Qstamp / Вибори

Доброчесність виборів

Виборчі записи, які неможливо підробити, без розкриття жодного голосу.

Уряди повинні мати змогу довести, що кожен засвідчений протокол, кожен підрахунок голосів і кожен оголошений результат точно відповідають тому, що було зафіксовано, і що жоден запис не було змінено, вставлено чи датовано заднім числом. QBallot, SDK доброчесності виборів із сімейства Qstamp, надає виборчим органам, спостерігачам і судам постквантові докази щодо всієї виборчої документації за абсолютного збереження таємниці голосування.

Live flow

How QBallot runs inside an election.

Each step lights in turn as a record moves through it. Steps inside your systems never send content out. Only the anchor reaches the Quantova network, and only chain facts are public on QVMScan.

Live flowQBallot, from polling station to the explorer

Your systemsElection management systemSoftware builds and the mandates of officials registered
Your systemsPolling stationReturn signed by the presiding officer and witnesses
Your systemsCount centreBallot records fingerprinted with fresh salts, no voter identified
Your systemsTabulationEvery action sealed in a hash chained log
Quantova networkAnchorOne salted 32 byte commitment per batch, sent under record kind 1106 in a transaction signed with ML DSA 65
PublicQVMScanFinal in about 0.2 seconds and indexed on the explorer under QBallot, with no record content
PublicObservers and courtsProve the declared result equals the certified returns

Inside your systemsQuantova networkPublic and verifiable

Проблема

Довіра суспільства залежить від записів, які можна перевірити.

Загальнонаціональні та регіональні вибори, вибори керівників, референдуми, а також голосування в парламентах і партіях створюють ланцюг записів від протоколу виборчої дільниці до оголошеного результату. Сьогодні цей ланцюг захищено паперовими процедурами, а там, де він цифровий, класичними підписами, які квантовий комп'ютер зможе підробити. Тоді оскаржений результат тримається на довірі до систем того самого органу, чиї дії поставлено під сумнів.

Змінені протоколи

Протокол виборчої дільниці, змінений між підрахунком голосів і загальнодержавним зведенням результатів, може бути важко виявити, якщо єдина копія зберігається в системі, яка його змінила.

Підроблені повноваження

Результат, поданий від імені посадової особи, яка ніколи його не засвідчувала, або програмним забезпеченням, яке ніколи не було затверджене, підриває довіру до всього оголошення результатів.

Майбутня підробка

Виборчі записи зберігаються роками й можуть бути оскаржені через тривалий час після дня голосування. Записи, підписані ключами RSA або ключами на еліптичних кривих, стане можливо підробити, щойно з'являться великі квантові комп'ютери.

Рамкова модель

Шість етапів, кожен запечатаний і пов'язаний.

QBallot дотримується усталеної структури виборів і додає криптографічну печатку на кожному етапі. Кожна печатка підписується за допомогою ML DSA відповідно до FIPS 204 і фіксується в часі в мережі Quantova, тож цілісність запису можна перевірити незалежно від органу, який його створив.

Етап 1 · До дня голосування

Реєстрація програмного забезпечення та повноважень

Виборчий орган реєструє цифровий відбиток кожної сертифікованої збірки програмного забезпечення для зведення результатів і управління виборами та підписує доручення кожного голови окружної виборчої комісії, голови дільничної виборчої комісії та відповідального за підрахунок голосів із зазначенням дільниці чи підрахунку, за які він відповідає. Будь-яке програмне забезпечення або посадову особу, не зареєстровані заздалегідь, буде виявлено під час підрахунку голосів.

Етап 2 · На виборчій дільниці

Записи запечатуються там, де їх створено

Після закриття виборчої дільниці голова дільничної виборчої комісії та призначені свідки підписують своїми зареєстрованими ключами протокол дільниці, включно з обліком бюлетенів і результатом. Для протоколу обчислюється цифровий відбиток, і він закріплюється до того, як залишить дільницю, тож його зміст фіксується в момент засвідчення.

Етап 3 · Під час підрахунку голосів

Цифровий відбиток кожного запису бюлетеня, жодного виборця не ідентифіковано

Для кожного сканованого зображення бюлетеня чи кожного запису поданого голосу в центрі підрахунку голосів обчислюється цифровий відбиток зі свіжою випадковою сіллю, після чого вони закріплюються пакетами. За межі центру виходять лише зобов'язання із сіллю. Жодні дані про особу виборця, жоден номер бюлетеня, пов'язаний із виборцем, і жоден зміст бюлетеня ніколи не публікуються.

Етап 4 · Під час передавання

Результати, які неможливо змінити під час передавання

Результати передаються від дільниці до округу й далі до загальнодержавного зведення як підписані записи. Система зведення приймає результат лише тоді, коли він містить дійсні підписи посадових осіб, зареєстрованих для цієї дільниці, тож результат, змінений або вставлений під час передавання, відхиляється.

Етап 5 · Під час зведення результатів

Запис кожної дії з виявленням підробки

Кожну дію в системі управління виборами, зокрема рішення щодо спірного бюлетеня, виправлення чи повторний підрахунок, записують до журналу з хеш-ланцюгом, запечатаного закріпленими контрольними точками. Жодну дію не можна непомітно видалити, переставити чи датувати заднім числом, а щодо кожного рішення показано, що воно відповідає зафіксованій підставі.

Етап 6 · Після оголошення результатів

Незалежна перевірка спостерігачами та судами

Кандидати, партії, спостерігачі та суди можуть підтвердити, що оголошений результат є сумою засвідчених протоколів дільниць, що кожен протокол не змінювався від моменту підписання і що кожен закріплений запис існував у зазначений час, не покладаючись на довіру до власних систем виборчого органу.

QBallot

SDK доброчесності виборів із сімейства Qstamp.

QBallot поєднує перевірені складники сімейства для виборів. Qstamp фіксує кожен запис у часі. QSign містить підписи голів дільничних і окружних виборчих комісій. QMandate доводить, яка посадова особа мала повноваження щодо якої дільниці та якого підрахунку. QLog веде запис кожної дії під час зведення результатів із виявленням підробки. QBallot додає специфічні для виборів правила, структуру протоколів дільниць і процедуру перевірки для спостерігачів і судів.

QBallot is being built for release as part of QGov, the government branch of the Qstamp family, and will be published only after rounds of security review and live testing on the Quantova network. Election authorities can begin pilots today with the live SDKs, which provide each of the protections described on this page.

Що виявляє QBallot

Протокол дільниці, змінений після засвідчення
Результат, вставлений від імені незареєстрованої посадової особи
Результат, створений незареєстрованим програмним забезпеченням
Запис бюлетеня, змінений після обчислення цифрового відбитка
Рішення чи виправлення, видалене, переставлене або датоване заднім числом
Оголошений підсумок, що відрізняється від засвідчених протоколів

Таємниця голосування

Цілісність запису, таємниця голосування.

QBallot ніколи не фіксує, хто голосував, як голосувала будь-яка особа, чи будь-який зв'язок між виборцем і бюлетенем. Для записів бюлетенів обчислюється цифровий відбиток зі свіжою випадковою сіллю, і закріплюється лише зобов'язання із сіллю, тож ніщо з опублікованого не можна простежити до виборця чи використати для підтвердження припущення щодо бюлетеня. Реєстри виборців і дані про особу повністю залишаються в системах виборчого органу.

Інтеграція

Як виборчий орган запроваджує цю рамкову модель.

1. Правова та процедурна основа

Орган визначає у своїх виборчих правилах, які записи запечатуються, хто їх підписує і як спостерігачі та суди можуть їх перевірити, відповідно до національного виборчого законодавства та під наглядом своєї виборчої комісії.

2. Церемонія генерації ключів

Ключі органу, голів окружних і дільничних виборчих комісій створюються під час церемонії в присутності свідків і зберігаються в апаратно захищених сховищах. Доручення кожної посадової особи визначає дільниці та підрахунки, які вона може засвідчувати, і строк її повноважень.

3. Реєстрація програмного забезпечення

Цифровий відбиток кожної сертифікованої збірки програмного забезпечення для зведення результатів і управління виборами реєструється та закріплюється до дня голосування після її затвердження в межах національної процедури сертифікації.

4. Голосування та підрахунок голосів

Протоколи дільниць, записи бюлетенів і дії зі зведення результатів запечатуються в міру їх створення, як описано в шести етапах вище. Паперові бюлетені залишаються записом волевиявлення виборця скрізь, де цього вимагає закон.

5. Аудит і повторний підрахунок

Післявиборчі аудити, зокрема аудити з обмеженням ризику, порівнюють вибірку паперових бюлетенів із запечатаними записами бюлетенів. Кожен повторний підрахунок і кожне виправлення також запечатуються, тож журнал аудиту неможливо переписати.

6. Спори та зберігання

У разі оскарження орган надає відповідні записи та квитанції, а будь-яка сторона чи суд перевіряє їх незалежно. Докази залишаються перевірюваними протягом усього строку зберігання виборчої документації.

Предмет

Що ця рамкова модель робить і чого не робить.

QBallot доводить, що виборчі записи не змінювалися з моменту їх запечатування, що їх запечатали зареєстровані посадові особи та програмне забезпечення, і коли саме. Він не замінює сертифіковане обладнання для голосування, паперові бюлетені чи процедури виборчої комісії, не встановлює, що бюлетень відображає волевиявлення виборця, і сам по собі не запобігає примусу чи підкупу виборців, які залишаються предметом виборчого законодавства та його застосування. Його розроблено для підтримки стандартів, що діють у кожній юрисдикції, як-от Рекомендація Ради Європи CM/Rec(2017)5 щодо стандартів електронного голосування та Voluntary Voting System Guidelines Комісії зі сприяння виборам США (Election Assistance Commission), і кожен орган залишається відповідальним за дотримання власного законодавства.

Поточні випуски SDK Qstamp здійснюють закріплення в тестовій мережі Quantova перед використанням у виробничому середовищі.