Säkerhetsklocka: Det är lättare - och svårare - att fixa oss valteknik än du skulle tro

När jag flög ut till San Francisco för RSA-konventionen (RSAC) i början av mars planerade jag att delta i alla valförsäkringssamtal som jag kunde passa in i mitt schema. Det är ett självklart val. Medan midtermen 2018 avslutades utan mycket kontrovers, kämpar vi fortfarande om presidentvalet 2016, och vi är halvvägs till nästa. Det är förutom att det amerikanska systemet för att avrätta och räkna röster är i bästa fall en knappt fungerande rysning.

Jag förväntade mig den vanliga döden och svagheten om valets säkerhet, med forskare som beklagade det ledsna tillståndet för röstmaskiner i USA. Jag såg till och med fram emot det, för du måste vara lite masochistisk för att vara i den här branschen. Det var lite av den vanliga eländen, men jag var inte beredd på en dubbel skam av optimism och förtvivlan. Jag lämnade mig övertygad om att vi faktiskt har sorterat de mest pressande av de tekniska problemen med röstning. Det som har oss stubbat är de andra sakerna.

Och det är mycket saker.

Det finns en lågteknisk lösning för omröstningssäkerhet

Alla talare jag såg var överens: I allmänhet vet vi vilka problem som är med att rösta i Amerika. Rent elektroniska röstningssystem, kallade Direct Recording Electronic (DRE) omröstningsmaskiner, är i allmänhet dolda borta från forskare, men de som har undersökts har visat sig vara ynkligt slapp när det gäller säkerhet. WinVote-maskinen, kallad världens värsta röstmaskin, hade nästan varje röd flagga du kunde föreställa dig för en så viktig hårdvara. Det här systemet tänker praktiskt taget att bli hackat.

På nära håll med WinVote, påstås värsta röstmaskin i världen. # BlackHat2018 pic.twitter.com/jRuBt5mieK

- Bitter, trött och svettig (@wmaxeddy) 9 augusti 2018

Inget av det är särskilt överraskande, men min teknologischadenfreude började rasa upp när diskussioner vred sig till verifiering av val. Det har varit en fråga i flera år, men det börjar gå vidare i diskussionerna eftersom valets säkerhet blir en större fråga. Många elektroniska röstningssystem (och till och med några gamla, spakdrivna mekaniska maskiner) saknar ett sätt att verifiera resultatet av ett val. Eller till och med för att avgöra om någon har manipulerat med maskinen.

Det finns en konsensus bland experter: När det gäller omröstningssäkerhet är papper kung. En pappersröstning har ingen mjukvara och inga rörliga delar. En pappersröstning är sin egen pappersspår, en som har verifierats av väljaren och kan berättas så många gånger som nödvändigt. Det finns säkert potentiella brister i elektroniska omröstningsmärkningsmaskiner (som skriver ut en färdig omröstning) och omröstningsskannrar, men själva pappersröstsedlarna är den säkraste metoden vi har för att inte bara rösta utan också för att kontrollera att resultatet av valet är korrekt.

Det som förvånade mig över RSAC är att de ansvariga personerna verkar få meddelandet. Kay Stimson, ordförande för US Department of Homeland Securitys samordningsråd för valinfrastruktursektorn, sade på RSAC att det finns, "en trend i USA mot att bygga motståndskraft, det betyder pappersregister och revision."

En snabb titt på kartorna från Verified Voting visar en allmän ökning av tillgängligheten för pappersröstning under de senaste valcyklerna. Det finns dock fortfarande mer arbete att göra. Samma Verified Voter-karta visar fyra stater som endast erbjuder DRE-maskiner utan pappersspår. Många stater erbjuder en blandning av pappersröstsedlar och DRE-maskiner, men ibland med mycket fler DRE-distrikt än pappersröstsedlar. Och pappersspår, även sådana som verifierats av väljarna, anses fortfarande otillräckliga jämfört med en faktisk pappersröstning.

Till och med DARPA tar en spricka på problemet med ett initiativ för att skapa öppna omröstningssedlar och omröstningsläsare. Projektet följer redan några av de bästa idéerna för att fixa röstmaskiner. Det förlitar sig på pappersröstsedlar och kommer att vara fullt tillgängliga för forskare att hitta brister. En snygg vridning är ett kvitto med ett kryptografiskt värde som väljare kan använda för att verifiera att deras röst har avgivits och räknats efter valet.

Ett koncept som har mottagits av forskare gör riskbegränsande granskningar efter ett val. Dessa granskningar kräver endast en liten del av rösterna för att uppnå statistiskt förtroende för resultatet. Det är en så enkel och uppenbar idé att jag aldrig skulle ha förväntat mig att den skulle antas. Men enligt National Conference of State Legislatures kräver 31 stater en traditionell granskning av resultaten efter ett val, och tre stater utför riskbegränsande revisioner som rekommenderas av experter. Framför allt har tio stater antagit lagar om revisioner efter valet sedan 2016.

Och revisioner fungerar. Titta bara på North Carolina, där revisioner hjälpte till att välta Mark Harris val till kongressen.

Det är allt annat som är trasigt

Den största utmaningen för mina antaganden om valets säkerhet är insikten att det krävs mer än säkra röstmaskiner och smart matematik för att verifiera resultaten. Talare efter talare på RSAC betonade att val är en webb av sammankopplade händelser, teknik, politik, organisationer och människor och att ett misslyckande hos någon av dem kan ha en effekt på resultatet. Medan vi börjar spika ner ett säkert och verifierbart sätt att rösta, kämpar vi fortfarande med… ja, allt annat.

Röstning är helt enkelt för svårt att göra i Amerika och enskilda röster har inte samma vikt. Ett försök att förvandla valdagen till en semester kallades en partisan maktgrepp. Utövningen av gerrymandering har sett några nederlag de senaste åren, men det är undantaget snarare än normen. Vi håller oss fast vid valhögskolan trots att vi hade haft två val under de senaste 20 åren där den vinnande kandidaten förlorade den populära rösten.

Det här är problem som har varit med vårt land i generationer, och teknik kan bara spela en liten roll i lösningen. Till och med den ryska blandningen 2016 var helt enkelt en högteknologisk twist på felinformation och propaganda. Vi har sett detta problem tidigare. Scammare har länge vetat att det är mycket lättare att bara ringa upp någon och be om personlig information eller presentera dem med en phishing-webbsida, snarare än att försöka hacka mål direkt. Vi kallar det "social engineering", men du kan kalla det en nackdel som har gjorts av storleksordningar effektivare av ny teknik. Den bästa lösningen vi har är utbildning och utbildning, inte en smart AI-driven försvarare.

På samma sätt, även om ångest har vuxit över nya tekniska hot mot demokrati, kanske ett tekniskt försvar inte är genomförbart. James Foster, VD på ZeroFOX, delade det helt enkelt: Inriktning på specifika grupper av amerikanska väljare för ihållande disinformationskampanjer med befintliga marknadsföringsplattformar, liknande de du ser visar annonser på denna webbplats, är anmärkningsvärt låg. Kostnaden för att använda automatiserade system för att undersöka text, bilder och video för att blockera desinformation är betydligt högre.

För sin del verkar regeringar investera kraftigt i teknik för att attackera varandra och de ser val som en utmärkt möjlighet att göra det. Kenneth Geers, forskningsforskare vid Comodo, visade hur val i något land åstadkommer en massiv spik i upptäckter av skadlig programvara.

• Är Ryssland en hot mot USA: s val? "Ja, absolut, " säger FBI-direktören är Ryssland en hot mot USA: s val? "Ja, absolut, " säger FBI-direktören
• Hur man skyddar USA: s val innan det är för sent Hur man skyddar USA: s val innan det är för sent
• Valpåverkanskampanjer: för billigt för att svindlare ska gå vidare

En del av det, medgav Geers, kan vara svindlare som använder händelser med rubriker, men han antog att det mestadels var intelligensbyråer och eventuellt politiska partier också. Separat enades en hel panel om att det inte fanns något konkret sätt att förhindra nationer från att genomföra sådana aktiviteter.

Sista samtal på omröstningsboden

Jag har tillbringat de senaste veckorna på att smälta allt jag hörde och såg på konferensen. Jag antog att när omröstningsmaskinerna var låsta, så skulle det vara det. De onda skulle bli slagen. Det är inte fallet.

Säkra med alla medel våra omröstningar och granska resultaten med statistisk analys, men val kan inte säkras helt med någon mängd teknik ensam. Det finns ingen produkt utanför hyllan för att klippa genom hyperinriktad felinformation, ingen mjukvarupatch för alternativa fakta och inget antivirus för nationella statliga trollgårdar. För att säkerställa att vår demokrati tål dessa nya hot måste vi göra hårt samhällsarbete för att utbilda väljare och smärtsamt politiskt arbete för att säkerställa att röster spelar roll. Jag hörde inte någon bland de mycket smarta människorna på RSAC som hade en lösning för allt detta.