голосование

[avva]

Ка-ка-я красота!

Новая статья Рона Ривеста (знаменитый криптограф такой) о придуманной им системе тайного голосования. Называется "система трех бюллетеней".

Перескажу в двух словах гениальную и очень простую систему Ривеста для тех, кому лень читать 15 страниц его статьи (я правда очень рекомендую) или не читает по-английски.

В чем основная проблема обычного тайного голосования? В том, что несколько важных его целей, взятые вместе, казалось бы противоречат друг другу. Это, во-первых, собственно тайна голосования, т.е. никто не должен знать, как я проголосовал; во-вторых, предотвращение мошенничества, т.е. подделки голосов, подмены бюллетеней итд.

Если бы каждый избиратель мог проверить, что его голос был учтен именно так, как он его заполнил, то мошенничать было бы намного тяжелее, особенно масштабно. Такую проверку можно было бы сделать, опубликовав имена избирателей вместе с их выборами - но тогда теряется тайна голосования. Есть вариант лучше: давайте, например, у каждого бюллетеня будет свой случайный номер, который избиратель сможет записать во время голосования (или просто получить копию бюллетеня), а потом все бюллетени будут опубликованы. Тогда вы не знаете, как я проголосовал, а я знаю, и могу проверить, что все было учтено верно. Но и это не идеально: то, что я могу доказать кому-то, как я проголосовал, это плохо - это значит, что мой голос могут заранее купить, пообещав мне что-то (или пригрозив мне чем-то). Должна быть ситуация, при которой даже я не могу никому доказать, что я проголосовал именно за этого кандидата - но тогда как я могу проверить, что мой голос учли верно? Противоречие, казалось бы.

Вот как остроумно решает эту проблему Ривест. Избиратель получает три бюллетеня, которые соединены в одном бланке для удобства, но после заполнения их можно разорвать по перфорированным краям и получить три отдельных бюллетеня. Вот так примерно:

В обычных выборах, с одним бюллетенем, избиратель заштриховал бы один кружок напротив своего кандидата, а другие не трогал. В системе Ривеста он поступает следующим образом: в строке того кандидата, которого он хочет выбрать, он штрихует два из трех кружков на трех бюллетенях - неважно, какие два из трех; в строках всех остальных кандидатов он штрихует один из трех кружков - тоже неважно какой. После этого специальная (простая) машина проверяет, что он не нарушил правила штрихования, разделяет бланк на три бюллетеня, штампует их официальным штампом и выдает ему официальную копию одного из трех - на его выбор, но только одного. Все три бюллетеня кладутся в ящик и связи между ними больше нет никакой (у каждого есть свой идентификационный номер, но они не последовательные, а случайные).

Что теперь получилось? Во-первых, подсчитать результаты легко: как и в обычных выборах, победил тот, за кого больше всего заштриховали кружков (если избиратель предпочел кандидата X, то на его 3 бюллетенях вместе за X заштриховано на 1 кружок больше, чем за любого другого кандидата). Во-вторых, результаты можно опубликовать: скажем, на публичном веб-сайте, список всех бюллетеней с номерами и кружками. Кто хочет, сам пересчитает результаты, тайна голосования не нарушена. В-третьих, я, избиратель, могу взять свою официальную копию одного из своих бюллетеней и сравнить с опубликованной: если не совпадают, налицо обман. Значит, подменить бюллетени в широком масштабе тяжело, т.к. мошенник не знает, какие из бюллетеней (ровно одна третья часть) могут быть проверены, и многие из них будут проверены. В-четвертых, я не могу никому доказать, что я проголосовал за какого-то конкретного кандидата, т.к. кружки на моей официальной копии ни о чем не говорят: вне зависимости от того, что там проставлено, я мог проголосовать за любого из кандидатов, правильно выбирая кружки на двух оставшихся своих секретных бюллетенях. Поэтому мой голос тяжело купить или вынудить угрозами: я могу даже по желанию "скупщика" голосов принести ему определенным образом заполненную официальную копию, но при этом реально проголосовать все равно по своему желанию.

Очень красиво!

Comments

[arbat.livejournal.com]

А самое главное достоинство системы - что она проводит определенный ценз. Проголосовать смогут только те, кто в состоянии осилить инструкции. 5% населения. Сливки интеллектуального общества.

[vadda.livejournal.com]

Да, красиво выходит.

Одна проблема - 90% избирателей будут не в состоянии понять, почему бюллетеней не один, а три, и почему надо штриховать "неправильных" кандидатов.

А так да, все замечательно.

[avva.livejournal.com]

На это г-н Дракон соизволил ответить, что можно сделать так, чтобы машина была, нажимаешь в ней свой выбор, а она случайным образом выбирает кружки так, чтобы по правилам, и выдает заполненный бланк. Этот бланк проверяется во втором автомате, разрезается, штампуется итд. Тем, для кого эти правила - непосильная натуга, не надо и напрягаться, хотя с 95% вы зажгли, конечно.

[avva.livejournal.com]

См. ответ выше :)

[igorbor.livejournal.com]

Система очень красивая, но я не понимаю - а как она защищает от подлога путем вброса лишних бюллетеней?

[olleke-bolleke.livejournal.com]

ну, избиратель может уведомлять своего "скупщика" о сделанном выборе СРАЗУ после голосования, сообщая при этом номера ВСЕХ ТРЕХ талонов. Это должно служить весомой гарантией его правдивости .

[olleke-bolleke.livejournal.com]

семь процентов людей
и других представителей человеческой расы

[amigofriend.livejournal.com]

Все случайные номера могут быть запомнены предварительно.
Невозможно будет создать "новый" бюллетень, только дубликатный.

[ars-longa.livejournal.com]

Непосильная не непосильная, но мне понадобилось довольно много времени чтоб врубиться. Отчетливое ощущение "многабукафф".

[avva.livejournal.com]

Это сложнее (в любой системе), но Ривест предлагает публиковать на том же веб-сайте список всех проголосовавших избирателей, естественно в отрыве от бюллетеней (да связи уже и нет после акта голосования). Тогда просто бюллетени подбросить нельзя, т.к. их число (после деления на 3) станет больше числа голосовавших. Против "мертвых душ" защищаться обычными способами: сверять списки итд. А против добавления в список голосовавших "живых душ", которые на деле не голосовали, эта публикация некоторым образом защищает: "как это моя бабушка оказалась в этом списке, если я знаю, что она не ходила голосовать? караул!" итд. Плюс опять же общественные организации могут делать проверки, обзвон случайной выборки на предмет проверить, что они действительно голосовали, итд. Это все Ривест пишет, я просто не стал уж всю статью пересказывать.

[avva.livejournal.com]

Отличное возражение, но против этого есть свой прием: не печатать номера заранее. Номера печатает проверяющая бюллетени машина, при этом она же их прикрывает (сгибает край итп.) так, что избиратель увидит только номер того бюллетеня, от которого ему дадут официальную копию (на копии и увидит). После того, как бюллетени проверены и выданы ему для подачи в ящик, он не может уже ничего с ними делать, только взять и положить в ящик. Он не может отогнуть край и увидеть номера двух других бюллетеней, поэтому он их не знает и скупщику сказать не может.

[nameless--one.livejournal.com]

Честно скажу, что поленился пока прочесть всю статью, но ваше описание оставляет одну неясность.

Если я не могу никому доказать как я голосовал, то что стоят мои утверждения о том что мой голос учли неправильно? Доказательств ведь нет.

[nameless--one.livejournal.com]

А как он тогда проверит что его голос правильно учтён?

[avva.livejournal.com]

Нет, мы же хотим защититься от подлога также и со стороны тех людей, которые печатают бюллетени и создают номера. Разве что опубликовать все номера заранее, но т.к. известно, что не все избиратели проголосуют, остается опасность использования лишних бюллетеней для подложных результатов.

[olleke-bolleke.livejournal.com]

ха! тогда избиратель сам не может проконтролировать, были ли учтены его остальные два бюллетеня, он просто не знает их номеров!

[avva.livejournal.com]

У него есть копия одного из бюллетеней с номером этого бюллетеня. На веб-сайте опубликованы все бюллетени с их номерами. Он проверяет, что его копия совпадает с опубликованной. Это дает ему 33 1/3% уверенности, что его бюллетени никто не менял, но т.к. он сам случайным образом выбрал, какой из трех бюллетеней себе оставить (напр. нажав на кнопку 1,2,3 на проверяющей машине), гипотетический мошенник, подделывающий X бюллетеней, рискует быть обнаруженным в X/3 из них.

Вся система основана на том, что избиратель не может проверить правильность всех трех своих бюллетеней, только одного из них, того, копию которого он получил: это хорошее свойство системы, а не плохое, поскольку позволяет ему проверить, но не доказать кому-то, что он проголосовал так, а не иначе.

[igorbor.livejournal.com]

Запомнены - кем?

[avva.livejournal.com]

А он и не должен. Вся суть в том, что он может проверить только один, зато никто не знает, какой из трех, поэтому кто-то, кто захочет подменить много бюллетеней, слишком сильно рискует - в 1/3 случаев он пролетает на проверках!

[igorbor.livejournal.com]

Да, действительно.

Остается одна проблема и одно пожелание.
Проблема - что становится достаточно легко узнать, кто голосовал, а кто - нет. Я легко могу себе представить ситуации, когда люди не захотят, чтобы про них это стало известно.

Пожелание - чтобы система позволяла голосовать по интернету, не выходя из дому. Тогда и явка будет значительно выше, кстати :) Но я пока не вижу, как можно при этом обеспечить анонимность и предотвратить повторное голосование...

[avva.livejournal.com]

Доказательства есть: если ваша официальная копия не совпадает с тем, что опубликовано на веб-сайте, то это и есть доказательство. С этим идем в избирательную комиссию, суд итд.

[chasovschik.livejournal.com]

У меня первая мысль была - это придумано для того, чтобы запутать адвокатов, которые будут разбираться с последствиями таких выборов. С избирателями-то и так все понятно.

В процессе чтения, однако, стало ясно, что конструкция носит чисто теоретический характер.

[olleke-bolleke.livejournal.com]

Да, неплохо.
Ну, тогда остается только одно возражение; слишком много власти остается в руках программистов этой машинки, ведь они могут вычислить "соседние" номера и, следовательно, контролировать весь процесс;
-либо доложить кому следует онеправильном голосовании
-либо прсто подменить два других, нескопированных бюллетеня

[igorbor.livejournal.com]

Ну в такой ситуации достаточно подкрутить саму машину - чтобы она после того, как отдаст избирателю один из бюллетеней, остальные два (номера которых он не знает) напечатала как угодно.

По-моему, уж лучше дать ему знать все три номера. Использовать их для доказательства продажи голоса можно, конечно, но представляется все же меньшим злом...

[igorbor.livejournal.com]

Грубо говоря, Вы не можете доказать, как Вы голосовали, но можете доказать, как Вы НЕ голосовали.

[olleke-bolleke.livejournal.com]

я думаю, что это неизбежно в будущем .
У ВСЕХ дома машЫнки с кнопочками "за" и "против"..
Очень удобно, и ,потратившись один раз, потом очень дешево будут обходиться всякие выборы-референдумы в плане подсчета голосов