilní s používaným strojem DRE . Prodejce možná nevyvinul komponentu VVPAT, která je kompatibilní s používaným zařízením DRE , což vyžaduje jurisdikci k nákupu zcela nového hlasovacího systému .

Pro jurisdikce, které v současné době nepoužívají elektronické hlasovací přístroje s přímým záznamem , by zavedení nového hlasovacího systému, který obsahuje komponentu VVPAT, mělo menší problémy s implementací. Některé implementace VVPAT kladou na voliče vysokou kognitivní zátěž a jsou mimořádně náchylné k chybám.

Právní otázky

Jedna důležitá otázka systémů VVPAT se týká doby auditu. Někteří navrhli, aby byly v den voleb provedeny namátkové audity elektronických nahrávacích automatů s přímým záznamem, aby se zabránilo poruše zařízení. Částečné sčítání hlasů před uzavřením volebních místností by však mohlo způsobit problém podobný tomu, jaký se vyskytuje v amerických národních volbách, kde je vítěz vyhlášen na základě výsledků východního pobřeží dlouho předtím, než se na západním pobřeží volební místnosti uzavřely. Částečné sečtení hlasů před uzavřením volebních místností může být navíc v některých jurisdikcích nezákonné. Jiní navrhli, aby byly náhodné audity elektronických záznamových zařízení s přímým záznamem prováděny po volbách nebo pouze v případě sporu.

V případě, že je po volbách proveden audit a je zjištěna nesrovnalost mezi počtem hlasování a počtem auditů, není jasné, který počet je směrodatným. Některé jurisdikce zákonem definovaly hlasování jako směrodatný počet opouštějící roli příslušného auditu. Protože VVPAT je nedávným přírůstkem do hlasovacích systémů s přímým záznamem, zůstává otázka autority nejasná.

Viz také

Reference

externí odkazy

Výzkum

Obhajoba a komentář