10/05/2006 | DevRand

Схема дуже красива, і хоча є серйозні сумніви що вона коли небуть буде напряму застосована на практиці, однак може стати серйозним стимулом для того, щоб продовжувати думати над змінами нашого (недовершеного) способу голосування, підрахунку та перевірки результатів. Принаймні в ній є ідеї, які можна використовувати і у нас.

Схема Рівеста не є ліками від усіх проблем та порушень під час голосування. Наприклад, "каруселі" вона не лікує, так само як не лікує погані списки з "мертвими душами". Критично важливим залишається забезпечити принаймі три речі -
- підготовка грамотних спостерігачів,
- навчання виборців
- та створення і завчасне оприлюднення адекватних списків.

Але зате, запропонований Рівестом протокол гарантує що виборець може пересвідчитись, що його голос враховано, і враховано саме так як він проголосував, і що його анонімність забезпечена, навіть при тому що він може зробити таку перевірку результатів.



Отже, учаснику голосування видають три однакових бюлетня (з різними випадковими ідентифікаційними номерами). Для кожного кандидата вибрець заретушовує
1) одне коло(кружок) в строчці для кандидата, в будь якому одному з трьох бюлетнів, якщо він голосує проти нього
2) два кружка в строчці для кандидата в будь яких двох бюлетнях, якщо він голосує за цього кандидата
3) всіх трьох пустих або всіх трьох заповнених кружків не допускається

Приклад, якщо бюлетні заповнені так, як на картинці знизу, то виборець проголосував:
- за президента Боба Сміта
- за сенатора Еда Зіна

Одразу додам, що обов"язковим едементом схеми Рівеста є те що на публічному веб-сайті друкуються всі списки виборців з призвіщами, а після голосування - всі результати, включно з ідентифікаційними номерами бюлетнів (які як ви пам"ятаєте, є випадковими), та з інформацією про всі заповнені на них кружки.


Після того як виборець, згідно простих правил, в кабіні для голосування заповнив бюлетні (помітив відповідні кружки), спеціальна (проста) машина пперевіряє,що виборець не порушив правил заповнення, розділяє бланк на три бюлетня, штампує їх офіційним штампом та видає йому копію одного з них - на вибір, але тільки одного. Далі всі три бюлетня, як і звичайно, кидаються в урну - зв"язку між ними вже немає.

Результати підраховуються просто - бюлетні скануються простою оптичною сканувальною машиною (для цього і потрібні кружки), та від суми всіх кружків відданих за кожного з кандидатів, віднімається кількість тих, хто проголосував - таким чином отримується кількість голосів, які набрав кожен кандидат.

За всіма бюлетнями, що публікуються на сайті, можна підрахувати кінцевий результат. Плюс, і це дуже важливо, кожен виборець може порівняти дані заповнення з копії свого одного бюлетня, що він її отримав після голосування, з даними заповнення цього бюлетня, що наведені на сайті(знайшовши його по ідентифікаційному номеру).

Таким чином, одна третина випадково обраних бюлетнів з усієї кількості задіяних, може бути перевірена на істинність - фальсифікаторам неможливо вгадати, які бюлетні можна підробити, а які ні - і це зі значною вірогідністю підтвердить, чи були порушення, чи не було. (На підставі хоча б однієї невідповідності можна вимагати перерахунку).

І саме головне, і це є причиною того, чому схему прийшлось ускладнити до 3-х бюлетнів на кожного виборця. Справді, чому б просто не використовувати один бюлетень і не давати виборцю його копію , і друкувати всі бюлетні в інтернеті, щоб він міг перевірити чи є там його голоси?

А для того, щоб виборець навть особисто не зміг би довести якісь третій стороні, як саме він проголосував!

ДЛя чого це потрібно? для того щоб він не зміг би продати свій голос, або щоб у нього неможливо було видурити його голос погрозами. Дійсно, за умови якщо є копія лише одного бюлетня з трьох, неможливо визначити яким насправді було голосування цієї людини. незалежно від того, що на цьому бюлетні, він міг проголосувати за будь кого іншого, відповідним чином проставивши кружки на двох інших, "секретних", бюлетнях.

Насправді зберігається можливість того, що можна зробити атаку і на цю схему - наприклад, уявимо собі, що "голоси" купуються.

Тоді "замовник" голосування може "купити" виборця, щоб той заповнив бюлетні згідно завчасно наданої замовником виборцю схеми, своєї для кожного з трьох бюлетнів і для кожного виборця, учасника голосування. Мається на увазі, що замовнику потрібен не сумарний вибір голосуючого, а розрахована схема голосування для кожного з учасників цієї фальсифікації, яка в сумі дасть потрібний результат, а також дозволить перевірити (перед тим як виплатити гроші) че є схема голосування, надана для конкретного учасника, в кінцевих результатах голосування, чи немає. Тобто, чи присутні на сайті з результатами голосування три будь які бюлетні, кружки на яких заповнені згідно схеми наданої для цього виборця. Якщо так, то винагорода виплачується, якщо ні - то ні.

Слід зазначити, що ця атака працює лише коли в голосуванні приймає участь багато кандидатів (інакше організаторам фальсифікацій просто не вистачить різноманітних комбінацій, що мають бути унікальними для всіх виборців що приймают участь в фальсифікації).

Однак, не дивлячись на те, що схема Рівеста більш складна технологічно (потрібні машинки, для перевірки та копіювання одного з бюлетнів ), на те що вона розрахована на більш розумного/підготовленого виборця, та на те що вона є вразливою до описаної атаки з попредньою схемою заповнення , вона все одно набагато більш "захищена", ніж класичне голосування з одним бюлетнем.

Особисто я погодився б на неї, лише для того щоб мати можливість перевірки, чи враховано в результатах виборів саме мій голос?

Повний текст статті Рівеста, англійською. можна прочитати в цьому pdf-файлі.