← すべての記事

コンピュータに消えた232票、裁判所が全面的な再選挙を命じた

裁判所が全面的な再選挙を命じた — 誰も不正を証明したわけではなく、232人の有権者が「確認」を押したのに、彼らの票が単に到達しなかったからだ。

2009年4月9日の朝、ヘルシンキの裁判官がフィンランド史上初めてのことを行った：3つの自治体に選挙をやり直させたのだ。

投票用紙が焼かれたわけではない。詰め込まれた投票箱もない。陰謀もない。ただ232人が投票所に入り、タッチスクリーンで選択肢を選び、投票したと信じて退出した — しかし実は、機械は彼らの選択を捨てていたのだ。

彼らの票は消えてしまい、本人たちはそれを知らなかった。

フィンランド最高行政裁判所は決定KHO:2009:39で明確に述べた：2008年の市町村選挙時にカルッキラ、カウニアイネン、ヴィフティで実施された電子投票のパイロット事業は致命的な欠陥があったと。電子投票を選択した有権者は、選択後に最終確認段階を待つ必要があった。多くの有権者はそれを待たなかった。指示が不十分だった。機械の設計は紛らわしかった。そのため何人かはスマートカードを投票が保存される前に取り出してしまった — そして投票はすべて静かに消えてしまった。

このシステムは彼らに領収書も与えなかった。「あなたの投票が記録されました」というメッセージもなかった。機械が彼らの投票を保存したかどうかを知る方法もなかった。

この沈黙こそが、このポストのテーマだ。

機械はあなたの票を取り上げて、何も言わなかった

機械的レベルで「投票」が実際に何を意味するのか、考えてみてほしい。あなたは選択肢を選ぶ。その選択肢を耐久性のある形式で記録する。誰か — あるいは何か — がその耐久的な記録を数える。その数字が結果になる。

これらのステップのすべてが機能していなければならない。この連鎖のどれかを壊せば、その数字は有権者が決めたことの数字ではなくなる。それは機械が保存することになったものの数字になるのだ。

フィンランドのパイロット事業では、この壊れは1番目と2番目のステップの間で起きた。有権者は選択肢を選んだ。しかし232人はそれが保存されたことを機械が確認する前に退出してしまった — なぜなら、設計のどこにも彼らが待つ必要があることを示すものがなく、その後失敗したことを示すものもなかったからだ。

232票が、静かに、有権者の意思に反して消えた。

裁判所は、これは小さな行政上の不具合ではないと判断した。それは投票方法そのものの構造的欠陥だった。裁判所は選挙を無効にした。フィンランドはこの電子投票パイロット事業を再度実施しなかった。

この決定は注意深く読まれるべきだ。裁判所は不正の証拠を必要としなかった。消えた票が結果を変えたであろうことを証明する必要もなかった。それが適用した基準はより単純で、より厳しかった：投票方法は、キャストされた各投票が検証可能に記録される場合においてのみ正当である。 有権者が自分の投票用紙がキャプチャされたことを確認できなければ、その方法は失敗する — 終わりだ。

「確認」はUXの問題ではない。それは憲法的な問題だ。

簡単な解釈は、フィンランドがソフトウェアバグを抱えていたというものだ。指示を直す。確認画面をより明確にする。次回により良いパイロット事業を実施する。問題解決。

しかし、この解釈は、裁判所が実際に言ったことを見落としている。

問題はインターフェースが改善できるかどうかではなかった。問題は：有権者は何を検証することができ、いつ検証できるのか？ フィンランドのシステムでは、その答えは：何もできない、決してできない、だった。有権者はボタンを押し、機械を信頼した。独立した、耐久的な成果物 — 紙、暗号的領収書、または投票所レベルの記録 — は無く、有権者が機械が自分の指示を実行したことを確認するために検査することができるものはなかった。

それは修正可能なUXの問題ではない。それはシステムがどのように設計されたかという根本的なカテゴリーエラーだ。

フィンランドの判決から数週間前、同じ年の3月3日に、ドイツ連邦憲法裁判所が述べた基準と比較してみよう — その時、2005年のドイツ連邦議会選挙で使用されたNedap電子投票機の使用を無効にした。ドイツの裁判所は、投票と集計の本質的なステップは「市民が確実に、そして専門知識なしに検査することができる」と述べた。監査人によって検査されるのではなく。ベンダーによって検査されるのではなく。普通の市民によって。 なぜなら、それ以下のものは民主的正当性を正しい専門家を信頼することに委ねることになる — それは民主主義ではなく、委任だからだ。

フィンランドの232消えた票は、ドイツの裁判所が抽象的に説明していることの正確な例だ。記録ステップが見えず、確認不可能であるとき、有権者に頼る手段はない。自分の投票が消えた232票の1つであったかどうか確認することができない。誰も他の誰も確認することができない、誰かがプロセスを開始したが完了しなかった232人が記録されていることを発見して総数を集計するまで。

注意してほしい：エラーはシステムが不完全なセッションをログに記録していたため、初めて発見された。記録していなかったら？機械が単に数えなかっただけで、痕跡を残さなかったら？ 誰がそれを知ったであろうか？

あなたを不快にすべき数字

232票。3つの小さな自治体で。管理可能に聞こえる。

今、別の方向で数学を実行してみよう。

フィンランドのパイロット事業は地方選挙でかなり多くの有権者を含んでいた。消失した232票は、電子投票でキャストされた票のおよそ2%を代表していた。2%は丸め誤差ではない。接戦 — そして多くの競争は2%以下で決定される — では、この速度でのサイレント脱落は結果を反転させる。

より重要なこと：これは検出されたシステムの失敗率だった。私たちが232票を知っているのは、システムが何が起きたかを再構築するのに十分なメタデータを保存していたからだ。裁判所には検査するものがあった。

今、検査するものが何もないケースを考えよう。

2006年のサラソタ郡、フロリダで、およそ18,000票が369票で決定された単一の下院選挙で記録されなかった。機械は紙なしのタッチスクリーン — 独立した記録なし、痕跡なし。GAOがシステムをテストし、不具合を識別することができず、部分的には独立したテストするべきものが何もなかったからだ。投票のアンダーボートは有権者の選択だったかもしれない。機械の故障だったかもしれない。誰も言うことができなかった。

フィンランドのエラーは検出された。サラソタのは決してそうではなかった。違いは当局者の質ではなかった。それはシステムが何を残したかだった。

「有権者が検証可能」が実際に意味しなければならないこと

ここで正確になる — そしてほとんどの選挙討論が間違って行く。

「有権者が検証可能」は、ほぼ何でも紙の成分がある官吏とベンダーが付ける言葉になった。しかし、すべての紙が同じではない。

選択肢を印刷し、それをQRコードでエンコードする投票用紙マーキング装置はあなたに紙のピースを与える。しかし2020年に、ジョージア州のシステムをレビューする連邦裁判所は、システムが「検証可能で監査可能な投票記録を提供しない、投票集計にQRコードに依存し、そのコード自体は有権者が読み取り、検証することができないため」と判断した。機械はバーコードから集計する。有権者はテキストを読む。これら2つが異なる場合、有権者はそれを知る方法がない。 用紙の手動再計算は、有権者の意図ではなく、バーコードの出力を監査する。

それは紙の痕跡だ。有権者検証ではない。

本物の有権者検証は、集計される成果物が有権者が独立して検査し、確認することができる同じ成果物であることを意味する。手書きの紙投票用紙はこれを満たす。タビュレートされる人間が読める記録から読める印刷物はこれを満たす。有権者が読むことができないQRコードは読まない。紙なしのタッチスクリーン — サラソタのもののような — は読まない。

オランダ政府の2007年Korthals Altesコミッションは、その報告書「Stemmen met vertrouwen」（信頼を持って投票する）ではっきり言った：「選挙プロセスに秘密はない。」電子方法は、有権者がチェックできる紙の投票を作成する場合にのみ受け入れられる。オランダはその投票機を完全に削除し、手書きの紙投票用紙に戻った。不正のためではなく。チェック可能性の基準が満たされていなかったからだ。

フィンランド人は2年後に、別の経路を通じて同じ目的地に到達した。彼らのタッチスクリーンはチェック可能な記録をまったく作成しなかった。委員会の理論的基準は本物の裁判所の具体的な判決になった：選挙をやり直す。

自分自身を発表しない問題

ここに、フィンランドの事件の本当に不穏な部分がある：システムは静かに失敗した。

アラームは鳴らなかった。エラーメッセージは表示されなかった。投票所職員は気付かなかった。232人の有権者は投票所を出て、必要だと信じていたことをすべて行ったと思った。失敗は、それが害を与えた人々にとって見えず、選挙を行っていた官吏にも見えず、事後に誰かがログを調べるまで他の誰にも見えなかった。

サイレント失敗は投票システムで最も悪い種類の失敗である、なぜなら、あなたがそれを見つけるまでに、選挙は終わり、ダメージは完了しているからだ。

投票用紙の積み重ねが風のそよ風で投票所から吹き出されるシナリオと比較してみよう。明白。回復可能。目撃者。再構築または、最悪の場合、壊れたドキュメントできるカストディの連鎖。裁判所は物理的な記録を調べることができる。オブザーバーは残っているものを数えることができる。

電子サイレント失敗はそのどれも残さない。それは完全に見える数字を残す、機能したように見えるプロセスによって作成され、何も間違ったことがないという外部信号を与えないシステムで。

これが、有権者が検証可能な確認の事件が設計のプリファレンスではなく、選挙が起きたかどうかを知るための最小要件である理由だ。

独立した研究者が2013年の市町村選挙の間にエストニアの国家インターネット投票システムを検査したとき、彼らは、資金が十分な攻撃者または不誠実な内部者が検出なしに投票または有権者のプライバシーを妥協させることができると思った。公開されたペーパーはエストニアがシステムを中止することを推奨した。エストニアの当局は結論に異議を唱えた — しかし、その交換の重要な単語は検出なしでだ。ライブ国家選挙へのサイレント攻撃。アラーム。エラーログ。事後に識別された232人の有権者。

研究者は、少なくともシステムのコード手順の一部が独立した検査のために利用可能であったため、懸念を提起することができた。検査可能性は懸念を述べることができるものを作った。 それなしで、「これは正しく機能しましたか？」という質問は1つの利用可能な答えだけを持っている：私たちを信頼してください。

「監査はそれを確認した」は請求です、証明ではありません

このストーリーの快適に終わるバージョンがあります。官吏は問題を発見します。裁判所が行動します。新しい選挙が開催されます。システムが改善されます。チェック。

しかし、そのバージョンは検出と対応を教訓として扱うよう尋ねています、検出できなかったものが困難な教訓であるとき。

2020年のミシガン州アントリム郡では、間違った結果が公開され、検出されました — しかし、それらは郡の政治が誰もが知っている現実的に間違っていたため、検出されました。より微妙なエラー、接戦を数百票シフトさせるが、郡がパーティーをひっくり返したように見えないもの、は注意されずに渡った可能性があります。そしてその後の手動再計算 — 「金の標準」チェック — は、キャストされたおよそ15,700票のうち約12票の機械の集計とは異なっていました。12票の差、利用可能な最も信頼された手動方法によって作成されました。

12票で決定された競争では、それ自体12票で外れているメソッドは質問を解決することができない。「監査はそれを確認した」と「州務長官はそれが大丈夫と言っている」は安心です。それらは証明ではありません。 証明には、根本的なプロセスが、すべての官吏 — 当局者が何もかも大丈夫だとあなたに言うことがそれの仕事では誰であるかだけではなく — 誰でも独立して検証可能であることが必要です。

フィンランドの裁判所はこれを理解していた。それは不正の証拠を待たなかった。システムが一般的に機能していたという公式の安心を受け入れませんでした。それは尋ねました：有権者は独立して、彼らの投票用紙がキャプチャされたことを確認できますか？答えはいいえでした。それで十分だった。

ジョージア州は2020年にはおよそ500万投票用紙の完全な手動計算を実行しました — 米国の歴史における最大のそのような運動 — そして、機械の数とハンド数の間の変動は約0.1パーセントでした。これは証拠です紙プラス監査は誰かが接戦した結果をチェックできます。それはモデルです：耐久的で、人間が読める記録、独立して数えられた、すべての投票用紙を見ることができるオブザーバーによって。それは機能する、数えられている成果物が同じ成果物であるため誰でも検査することができます。

フィンランド、サラソタ、アントリム郡の後の質問は常に同じです：システムは何を残しており、誰がそれをチェックすることができますか？

これを実際にチェック可能にするもの

フィンランドの事件は1つの尊重でクリーンだ：裁判所が新しい選挙を命じたら、エラーは修正された。232人の有権者には救済があった。

しかし、事実後の救済は、最初の場所で静かに失敗することができないシステムと同じではありません。「静かに失敗することはできない」が必要とするものは：

まず：投票者は、投票所を離れる前に、彼らの投票用紙が記録されたことを検証することができなければならない。 「投票していただきありがとうございます」と言う画面ではなく。独立してチェック可能な成果物に結び付いた確認 — 有権者が検査できる物理的な紙、有権者が公開されたレコードに対して後で検証できる暗号的コミットメント、またはその両方。

第二に：数えられている成果物は、有権者が確認した同じ成果物でなければならない。 有権者が読むことができないQRコードはこのテストに失敗する。手書きの紙投票用紙は成功する。

第三に：独立した監査人 — 官吏ではなく、ベンダーではなく、パーティの代表ではなく、本当に独立した外部当事者 — は投票者確認から最終的なタリーまで完全な連鎖をチェックすることができなければならない。 スポットチェックではない。認定を信頼しない。実際にチェックしてください、生のレコードにアクセスして、いつでも。

第四に、結果は粒子レベルで公開されなければならない — 小選挙区ごと、機械が読める形式で — 各小選挙区の数が完了するのと同じ時点で。 点検後ではなく。州の総数にバンドルされていない。小選挙区レベルの結果は誰もがダウンロードでき、合計でき、公式な総数と相互チェックするのは、パブリック検証可能性の最小単位です。

これのどれもが理論的ではない。コロラド州の全州リスク制限監査は、統計的信頼を提供し、実際の競争がどのくらい接近しているかに結び付いている — 接戦でより多くのチェック、大勝利でより少ない、すべてが紙の記録に根付いている。フレームワークが存在します。 欠落している部分、ほぼどこでも、それを普遍的に適用する政治的意志とニュースサイクルが移動する前に監査が起こるのに十分な速さで結果を公開するインフラです。

共有可能なテイクアウェイ

投票は、検証可能に記録される場合にのみ信頼できます — 有権者が検証し、耐久的成果物で確認され、公開レコードに対して誰でもチェック可能です。

フィンランドの裁判所は不正を証明する必要はありませんでした。それはより根本的なものを証明しました：有権者が彼らの投票用紙が検出されたことを確認できない選挙は、検証可能な選挙ではありません。 それは機械が保存することになったものの数字です。

232票。3つの自治体。1つの判決。しかし、それが確立した原則は、電子または紙 — 有権者が自分の選択が通過したことを確認する独立した方法がない任意のシステムを実行するすべての管轄区域に適用されます。

あなた自身の選挙システムについてあなたが尋ねるべき質問は「不正が証明されたのか？」ではありません。それは：「今すぐ、あなたの投票が私が投票したとき記録されたことを私に見せるのは何でしょうか？」

答えが「何もない」の場合 — または「私たちを信頼してください」 — それが閉じる必要があるギャップです。

この世界中でこのギャップがどのくらい一般的であるかを見る | 2分バージョンを読む | 特定の検証失敗を探索する

ソース

すべての記事を表示ギャップを探索