← すべての記事

投票システムを設計して、強制投票を単に不可能にする

2025年の北マケドニアでは、誰が投票所に現れたかのリストを保持していた者がいました — そしてそのリスト自体が目的だったのです。

2025年後半のある火曜日、北マケドニアのどこかの公共部門労働者が静かな計算をしています。彼女の雇用者 — 市町村事務所、国営企業、どちらでもいいのですが — は彼女に投票してほしいと考えています。投票するだけでなく、正しく投票し、そうしているところを見てもらいたいのです。彼女は、他の人たちが投票に現れたかどうかについて、非公式に尋ねられたことを知っています。誰かが記録をつけていることを知っています。

彼女は、国際オブザーバーも監視していることを知りません。

OSCE の選挙監視機関である ODIHR は、北マケドニアの2025年地方選挙のためにミッションを展開しました。2026年4月7日に発表された最終報告書は、モニターが発見した内容を文書化しています。買収の疑い、公共部門職員および有権者への圧力、そして — この記事にとって最も重要な詳細 — 選挙日当日および周辺での有権者追跡のケース。うわさではなく。反対派の訴えでもなく。世界で最も経験豊富な独立した選挙監視機関の一つによる文書化された観察です。

その言葉「有権者追跡」は、ほぼ官僚的に聞こえます。そうではありません。それは強制の運用上の脊椎です。

脅迫を現実にするスプレッドシート

実際には、有権者追跡はこのように機能します。選挙前に、誰かがリストを作成します。国営企業の従業員、村の住民、パトロンに結びついたコミュニティのメンバー。選挙日に、観察者 — 公式でも非公式でも — 投票所からの出入りを記録します。投票が終了した後、投票した者のリストが、雇用主の投票すべき者のリストと比較されます。

その比較が脅迫です。誰かがどのように投票したかを知る必要はなく、正しく投票しなかったことを罰するには、投票所に現れなかったことだけを知っていれば十分です。 そして、誰かが現れたら、暗黙の仮定は彼らが従ったということです。

これは体系化された強制です。個別の対面は必要ありません。投票所での現金の受け渡しもありません。ただリストとチェックマーク、そして非遵守が結果をもたらすという周知の社会的事実だけです。

ODIHR は、最近の複数の国で文書化された同じ基本パターンを発見しました。ジョージア — コーカサス地域の国 — では、2024年10月の議会選挙中にオブザーバーがさらに細かいものを記録しました。最終報告書は、投票の秘密の問題が投票所観察の30%以上で観察されたことを記載しています。有権者が他の人に見られる位置で投票用紙に印をつける、投票用紙がボックスに到達する前に選択肢を露出させるような方法で保持される、投票者のための本当のプライベートスペースを与えない投票所のレイアウト。これは丸め誤差ではありません。観察された駅のほぼ3つに1つで、有権者以外の誰かが投票を妥当に見ることができました。

これら2つの知見 — 北マケドニアの追跡とジョージアの破壊された秘密 — は単一の設計上の欠陥を指しています。そして修正は、より良い投票スタッフのトレーニングではありません。

なぜ「投票は秘密である」では十分ではないのか

秘密投票は、北マケドニアがまだ経験していることを打ち負かすために特別に発明されました。オーストラリア選挙委員会の記録によると、「オーストラリア投票」— 1850年代に採択された国家印刷、個人的にマークされた投票用紙 — は、公開投票が「有権者を威嚇と強制に対して脆弱な状態にした」という理由でまさに実装されました。イギリス議会は1872年投票法で続き、地主が彼の小作農が投票所を通ってファイルするのを見ることができ、それぞれがどのように宣言したかを記録することができた時代を終わらせました。

その洞察は構造的であり、感情的ではありませんでした。誰も観察できない投票は、誰も買収したり強制したりできない投票です — 人々がより正直になったからではなく、取引が実行不可能になったからです。誰かにどれだけ圧力をかけることができても、彼らが実際にカーテンの後ろで何をしたかを検証できなければ、脅迫には歯がありません。

その構造的洞察には、民主主義が吸収するのが遅い系が1つあります。秘密投票はセキュリティプロパティであり、すべてのセキュリティプロパティのように、間違ったシステム設計によって破られることができます。

アメリカ第1巡回控訴裁判所は、Rideout v. Gardner(2016)でメカニズムを明確に説明しました。ケースは投票セルフィーについてでした — 有権者が自分の記された投票用紙を写真に撮ることができるかどうか。州は禁止が買収に対して保護されたと主張しました。なぜなら写真は有権者が彼ら支払った者に彼らがどのように投票したかを証明することを可能にするからです。裁判所は歴史を認めました。秘密投票改革は「広範な買収と有権者威嚇」慣行に対抗するために採択されました。買収者または強制者が投票を検証できることに依存する慣行です。その論理は堅牢です。秘密性は配信の証明を破壊することで強制を打ち負かします。 証明を復元するもの — カメラ、レシート、目に見えるマーク — は市場を再び開きます。

そして有権者追跡は同じ脆弱性のより粗い版を悪用しています。誰かが選挙日に投票所に入ったことを確立でき、暗黙の社会契約が入場が遵守を意味することであれば、証明の半分を持っています。それはぼやけた、確率的な証明です — しかし従業員への継続的な圧力の環境では、ぼやけたで十分です。

システム設計者にとっての問題は、その曖昧な証明さえ構築することを不可能にするにはどうするか、です。

監視が悪用するギャップ

現代の投票システム — よく設計されたものでさえ — 北マケドニアとジョージアが示す問題よりも異なる問題を解決する傾向があります。彼らはカウントが正確であるかどうかに焦点を当てています。機械は有権者がマークしたものを記録しましたか？集計ソフトウェアは正しく追加されましたか？これらは重要な質問であり、私たちはこのブログでこれらを検査するのに多くのスペースを費やしています。

しかし強制は主にカウントを攻撃しません。投票用紙がボックスに到達する前に有権者を攻撃します。

攻撃面は、個人のアイデンティティと投票行動の間のリンケージです。北マケドニアのケースでは、そのリンケージは単に物理的な存在を追跡することで部分的に確立されました。ジョージアでは、オブザーバー — 公式でも非公式でも — マーキングの瞬間を見ることで確立されました。ブルガリアでは、OSCE/ODIHR は文書化したように投票用紙の秘密は7パーセントの観察で損なわれ、投票所外での買収の兆候を見つけました — 強制エコシステムがブース自体を超えて広がるというリマインダー。

アルバニアの2021年選挙はODIHR が文書化した「広範な」政治党による買収の疑いを見ました、モニターは州が「自由かつ秘密の投票の権利を保証し、有権者に投票したかどうかおよびどのように投票したかを開示するよう圧力をかけることを防ぐ」ことを推奨しました。キルギスタンの2017年大統領選挙は同じ機関からの平行勧告を生成しました。「自由かつ秘密の選択の権利を保証し、有権者がどのように投票したかを開示するよう圧力をかけることをすべての形態で防ぐ」。

国から国へ。大陸から大陸へ。パターンは異常ではありません。投票を有権者にリンクできる場所ならどこでも — いかに不完全であるか、いかに確率的であるかにかかわらず — 強制の市場が開きます。

現在のツールキット — カーテン付きブース、折られた投票用紙、選択肢を撮影しないことについての指示 — 主な脅迫が地主が投票所を通ってあなたを見ることだった世界のために設計されました。それは体系的な従業員追跡スプレッドシート、電話カメラ、または組織化された職場圧力の社会インフラストラクチャのために設計されていませんでした。

匿名性による設計：好みではなく、セキュリティ要件

ここに設計目標が明確に述べられています。有権者の選択は彼ら自身のアイデンティティから証明可能にリンク解除されなければなりません。 ポリシーでは単にリンク解除されません。レコードを掘り下げても構わない腐敗した職員がいない場合にはリンク解除されません。リンク解除は建設によります — 誰でも、選挙当局自体でさえ、望んだとしても、リンケージを実行できません。

これはソフトウェアエンジニアがデータシステムで「プライバシーバイデザイン」について話すときに使用する同じ言語です。つまり、アーキテクチャは違反を単に規則に対抗するのではなく、不可能にします。

それには何が必要でしょうか？

まず、デポジット時の物理的匿名化。投票用紙をボックスに入れる行為は、それを入れる人のアイデンティティから切り離されなければなりません。オブザーバーがマーキング時への視線を与える投票所のレイアウトはこの要件に失敗します。透明または標識付き投票エンベロープはそれに失敗します。ガラスの壁に面するブースはそれに失敗します。これは物理的なエンジニアリング問題であり、不透明ブース、一貫した折り畳み、普遍的な投票エンベロープなどの既知で低コストのソリューションがあります — ジョージアの投票所は観察されたインスタンスの30%以上では実装していませんでした。

次に、有権者が提出するよう圧力を受ける可能性のある追跡可能なレシートはありません。 投票システム設計のより反直感的な結果の1つは、投票者検証可能レシート — 有権者が自分の投票用紙が数えられたことを確認するために持ち帰る種類 — が、暗号的に有権者がどのように投票したかを証明する場合、強制ツールになる可能性があるということです。Rideout 裁判所は電話カメラでこれのより簡単なバージョンを見ました。暗号バージョンはより微妙ですが本物です。有権者が彼ら自身の選択を第三者に証明するために使用できるレシートは買収市場を再び開きます。正しい設計は、投票者に彼ら自身の投票用紙がタリーに含まれていることを確信させ、彼ら — または他の誰でも — がどのように投票したかのリンク可能な証明を与えません。

そして最も重要なことに：選挙当局自体がリンケージを再構築することができない必要があります。 これは従来のシステムでさえ、よく運営されているものでは、不足している場所です。当局が投票番号と投票者アイデンティティの間のマッピングを保持している場合、腐敗または強制された職員はそれを再構築できます。建築学的なソリューションは、マッピングが決してホールドされないことを確認することです — 匿名化のプロセスは不可逆的であり、それを投票者を知っているシステムに入る前に発生します。

これは理論的な願望ではありません。暗号投票研究は、このリンクを切断するために特別に設計されたプロトコル — mixnet、準同型計算、ブラインド署名スキーム — を生成しました。ツールは存在します。問題は、選挙システムがそれらを使用するために構築されているかどうかです。

「検証可能」が方程式の両側で意味しなければならないもの

このブログのほとんどの検証可能性に関するカバレッジは、カウント終了に焦点を当てています。公開が個別の投票用紙を反映する集計合計を確認できるか。それは重要な質問であり、ケースは悲劇的です — ケニアの最高裁判所大統領選挙を無効にすることから結果フォームを投票所に追跡できない理由で、マラウイの裁判所大統領選挙を無効にすることから集計シートへの修正液の変更のために、ジョージア（USA）が500万の投票用紙のすべての手の数えに実行することまで、その信用に対しては実行しました。

しかし検証可能性には、あまり議論されていない2番目の側面があります。有権者がどのように投票したかを誰にも — 法医学的な目的を含めて彼ら自身にさえ — 明かさずに、投票者のタリーに投票用紙が含まれていることを確認できるか？

これら2つの要件は緊張しています。個別の投票用紙の完全な透明性はカウントを完全に検証可能にしますが、匿名性を破壊し、強制者に完璧な監査証跡を与えます。投票者と投票用紙の間のゼロリンケージは匿名性を保護しますが、単純な実装では、投票詰め込みまたは抑制をキャッチする能力を削除します。

現代の暗号投票設計の要点全体は、この緊張を解決することです。 検証可能な匿名化に基づいて構築されたシステム — 混合プロセスを通じた投票用紙のシャッフルは、誰かがシャッフルを逆転させることができない場合、数学的にチェックできます — 両方を与えます。集計結果への公開信頼、および強制者が要求するリンク可能な証明なし。

2019年のSwiss Postケースは、ここで注意深い理由で指導です。研究者のサラジェイミルイス、オリビエペレイラ、バネッサティーグは、mixnet のシャッフル証明が暗号トラップドアに依存していることを発見しました。つまり、正しい値を持つ当局は、見たかのように見える証明を生成できますが投票を変更しました。教訓は、暗号的なアプローチが失敗するということではなく、独立した精査に開かれなければならないということです。欠陥はSwiss Postがコードを公開したため、正確に発見されました。閉鎖された認定システムは異議なく航行したであろう。

ドイツ連邦憲法裁判所は2009年に不透明性についての補完的な結論に達しました。投票機の使用は投票と計数の「本質的なステップ」を「市民が専門家知識を持たずに確実に調査できる」ことを要求します。閉鎖されたソフトウェアはこれに失敗します。誰でも訓練ができて検証できる数学的証明を持つmixnetはそうではありません。

安心の問題

ODIHR オブザーバーが北マケドニアで有権者追跡に旗を立てるとき、公式の対応は予測可能な形に従う傾向があります。調査が実施され、推奨事項が検討され、次の選挙がより良くなります。ジョージアの秘密の問題が文書化されたとき、職員は個人的にマークする必要があるレッドアルファ規定を指しています。

これらの対応は嘘ではありません。しかし、それらは安心であり、安心はアーキテクチャではありません。

投票システムが職員がスプレッドシートを構築しないことを選択することに依存している場合、それは強制を打ち負かすシステムではありません。それは職員がそうしないことを望むシステムです。

唯一の耐久性のある答えは、スプレッドシートが無用である設計です — 投票所に入った者の完璧な追跡でさえ強制者にとって実行可能な情報を生成しない設計です。なぜなら、現在と選択の間の接続はプロセス自体によって切られるからです。匿名投票デポジット。リンク可能なレシートなし。たとえ召喚された場合でも、誰がどのように投票したかの記録を生成できない当局。

それはほとんどの民主主義が現在実行するシステムではありません。それは彼らが構築すべきシステムです。

北マケドニアとジョージアの安心は、この空間のあらゆる公式な安心が価値がある通りに価値があります。システムを管理する人たちによる主張、彼らが管理するシステムについて、他の誰かがそれを独立して確認するメカニズムなし。

そして人種で — ローカル、議会、大統領 — 雇用主がリストを保持していた人のプールより小さいマージンで決定されて、安心とアーキテクチャの間のギャップは理論的ではありません。それは結果です。

誰でもチェック可能にするもの

強制耐性があり、独立して検証可能なシステムは、特別なアクセスなしで、普通のオブザーバーが確認することを許可するであろう何ですか？

すべてのキャスト投票用紙が匿名化プロセスに入ったこと — 暗号化mixまたは同等のもの — それがどのテーリーにも関連付けられる前に。このステップは公開ログされ、その完全性は数学的証明を持つ誰でもチェック可能であるべきです。

投票者がどのように投票したかを証明するよう強制される可能性があるレシートが存在しないこと。これは、有権者が受け取る検証トークンがカウントに含まれていることを確認すべきですが、彼ら自身の特定の選択を彼らにリンク可能な形式で暗号化しないことを意味します。

公開されたデータをダウンロードする独立した当事者によって、集計合計を匿名化された投票用紙プールに対して検証できること — 当局の発表を信頼することによってではなく、公開されたデータをダウンロードして暗号化チェックを自分で再実行することによって。

これのいずれも、今日の大規模な国家選挙システムの規模で存在しません。ほとんどのシステムは、これらのプロパティの1つまたは2つを部分的に提供します。部分から完全へのギャップは、投票者追跡、職場圧力、および強制エコノミー全体が住んでいるところです。

ケースは文書化されています。ツールは存在します。設計目標は明確です。有権者のアイデンティティから証明可能にリンク解除されている選択は、プライバシー上の細かさではなく — それは強制を経済的に無意味にする唯一のアーキテクチャです。

何が北マケドニアで、ジョージアで、世界のほとんどで、まだ独立してチェック不可能かは、投票所に監視されて行った労働者によってキャストされた投票用紙が、名前に接続されない、どのような雇用主によっても検証不可能であり、どのようなパトロンにも検証不可能なタリーに入った同じ投票用紙であるかどうかです。

それがチェック可能になるまで — 約束ではなく、数学的に — スプレッドシートは有用なままです。

このギャップが異なる国とシステムでどのように表示されるかを見てください →

強制と匿名性の問題の2分バージョンを読んでください →

買収および破損した投票用紙の秘密のドキュメント化されたケースを参照してください →

ソース

すべての記事を表示ギャップを探索