修正液が選挙を左右した — 裁判所が気づくまで
白い修正液の小さなボトルが、十分な数の集計用紙を改ざんし、大統領選挙全体を無効にした — 裁判所は、どれほどの公式な保証もそれを修正することはできないと判示した。
2020年2月3日の朝、マラウイの首都ブランタイアの5人の裁判官は、アフリカ大陸のすべての選挙当局を揺さぶる行動をとった。現職大統領の選挙勝利を無効にしたのだ。
投票用紙が盗まれたからではない。投票がハッキングされたからではない。誰かがティッペックスのボトルを持っていたからだ。
その単一の詳細 — 学生が宿題を修正するのに使う修正液 — が、大統領選挙全体を法的に検証不可能にするのに十分だったのだ。マラウイ憲法裁判所は、2019年5月のペーター・ムタリカ大統領の選挙を無効にした。公式な結果用紙が修正液で改ざんされていたこと、重複する集計用紙が存在したこと、スタック状の用紙が署名されていないか不適切に扱われていたことを発見したためだ。上訴裁判所は2020年5月8日、ムタリカ・選挙委員会対チリマ・チャクウェラ事件（マラウイ最高裁判所憲法上訴第1号事件）においてその判断を支持した。新たな選挙が命じられた。
選挙委員会はムタリカをわずかな差で勝者と宣言していた。裁判所の答えは明確だった：静かに上書きされる可能性のある文書での僅差の勝者は、法が検証できる勝者ではない。
文書が選挙である
選挙当夜に、グラフが回転し、アンカーが得票差について話しているとき、ほとんどの人が考えていないことがある。あなたが見たすべての数字は、どこかの物理的な紙に印をつけたことに由来しており、それは投票所で人間によって、夜10時に、その場にあるペンで記入されている。
その紙が選挙である。テレビのグラフではない。国家集計センターのデータベースではない。選挙委員会のプレスリリースではない。
その紙が改ざんされる可能性があれば — ペンで、修正液で、単に複製で置き換えることによって — その下流のすべてのものは砂の上に построено。データベースは間違っている。グラフは間違っている。プレスリリースは間違っている。そして重要なことに、データベースを監査しても問題は浮かび上がらない。データベースは改ざんされた用紙を反映しているからだ。
これは抽象的なリスクではない。マラウイでは、裁判所はこれが大規模に起こっていることを発見した：公式な集計用紙全体での修正液の広範な使用、流通中の複製、署名されていない文書が集計に入ること。その結果、大統領選挙は独自のソース文書から再構成できなくなった。
教訓は、マラウイが特に腐敗しているということではない。教訓は、改ざん証拠がない集計用紙は、世界中どこでも攻撃対象であり、その脆弱性は誰かが裁判所で結果に異議を唱えるまで見えないということだ。
「改ざん検出可能」が実際に意味すること
あなたは改ざん検出可能なシールを考えずに扱ったことがあるだろう。医薬品のボトルのプラスチック製ストリップ。法的文書の蝋。投票所閉鎖後の投票用紙袋の番号付きジップタイ。
これらは単なる儀式ではない。それらは特定の検証機能を果たす。シールが破られるか文書が改ざんされた場合、改ざんの証拠そのものが目に見える。ボトルに誰も触っていないと信頼する必要はない。リングが無傷であることを見ることができる。
修正液で上書きできる公式な集計用紙にはこれがない。改ざんは明白な痕跡を残さない。「修正された」数字は、元の数字とまったく同じくらい権威的に見える。修正後にのみ署名された用紙は、元の数字が何であったかを証明できない。
紙文書に対する改ざん検出可能性のより強いバージョンは、複数署名である。複数の政党を代表するエージェントによって、インクで署名され、投票所を離れる前に用紙が署名された場合、その後の改ざんには、すべてのシグネチャを偽造するか、すべてのエージェントがその変更に同意することが必要だ。どちらのルートもティッペックスのボトルより難しい。
さらに進める：その用紙は、各政党のエージェントが自分のスマートフォンで即座に撮影され、アップロードされる可能性がある。今、「元の」ものは、作成された瞬間に複数の独立したコピーで存在する。物理的な用紙への後の改ざんは、それらのコピーのいずれかと比較することで捕捉できる。
さらにそれ以上：結果用紙がデジタル署名され、各エージェントが独立して保有する鍵を持つことが必要であり、署名されたデータは投票所が閉鎖した瞬間に公開リポジトリに送信される可能性がある。今、その結果は暗号学的に計数の時点に固定されている。修正液はそれに触れることができない。
これらのいずれも国外的ではない。すべてが存在する。世界の大半はそれらを使用していない。
ケニア、2017年：同じ問題、1つ上のレベル
マラウイの脆弱性は物理的な形式のレベルにあった — 投票所が記入する紙だ。しかし、同じ原理は鎖のすべてのレベルで機能する。
2017年のケニアでは、最高裁判所は投票所の用紙が明らかに改ざんされたからではなく、国家レベルでのそれらの用紙の送信と取り扱いが検証できなかったために、大統領選挙を無効にした。ケニア憲法第86条によれば、投票は「正確で、検証可能で、安全で、説明責任があり、透明でなければならない」。裁判所は、すべての投票所の結果用紙が法律で要求されたとおりに電子的に同時に送信されていないこと、用紙が一貫したセキュリティ機能を欠いていたこと、最終的な国家集計用紙にはウォーターマークまたはシリアル番号がなかったことを発見した。議長は、基礎となるすべての用紙が手に入る前に結果を宣言していた。
より深い点 — 両方の場合で同じ — はこれだ。選挙結果は数字ではなく、保管の鎖だ。投票者が投票用紙にマークを付けた瞬間から勝者が宣言される瞬間まで、その鎖のすべてのリンクが独立して検証可能でなければならない。1つのリンクを壊すと、他のすべてのリンクが完璧でも、鎖全体を信頼することはできない。
マラウイの鎖は最も基本的なリンクで壊れた：ソース文書。ケニアのそれは送信と集約で壊れた。脆弱性は異なっている。失敗モードは同じだ。
「監査がそれを確認した」が実際に意味すること
選挙当局が監査が結果を確認したと言うとき、その声明は監査されたものと同じくらい強いだけだ。
監査人が機械の合計を集計用紙と比較し、集計用紙が監査前に改ざんされた場合、監査は改ざんされた結果を確認する。何も捕捉しない。
これは、単一の文書チェーンから後方に機能する監査の還元不可能な制限だ。監査は、検出可能な痕跡を残した改ざんのみを検出できる — 監査人が見ている特定の文書で、彼らが適用する特定の方法を使って。ソース文書が攻撃のポイントである場合、派生記録を監査することはソースについて何も教えない。
ジョージア州の2020年の手数え — 約500万票、郡ごと、6日未満で — 紙監査の最強バージョンだ。機械の集計を集計用紙ではなく物理的な投票用紙自体と比較した。変動は約0.1パーセントだった。これは驚くべき結果であり、それは正確に何かを意味する。機械が数えた投票用紙は、高い信頼度を持って、有権者がマークした投票用紙だった。
しかし、その信頼は完全に物理的な投票用紙チェーンの整合性に依存している。投票用紙自体が再計数前に改ざんされたか交換された場合、手数えは詐欺を確認したであろう。捕捉しない。ジョージア州の手数えは、投票用紙チェーンが無傷だったために機能した。マラウイでは、集計用紙チェーンそうではなかった。
「監査が結果を確認した」と「結果が検証可能に正しい」の間のギャップは、監査の保管鎖のすべての未検討の仮定と同じ大きさだ。
改ざん可能な集計用紙はその名前のあるギャップだ
TrustVotingでは、改ざん可能な集計用紙と呼ばれる特定のクラスの脆弱性を追跡している — 結果のソース文書が上書き、複製、または置き換えられ、改ざんが独立した当事者によって検出不可能になったときに開くギャップだ。
マラウイは最も鮮明な裁判所で文書化された例だが、基礎となる状態 — 暗号署名、複数当事者の証明、不変のタイムスタンプ、および独立して保有されたコピーを持たない集計用紙 — は、世界中の数十の選挙制度に共通している。マラウイの事件は、それが異常だったからではなく、裁判所がそれに基づいて行動するのに十分な証拠を持っていたために注目に値する。
問題は、同じ脆弱性を持つが、それに異議を唱える立場を持つ人がいない、または行動する意思のある裁判所がない、または計数後に生き残った証拠がない選挙がいくつあるかだ。
構造的な答え：公式が上書きできない検証可能性
ここに議論がクリーンに作られている。
マラウイの問題は、選挙関係者が信頼できなかったからではなかった。問題は、システムが彼らを信頼することを要求したということだ。集計用紙には、他の誰かが — 敗北した政党のエージェント、ジャーナリスト、市民 — 計数時に記録された数字がその用紙の数字であることを独立して検証することを可能にするプロパティがなかった。
システムが信頼を要求する場合、それは信頼される要素を制御する誰かに対して脆弱だ。ティッペックスは安い。複製用紙も。同じくらい。集計に論争のある用紙のどのバージョンが入るかを決定する思いやりのある選挙委員も。
構造的な答えは、信頼が不要であるため、独立した検証が可能であるシステムを設計することだ。
それは実際にはどのように見えるか？
それは、すべての競合相手のエージェントによって署名されている結果用紙が、投票所で、誰も去る前に署名されることを意味する — そしてそれらの署名は、国家結果をコンパイルするために使用されたレコード上にある。これは新しい考え方ではない。それはよく運営された選挙の標準的な慣行であり、マラウイでのその不在は裁判所が気づいたことの一部だった。
それは、署名された用紙が撮影され、イメージが即座にアップロードされることを意味する。その後、物理的な文書への改ざんは、比較によって検出可能だ。
それは、アップロードされたデータが選挙委員会ではなく、独立した当事者によって保有される鍵で暗号署名されることを意味する — 「公式」レコードはアップロードと公開の間にそっと変更されない。
それは、公開された結果が、地区レベルで、誰でもマシンが読める形式でダウンロード可能であることを意味し、地区結果の合計は誰の許可も求めずに独立して計算可能だ。
これらのプロパティのいずれも、選挙委員会が正直に数えたことを信頼する必要はない。それはまさにポイントだ。検証可能性は、誰もが算術をチェックできることを意味する。それは誰もが信仰の算術を取る必要があることを意味しない。
今でも検証不可能なもの — そしてそれを変えるもの
マラウイの裁判所が検証できたことはここにある：修正液が公式な用紙に適用されていたこと、複製が存在していたこと、署名が欠けていたこと。彼らが検証できなかったことはここにある：本来の、改ざんされていない数字が実際に何であったか。
その情報は消えている。選挙は、その基礎となるべきソース文書から再構成できない。ソース文書が上書きされたからだ。裁判所の唯一の救済は、結果を無効にして新たな投票を開くことだった。
各投票所の結果の独立して保有された暗号ロックされたコピーを持つシステム、計数の瞬間に作成された、そして選挙委員会の管理外の当事者によって保有された、は、裁判所 — またはジャーナリスト、または敗北した候補者の法務チーム — が「公式」数字を元の署名されたレコードと比較し、改ざんが発生した場所とその大きさを正確に見ることができるようにする。
その比較は現在、世界のほとんどの選挙では不可能だ。ソース文書は、それから結果をコンパイルした同じ権限によって保有されている。監査は権限のレコードを権限のレコードと比較する。
それを誰でも検証可能にするもの：署名された、独立して保有された、公開アクセス可能な地区レベルの結果は、各投票所が閉鎖される瞬間に公開され、権限がそれを後で静かに変更することができない形式で。
それはユートピア的な願いではない。それは工学仕様である。コンポーネントの一部は既に存在する。不足しているのは、マラウイと世界のほとんどのところでは、それを要求する制度的および法的フレームワーク — および独立したテクノロジーがそれを提供することだ。
十分な証拠を持つ裁判所は結果を無効にできる。真の検証可能性を持つシステムはそれをする必要は決してないだろう。