← すべての記事

最高裁判所が大統領選挙を無効にした — 誰も数字を検証できなかったから

ケニアの最高裁判所は選挙を覆しただけではない — 投票所から全国集計まで誰も独立して追跡できない結果は、そもそも結果ではないと判断した。

2017年9月1日の朝、ケニア最高裁判所はアフリカの司法史上かつてない判断を下していた。大統領選挙を無効にしたのだ。

クーデターが理由ではない。投票所での暴力が理由でもない。数字が追跡できなかったからだ。

ライラ・オディンガは現職のウフル・ケニャッタに約140万票の差で落選していた — それは十分な差だと思うかもしれない。しかし裁判所は同意しなかった。4対2の多数決で、判決は完全に結果を無効とし、60日以内に再選挙を命じた。2017年9月20日に公開された理由の全文は注視する価値がある。裁判所は独立選挙境界委員会（IEBC）が選挙投票のシンプルさ、正確性、検証可能性、安全性、説明責任、透明性に関する憲法上の要件を満たしていなかったと判示した。これらの言葉のうちのひとつではなく — すべてだ。

差分ではなかった。チェーンが問題だったのだ。

断ち切られたチェーン

ケニアの制度は紙面上では、現代的な選挙管理の模範であった。国の約40,000の投票所のそれぞれが、その投票所での集計を記録した改ざん防止型の結果シート「フォーム34A」を完成させることになっていた。そのフォームは全国集計センターに電子的かつ同時に送信されることになっており、物理的なコピーは選挙区および郡のレベルをフォーム34Bおよび34Cとして上がっていくことになっていた。

このアイデアは優雅だった：トップのすべての数字は、ボトムの数字から再構成可能であるべきだ。生のフォームにアクセスできるあらゆる市民は、原則として、それらを合計して全国総計を独立して検証できるはずだった。

しかし裁判所は、すべてのフォーム34Aが法律で要求されたように送信されなかったことを見出した。結果フォームが一貫した安全機能を欠いていることを見出した。最終集計フォーム — 誰が大統領になるかを宣言した文書 — は透かしも連番もなかった。そしてIEBC議長は、その下にあるすべてのフォームが到着する前に、ケニャッタを勝者と宣言していた。

それが物理的に何を意味するか考えてみてほしい。ナイロビのどこかで、公式は「カメラの前に立ち、大統領選挙の勝者を宣言し、その一方で、その宣言が基づいていたはずの証拠である一連のフォーム — はまだ輸送中だった。チェーンのトップが、それが組み立てられる前に宣言されていたのだ。

それは集計ではない。それはアサーション（宣言）だ。

なぜ差分がそれを救わなかったのか

ケニアの判決に対して聞く最も一般的な異論は：140万票だ。選挙を覆すために必要とされる不正行為または誤りが100万以上の票を偽造することを必要としていたなら、書類作成に関わらず結果は明らかに正しいのではないか？

これは間違った質問だ。それは数字を信頼する人の質問だ。裁判所は異なる質問をしていた：数字が何であるか、私たちはどうやって知るのか？

選挙結果は自証証拠ではない。 宣言された総計は、それを生み出したプロセスと同じくらい信頼性がある。フォーム34Aがすべて送信されなかった場合、安全機能が一貫していなかった場合、最終集計文書に連番がなかった場合 — その場合、宣言された総計は検証された合計ではない。それは不透明なプロセスから生じた数字であり、それを宣言することが仕事である権限によって正しいと宣言されたものだ。

これは信頼できる選挙と信じるべき選挙を分ける区別だ。信頼できる選挙はあなたに確認させる。信じるべき選挙はあなたに信じることを求める。

ケニアの裁判所はIEBCを不正行為で非難していなかった。それはより根本的なことを言っていた：そのプロセスは詐欺が隠しやすいように設計されていなかった。そして詐欺の不在を証明できない選挙は、有意義な意味で証明されていない。

これはアフリカだけの話ではない

他の民主主義の裁判所は異なるルートで同じ結論に達しており、彼らを結びつけるものについて正確になることは価値がある — その接続は腐敗、または発展途上国民主主義、またはケニアのような話が私たちを不快にさせるときに私たちが手を伸ばす快適な他人事化とは関係がない。

2009年、ドイツ連邦憲法裁判所は2005年連邦議会選挙における電子投票機の使用を廃止した。機械は電子メモリに投票を保存し、有権者が確認できる独立した記録がなかった。裁判所は投票と結果決定の本質的なステップは、市民が専門知識なしに確実に検査可能でなければならないと判示した。専門家によってではない。政府によってではない。市民によって。機械はそのテストに失敗し、それらを許可する条例は違憲と宣言された。

2016年、オーストリア憲法裁判所は大統領決選 — 約30,000票の差のある — を無効にした。詐欺が見つかったからではなく、郵便投票を扱うことができる人と時間を支配するルールが約77,000票に影響するほど十分な場所で破られたからだ。裁判所は推論を明確にした：操作に対する保護措置は結果に影響することができる数で違反されていた。操作が起こったことではなく。それが除外できなかったこと。

同じロジック。異なる国。異なるテクノロジー。同じ根本的な要件：誰も独立して検証できない結果は信頼できる結果ではない。

2020年マラウイでは、公式集計シートが改正液 — 改ざん防止型であることになっていた文書の数字に施された修正液 — で改ざんされていることが判明した後、裁判所は大統領選挙を無効にした。ソース文書が静かに書き直すことができる場合、ソースはない。宣言された総計は、修正液のボトルを持つ最後の人が決めた何かになる。

「検証可能」が実際に求めるもの

これらのケースは、一緒に読むと、述べることは簡単だが実装することは難しい正確なテクニカル要件を綴っている。

検証可能性は同時に3つのことを意味する：

第一に、すべての投票は、それが投じられた時点で耐久的で、改ざん防止型の記録を生み出さなければならない — フォーム34A、紙の投票、保管の連鎖を伴う密閉ボックス。

第二に、その記録は、独立して検査可能な方法で、集計の次のレベルに送信または転送されなければならない — 電子的かつ同時に、一貫した安全機能を備えて、投票所から集計センターの間で中断または改ざんできるプロセスではなく。

第三に、最終総計は、ソース記録から誰でも再構成可能でなければならない — 選挙機関によってではなく、雇われた監査人によってではなく、時間とデータを持つ任意の人によって。

ケニアのシステムはコンセプトは正しかった。公があって、公開が算術を検証できるようにするために、フォーム34Aを電子的かつ同時に送信することを必要とした。それに欠けていたのはその要件の執行であり、そして — 重要に — 非準拠がリアルタイムで目に見えるようになり、数週間後に裁判でのみ発見可能ではなかった技術アーキテクチャ。

そのギャップがストーリーだ。

デザインと検証の間のギャップ

これはこの議論のより難しいバージョンだ、ケニアを超えていくもの。

正しく機能する結果伝送システムは誰でも検証できる数字を生成する。静かに失敗するまたは、公式がすべてのフォームが到着する前に勝者を宣言することによってバイパスできる結果伝送システム — 同じに見えるが検査可能ではない数字を生成する。

外部から見ると、どちらにいるか判断することはできない。

これが**「選挙機関は結果が正しいと言う」が分析の終わりではあり得ない**理由だ。IEBCは結果が正しいと言った。ケニア最高裁判所はその主張を下にある文書から検証できないことを見出した。詐欺を見つけたからではなく — 裁判所は詐欺を見つけなかった。主張を検査可能にするはずだった文書が欠けていた、矛盾していた、または事後的に到着していたからだ。

同じロジックは、公式またはプレスリリースが監査が結果を確認したと言うあらゆる時に適用される。既に破られていた伝送チェーンを監査する監査は、選挙の監査ではない — それは集計センターに到達したもの何であれ、の見直しだ。それがすべての投票であるか、大部分であるか、または選別されたセレクション、であるかは、保管の連鎖が証明することになっている正確にそれだ。

ブラジルは注目する価値のある反対制を提供する：その選挙機関は、その投票機の年間公開敵対テストを運営し、実投票が危機に瀕する前に、システムを破ろうとする有資格市民を招待する。それはプレスリリースではない。それは外部からの監視への構造的コミットメントだ。そのアプローチと「結果が認定されたと我々は宣言する」の間のギャップは、検証可能性と信頼の間のギャップだ。

ケニアの結果を検査可能にしたであろうもの

ケニアシステムのデザインは間違っていなかった。憲法上の要件 — すべての投票所からのフォーム34Aの同時電子伝送 — は正確に正しいアイデアだった。それに欠けていたのはその要件の公開執行可能性だ。

その代わりに、フォーム34Aが投票所で署名され、スキャンされた瞬間、公開で、追加のみログに公開される — タイムスタンプ、暗号的にハッシュされ、ダウンロード可能なシステムを想像してほしい。候補者の代理人、ジャーナリスト、ラップトップを持つ投票者は、到着時にこれらのフォームを継続的に合計できる。公開全国総計が公開フォームの合計から分岐した瞬間、分岐は同時にすべてに表示可能だ。

そのアーキテクチャでは、議長がすべてのフォームが到着する前に勝者を宣言することはできない — 宣言と下にある証拠の両方が公開であり、1つはもう1つと証明可能に矛盾しているから。ケニア裁判所が訴訟の数週間後に再構成しなければならなかった問題は、スプレッドシートを持つ誰でもリアルタイムで表示可能だったであろう。

これはファンタジーではない。郡レベルの機械読み取り可能な結果は、複数の民主主義でリアルタイムで既に公開されている。米国選挙支援委員会の独自ガイダンスさえ、役人に一般的なフォーマットでダウンロード可能な結果を作成し、独立して調整できるよう促すことをお勧めしている。アーキテクチャは存在する。初日から実装する任意の指定管轄区域がそれにコミットしたかどうかが異なる。

プレスリリースに入れない公式の要点

ケニア最高裁判所の判決は、底の底で、すべての選挙システムが初日から構築されるべき原則の司法的な表現だ：誰も独立して検証できない結果は結果ではない — それはアナウンスメントだ。

アナウンスメントと結果の違いは検証可能性だ。検証可能性の保証ではない。監査証跡の主張された存在ではない。実際の、公開的で、独立して検査可能な検証可能性：設計上改ざん防止である、非伝送がリアルタイムで即座に表示される方法で送信される、そして任意の人が許可を求めずに総計を再構成するために使用できるフォームで公開されたソース文書。

2人の判事がケニアのケースで反対し、証拠負担が満たされていないことを見出した。その反対意見は無関係ではない — それは裁判所がそれを証明するように主張する代わりに信仰で公式結果を受け入れることどれだけ近かったかを告げる。異なる裁判所で、異なる日に、異なる証拠基準で、同じ検証不可能なプロセスは通過している可能性がある。

これはこのストーリーのバージョンは、あなたを夜間保つべき。裁判所がそれをキャッチするケースではなく。

誰もしなかったバージョン。

まだチェック不可なもの：あなたの国の結果伝送アーキテクチャがケニア裁判所が適用したテストを生き残るかどうか。すべての投票所の結果は、コンパイルされた瞬間に公開で、タイムスタンプ、暗号的改ざん防止記録を生成するか？任意の市民はそれらの記録を独立して合計し、全国総計を再現できるか？両方に「はい」と答えることができない場合、アーキテクチャはあなたに信頼を求めている — 検証ではなく。

世界中でこのギャップがどれほど一般的であるかを見る · 2分版を読む · この特定のギャップを探索する

出典

すべての記事を表示ギャップを探索