← すべての記事

アイルランドは国家電子投票システムを購入したが、それが機能することを証明できなかった

アイルランドは投票機に数百万ユーロを費やしたが、5年間倉庫に保管された後、廃棄された——独立した委員会がそれらが機能することを証明できなかったからである。

2004年の春、アイルランドのどこかの倉庫には、アイルランド民主主義の未来が保管されていた——まだ元の梱包のままで。

アイルランド政府は約7,500台のNedap/Powervote電子投票・集計機を調達していた。取引額は数千万ユーロに上った。これらの機械はベンダーの独自試験に合格していた。選挙は予定されていた。投票所スタッフは訓練を受けていた。政府は準備が整っていた。

1つの問題があった。電子投票委員会が独立した委員会にシステムの審査を依頼していたのである。そして詳しく調査すると、その委員会は機械が機能することを述べることができなかった。

「機械が壊れている」ではなく。「詐欺を発見した」でもない。その両者より不安を感じさせるもの：必要とされる信頼度において、我々は機械が機能することについて自らを納得させることができない。

この文章——慎重で、技術的で、壊滅的な——国全体の電子投票プログラムを停止させたその一文である。機械は封存された。2009年に正式に廃棄された。そして委員会が提起した問題は決して消えることがなかった。

「証明されていない」は「問題ない」と同じではない

電子投票委員会の2004年の中間報告書は陰謀論ではなかった。政治的な誹謗中傷でもなかった。これは特定の質問を与えられた独立した専門家グループであった：我々の満足に対して、このシステムが正確かつ秘密であることを検証できるか？

彼らの答え：いいえ。

委員会は、その結論がシステムが機能しないという知見ではないことを明確にした。それは、システムが委員会の満足のために機能することが証明されていないという知見であった。それは異なり、より厳しい基準である——そしてそれは正しい基準である。

正確性とは：投じられたすべての票が数えられた票になるか？秘密性とは：投票者が投じた投票用紙を誰もがリンクさせることができないか？これらは奇異な技術的要求ではない。それらは合法的な選挙の2つの譲歩できない属性である。そして委員会は、提示されたNedap/Powervoteシステムを調査した後、その両者を自らの満足のために確認することができなかった。

委員会の中間報告書は短い文書であり、全文を読む価値がある。 それが述べていないことは述べていることと同じくらい重要である。ベンダーが嘘をついたとは述べていない。政府が悪意で行動したとは述べていない。それは述べている：提示された証拠は独立した検証を可能にするのに十分ではなかった。 そして、その全仕事が信頼できる集計を生成することである装置にとって、「独立して検証できない」ことは致命的な欠陥である——誓約で埋め合わされるべき軽微な隙間ではない。

機械は保管されることになった。

デフォルトは常にこうあるべきであった：証明されていないシステムを展開しない

ここがアイルランドの物語を具体的にしている。ベンダーは機械が機能すると言った。政府はベンダーを信頼した。購入がなされ、お金が費やされ、訓練が実施された。システムは数百万人のアイルランド有権者の実際の選挙結果を決定するために使用される寸前だった。

そして独立した組織が簡単な質問をした——それを証明できるか？——そして答えはいいえだった。

その順序は逆である。 証明は展開に先行すべきであり、それを追うべきではない。アイルランド委員会は、その功績として、「まだ証明されていない」を「使用しない」の十分な根拠として扱った。それは正しいデフォルトである。証明の負担はシステムにある。独立した査察者に対して、その技術が正確で秘密であることを実証できない選挙当局は、ハードルをクリアしていない。それは単にライブに行く前にそれをクリアしないことを選択した。

アイルランドで使用されたNedap/Powervote機械は、ドイツが2005年の連邦選挙で使用した同じメーカーの機械であった——ドイツ連邦憲法裁判所の前で後に異議を唱えられたブンデスタークの投票。2009年3月、ドイツの裁判所は、普通の市民によって専門知識なしに独立して操作を検証できない電子投票機が、公開選挙の憲法原則に違反するという判決を下した。ドイツ連邦憲法裁判所の判決は慎重であり、読む価値がある：それは選挙でのコンピュータの禁止ではない。それはどのような技術が使用されようとも、市民は投票から結果への本質的なステップを自分たちで検証することができなければならないという要求である。Nedap機械はアイルランドの独立委員会が既に異なる手段で同じ結論に到達した5年後、ドイツの憲法裁判所でそのテストに失敗した。

2つの国。同じ機械。同じ評決。どちらも特定の詐欺の証拠を必要としなかった。両者は同じ結果に到達した：検証不可能は受け入れられない。

「認定」は請求であり、証明ではない

機械はベンダー試験を通過していた。認定プロセスの何らかのバージョンが実行されていた。アイルランド政府は調達に署名していた。それのどれもが委員会にとって十分ではなかった。

これはアイルランドのケースの奇癖ではない。それは選挙技術監督の中核にある永続的な隙間である。

米国では、GAOは2005年に報告した——2000年の混乱の後に議会が選挙を近代化するために可決したHAVA法の余波で——電子投票のセキュリティと信頼性を改善するための連邦の努力が「進行中であるが、主要な活動は不完全なままであった」と。GAO報告書は、基準が強化される必要があること、認定手続が確立される必要があること、ソフトウェアリポジトリが作成される必要があることを発見した。改革を促した危機の何年も後、保証の機構はまだ構築されていた。「我々は認定されたシステムを使用する」はその瞬間、まだ完全に動作していないプロセスについての請求であった。

適切に行われた認定は、意味のある検査である。儀式的に行われた——アクセス、時間、または独立性を欠く組織による箱をチェックする行使——それは責任になる。それは保証の外見を作成するが実質がない。そして選挙での保証の外見は、認められた不確実性より悪い：それらは人々がより難しい質問をするのを止める。

アイルランド委員会は必要なアクセスを持っていなかった。それが示されたものはシステムの正確性または秘密性を検証するのに十分ではなかった。その隙間——ベンダーが提示するものと独立した査察者が実際に検査できるもの間の——それは認定請求を受け入れるのではなく精査する価値がある理由である。

「秘密性を検証できない」が実際に意味すること

この瞬間これを物理的にしてみましょう。「秘密性」は抽象的に聞こえることができるからである。

秘密性について独立して監査できない投票機は、ベンダーの言葉を受け入れなければならないものである。実際には：ソフトウェアが投票数だけでなく、候補者が投票を受けたかを記録しないが、その投票を生成した特定の端末、スマートカード、またはタイムスタンプに接続する識別子を記録する場合、その情報は機械の内部に存在する。コードを検査することができない場合——専有システムではできない——そうでないことを確認することはできない。

これは仮説的な脆弱性ではない。2006年、プリンストン大学の研究者は実際のDiebold AccuVote-TS機械を検査し、悪意のあるコードが1分以下の物理的アクセスでインストールできること、そしてコードが内部ログをすべて一貫性を保つ間に投票合計を変更できることを発見した。彼らの論文は、通常の選挙活動中に機械間で自動的に拡散できる投票窃盗ウイルスを示した。監査ログは清潔に見えるだろう。合計はもっともらしく見えるだろう。外側から何もそれをキャッチしないだろう。

アイルランド委員会は特定の脆弱性を見つける必要がなかった、その結論に到達するために。それはただ1つを除外できなかっただけである。それは独立した技術審査がどのように機能すべきかである：システムはその信頼性を実証しなければならず、単にそれを主張するだけではない。確認された攻撃の不在は、攻撃の可能性の確認された不在と同じではない。

オランダはより良いフォローアップで同じ教訓を学んだ

アイルランドはこの清算に一人ではなかった。オランダ政府は独立したレビューを委託した——Korthals Altesコミッション——2007年9月に報告された「Stemmen met vertrouwen」というタイトルの下で：「信頼して投票する」その結論は明白だった。

委員会は選挙プロセスには秘密がない——投票がどのように投じられるか、投票がどのように数えられるかのメカニクスが観察可能で検査可能でなければならないこと、ファームウェアに隠されていないこと——を設定した。それは投票用紙が投票所で透明性と検査可能性の観点から優先されることを結論付けた、そして電子方法は投票者が検査できる紙の記録を生成する場合にのみ受け入れられるであること。

オランダの委員会の報告書は公の論争の後、活動家が「We do not trust voting computers」と呼んだ後、生きている機械がどのように簡単に投票コンピュータの信頼性が誰かがどのように投票したか明かす無線信号を漏らしたかをデモンストレーションした後、それの結論に到達した。1997年の投票機を承認する規制は撤回された。オランダは紙と手作業による計数に戻った。

オランダがアイルランドが——機械が展開の前に停止されたため、おそらくしなかった——しそうしたのは政治的な約束を明示的で耐久性のあるものにすることであった。デフォルトはシフトした。証明の負担は「機械が壊れていることを証明する」から「機械が独立して検証できることを証明する」に切り替わった。その証明が提供されることができなかったとき、答えは紙だった。

より深い問題：誰が「証明された」が何を意味するかを決定するか？

ここはアイルランドのケースが開いたままにする問題であり、それは快適ではない。

電子投票委員会は誰かがそれを作成することを決定したために存在していた。独立した組織は「まだ」と言う権限を与えられた。2004年のアイルランドでは、そのメカニズムは存在し、使用された。機械は停止した。

しかし、その結果は構造的に保証されなかった。それは、本物の独立した審査を委託する政府、不便な結論に到達する独立した委員会、そしてその結論を受け入れるのではなく無視する政治環境の意思に依存していた。これら3つの要素のいずれかを削除すると、機械はライブになる。選挙はベンダーのオフィスの外に誰も有意に検証していないシステムによって決定される。結果は発表される。当局者はシステムが認定されたと言う。そして、それが実際に機能するかどうかの質問はアーカイブに消える。

それはすべての専有の、閉じた投票技術を使用するすべての管轄権における活発なリスクである：検証インフラストラクチャはオプションで一時的であり、構造的で継続的ではない。 独立した委員会は作成されるまたは作成されない。レビューは太っ腹に資金を供給されるまたはPDFのスタックと週末与えられる。不便な知見は受け入れられるか、静かに埋められる。

修正は正しい委員会が正しい瞬間に作成されることを信頼することではない。修正は、証明がベンダーの専有のブラックボックスの内部に保持されるのではなく、公開で検査可能で、数学的に検証可能で、誰にでも——政府がこの特定のサイクルで雇うために選ぶ専門家だけではなく——検査可能であるシステムを構築することである。

ロサンゼルス郡のVSAPシステム、2018年にカリフォルニア州務長官によって認定された、は異なる方向の具体的な例である：公開所有、外部専門家が検査できるオープンソースコード、単に語られるのではなく。それは完全なソリューションではない——実装、保管と配送、そして継続的な監査すべてがまだ重要である——しかしそれは不透明性の1つのコア層を削除する。アイルランド委員会の問題、簡潔に述べると、ベンダーが委員会が見ることができるものを管理していた。オープンソースコードはそのゲームをすることができない。

アイルランドの倉庫が実際に我々に教えること

7,500台の機械は座っていた。使われることはなかった。最終的にスクラップのために売られた——アイルランド州はそれを調達するために費やしたもののごく一部を回復したと報告されている。

その物語の楽観的な解釈：システムは機能した。独立した委員会はその仕事をしてやった、正直な結論に到達し、政府は聞いた。選挙は決してシステムで実行されなかった、それは検証されていなかった。民主主義は保護された。

正直な解釈：アイルランドは幸運だった——本物の独立性を持つ委員会を作成する幸運、その評決を無視するのは高すぎる政治的コストを言う背骨を持つ委員会の幸運。

幸運に依存するシステムはシステムではない。それはすべて間違った可能性のシリーズである。

元の未開封のボックスで座っているNedap/Powervote機械の実際の教訓は、アイルランドが正しい呼び出しを行なったこと——それはしたけれども——ではない。教訓は、正しい呼び出しは存在していなかった可能性がある独立した、制度的なチェックのチェーンを必要としたことである。

証明されていないシステムのデフォルトは：展開しない。「展開して後で監査する」ではなく。「展開して、ベンダーを信頼する」ではなく。「展開して、問題が表面化するまで待つ」ではなく。展開しない。証明の負担は技術にあり、投票がキャストされる前に放電される必要があり——本物のアクセスを持つ独立した査察者によって、ベンダーの独自のドキュメントではなく。

そして「独立した検証」は単一の委員会を意味することができない、一度召集される、その結論は受け入れられるまたは無視されるかもしれない。それは発表された、機械で読める、暗号で検査可能な証拠を意味しなければならない、政府が雇った者だけではなく、どんな時でも検査できる、どの適格な観察者も。

そのハードルが満たされるまで、「システムは認定されている」は正確にアイルランド委員会が与えた信頼と同じくらいの信頼に値する文である。

つまり、それほど多くはない。

「未検証の認定」のギャップが世界中でどのように機能するかを見たいですか？グローバル選挙アトラスを探索してください。または、なぜ認定請求が独立した精査を必要とするかの2分バージョンを読んでください：説明されたギャップ。検証可能な投票が実際に何を必要とするかの深い見方については、ここから開始してください。

ソース

すべての記事を表示ギャップを探索