← すべての記事

投票機を「廃止した」国

2007年、オランダの政府委員会は単純な質問を投げかけました：普通の市民が投票機が正しく計数したことを確認できるか？その答えは、一国の投票方法を変えました。

2006年秋、「Wij vertrouwen stemcomputers niet」（「私たちは投票機を信用しない」）と名乗るオランダの活動家グループが、テレビカメラの前で、政府を困らせることになる行為を行っていました。

彼らはネダップ投票機を入手しました。オランダ全土で使用されているのと同じ機種です。カメラの前で、彼らはそれを開きます。それが操作される可能性があることを実証します。その無線放出が投票所の外から検出でき、誰かがどのように投票したかを明かす可能性があることを示します。彼らは学術雑誌に論文を発表する研究者ではありません。テレビで公開されている市民であり、選挙運営者が見守る中、一点を証明しています。

オランダ政府は彼らを無視しませんでした。

数ヶ月以内に、政府は使用中の機械の承認を剥奪し、独立した諮問機関—F. コルタルス・アルテス議長の選挙プロセス諮問委員会—にオランダの選挙をどのように実施すべきかという問題全体を調査するよう委託しました。2007年9月27日、その委員会は報告書を提出しました。タイトルはStemmen met vertrouwenでした。

信頼を持って投票する。

委員会が実際に述べたこと

コルタルス・アルテス委員会は、エンジニア向けの技術的ホワイトペーパーを作成しませんでした。民主的な論証を作成しました。

それは基本的な要件を設定しました：透明性、検証可能性（controleerbaarheid）、完全性、および投票秘密。 注目すべき率直さで、選挙プロセスに秘密はないこと、質問に対する答えが可能でなければならず、その答えが検証可能で確認可能でなければならないことを述べました。原則的には検証可能ではなく、実際には専門知識なしに市民が検証可能です。

その後、線を引きました。投票所での紙の投票用紙による投票は、透明性と検証可能性の観点から推奨されます。電子的な方法はすべて、有権者が個人的に確認できる紙の投票を生成する場合にのみ受け入れられます。

使用中の投票機は、その紙の投票を生成しませんでした。密閉されたボックス内の電子メモリに保存された数字を生成し、普通の市民が検証する方法がありませんでした。委員会はこれで十分ではないと結論付けました。オランダ政府は同意しました。投票機を承認していた1997年規制は取り消されました。

オランダは紙と鉛筆に戻りました。選挙は現在手で計数されています。

これは、現代的で技術的に高度な国が行うべき異例なことです。彼らがそれが必要だと考えた理由、そしてそれに従わなかった他のすべての国にとってそれが何を意味するのかを問うことは価値があります。

テレビカメラが暴露したもの

活動家の実証は、主にハッキングについてではありませんでした。より根本的な問題についてでした：コンピュータの思考過程を観察することはできません。

投票用紙が紙の箱に入り、明るい部屋の人間によって計数されるとき、投票用紙を見ることができます。手を見ることができます。判断の呼び出しに異議を唱えることができます。すべてのステップは、候補者の代理人、ジャーナリスト、疑わしい近所の人など、現在いる誰もが観察できます。ドイツ連邦憲法裁判所はこれを2009年の電子投票機を禁止する画期的な判決で正確に述べました：投票および結果の決定の本質的なステップは、市民が専門知識なしで検査可能でなければなりません。これは技術的標準ではありません。民主的なものです。

投票機は設計上、これを失敗させます。投票を投票機に渡し、機械が数字を返します。その2つの瞬間の間に、機械の内部で何かが起こり、あなたは観察することができず、機械はそれが何をしたかを示しません。

オランダの委員会の答えは「より良いコンピュータを作る」ではありませんでした。「公開検証の要件は不透明な機械では満たすことができないため、機械を削除する」でした。

ほとんどの政府が到達することを喜んでいるより困難な結論です。しかし、ロジックは厳密です。

紙がない場合はどうなるか

オランダが逃げたものを理解するために、2006年11月にフロリダ州サラソタ郡で起こったことを見てください—オランダの活動家がテレビ出演をしていた同じ年。

サラソタは紙なしのES&S iVotronic タッチスクリーン機を使用していました。選挙の夜、郡はフロリダ州第13議会地区の競争で約18,000の未投票を報告しました—投票キャストの約13パーセントが議会の選択が記録されていないことを示す投票用紙。この競争は369票で決まりました。

再計数することは何もありませんでした。

米国政府説明責任局が機械をテストしましたが、未投票を説明する欠陥を見つけることができませんでした。また、慎重に、有権者検証紙の記録がタッチスクリーンが投票を正しく記録したという独立した確認を提供できたことに注意しました。なければ、18,000人の有権者が何を意図したかという質問は単に答えられません。結果は維持され、誰もそれが正しかったことを証明することができませんでした。

これは最も明白な形式での紙なしギャップです：接近した選挙、説明できない異常、および確認する独立した記録がないこと。 陰謀ではありません。詐欺ではありません。公開信頼が最も重要であるレースで公開信頼を蝕む、不可約の不確実性です。

オランダの委員会はこの論理的な罠を見ていて、決定しました：これで終わる可能性のあるシステムを構築しません。紙は、残りを検証可能にする保険です。

ノルウェーは異なる角度から関連する結論に到達します

オランダは電子投票を詳しく調査した後、それから後退した唯一の国ではありませんでした。

ノルウェーは2011年地方選挙と2013年議会選挙中に12の自治体でインターネット投票パイロットを実施しました—慎重に、紙投票の補足としてのみ、事前投票期間中のみ。責任当局によれば、パイロットは投票率の増加をもたらしませんでした。約束された利便性配当は実現されませんでした。

2014年、ノルウェー地方政府近代化省は、インターネット投票パイロットプロジェクトのさらなる継続を中止することを決定しました。政府は、インターネット投票に対する広範な政治的支援がなく、投票がキャストされたとおりに検証できるかどうかについての未解決の質問を考えると、追加のパイロットにさらに時間と金を費やすことは不適切であると結論付けました。

その語句—投票がキャストされたとおりに検証できるかどうかについての未解決の質問—は非常に多くの作業をしています。ノルウェーは、脆弱な機関の歴史や異議を唱える選挙の歴史を持つ国ではありません。パイロットを慎重に実行し、結果を誠実に評価し、すべての投票がキャストされたとおりに計数されることへの信頼を確保できない場合、チャネルはコストに見合う価値がないと結論付けました。

ノルウェーとオランダに共通していることに注意してください：どちらも透明な公開プロセスを通じて決定を下し、検証可能性を非交渉的な要件として使用しました。どちらも詐欺に対応していませんでした。どちらも詐欺が発生していないことを確認することの不可能性に対応していました—これは、結果として同じ問題であることが判明しました。

嘘をつかれたことを証明できない機械

「検証不可能」が最も極端な形式で何を意味するかを理解するために、プリンストン研究者が2006年に実証したことを考えてください。実際のDiebold AccuVote-TS タッチスクリーン機—当時、米国で最も広くデプロイされていた—Ariel Feldman、J. Alex Halderman、Edward Feltenは、約1分の物理的アクセスを持つ攻撃者が悪意のあるコードをインストールして、投票を盗み、すべてのログとカウンターを内部で一貫性を保つように変更し、通常の選挙活動を通じて他の機械に自動的に広がることができることを示しました。

機械は壊れているように見えません。集計を生成します。集計は内部的に一貫しています。機械自体のレコード内の何もが問題にフラグを立てません。

それを捕まえることができる唯一のことは、機械が制御しなかった有権者検証紙の記録—機械がそれ自体の詐欺に合わせるために変更できないもの。AccuVote-TSはそれを生成しませんでした。

それはオランダの委員会が「選挙プロセスに秘密はない」ということで意味したことです。計数が正しいことを証明するレコードが監査されている機械によって独占的に生成および保存される場合、それは監査ではありません。それは機械が自分の宿題をチェックしています。

「私たちはそれを手で計数しました」は保証です、証明ではありません—紙がない限り

電子システムの擁護者は、しばしば監査を指しています：手計算、選挙後レビュー、リスク制限監査。これらは実質的な改善です。コロラドは2017年に最初の州全体リスク制限監査を実施しました。ジョージア州は2020年に約500万の大統領投票用紙を手で計数し、機械計数と手計数の間の差異は約10分の1パーセントでした。

しかし、これらの監査方法はすべて同じことに依存しています：機械が独占的に制御しなかった耐久性のある紙の記録。 印刷されたことがない場合は手で計数することはできません。メモリカードをそれ自体に対して監査することはできません。

ジョージアの手計数は機能しました。ジョージア州は有権者がマークした紙の投票用紙を持っていたためです。手計数は機械集計を確認しました。比較する独立した何かがあったからです。

2006年のサラソタは比較できませんでした。フロリダ州第13地区は369票の差、18,000の説明のない未投票、および再計数するもの何もありませんでした。監査オプションは利用できませんでした。システムから設計されていました。

オランダはこれを見ており、選択をしました：常に紙が最初です、あなたが絶望的に必要とするかもしれない監査オプションが存在しないためです。

さらに、直接命名する価値がある合併症があります。手計算でさえ、不可約の人間エラーを担います。2020年12月のアンドリム郡ミシガン州の手監査—小さな郡、約15,700投票用紙—機械集計との差異がまだ約1ダースの投票で異なる最終計数を生成しました。数千ではありません。12です。曖昧な結果を確認した低リスク郡監査では、その差は害がありません。

一握りの投票で決定されたレースでは、それ自体が一握りの投票でオフの方法は質問を解決することはできません。「手計数はそれを確認した」は保証です。それは証明ではありません。保証を証明に変換する唯一のことは、公開が行う誰も—監査を実施する当局者だけでなく—誰もが独立して改ざん耐性鎖の基礎となるレコードをチェックできるシステムです。

それはオランダが共存できないと決定したギャップです。紙プラス手計数はブラックボックスより優れています。しかし、紙プラス手計数プラス誰もが検証できる暗号的に検証可能な記録チェーンがはるかに優れています。

より深い論証：信頼を検証可能性に置き換える

不透明な投票技術から後退した国はすべて、通常危機の後で同じ観察をしました：問題は機械が間違いなく間違っているわけではありません。問題はどちらかを判断することができないということです。

ドイツ憲法裁判所は2009年にこれを述べ、2005年連邦選挙でのネダップ機の使用を無効にしました。正しさが隠されたソフトウェアに基づいている選挙は、改ざんが証明されるかどうかに関係なく、公開検証テストに失敗します。

オーストリア憲法裁判所は、詐欺が証明されていない—ではなく—2016年大統領決選投票を無効にしましたが、郵便投票の監督チェーンが詐欺を除外できない方法で壊れていたためです。裁判所の論理：誰もが検証できない結果は、正しい人が勝った場合でも、信頼できる結果ではありません。

ケニアの最高裁判所は、投票所から全国集計への電子チェーンが改ざん耐性ソース記録に対してチェックできなかったため、2017年の大統領選挙を無効にしました。計数を検証することはできませんでした。結果は無効にされました。

一貫性は常に同じです。どの党が勝ったかについてではありません。詐欺を証明することについてではありません。それは、公開—当局者ではなく、ベンダーではなく、国務長官ではなく—が独立して計数をチェックできるかどうかについてです。彼らが不可能な場合、結果はそれを発表する権限への信頼に基づいています。テストできない信頼は信頼ではありません。それは従属です。

オランダの委員会の永続的な貢献は、検証可能性をボーナス機能ではなく前提条件として主張することでした。 結果：紙と鉛筆で投票し続けている国、その選挙が投票から最終集計まで部屋に立っている任意の市民によって観察でき、その政府があなたにそれを言葉に取ることを求める必要がない国。

何がまだ検証できないか—それを修正するもの

ここに、オランダでさえまだ解決されていないことがあります。

手計算された紙の選挙は強い意味で検証可能です：投票用紙は物理的なオブジェクト、複数の当事者によって観察され、計数はリアルタイムで監視されます。しかし、プロセスは依然として人間が正しく計数し、すべての投票用紙の完全な監督ログに依存し、計数に入る投票用紙が有権者がマークしたものと同じであるという仮定に依存しています。人間の誤算、不完全な監督ログ、および遅刻段階の置換はすべて依然として可能です。

オランダのモデルは紙なし機械より劇的に優れています。ソフトウェアベースのエンドツーエンド検証可能なシステムが目指す意味で暗号的に証明できるものではありません—各有権者が自分の投票がどのように投票したかを明らかにすることなく最終計数に含まれたことを独立して確認でき、任意のオブザーバーが個別の選択を見ずに合計を検証できるシステム。

そのギャップは接近したレースで最も重要です。数十票で決定されたレースでは、それ自体が数票でオフの方法は誰が勝ったかを決定的に解決することはできません。それは紙に対する議論ではありません。紙の上に独立した数学的検証可能性を追加する議論です—市民が計数を信頼する必要がないシステムを構築することです、なぜなら彼らはそれをチェックできるからです。

確認可能な事実はこれです：今、ほとんどの管轄区では、あなたが利用できる独立したチェックはありません。集計が公開されます。当局者はそれが正しいと言います。再計数は利用可能でも利用できない場合もあります。基礎となる監査証跡は、ダウンロードして検証できる形式で公開されない場合があります。

それは検証可能性ギャップです—そして閉鎖可能です。 何が必要かは、任意の一般市民が独立して調整できる改ざん耐性監督チェーンに対して、すぐに機械読み取り可能な形式で地区レベルの結果を公開することです。市民に計数を信頼するよう頼まないでください。彼らが確認できる形式で計数を彼らに示してください。

オランダは、次の質問に答えることができないとき、機械から後退しました：この計数が正しいことを証明できますか？

その質問はまだ「私たちを信頼してください」より良い答えを待っています。

グローバルに紙なしギャップがどの程度一般的であるか知りたいですか？ 管轄区全体の全体像を見る。2分間版の検証可能性が実際に何を意味するか知りたいですか？ ここから始めてください。または、実際の監査証跡がどのように見えるか—そしてそうでない場合—ギャップページを掘り下げる。

出典

すべての記事を表示ギャップを探索