Регионы
НовостиМненияАналитикаСервисыОбучениеО движенииСтать наблюдателемПоддержатьEn
Дмитрий Нестеров
Эксперт по выборам. Москва
Коллаж: Ксения Тельманова

Вдогонку к посту, в котором сравнивались наши и эстонская системы интернет-голосований. Коллеги напомнили, что в качестве одной из инноваций российских систем дистанционного электронного голосования часто преподносится обеспечение тайности голосования, которой как бы нет в эстонской системе.

Подобный тезис вызывает привычное раздражение в силу его манипулятивности. Появился удобный повод описать в чем подвох. И попытаться сформулировать свое отношение.

Обсуждаемая тема достаточно деликатна, и часть коллег из независимых экспертов и наблюдателей придерживаются иных мнений.

«Тайность» и «конфиденциальность»

Для большей определенности разделим понятия «тайности» и «конфиденциальности» голосования. Гарантия тайности голосования — это гарантия невозможности регулярной процедуры, восстанавливающей связь избирателя и его волеизъявления. Более того, строгая тайность требует, чтобы и сам избиратель не мог иметь возможности доказать свое конкретное волеизъявление. Гарантии конфиденциальности — это гарантии того, что ваше волеизъявление не станет известно третьим лицам.

В реальном мире сложных систем тайность и конфиденциальность в реальных системах не могут быть полными и абсолютными. Без труда в любой систем голосования можно найти ситуации исключения или вероятность организации нерегламентированных процедур, которые могут частично нарушить эти свойства. 

Практический вопрос состоит в степени и мере реализации тайности и конфиденциальности в рамках конкретных процедур и технологий голосования. А также в адекватности предпринимаемых мер защиты от тех рисков, с которыми та или иная система может столкнуться.

Зачем вообще нужна тайность/конфиденциальность на выборах? 

Прежде всего, чтобы повысить степень объективности/добровольности волеизъявления, чтобы уменьшить зависимость волеизъявления от влияния (вольного или невольного) третьих лиц. Что обеспечит большую точность взвешивания интересов/предпочтений граждан в рамках электоральных процедур, что важно для демократических систем. 

Если мы представим прекрасное общество будущего, в котором нет административного и иного давления на граждан, где общественная культура достигла уровня, когда граждане уважительно и терпимо относятся друг другу, к мнениям и интересам других членов общества, то чем ближе к такому состоянию общества, тем меньше нужды и резонов гражданам скрывать свое волеизъявление. Тем меньше результаты открытого голосования будут отличаться от результатов тайного голосования по аналогичному вопросу.

Получается, что чем авторитарнее государство, чем поляризованнее общество и чем нетерпимее общественная культура, тем выше должен быть общественный запрос на тайность голосования. И тем рискованнее полагаться на конфиденциальность голосования, ибо волеизъявление людей может быть с большей вероятностью раскрыто из чьих-то коррупционных или политических интересов. И тем больший ущерб это может принести избирателям, чье волеизъявление оказалось раскрыто.

Сравним концепцию и реализацию эстонской и российских систем

Эстонская система интернет-голосования формально не обеспечивает тайность на аппаратном уровне, как и почтовое голосование с двумя конвертами. Теоретически внутренний злоумышленник может получить доступ к данным и скомпрометировать систему двух конвертов, вскрыв внешний конверт и как-то на основе электронной подписей избирателей связать голос и личность избирателя. Это в теории можно сделать, пока в ходе подсчета бюллетени не анонимизируются и не перемешиваются. 

Однако практически такой риск в эстонской политической реальности считается ничтожным. Ибо в Эстонии ни у кого не может возникнуть практический политический интерес в подобном предприятии. Нет административных и силовых вертикалей, способных оказать давление на широкие социальные слои из-за неправильного мнения, граждане в целом достаточно терпимы к политическим предпочтениям сограждан, поскольку нет радикализации и сильного социального напряжения. Тем более невероятно представить сговор нескольких неслучайных и публичных акторов, необходимый для реализации подобной затеи. 

Случайное и непреднамеренное нарушение тайны волеизъявления исключается продуманностью, четкостью и простотой процедуры подведения итогов. На определенном этапе данные о цифровых следах избирателей стираются, и восстановление связи избирателей и их электронных волеизъявлений становится невозможным.

В итоге по факту получается, что эстонская система интернет-голосования (как и вся их избирательная система) в нынешнем виде решает свои задачи и соответствует информированным ожиданиям общества. Что и выражается в достаточно высоком для демократий доверии к данному институту.

Разработчики российских систем утверждают, что они на программном уровне обеспечивают тайность голосования. В концепции анонимизация происходит на стадии голосования. 

Если немного упростить, что разработчики говорят: мы не храним данных (логов) позволяющих связать избирателя и анонимизированный бюллетень; когда выдаем и обрабатываем бюллетень, мы сами себя запутываем (в московской системе) и таким образом теряем связь бюллетеня с избирателем. В публичный блокчейн бюллетень попадает анонимизированным и немного «замиксованным» в рамках небольшого промежутка времени.

«Анонимизация гарантирует тайность. Это круче, чем просто обещание организаторов не сговариваться и не восстанавливать связь избирателей и бюллетеней!»

Логическая дыра скрыта в этой последней части рассуждения. Во-первых, до сих пор нет механизмов, которые могут доказать добросовестность работы анонимизатора в реальной системе. То есть это пока «слово джентльмена». Вероятно анонимизатор действительно есть и действительно работает, но есть и иная засада. Операторы системы ДЭГ не гарантируют (и даже при желании не смогли бы гарантировать) что в логах систем не содержится информации по которой автоматически можно было бы восстановить связь избирателей и их бюллетеней. 

Во-вторых, в российских системах не раскрывается совокупность хранящейся в системе ДЭГ информации (логов). Более того, системы ДЭГ запускаются в серверном окружении, которое само может собирать и логировать чувствительную информацию. 

Теперь дополним картину политическим контекстом. Отечественные системы ДЭГ фактически находятся под контролем исполнительной власти, которая в России удерживается одной вполне конкретной политической группой, и частично спецслужб. У них может быть практический или политический интерес к раскрытию тайны голосования граждан — пусть и не для опубличивания, а например, для мониторинга политической ситуации и поиска неблагонадежных в системе управления, что они не устают нам демонстрировать.

Здесь уместно поставить практический вопрос: какая система в итоге способна лучше сохранять тайну волеизъявления? 

Система, где запрограммирована конфиденциальность и у граждан есть рациональная уверенность, что нарушатся она не будет (потому что в этом нет практического и политического смысла)? Или система, в которой объявляется наличие механизма анонимизации, но проверить его работу никто не может, и у широкого слоя избирателей есть обоснованное рациональное недоверие организаторам выборов? 

Если оставаться реалистами, то ко всем системам интернет-голосования имеет смысл относиться как к системам, которые должны так или иначе обеспечивать конфиденциальность голосования. Нужно иметь очень серьезные аргументы, чтобы ожидать от таких систем тайности. У меня нет таких аргументов ни про одну из известных мне систем голосований через интернет.

Более того, если влезать в технические детали, то реализация аппаратных способов анонимизации обычно или противоречит, или затрудняет имплементацию механизмов проверки/контроля. Чем снижает прозрачность и защищенность от фальсификаций. В истории московской системы так и происходило: под предлогом наличия анонимизации, сворачивалось обсуждение нескольких функций внешнего контроля системы.

Во всем хороша мера. Концентрация на проблематике тайности, а тем более строгой тайности, по отношению к системам интернет-голосования контрпродуктивна. Имеет смысл внедрять явное нормативное требование обеспечения конфиденциальности голосования, с ясным пониманием кто и как именно должен это обеспечивать и нести ответственность, в случае нарушения. 

Тут ситуация аналогична общественной дихотомии безопасностью и прав/свобод. Под соусом безопасности власти часто протаскивают уменьшение общественного контроля над управленческими и общественными процессами, проталкивают ограничение прав. Это в запущенных ситуациях в итоге приводит к уменьшению и свободы, и благополучия и той же безопасности тех же граждан.

Заинтересованы ли организаторы голосования в раскрытии тайны

Полезно проговорить и такой часто эмоционально воспринимаемый вопрос, насколько реалистичны интересы организаторов в нарушении тайны голосования и в какой форме с какими последствиями это может произойти.

Часто подразумевается, что нарушение тайны голосования выльется в кампанию давления на нелояльных граждан. И даже само ожидание таких последствий заметно влияет на волеизъявление голосующих через ДЭГ.

Последняя часть тезиса — абсолютная правда. А вот первый тезис нереалистичен как минимум на данном историческом этапе. И получается, что нерациональный страх, порождает негативные ожидания, которые в свою очередь порождают реальные негативные социальные процессы.

В российской ситуации я бы не стал параноить [больше минимально необходимого] по поводу реальности рисков наступления негативных последствий для граждан из-за нарушения тайности голосования. С доверием системам ДЭГ и так есть серьезные проблемы. Очевидно, что факты нарушения тайности могут еще больше усугубить имидж систем. 

В текущей политической ситуации максимум как можно представить использование (например, мэрией Москвы) данных о голосовании избирателей — более прецизионный социологический мониторинг бюджетных и иных подконтрольных организаций ну и упоминавшееся выше точечное выявление неблагонадежных в своем круге или среди элит-конкурентов по подковерной борьбе за федеральную власть. 

Подобную социологию московская администрация и так использует при планировании и управлениями избирательными кампаниями, потому грех не воспользоваться более полной и точной картиной, которую может дать электоральная социология голосования, которую легко на основе московских баз данных привязать и к организациям, и к территориям и прочему. 

При этом мне сложно представить практический электоральный смысл организации кампании давления на широкие слои москвичей из-за нелояльного голосования — продолжаем рассуждать о Москве, где административно и технологически такие возможности есть, но практического политического смысла все равно нет. Если, не дай бог, дойдет и до такого, то на такой стадии деградации сами выборы потеряют последний смысл. Как для граждан (понятно, что и так уже не допускаются независимые кандидаты), но и для власти (такие выборы практически не будут добавлять легитимности). И думать надо будет совсем не о доверии выборам или шансах на развитие.

Мне кажется, что сейчас тема отсутствия гарантий тайности волеизъявления при интернет-голосовании непропорционально переоценена. В условиях, когда системы ДЭГ не прозрачны и нет страховок от основных фальсификационных уязвимостей, проблема тайности голосования все же оказывается второстепенной. Бессмысленно говорить о точности и качестве волеизъявления, если само волеизъявление может потерять смысл, в погоне за дополнительным качеством.

Мнение выражает личную позицию автора и может не совпадать с позицией движения «Голос».
Другие записи по теме «Инновации»
МнениеИнновации3 месяца назад
Как ДЭГ уступил конкурсам и викторинам
Юлия Кайкконен
РазборИнновации3 месяца назад
Как устроено интернет-голосование и как за ним можно наблюдать
Спойлер: нет смысла следить за цифрами, которые показывает экран, если вы не знаете, откуда эти цифры берутся
НовостьИнновации7 месяцев назад
Суд в Москве впервые рассматривает иск к федеральной комиссии ДЭГ
Эксперт в области систем электронного голосования Виктор Толстогузов считает, что результаты дистанционного электронного голосования (ДЭГ) на выборах губернатора Подмосковья нужно отменить
МнениеИнновации7 месяцев назад
Москвич проголосовал, но его голос не был учтён
На жалобу он получил ответ, что «нужно корректно вводить номер своего бюллетеня»
Дмитрий Нестеров: другие материалы автора
МнениеНаблюдатели9 месяцев назад
В столице уже более миллиона подконтрольных избирателей, на которых власть оттачивает технологии административного принуждения
МнениеИнновации9 месяцев назад
В 2023 году у москвичей есть две основные опции, которые в максимально возможной мере позволят сохранить голос и тайну голосования
МнениеИнновациигод назад
Уже само наличие двустороннего обмена информацией важно и познавательно
МнениеИзбиркомыгод назад
22 февраля Мосгоризбирком официально начал процедуру уменьшения количества офлайновых избирательных участков в Москве