Cuộc tranh luận về theo dõi phiếu bầu thực chất là một vấn đề kỹ thuật

Tuần trước, Tòa án Tối cao lại đưa việc theo dõi phiếu bầu gửi qua thư lên mặt báo. Trong một phán quyết 6–3, Tòa đã dỡ bỏ lệnh cấm đang chặn một phần sắc lệnh hành pháp về bỏ phiếu qua thư tại 23 bang và Washington, D.C. Tôi không bình luận về mặt chính trị của phán quyết đó, và bài viết này cũng không nói về chúng. Nó nói về một chi tiết kỹ thuật nằm giữa cuộc tranh luận: mã vạch USPS Intelligent Mail độc nhất trên phong bì phiếu bầu.

Mã vạch là bước đầu tiên hợp lý. Nó cũng là phiên bản nhỏ nhất có thể của ý tưởng này. Những người bạn của tôi Stacy Griggs, Chris Porter và tôi đã dành bốn năm cho đúng vấn đề này, và tôi là một trong những đồng sáng chế cùng họ trên bốn bằng sáng chế được cấp từ đó — US11216773B1, US11416807B1, US11775920B1 và US11790310B1. Anh ấy đã viết rất rõ trong bài viết gần đây của anh ấy: mã vạch nhận diện một vật thể, nhưng nó không chứng minh được chuyện gì đã xảy ra với vật thể đó. Câu hỏi kỹ thuật bên dưới: làm thế nào để xây dựng một chuỗi lưu ký cho lá phiếu vật lý vừa an toàn, bảo mật, vừa có thể được kiểm toán độc lập mà không bao giờ tiết lộ ai đã bầu cho ai?

Đây là cách kiến trúc hoạt động.

Vấn đề: theo dõi một vật thể, không phải một con người

Bắt đầu với ràng buộc thiết kế khiến mọi thứ khác trở nên khó khăn: bỏ phiếu kín. Việc theo dõi kiện hàng gắn mỗi lần quét với một con người — người mua, người gửi, người nhận. Hệ thống theo dõi phiếu bầu không thể làm vậy, vì khoảnh khắc một bản ghi kết nối lá phiếu với lựa chọn của cử tri, hệ thống trở thành công cụ giám sát, không phải công cụ tạo lòng tin.

Vì vậy kiến trúc này tách biệt hai danh tính mà hầu hết các hệ thống không bao giờ bận tâm tách riêng: cử tri — một con người có địa chỉ và hồ sơ đăng ký, và lá phiếu — một vật thể vật lý có mã định danh duy nhất được gán khi cơ quan bầu cử tạo ra nó. Mã định danh di chuyển cùng lá phiếu. Danh tính cử tri không bao giờ gắn vào nó.

Hệ thống theo dõi lá phiếu, không bao giờ theo dõi nội dung bầu chọn. Nó có thể nói với cử tri "lá phiếu của bạn đã được kiểm đếm." Nó không bao giờ có thể nói với bất kỳ ai "đây là cách bạn đã bầu." Sự tách biệt đó không phải là một lựa chọn chính sách được gắn vào sau. Nó là bức tường chịu lực của toàn bộ thiết kế.

Cách mã định danh gắn với lá phiếu vật lý

Vấn đề kỹ thuật đầu tiên là sự ràng buộc: làm sao một bản ghi số gắn vào một tờ giấy vật lý?

Cách tiếp cận là một mã định danh kiện hàng duy nhất, gọi là UPI, được suy ra từ chính lá phiếu — sinh ra từ các đặc điểm của phong bì: mã vạch Intelligent Mail, khối địa chỉ, dấu bưu phí, dữ liệu quang học từ bề mặt. Chi tiết then chốt: mã định danh được suy ra từ vật thể, chứ không phải được gán rồi dán lên. Bản ghi số được neo vào các đặc điểm thực tế của vật thể vật lý. Một vật thay thế, một bản photocopy, một vật trông giống sẽ tạo ra mã định danh khác, và sự sai lệch đó là có thể nhìn thấy.

Các bằng sáng chế mô tả cùng kỹ thuật cho thư từ thông thường: tạo mã định danh từ các lần quét vật phẩm, lưu bản ghi trên một sổ cái có quyền truy cập, và để mã định danh trở thành khóa tra cứu lịch sử của nó. Đối với lá phiếu, mô hình hoàn toàn giống nhau. Mã vạch là hạt giống. Các đặc điểm của phong bì là điểm neo. Bản ghi là lịch sử.

Sổ cái có quyền truy cập thực sự bổ sung điều gì

Đây là nơi từ "blockchain" cần được dùng cẩn thận, vì đây thường là nơi bắt đầu sự phóng đại. Không ai nên tuyên bố một sổ cái khiến hệ thống không thể bị hack. Điều mà một sổ cái phân tán, có quyền truy cập làm được thì hẹp hơn và hữu ích hơn: nó khiến lịch sử khó bị viết lại một cách lặng lẽ.

Một cơ sở dữ liệu thông thường lưu các sự kiện dưới dạng các hàng do một tổ chức kiểm soát. Nếu USPS ghi nhận một lá phiếu đến vào 10:42 sáng ngày 22 tháng 10, hàng đó nằm trong cơ sở dữ liệu của USPS, và bất kỳ ai có quyền ghi đều có thể thay đổi nó mà không có bản ghi độc lập nào về sự thay đổi. Một sổ cái có quyền truy cập phân tán lịch sử cho nhiều bên tham gia được ủy quyền — cơ quan bầu cử, dịch vụ bưu chính, các kiểm toán viên độc lập — để một sự kiện không phải là một hàng do một bên sở hữu; nó là một phần của bản ghi chung mà các bên tham gia có thể thấy nhưng không thể âm thầm sửa đổi.

Đó là thuộc tính quan trọng đối với bầu cử: không phải sự bất khả xâm phạm kỳ diệu, mà là khả năng phát hiện dấu vết giả mạo. Viết lại những gì đã xảy ra với một loạt phiếu bầu nghĩa là viết lại bản sao của mọi bên tham gia, và nỗ lực đó để lại dấu vết. Sổ cái không thay thế việc kiểm toán; nó khiến việc kiểm toán khả thi ở một mức độ chi tiết mà ngày nay chưa tồn tại.

Dấu vân tay bưu chính

Một trong các bằng sáng chế bổ sung một khái niệm đáng chú ý hơn: dấu vân tay bưu chính để phát hiện giả mạo. Chụp một chữ ký cơ sở của phong bì tại một thời điểm biết chắc là nguyên vẹn: các đặc điểm bề mặt, niêm phong, trạng thái vật lý. Khi xác thực, đo lại. Nếu các chữ ký lệch nhau vượt quá dung sai — niêm phong bị mở rồi dán lại, phong bì bị hấp hơi rồi dán lại, lá phiếu bị đánh tráo — nó sẽ được đánh dấu để con người xem xét.

Đây cũng là logic giống như checksum trên một tệp tin hay niêm phong trên một container. Nó không ngăn được một kẻ tấn công quyết tâm; nó khiến việc giả mạo trở nên có thể bị phát hiện, và khả năng phát hiện chính là toàn bộ cuộc chơi. Bạn không cần một lá phiếu không thể bị giả mạo. Bạn cần sự giả mạo đủ rõ ràng để nó không bao giờ đáng để thử, vì nỗ lực đó sẽ trở thành bằng chứng.

Cách kiểm toán viên xác minh mà không nhìn thấy nội dung bầu chọn

Vấn đề kỹ thuật cuối cùng nghe có vẻ bất khả thi cho đến khi bạn thấy mẹo: làm sao các kiểm toán viên độc lập xác minh chuỗi mà không bên nào nhìn thấy ai đã bầu cho ai?

Lá phiếu và nội dung bầu chọn tách rời đúng nơi chúng nên tách. Bản ghi chuỗi lưu ký theo lá phiếu vật lý qua các khâu tạo lập, gửi thư, chuyển phát, gửi lại, tiếp nhận, xác thực và chấp nhận, tại đó thông tin nhận dạng được tách khỏi lá phiếu trước khi nó đi vào kiểm đếm. Sổ cái ghi lại những gì đã xảy ra cho đến thời điểm tách biệt; bản thân việc kiểm đếm nằm ngoài hệ thống theo dõi.

Vì vậy kiểm toán viên có thể xác minh mọi lần bàn giao — được cơ quan tạo ra, được USPS tiếp nhận, chuyển phát, gửi lại, xác thực, kiểm đếm — mỗi lần đều được hậu thuẫn bởi một sự kiện trên bản ghi chung. Điều kiểm toán viên không thể thấy, từ bất kỳ góc độ nào, là lá phiếu đã được đánh dấu theo hướng nào. Thông tin đó đơn giản là không có trong hệ thống. Bạn không thể làm rò rỉ dữ liệu mà bạn chưa từng sở hữu.

Vì sao điều này tốt cho nước Mỹ

Chúng ta vốn đã chấp nhận tiêu chuẩn này cho một sản phẩm đặt mua trực tuyến — tôi có thể theo dõi một chiếc hộp di chuyển từ kho của người bán đến hiên nhà mình, qua từng lần quét. Vậy mà khi một công dân gửi lá phiếu của họ qua thư, khả năng nhìn thấy đầu-cuối chỉ là một phần nhỏ so với những gì thương mại có được.

Đó không phải là một quan sát mang tính đảng phái. Đó là một khoảng trống kỹ thuật, và chúng ta có công nghệ để lấp đầy nó. Mọi lá phiếu đều phải đến được cơ quan bầu cử. Mọi lá phiếu hợp lệ đều phải được kiểm đếm. Mọi cử tri đều có thể xác minh, một cách bảo mật, rằng lá phiếu của họ đã đi tới nơi. Không hệ thống nào được phép tiết lộ ai đã bầu cho ai. Không mục tiêu nào trong số đó thuộc về một đảng phái. Chúng là các yêu cầu của một quy trình đáng tin cậy, được viết thành một đặc tả kỹ thuật.

Bài viết của Stacy kết thúc bằng một thách thức đúng đắn, và đó là lập trường trung thực duy nhất: đừng nói với chúng tôi rằng nó hoạt động. Hãy chứng minh điều đó. Hãy thí điểm ở một số ít bang, đưa nó vào kiểm định độc lập về an ninh mạng và quyền riêng tư, để các nhà nghiên cứu bên ngoài thử phá vỡ nó, kiểm thử song song với quy trình hiện có. Hãy để kết quả quyết định.

Mã vạch chỉ là sự khởi đầu. Kiến trúc xung quanh nó — một mã định danh gắn với lá phiếu vật lý, một sổ cái khiến lịch sử có thể phát hiện dấu vết giả mạo, một dấu vân tay khiến sự giả mạo hiển hiện, một sự tách biệt giữa lá phiếu và cử tri để bảo toàn việc bỏ phiếu kín — mới là cơ hội lớn hơn. Nó là kỹ thuật, nó có thể kiểm thử, và nó tốt cho nước Mỹ. Theo dõi lá phiếu, không bao giờ theo dõi nội dung bầu chọn.

Nghĩ rằng lập luận này phù hợp với sự kiện của bạn? Hãy kể cho tôi về khán phòng — lịch trình có chọn lọc.