← すべての記事

アメリカは2000年以降の投票改革に数十億ドルを費やした。それは検証可能性を買ったのか？

アメリカは2000年選挙の混乱後にパンチカード投票機を廃止するために30億ドルを費やした——しかし新しいハードウェアを購入することは、誰もが独立して確認できる票数を購入することと同じではない。

2002年10月29日のことである。わずかなハンギングチャドがアメリカの民主主義を危機に陥れてからわずか18ヶ月後、議会は滅多にしないことをスピード感を持ってやった。問題に合意し、小切手を切り、署名したのだ。ヘルプ・アメリカ・ボート法（HAVA）は、選挙を近代化するために約39億ドルの連邦資金を承認している。新しい連邦機関、米国選挙支援委員会（EAC）を設立する。最低基準を約束する。パンチカード投票機とレバー投票機を廃止するよう州に指示する。

しかし誰も長く考えない問題がある。何に置き換えるのか、そして置き換えられたものが実際に機能しているかどうかを公衆が確認できるのか、という問題である。

その問題は今日も未解決のままである。

法律とその約束

HAVAは、スポンサーの言葉では、フロリダ2000年の混乱への対応であった。法律そのものは明確である。パンチカード投票機とレバー投票機を廃止するために連邦資金が流れる。最小限の行政基準が確立される。新しい選挙支援委員会が投票機をテストし認可する。

そのリストをもう一度読んでほしい。すべてプロセスに関する項目である——資金、行政、基準、認可。テキストのどこにも、パンチカードに置き換わる機械が、通常の有権者が独立して確認できる記録を生み出すことを保証していない。

それは皮肉な読み方ではない。それは法令の実際のアーキテクチャである。

そして、これは極めて重要である。なぜなら、2000年のハンギングチャド危機は、実は決してパンチカードについてのものではなかったからである。それはブッシュ対ゴア事件が実際に暴露したもの——有権者が記入した内容を読む際の統一された公に知られた基準を持たないシステムであった。異なる郡が異なるルールを適用した。異なる開票委員会が同じチャドをライトに当てて検査した。最高裁は、同一の投票用紙が州全体で異なる方法で評価されていることを発見した——ある人の投票を別の人の投票より高く評価したため、平等保護の違反である。

問題は技術ではなかった。記された投票用紙が何を意味するかについての検証可能で統一された基準がないこと、それが問題であった。

HAVAは技術に対処した。より深い問題は、未解決のまま、デジタル時代へ持ち込まれた。

GAOが3年後に調査を行い、作業が未完了であることを発見

2005年までに、置き換え機が全国の郡庁舎や学校体育館に到着していた。電子タッチスクリーン投票が広がりつつあった。HAVAが約束した連邦機構——テスト機関、認可手続き、ソフトウェアリポジトリ、セキュリティガイドライン——が整うことになっていた。

だが、それは起きていなかった。

2005年9月21日に発表されたレポート——GAO-05-956——において、連邦監査官はHAVA後の電子投票システムのセキュリティと信頼性を検査した。彼らの調査結果：電子投票システムで文書化された問題は、それらのセキュリティと信頼性についての疑問を引き起こしていた。連邦の取り組みは進行中であるが、重要な活動は未完了のままである。GAOは、EACに投票システムの基準を改善し、認可手続きを確立し、認可されたソフトウェアのリポジトリを作成し、システムの脆弱性に関する情報を共有し、推奨されるセキュリティ慣行を広めるよう勧告した。

そのリストが何を意味するかについて考えてみてほしい。HAVA後3年で、投票システムが安全であることを認可する任務を負った機関は、投票システムが安全であることを認可するための機構をまだ完全には構築していなかったのだ。

お金は移動した。機械は出荷された。基準はまだ作成中であった。

これはパーティザン的な調査結果ではない。GAOは議会の独立監査部門である。その仕事は見つけたことを報告することであり、それは立法の約束と運用上の現実のギャップを見つけたのだ。ハードウェアを置き換えることは、自動的に検証可能性を生み出さなかった。それは検証可能性がまだ解明されている新しいクラスのハードウェアを生み出したのである。

新しい機械が実際に生み出したもの

HAVA資金が置き換えたパンチカード投票機の重要なこと：それらの多くはペーパーレスであった。

フロリダ州サラソタ郡、2006年。議会選挙は369票の差で終わる。その郡でキャストされた投票用紙のうち約18,000——約13パーセント——はその選挙で記録された選択肢がまったく示されていない。同郡はES&S iVotronic タッチスクリーン機械を使用していた。それは独立した有権者検証済みのペーパー記録を生み出していなかった。

誰も何が起きたか確認できなかった。確認する独立したものは何もなかった。GAOがシステムを調査したが、機械の不具合を特定できなかった——有権者検証済みペーパーレコードがタッチスクリーンが投票を正しく記録したという独立した確認を提供したであろうことに注釈を付けながら。

HAVAは曖昧なアナログ記録（チャド）を置き換える資金を提供した。記録がまったくないものに。

その同じ年、プリンストン大学の研究者アリエル・フェルドマン、J・アレックス・ハルダーマン、エドワード・フェルテンはDiebold AccuVote-TSを入手した——HAVAハリウッド後のアメリカで最も広くデプロイされたタッチスクリーン機械の1つ——そして、約1分の物理的アクセスを持つ攻撃者がいかに容易に悪意のあるコードをインストールできるか実証した。それは内部的に一貫性を保ちながら、投票を盗み、すべてのレコード、ログ、カウンターを改ざんする可能性がある。彼らは投票機械ウイルスを構築した。それは通常の選挙活動の中で機械から機械へと広がる可能性がある。

その機械はHAVA資金であった。その時存在していた認可プロセスを通過していた。

認可されたことは検証可能なこととは同じではない。これらは異なる言葉であり、同じ仕事の正反対を行う。

「認可された」が実際に認可するもの

HAVAが作成した——最終的にはEACによって認可テスト機関と協力して管理される——連邦投票システム認可プロセスは、一連の技術基準を満たしているかどうかについて機械をテストしている。これらの基準は時間とともに進化し、より要求が厳しくなっている。それは実際の進歩である。

しかし、認可は機械を基準に対してテストしている。それは機械の内部動作を公開することができない。投票を数えているソフトウェアを有権者や独立した研究者が検査できることを意味しない。認可プロセスの外にいる第三者が、テストされた機械が配置された機械と同じであるかどうかを確認できることを意味しない。

ドイツ連邦憲法裁判所はこの区別を正確に理解していた。その2009年の判決において、それは電子投票は、市民が専門知識なしに確実に審査できる投票と結果決定のための本質的なステップがある場合のみ憲法的であると判決した。ドイツの機械は独自の認可プロセスを通過していた。裁判所は、市民が専門家仲介者を信頼することなしに独立して何が起きたかを検証できないため、それでも選挙の公開的性質に違反していると判決した。

裁判所の論理はHAVAのフレームワークに直接切り込む：専門家による、専門家向けの、専門家によって検査された認可は、公衆による検証可能性と同じではない。民主的な選挙は、それが奉仕するべき人々によってチェック可能でなければならない。

インドの最高裁判所は2024年に同様の岐路に到達した。電子投票機のペーパー監査証跡とチェーンオブカスタディシーリングのルールを厳しくした——それでも廃止することを拒否した。裁判所の進む方向は明確であった：信頼は公的な保証からではなく、独立して確認可能な証拠から流れる。

EAC独自のガイダンス——2020年選挙後に発表されたCISA共同声明。それは「アメリカの歴史上最も安全な選挙」であると宣言している——実際に、それが検証可能性を引用することによって誤ってそのポイントを証明している。声明自体の推論は、独立したリカウントと監査を可能にするペーパー記録の存在に基づいている。それは検証可能性を引用することによって安全性を主張している。これは、その主張が後ろにあるペーパー証跡と同じくらい強いということを意味し、その証跡が薄い管轄区域では、その保証はその根拠から浮く。

ペーパー証跡：それ自体では必要だが十分ではない

議会はペーパーレス機械の問題に気づいた。投票者信頼度および増加されたアクセス法、VVPAT立法、そして最終的に進化するEAC基準は、ほとんどの管轄区域を投票者検証済みペーパー記録——手書きの光学走査投票用紙または印刷された記録を生み出す投票記号装置——に向かわせた。

これは進歩である。ペーパーは監査可能である。ジョージア州の2020年手数計——約500万投票用紙——アメリカの歴史で最大の手動監査——は機械数計を約10分の1パーセント以内で確認した。コロラド州の2017年ステートワイド危険限定監査、その種の最初——は、監査可能なペーパーを持つとき、正しい結果への統計的信頼が達成可能であることを示した。

だが、ペーパープリントアウトは自動的に投票者検証済みレコードではない。米国地区裁判所はCurling v. Raffenspergerにおいてジョージア州の投票記号装置がQRコードを生成すると判決した——タビュレータが読む——だが有権者は読めない。手数計は、QRコードの出力を監査する。それは有権者が記入しようとしたものを監査しない。機械がサイレントに画面に表示されたものより異なる選択肢をエンコードする場合、ペーパー数え直しは掴めない。

そして、きれいな光学走査であっても、手書きペーパーは縮小できない人的エラーを伴う。ニューハンプシャー州ウィンダム、2021年：州議会によって命じられた法医学監査は、不正計数を不在投票用紙の投票ターゲットを通した折りの結果追跡した——折り機がターゲットの折り目を通してしわを寄せていた、しかしスキャナーが折り線を塗りつぶされた楕円形として読んだ。マルウェアはない。改ざんはない。単なる、レンズのほこりおよびターゴットの場所の誤ったしわであり、静かに数百の有効にマークされた投票用紙の投票を誤計数した。手数計は投票者の意図を回復した。しかし、ミシガン州アンとリム郡の2020年の大統領フルリカウント手数計はなお、機械総計から約15,000投票用紙中ダース投票用紙で異なっていた。

ハンドフルの投票で決まる選挙を決定的に解決できない方法はハンドフルの投票でそれ自体でオフである。「手数計がそれを確認した」は保証である。それは数学的意味での証明ではない。

HAVAが閉じなかった監査ギャップ

HAVAはフレームワークを作成した。EACは基準を構築した。テスト機関が装置を認可する。州は暫定投票用紙、身分証明、登録データベースの最低値を満たす必要がある。

HAVAが作成しなかったもの——そして認可機構がまだ保証していないもの——は、通常の市民が単一の公務員やベンダーを信頼することなく、票数が正確であることを独立して検証できるシステムである。

そのギャップは具体的な方法で現れる：

投票システムソフトウェアはほとんどの管轄区域で独占的である。あなたの投票を数えるコードを読むことはできない。あなたの隣人も、地元のジャーナリストも、秘密保持契約に署名していない独立したセキュリティ研究者も読むことはできない。

認可は配置後ではなく、配置前に機械をテストする。これは、選挙日の投票箱内の機械が機関がテストしたのと同じソフトウェアを実行していることを確認することはできない。コーヒー郡、ジョージア州は、示したドアが開いている人によってドアに入られた場合、管轄区域の投票システム全体がいかに容易に複製され削除されるかを示した。

選後監査——危険限定監査、手数計、法医学検査——は選挙公務員によって実施されてその後報告される。それらの結果は公務員を実施している信頼する場合のみ権威的である。ほとんどの管轄区域では、公衆のメンバーは、選挙地域の機械可読な投票結果をダウンロードし、結果が最終である瞬間に公開された暗号的に署名されたレコードに対して調整することはできない。

EAC独自のガイダンスは、公務員が.csvおよび.xmlなどのダウンロード可能なフォーマットで投票用紙タイプの明確なラベリングで結果を公開するよう促している。それは思慮深い実践である。いくつかの州はそれを行っている。ほとんどはそれを実時間で、機械可読のデータで、誰もが独立して監査できる形式で署名することはしない。

ロサンゼルス郡のVSAP システムは2018年にカリフォルニア州の最初の認可済み、公開ソース、公的所有の選挙集計システムとして認可された。これは意味のあるステップである：公的所有は、投票を数えるコードが営業秘密として保護されるのではなく、独立した専門家によって検査されることができることを意味する。オープンコードは完全な保証ではない——実装とチェーンオブカスティは重要である——しかし、強制された不透明性の1つのレイヤーを削除する。それはHAVAの元々の建築家が主張し、しなかった進むべき方向である。

39億ドルの本当の教訓

HAVAのお金は本当のことをした。パンチカードは消えた。レバー機械は消えた。暫定投票用紙の権利は存在する。連邦機関が基準を設定する。認可手続きは2005年に不完全であったが、今日はより開発されている。

しかし、法令の基本的な賭けは、ハードウェアを置き換えることが検証可能性の問題を解決するだろうということであった。それは——しなかった。検証可能性は特定の機械の性質ではないからである。それはシステムの性質である。投票用紙のマーキングから結果発表まで、チェックしたい誰もが独立してチェック可能なすべてのリンク。

検証可能性は購入することはできない。あなたはそれをアーキテクチャに組み込む必要がある。

オランダは2007年にそれを結論付けた——透明性と人間がチェック可能なレコードが、オプションのアップグレードではなく、交渉不可能な基礎であった——そして何か確認されるまで紙と手動計数に戻った。ドイツ憲法裁判所は公開知性の線を引いた。専門家だけが数計を検証できる場合、それは民主的な選挙ではない。ブラジルは機械の公開敵対的テストを制度化する。部外者は選挙サイクルの前に機械を破壊するために招待され、修正が行われ、再度チェックされる。

アメリカは新しい機械を購入するために数十億を費やし、認可官僚機構を構築した。認可官僚機構は実験室で機械をテストしている。それはあなた——有権者、ジャーナリスト、独立した研究者——が票数を確認する方法を与えない。

それはHAVAがお金で応じたが、アーキテクチャでは応じなかった問題である。そしてそれは20年後に残っている。未解決の問題である。

それを実際に閉じるもの

修正はハードウェア置換サイクルではない。より高価な認可機関ではない。より多くのスタッフを持つより大きな連邦機関ではない。

それは、公務員によって主張されるのではなく、公開によって検証可能性が検証可能なシステムである。

それは：曖昧ではなく、人間が読めるマーク——QRコードのみスキャナーがデコードできるものではない——と記された投票者マーク紙投票用紙を意味する。それは、選別的なパイロットではなく、すべての管轄区域における日常的、強制的な危険限定監査を意味する。それは、公衆がレポート時に結果を調和させることができるようにする——公務員が説明した後ではなく、各選挙地域の数計が完了した瞬間に公開された機械可読の投票用紙レベル結果を意味する。それは、NDEなしでセキュリティ研究者が検査できるオープンソース票数計ソフトウェアを意味する。

そしてそれは、「州務長官が結果を認可した」と「監査がそれを確認した」を精査する主張として扱うことを意味し、結論ではない。ハンドフルの投票で決まる選挙において、ハンドフルの投票で自体でそれ自体がオフである方法は問題を解決できない。公衆が独立して検証できるシステムのみがそれをすることができる。

HAVAは法案であった。検証可能性は工学的要件である。それらは同じ文書ではない。

この検証可能性のギャップが異なる国とシステム間でどのように見えるか調べる：グローバル地図を参照する、または何が不足しており、なぜ重要なのかについての2分の概要を読む。

ソース

すべての記事を表示ギャップを探索