← すべての記事

ドイツの最高裁判所が判示：専門家しか集計を確認できないなら、それは本当の選挙ではない

ドイツの最高裁判所は2009年、選挙結果を理解するのにコンピュータ科学の学位が必要なら、それは民主的な選挙ではないと判示しました。その影響は地球上のあらゆる投票システムに及びます。

2009年3月3日の朝、カールスルーエの8人の裁判官は、民主的な選挙と信頼できる選挙のパフォーマンスとの線引きを引き直したばかりです。

ドイツ連邦憲法裁判所——Bundesverfassungsgericht、基本法が実際に何を意味するかを裁定するドイツ版最高裁判所に最も近い存在——は、2005年の連邦選挙で使用されたNedap投票機が憲法に適合するかについての判決を下したばかりです。裁判官たちはハッキング、盗まれた選挙、または壊れた機械について書いています。彼らはもっと静かで根本的な何かについて書いています。

彼らは普通の市民が何が起きたかを確認できるかについて書いています。

その答えは「いいえ」でした。そしてだからこそ、その機械は廃棄されなければなりませんでした。

「専門知識のない状態で」

裁判所の推論は十分にコンパクトで直接引用できます。判決は、電子投票機の使用には、**「投票と結果決定の本質的なステップが、市民によって、信頼できるかつ当該分野に関する専門知識なく検証できること」**が必要であると判示しました。

もう一度ゆっくり読んでください。

監査人による検証ではなく、ベンダーによる検証でもなく、政府認定研究所による検証でもなく。市民による検証、信頼できるかたちで、専門知識なく。

この要件は、Grundgesetz（基本法）第38条と結びついた第20.1条および第20.2条に組み込まれたÖffentlichkeit der Wahl——選挙の公開性の原則——から生じるものと、裁判所は説明しました。この原則は技術的細部ではありません。それは選挙が誰に属しているかについての声明です。

Nedap機械はこのテストに失敗しました。なぜなら、投票を電子メモリにのみ保存したからです。有権者が検査できる独立して検証可能な記録がありませんでした。選挙が終わったとき、あなたが手にしていたのは、ブラックボックス内に完全に存在するプロセスによって生成されたスクリーン上の数字です。それを信頼することはできました。それを確認することはできませんでした。

ドイツ憲法裁判所の見方では、これら2つのことは同じではありません。

この判決がなぜ見た目より深い影響を持つのか

判決への公式な反応は、その結果に焦点を当てる傾向がありました。ドイツは紙の投票用紙と手集計に戻った、事件解決、問題解決。

それは最も興味のない部分です。

裁判所が論じていた、より深い議論は、検証可能性が正当な選挙の選択的機能ではなく、定義的要件であるということです。結果を専門家しか検査できない選挙は、いかなる意味ある民主的意義においても選挙ではありません。それは高価な機器で実行される儀式であり、結果に拍手喝采するよう招待されています。

裁判所が言わなかったことに注目してください。Nedap機械が間違った結果をもたらしたとは言いませんでした。2005年の連邦議会選挙での改ざん、詐欺、または機能不全の証拠を見つけることはありませんでした。実際、具体的な危害を立証することができなかったまさにそのゆえに、裁判所は2005年の結果自体を無効にすることを拒否しました。

しかし不正行為の証拠がないことはポイントではありませんでした。ポイントは、システムの構造が独立した検証を不可能にしたこと、そして検証を不可能にするシステムは、実際には何も間違っていなかったかどうかに関わらず、憲法基準に失敗する、ということでした。

その区別は極めて重要です。裁判所は詐欺の主張と詐欺の否定の間を仲裁していなかったということを意味します。それは床を設定していました。その床より下では、詐欺が発生したかどうかという質問は、単に答えることができない——検証不可能なシステムを構築したから——ということです。

問題は機械だけでなく、不透明性である

この意味がドイツを超えて重要である理由を理解するために、紙の投票用紙システムで「集計を確認する」ことが実際に何を要求するかについて考えてください。あなたは投票がキャストされるのを見ます。箱が封印されるのを見ます。選挙の日に開かれるのを見ます。人間が紙を手に取り、それを読み、名前を呼び出すのを見ます。彼らが呼んだことに同意しないなら、紙自体を見ることができます。

これらはどれも大学の学位を要求しません。認定機関、ベンダー、または国務長官を信頼することを要求しません。有権者から宣言された結果までの完全な連鎖は、人間規模でかつ観察可能です。

今、投票機がその連鎖を置き換える場合に何が起こるか考えてください。投票はソフトウェアに入ります。ソフトウェアはハードウェア上で実行されます。ハードウェアは認定されます——あなたが観察しなかったプロセスによって、あなたが選ばなかった専門家によって、おそらくあなたが読んでいない標準に対して。「集計」はソフトウェアの出力です。それを信頼するよう招待されます。

これはドイツの裁判所が指摘していたものです。不透明性は技術に関連する偶然ではなく、ほとんどの配置では、それに内在しています。

オランダは別のルートを通じて同じ結論に到達しました。2007年、オランダ政府の選挙プロセス諮問委員会は、Stemmen met vertrouwen——「信頼を持って投票する」を発表しました。その中核的立場：**「選挙プロセスに秘密はない」**そして質問は確認可能で検証可能な答えで答えられなければならない。委員会は、紙の投票用紙を手で数えることが、その透明性と確認可能性のためにまさに好ましいこと、そして電子的方法は、有権者が物理的に検査できる紙の記録を生成する場合にのみ受け入れられることが結論づけられました。オランダは投票機の承認を撤回し、紙に戻りました。

2つの隣接するヨーロッパ民主主義。2つの独立した審査。1つの結論。

ブラックボックスの中に何があるか

不透明な投票システムが危険な理由を正確にすることは価値があります——機械が必ずしも侵害されているからではなく、どちらかを判断する方法がないからです。

2006年、プリンストンの研究者アリエル・フェルドマン、J・アレックス・ハルダーマン、エドワード・フェルテンは、実際のDiebold AccuVote-TS投票機——当時米国で最も広く配置されている機械の1つ——を入手し、数ヶ月間それで過ごしました。彼らが発見したものは、約60秒の物理的アクセスを持つ攻撃者が、すべての内部ログ、カウンター、および記録を内部的に一貫性を保ちながら投票を盗むコードをインストールできることでした。マシンは何も間違っていないことを示していました。2番目の発見はさらに悪かったです：コードは、通常の選挙夜の活動中にメモリカードを通じて機械から機械に拡散する可能性がありました。

重要なフレーズは「内部的に一貫性がある」です。機械は矛盾せずに嘘をつくことができます。つまり、機械自身の記録のみをチェックする監査は、嘘を確認できます。

2020年のジョージア州で、州のDominion投票記入式投票機を検査する連邦裁判所は、構造的に類似した何かを見つけました。システムは各投票用紙に印字されたQRコードから投票を集計します。QRコードは有権者によって読むことはできません。連邦判事はシステムが「検証可能で監査可能な投票用紙の記録を提供しない、なぜなら投票集計用のQRコードに依存し、そのコード自体は有権者によって読まれ検証されることができないから」と判定しました。ジョージア州での手集計は、バーコードの出力を監査します。有権者の意図を監査しません。

ドイツの裁判所の原則を適用すると：何が数えられているのか読むことができなければ、集計をチェックしていません。

「信頼を持って投票する」はスローガンです。確認可能性はメカニズムです。

アイルランドの経験は3番目のデータポイントを加えます。アイルランド政府は7,500個のNedap投票機——ドイツの裁判所は後に違憲と判示することになる同じファミリー——を購入し、最初の全国配置前にそれらを評価するよう独立した委員会に求めました。委員会は「必要な程度の信頼を持って」それを推奨できないと結論づけました。機械が壊れていたからではなく。それらが正しく機能することを自分自身に満足させることができなかったから。区別は重要です：既知の問題がないことは、独立して実証された信頼性と同じではありません。機械は5年間倉庫に座っていて、2009年に廃棄されました。

3つの国——ドイツ、オランダ、アイルランド——はそれぞれ憲法審査、政府委員会、および独立した評価を通じて本質的に同じ結論に到達しました。共通の糸は反技術感情ではありません。それは、公開が信頼をするのではなく検証できるという要求です。

今、その要求が満たされない場合に何が起こるかを考えてください。

ベネズエラの2017年国民制憲議会選挙はSmartmaticの自動投票システムで実行されました。2017年8月2日、Smartmaticの最高経営責任者は、政府によって宣言された投票率が操作されたと発表した公開声明を発表しました——同社の推定では少なくとも100万票により。Smartmaticは、数字が「疑いの余地なく」改ざんされたことを「知っていた」と述べました。

ベンダーは自身の機器上で実行された結果を否認しました。そして独立した監査が利用不可だったから——システムが支配当局以外のすべての人にとってブラックボックスだったから——市民と国際的なオブザーバーは真実の数字を確認するメカニズムを持っていませんでした。彼らは1つの公式が数字を主張し、1つの企業がそれを否認し、そして真実への第3の道がない状態に残されました。

それは完全な規模での不透明性がどのように見えるかです。

「監査がそれを確認しました」——そのフレーズが実際に何を保証するか

公式な保証のバージョンがあり、ベネズエラのシナリオより強く聞こえます：「私たちは監査を実施し、すべてが一致しました」。これが何を保証するかを尋ねることは価値があります。

2020年のジョージア州では、1000万人の州では1万2千票未満で決定された大統領選挙の後、選挙職員はおよそ500万票の大統領投票用紙すべての完全な手による集計を実施しました。機械集計と手集計の間の差は約0.1パーセント——途方もない圧力の下で実行された規模と速度の本当の達成です。

しかし、ここでさえも、物語は完全に「金の標準が機械を確認した」ではありません。手集計は結果を確認しました。個別の投票すべてを確認したかどうかは、より難しい質問です。2020年同じ年のミシガン州アントリム郡——より小さなテストケース——約15,700票の大統領投票の手による監査はまだ機械の集計と約1ダースの投票だけ異なりました。12票は自明に小さく聞こえます。12票で決定される競合では、それはマージン全体です。

2021年のウィンダム、ニューハンプシャーの法科学監査は、機械の誤算が数百の方法——詐欺によって引き起こされず、マルウェアによって引き起こされず、折られた郵便投票用紙にのみの折り目によって光学スキャナーが楕円形の印をスキャンする方法によって引き起こされました——耐久性のある紙の投票が存在し、物理的な手計算が有権者の意思を回復できるから発見可能でした。

ドイツの裁判所の基準は、手による再集計が完璧であるということではありません。それは本質的なステップがあらゆる市民によって専門知識なく確認可能である必要があるということです。手集計は不完璧にしかし本当にそのテストに合致します——正確にそれがウィンダムを見つけ、ジョージアを確認した理由です。紙のない機械集計、またはあらゆる有権者が読むことができないQRコードに対してのみ監査される集計は、全くテストに合致しません。

原則、真摯に取られることで、特定の場所を指す

ドイツの裁判所の判決は電子投票技術を禁止しません。それは検証不可能な電子投票技術を禁止します。その区別は重要です。なぜなら、それは準拠するシステムがどのように見えるかへ指差します。

ロサンゼルス郡のVSAPシステム——カリフォルニアで認定された最初の公的所有、オープンソース選挙集計システム、正式に2018年8月に認定——1つの方向を表します：コードの公的所有、独立した専門家による公開検査、営有財産ソフトウェアが営業秘密として保護されるのではなく。

ブラジルの選挙裁判所は年次公開セキュリティテストを実行し、適格な外部調査官は電子投票機の弱点を調査するよう招待され、修正は選挙前に実装され、再テストされます。ロジックは「私たちの認定を信頼してください」の逆です：「それを壊してみてください、公開で、そして私たちは修正したことを示す」です。

スイスは2019年にインターネット投票ソースコードを公開し、正確に独立した審査を招待するために——そしてわずか数週間以内に、暗号学者のサラ・ジェイミー・ルイス、オリヴィエ・ペレイラ、およびヴァネッサ・ティーグは、内部者が投票を改ざんできたトラップドアをシャッフルプルーフ内で発見しました、そのプルーフが検証を通過するように見えると。システムは中止されました。欠陥はコードが公開されたからでのみ発見可能でした。

パターンは一貫性があります：検証可能性は公的が主張できる財産ではなく、外部者によって実証されなければならない財産です。システムが安全であるという公的声明は主張です。独立した、敵対的なテストがそれを確認または反駁することは証拠です。

今も検証不可能なこと——そしてそれを修正するもの

ドイツの裁判所の原則を、厳密に適用すると、任意の選挙の後、あなたが確認できなければならないことは：あなたの投票をトレースすること——匿名であるが検証可能に——それがキャストされた瞬間から最終集計まで、公開記録と自分の目のみを使用して。専門学位なし。どんな公的への信頼もなし。ベンダー保証なし。

今日使用中のほとんどの選挙システムはそのテストに合致することはできません。多くはまだ、ソースコードがベンダー営業秘密であるソフトウェアに頼っています。多くは紙の記録を生成しますが、紙の記録は数えるソフトウェアが実際に読まない記録です。多くは集計総数を発表しますが、任意の市民が下から数字を調整できるようにする選挙区レベル、投票ごとの投票ごとのデータではありません。

U.S.選挙援助委員会は、選挙夜の結果は常に非公式で不完全であると記します——それは良いことです、最終的に認定された結果がその時点で機械可読、選挙区レベルの形式で発行される場合——誰もがダウンロードしてチェックできます。NCSL記録は、ほとんどの州が選挙区レベルで報告することです。しかし「どこかで発表された」と「独立して、暗号化できる確認可能」は同じことではありません。

ドイツ憲法裁判所は世界に選挙が何であるかについてのクリーンな法的声明を与えました。専門家しか集計を確認できなければ、それは本当の選挙ではありません。 15年後、その基準は、それを共有すると主張するほとんどの民主主義でまだ抱負以上のものです。

問題はあなたの選挙当局が信頼できるかどうかではありません。問題はその信頼性が何かあなたが信仰で受け入れなければならないか——またはシステムがあなたが自分で検証できるものです。

これらは異なる質問です。そしてその質問のうち1つだけが民主的な答えを持っています。

あなたの国が検証可能性ギャップにおいてどこに立つかを見てください——そしてチェック可能なシステムがどのように見えるか——/atlasで。検証可能性が信頼を打ち負かす理由の2分間バージョンのために、/simpleで開始してください。そして世界中の選挙技術での特定のギャップのより深い地図のために、/gapsを見てください。

出典

すべての記事を表示ギャップを探索