← すべての記事

連邦監査官が警告した：投票セキュリティの保護措置は未完成だった。2005年のことだ。

2005年、連邦監査官は議会に警告した。あなたの電子投票を保護するために設計された保護措置はまだ完全には存在していない、そして「私たちは認定されたシステムを使用している」という約束には、それを支える機能的なチェックがないと。

2005年9月21日。ワシントンのどこかで、107ページのレポートが議会委員会に送付されたばかりだ。党派的な署名は付いていない。それは米国政府説明責任局（GAO）のキャリア監査官によって作成された—議会が政府が実際に約束したことを行っているかどうかを知りたいときに送り込む機関と同じだ。

報告書のタイトルは『選挙：電子投票システムのセキュリティと信頼性を向上させるための連邦努力は進行中だが、主要な活動は完了する必要がある』である。

そのタイトルをもう一度読んでみてほしい。「努力は成功した」ではない。「主要な活動は完了した」でもない。完了する必要がある。

2005年だ。フロリダの再開票でアメリカ民主主義をほぼ崩壊させたハンギングチャッド事件からわずか5年後。議会がHelp America Vote Act（投票支援法）を可決し、選挙支援委員会を設立して、この問題を修正するために特化してからわずか3年後。連邦監査官は議会に告げている：電子投票システムが安全で信頼できることを保証するための機構はいまだに建設中だと。

その言葉—未完成—がこの投稿の主題だ。

存在するはずだったチェック

「私たちは認定されたシステムを使用している」というのが何を意図しているかを説明しよう。

これは次のことを意味するはずだ：あなたの地域がそのタッチスクリーンまたは光学スキャナを配置する前に、独立した機関がそれを公開された技術基準と照らし合わせて検査し、ソフトウェアとハードウェアがそれらの基準を満たしていることを検証し、認定を発行した。機械があなたの投票をカウントするとき、あなたが信頼しているのはベンダーの約束だけではなく、文書化された監査済みの調査結果だ。

これが理論だ。

2005年、GAOはこの現実を検査した。主要な活動が未完成のままであることを発見した。 具体的には、選挙支援委員会に次のことを実行するよう勧告した：

  • 投票システム基準を改善する—実際のものは電子システムがもたらすセキュリティの課題に完全には対応していなかったため。
  • 認定手続を確立する—それらの手続はまだ終了していなかったため。
  • 認定されたソフトウェアのリポジトリを作成する—地域、監査官、研究者が機械上で実行されているものが実際に認定されたものであることを独立して検証できるように。
  • システム脆弱性に関する情報を共有する—問題が発見されたとき、その情報を機械を運用する人々に伝える信頼できるチャネルがなかったため。
  • 推奨されるセキュリティ慣行を普及させる—ベストプラクティスは存在したが、それを地方選挙当局に伝えるのは機能する体制ではなかったため。

GAOの完全なレポートはこちら。

そのリスト上のすべての項目は「私たちのシステムは認定されている」という主張の構成要素だ。不完全な項目はそれぞれその主張に穴を開ける。党派的な主張ではない。陰謀でもない。政府自体の独立した監査官による調査結果で、議会に宛てたもの、平易な言語で述べられたものだ。

チェックが重要だった理由—そしてそれなしで何が起きたのか

GAOの調査結果がなぜこれほど厳しかったのかを理解するには、当時アメリカの投票所に配置されていたものを理解する必要がある。

2006年—GAOレポートの1年後—プリンストン大学の研究者は実際のDiebold AccuVote-TSタッチスクリーン投票機を入手した。Ariel Feldman、J. Alex Halderman、Edward Feltenは、物理的なアクセスが約1分あれば、攻撃者が悪意のあるコードをインストールしてすべての内部レコード、ログ、カウンターの一貫性を保ったまま投票を盗むことができることを実証した。彼らは機械間での通常の選挙活動中に機械から機械に広がることができる、機能する投票機ウイルスを構築した。AccuVote-TSファミリーの機械は当時、米国で最も広く使用されているものの一つだった。

これらの機械は認定されていた。

認定は存在した。それが測定された基準—それらはGAOが改善が必要であることを発見したものだ。認定されたコードが実行中のコードと一致することを誰でも検証することができる、ソフトウェアリポジトリ—それらはGAOが構築する必要があることを発見したものだ。プリンストンのような発見をそれらの機械を使用しているすべての地域に押し出すであろう、脆弱性共有チャネル—それらはGAOが作成する必要があることを発見したものだ。

完全で強制され、公開可能な確認枠組みのない認定は保証ではない。それはラベルだ。

消えた投票—それをチェックするものは何もない

プリンストンの研究者がテストを実行していたのと同じ年、フロリダ州サラソタ郡で何か問題が起きた。

2006年11月、有権者は国内で最も接戦の一つであった議会選挙—フロリダ州13区に投票した。最終的に369票の差で決定された。サラソタ郡では、その選挙でほぼ18,000票の投票用紙が記録された選択を示していなかった。郡で投じられたすべての投票用紙の13パーセント。機械はES&S iVotronicタッチスクリーン直接記録電子(DRE)機械だった—用紙がなく、独立した有権者検証記録が残されていなかった。

GAOは呼ばれた。そのテストは投票を生じさせた機械の不具合を見つけなかった。しかし—そしてこれは重要だ—調査に関するGAOのレポート自体は、有権者検証用紙の証跡がタッチスクリーンが投票を正しく記録したことの独立した確認を提供することができたと述べた。

言い換えれば：18,000票が機械エラー、ソフトウェア欠陥、または設計の奇妙さに消えたかどうかを知る唯一の方法は、機械を独立したレコードと照らし合わせることだった。独立したレコードはなかった。この問題を捕捉することになっていた認定プロセスは、GAOがちょうど議会に不完全であると告げたものだった。

選挙は認定された。18,000の投票不足は説明されたままにされていない。

サラソタの投票不足に関するGAOテストレポート。

「認定」が実際に何に基づいていたか

2002年の投票支援法—Bush v. Gore事件の緊急の余波で可決された—選挙支援委員会を設立し、投票システムの最小基準を定めた。その法令は実在する。 予算は配分された。意図は本物だった。

しかしHAVAは認定制度のための構造を作成した。それはそれ自体では構築しなかった。EACは基準を書く必要があった。テストラボを雇う。手続を確立する。ソフトウェアリポジトリを構築する。脆弱性共有チャネルを作成する。セキュリティ慣行の普及を設計する。

2005年9月—HAVA後3年—GAOはそれらのタスクがまだ未完成であることを発見した。その間、州は不完全な基礎がまだ注ぎ込まれている認定枠組みの下でシステムを購入し、配置していた。

これはドラマチックな意味での醜聞ではない。官僚機構はゆっくり動く。基準策定機関は技術的詳細について議論する。ラボは認定に時間を要する。そのどれもが悪い行為の証拠ではない。

しかしそれは政府当局が公衆に与えていた特定の保証に壊滅的だ：私たちのシステムは認定されている。 それ自体不完全な認定プロセスは何も完全に認定することができない。

GAOが診断していた、より深い問題

ここはスクリーンショットの価値のある文だ：「私たちは認定されたシステムを使用している」は主張だ。それが何か意味するかどうかは、その背後にあるチェックが実際に存在するかどうかに完全に依存している。

GAOの役割は機関的検証—公式声明を信頼せず、調査に行く機関だ。選挙システムセキュリティを調べに行き、それらのシステムの信頼性をサポートするために必要な主要な活動がまだ不完全であると戻ってくるとき、それはシステムの異常ではない。それは意図したとおりに機能しているシステムで、そうでなければ見えないままになる隙間を浮かび上がらせるのだ。

GAOが2005年に発見したことは、構造的には、電子投票が公式の保証への尊敬なしに検査されたどこでも、裁判所と独立した研究者が発見したものと同じ問題だ。

2009年のドイツでは、連邦憲法裁判所は、電子投票機の使用には、投票とカウントの本質的なステップが専門知識なしに普通の市民によって検査できることを要求すると裁定した—機械が使用中に失敗した基準。裁判所は詐欺が起きたと言わなかった。それはシステムの設計が検証を不可能にし、民主主義は正確性がただ信仰で受け入れることができるだけである選挙を実行することはできないと言った。(Bundesverfassungsgericht、2009年3月3日。)

アイルランドでは、独立委員会は政府が購入していたNedap/Powervoteシステムを検査し、システムの正確性と秘密性に関して満足することができず、その使用を推奨することを辞退した。機械は展開されず、最終的にスクラップされた。(電子投票に関する委員会の中間報告書。) 委員会の結論は「システムは失敗するだろう」ではなかった。それは：システムは私たちの満足度まで証明されていない。それは正しい認識論的基準だ—そしてGAOも適用していた基準だ。

オランダでは、政府委員会は2007年に、透明性と確認可能性は信頼できるカウントの交渉不可能な基礎であると結論づけ、電子投票は有権者が検証できる用紙記録を生成した場合にのみ許容可能であると結論づけた。国は投票コンピュータをやめた。(Adviescommissie inrichting verkiezingsproces、「Stemmen met vertrouwen」。)

これらの各判断は、異なる法的で文化的な言語で、GAOが2005年に平易なアメリカ英語で言ったこととまさに同じことを言っていた：これらのシステムを独立して検証するための枠組みは完全ではなく、そうなるまで、公式な保証は背後に機能するチェックのない主張だ。

完成とは実際のところ何か

認定と検証制度を構築することは可能で、それは何か意味する。GAO自身の勧告は設計図だ：基準を完了させる、手続を確立する、リポジトリを構築する、脆弱性を共有する、慣行を普及させる。各ステップは達成可能だ。

それより先に、少数の地域が実践で真の検証可能性がどのようなものかを示している。

2017年のコロラドは州全体のリスク制限監査を完了した最初の州となった—選挙の緊密さにサンプル手動検証をサイズするための統計的方法で、固定パーセンテージのスポットチェックの偽りの快適さではなく、定義されたレベルの信頼を提供する。コロラド州務長官、2017年11月。 ジョージア州は2020年に州全体の監査の一部として、約500万票の手動カウントを行い、機械の合計が10分の1パーセント以内で一致したことを発見した—当局者がそう言ったからではなく、任何の観察者が数えられるのを見ることができたから。ジョージア公共放送、2020年11月。 ロサンゼルス郡は公有、オープンソースの投票集計システムを構築した—カリフォルニア州で認定された最初—投票をカウントするコードはベンダーだけでなく誰でも読むことができ、検査できるように。カリフォルニア州務長官、2018年8月。

これらは理論的な解決策ではない。それらは存在する。それらは実行されてきた。それらは誰でも独立して検証できる結果を生み出す、むしろ正確性が認定プロセス—どこか、ある時点で—が完全だったと信頼することに依存している結果ではなく。

それは保証と証拠の違いだ。

何がまだ検証可能ではないか

GAOレポートはいまやほぼ2十年前のものだ。EACはその仕事を続けてきた。基準は開発され、更新されてきた。いくつかの州は厳密な選挙後監査を実行する。いくつかはしない。

しかしGAOの中心的な課題は全国レベルで完全には解決されていない、そしてそれが特定した構造的な問題—検証のための機構は認定ラベルの存在ではなく、重要である—は生きたままだ。

ここで、ほとんどのアメリカの地域で独立して確認可能でないものだ：

認定された機械上で実行されているソフトウェアが、認定されたソフトウェアと同じであるかどうか。 各認定バージョンにリンクされた、機能する、公開ソフトウェアリポジトリなしで、地域とその有権者はこれを独立して検証することはできない。バージョンXの認定は、選挙日にバージョンX+1が実行されたかどうかは無意味だ。

選挙前テストに合格した機械が選挙日に同じように行動したかどうか。 認定テストはある時点での機械をテストする。物理的な投票に結びつけられた、継続的に、独立して検証可能な監査証跡なしで、選挙日の行動は機械自体によって証言される。

サラソタ2006のような投票不足が有権者の好みだったか、機械の故障だったか。 有権者検証用紙の証跡だけが、ベンダーと地域から独立した者によって電子合計に対して監査された、その質問に答えることができる。接戦の選挙では、答えは選挙だ。

修正は選挙当局からのより良いプレスリリースではない。それは選挙が歴史上最も安全だったという陳述ではない。修正は、その出力—中心投票率レベル、機械可読、有権者検証用紙に結びつけられた—任意の時点で、誰の許可も求めることなく、一般大衆の任意のメンバーによってダウンロード、確認、調整できるシステムだ。

それはGAOが2005年に求めていたものだ。それはまだ正しい質問だ。

この隙間がどのように異なる国やシステムにわたって現れるかを見る→

検証可能な選挙が実際に何を要するかの2分間の要約を読む→

情報源

すべての記事を表示ギャップを探索