← すべての記事2026年7月18日

ノルウェーがインターネット投票を数年間試した後、静かに廃止した

ノルウェーは全国規模のインターネット投票システムを構築し、2回の選挙で運用し、投票率は横ばいのままで、最後には投票が改ざんされていないことを誰も証明できないため、静かにプラグを抜いた。

2013年の秋のこと。ノルウェーの12の自治体では、投票者たちがほぼ奇跡に近いことをしている。台所のテーブルから、電車の座席から、病院の病棟から投票用紙を投じているのだ。列に並ぶ必要もなく。移動する必要もなく。ブラウザウィンドウと数回のクリックだけで、政府が約束するように、あなたの投票は投じたとおりにカウントされる。

2年後、その約束は撤回されることになる。派手なセレモニーもなく。大臣声明、「未解決の信頼懸念」に関する一行のコメント、そしてプログラムは終わるのだ。

ノルウェーのインターネット投票実験は、現代の選挙史における最も教訓的な失敗の一つだ。目に見える形で何か問題が起こったからではなく、何もかもが正しく機能したことが証明できなかったからである。

その約束：民主主義の価値としての利便性

インターネット投票の売り込みは常に同じだし、いつも誠実だ。投票率の低さは本当の問題だ。高齢者、障害者、海外にいる兵士、ダブルシフトで働く人々にとって、投票所はアクセスできない。投票がオンラインで電車のチケットを買うのと同じくらい簡単なら、確かにもっと多くの人が投票するだろう。

ノルウェーはこれを真摯に受け止めた。試験運用は事前投票期間中、紙投票の補足として実施された。2011年の地方選挙では10の自治体、2013年の国会議員選挙では12の自治体だ。オンラインで投票したい投票者はできた。紙投票を好む投票者は紙で投票できた。この試験運用は慎重で限定的であり、誠実な意図を持つ政府によって実施された。

投票率は変わらなかった。

ノルウェーの地方政府・現代化省によると、試験運用は投票率の上昇につながらなかった。オンラインで投票した人たちは、主に投票に行ったはずの人たちで、別のチャネルを通じているだけだ。最も到達が難しいグループである政治から疎外されている人々には到達しなかった。

それだけで廃止するのに十分だったかもしれない。しかし、ノルウェー政府が2014年にさらなるインターネット投票試験運用プロジェクトを中止した時、より重要なことを述べた。投票が改ざんされていないという信頼を確保することはできなかった、と。

この文をもう一度読んでほしい。「改ざんの証拠を見つけた」ではない。「システムはハッキングされた」ではない。「投票者の満足度を高い水準で誰にも証明できなかった」ということだ。

これは異なる種類の失敗であり、より難しい失敗である。

「投票が改ざんされていない」という信頼が実際に意味すること

紙の投票用紙を公開投票所の密閉されたボックスに入れると、保管の連鎖が始まる。ボックスは見張られている。目撃者の前で密閉される。票数を数えるところに運ばれ、各政党から選ばれた立会人が投票用紙がソートされるのをすべて観察できる。このプロセスは遅く、労働集約的で不完全だが、観察可能なのだ。立場のある者なら誰でも見ることができる。

ブラウザウィンドウで「送信」をクリックすると、大きく異なることが起こる。あなたの投票は、あなたが制御できないネットワークを横切り、検査できないサーバーに入り、ソースコードは専有である可能性のあるソフトウェアによって処理され、反対側ではデータベースの番号として出現する。どの段階でも、送信したものが到着したことを確認することはできない。独立した観察者が移動を見ることはできない。

これはパラノイアではない。これは物理学と数学だ。 インターネット通信は、傍受、リダイレクト、または静かに改変される可能性のあるインフラストラクチャーを通過する。エンドツーエンド暗号化は役に立つが、デバイス上のソフトウェアが正直な場合に限る。それも確認することはできない。

実際にデプロイされたシステムを綿密に調査した研究者たちは、理論が予測した問題をまさに見つけた。J. Alex Halderman率いるチームは、2013年の選挙中にエストニアのi-voting システムを観察し、国家規模の攻撃者や不誠実な内部関係者が検出なしに投票の完全性を侵害する可能性があると結論付けた。エストニア当局は異議を唱えたが、研究者たちが議論を展開できたのは、システムのコードの一部が公にアクセス可能だったという事実に基づいていた。コードが閉じられている場合、その監視さえ不可能だ。

そしてワシントンD.C.では2010年、その質問はさらに率直に答えられた。

D.C.がインターネット投票システムを公開でテストした、そして48時間以内に敗北した

海外投票者向けのインターネット投票パイロットをデプロイする前に、コロンビア特別区選挙委員会は賞賛できることを行った。公開試験を実施し、システムをプローブするよう誰もが招待したのだ。

Halderman率いるミシガン大学のチーム、Scott Wolchok、Eric Wustrow、Dawn Isabel、Haldermanが招待に応じた。約48時間以内に、パイロットサーバーをほぼ完全に制御することに成功した。すべてのキャストされた投票用紙を変更できた。秘密であるはずの投票用紙を閲覧できた。デモンストレーションとして、彼らはサーバーにシミュレートされた各投票の後にミシガン大学の戦闘歌を再生するようプログラムした。

職員たちは何日間も気づかなかった。

D.C.はそのシステムを廃止した。パイロットの救いの綱は、それがテストだったということだ。本当の投票は危険にさらされていなかった。教訓は、D.C.システムと実際の攻撃の間に立つ唯一のものは、市が最初に公開でテストすることの決定だということだ。個人的な認証は、大学チームが2日間で見つけたものを捕捉していなかった。

セキュリティがテストされないことに依存するシステムは、安全なシステムではない。

ニューサウスウェールズ州の問題：ライブ選挙中に発見された欠陥

D.C.試験は少なくともサンドボックスで安全に失敗した。ニューサウスウェールズ州はそれほど幸運ではなかった。

2015年3月の州議会選挙中に、iVoteオンラインシステムは約280,000票の投票に使用された。ライブ選挙における本当の拘束力のある投票用紙だ。Haldermanとvanessa Teagueが運用中のシステムを分析し、iVoteが既知のTLS弱点、FREAKやLogjamなどに対して脆弱な接続経由で外部分析サーバーからコードをロードしていることを発見した。これにより、ネットワーク攻撃者が投票を操作し、投票用紙のプライバシーを侵害する可能性があった。

研究者たちはまた、別の電話確認サービス、つまり投票者が投票がカウントされたことを確認するために使用することになっていたメカニズム自体が改ざんに対して脆弱であることを発見した。信頼を提供することを意図されたまさにそのツールは、実際の投票が改ざんされている間に投票者に安心できる結果を示すようにゲーム化される可能性があった。

選挙前のセキュリティレビューはシステムをクリアしていた。投票用紙が投じられている間に実施された独立した外部分析は、内部レビューが見落としたものを見つけた。

投票が進行中に問題は修正された。しかし、パッチがデプロイされる前にすでに投じられた280,000票のうちいくつが、カウントされた形式で送信されたことを確認する方法はない。パッチの前に確認サービスを使用した投票者たちは、受け取った確認が実際の投票用紙を反映していたかどうかを知ることはできない。

これはノルウェーの問題のハード版だ。ノルウェーは少なくともここに到着する前に立ち止まることを選択した。

スイスの暗号化修正が実際に修正しなかった理由

おそらくあなたは思っている。暗号化がこれを解決できるのでは？投票用紙がエンドツーエンドで暗号化されたスキームで、任意の独立した観察者が誰が何に投票したかを学ぶことなく数学的に数えを検証することができるスキームで、これがギャップを塞ぐのでは？

スイスはまさにそのアプローチを試みた。2019年、スイス郵便は公開精査のために高度な暗号化インターネット投票システムのソースコードを発行した。他のシステムが拒否した激進的な透明性だ。独立研究者Sarah Jamie Lewis、Olivier Pereira、Vanessa Teagueがコードを読んだ。

彼らはトラップドアを見つけた。

システムのミックスネット、つまり投票を個々の投票者にリンクできないようにシャッフルするコンポーネントは、秘密構造を持つコミットメントスキームに依存していた。特定のトラップドア値を保持する当局は、有効に見える数学的証明を生成し、独立した検証に合格しながら、実は投票を改ざんしていた可能性がある。このシステムは「普遍的検証可能性」を主張していた。トラップドアは、適切なキーを持つ内部関係者が、検証をクリーンに見えるようにしながらその主張を打ち負かすことができたことを意味していた。

スイス郵便とScytlは調査結果を認めた。スイス当局はシステムを中止した。欠陥が捕捉された唯一の理由は、コードが発行されたこと、および熟練した独立した暗号化学者がそれを読むことを選択したからだ。

ほとんどのインターネット投票システムはコードを発行していない。ほとんどは独立した暗号化学者がそれらをプローブするよう招待していない。ほとんどは「認証に合格した」を「確認できるか？」の答えとして提供している。

認証はプロセスだ。それは検証可能性と同じではない。

これらすべてが基準を下回る基準

2009年、ドイツ連邦憲法裁判所はすべてのインターネット投票推進派が答えるべき原則を定めた。裁判所は電子投票機の使用を無効にした。それらは投票を電子メモリにのみ保存し、独立して検証可能な記録がなかったからだが、それが発表した原則はより広かった。投票の本質的なステップと結果の決定は、市民が専門的知識なしに確実に検査可能でなければならない。

暗号化学者による検査ではない。政府監査人による検査ではない。市民による検査だ。専門的知識がない。

これは現在の形式のインターネット投票が総合的に失敗するテストだ。祖母にネットワークトラフィックログを渡して、投票が正しく記録されたことを確認するように彼女に頼むことはできない。労働者に暗号化学的証明成績証明書を与えて、彼が博士号なしにそれを検証することを持つことはできない。エンドツーエンド検証可能性を主張するシステムさえ、読むことができないソフトウェアクライアントの信頼が必要か、ほとんどの人が遭遇したことのない数学の読書が必要か、改ざんされる可能性のある検証チャネルに依存している（ニューサウスウェールズ州が示したように）。

フィンランドは人制電子投票の場合でも、これのインターフェースバージョンを把握した。2008年、3つの自治体での電子投票パイロットは使いやすさの欠陥があった。投票者が最終確認ステップを待たなかった場合、彼らの投票は静かにドロップされた。232票が投票者の意思に反して記録されなかった。最高行政裁判所はそれらの自治体での選挙を無効にし、新しい選挙を命じた。投票者は投票用紙がキャプチャされていないかもしれないことを知る方法がなかった。システムは警告を出さなかった。

投票者が投票がカウントされたことを確認する独立した方法がない場合、欠陥（機械的、手続き的、または敵対的）は、誰かが総計数値を見るまで完全に見えないままである可能性があり、何かがおかしいことに気づく。そして「何かがおかしいことに気づく」は、エラーが信じられないほど大きい場合のみに機能する。

ノルウェーが実際に選んだこと、そしてそれが私たちに何を伝えるか

ノルウェー政府声明を慎重に読むと、ほとんどの公開声明が曖昧にしていることが見られる。大臣は、システムが侵害されたとは言わなかった。投票が改ざんされたと主張しなかった。投票が改ざんされていない信頼が確保できなかったと言ったのだ。

これは、攻撃の証拠がないことがセキュリティと同じではないという正直な認識だ。これは責任あるデフォルトだ。投票に依存する人々にプロセスが信頼できると証明できない場合、とにかくそれを信頼するよう彼らに頼まない。

投票率の調査結果も重要だが、利便性が無関係だからではなく、信頼欠損を受け入れるための功利主義的正当化を削除するからだ。インターネット投票が確実にかつ実質的に参加を増加させた場合、民主的コミュニティは難しいトレードオフを計衡しなければならないかもしれない。ノルウェーのデータはそのトレードオフを不要にした。利便性の利益はそこにはなかった。

これは、原則的に、インターネット投票が信頼できるように作成される可能性があるという判決ではない。これは、デプロイされたシステムが信頼できる選挙が必要とする基準をまだ達成していないという判決だ。普通の市民が独立して確認できるエンドツーエンド検証可能性で、サーバー、ベンダー、公式、または数学者の言葉を信頼せずに。

2007年に投票コンピュータを廃止することを推奨したオランダ委員会は簡潔に述べた。選挙プロセスに秘密はなく、回答は確認可能で検証可能でなければならない。その要件は、チャネルがタッチスクリーンではなくブラウザだからといって重要性が低くなるわけではない。

まだ検証可能ではないこと、そしてそれを確認可能にするもの

ここにあります。ノルウェーがプログラムを終了したことが解決しなかったこと。インターネット投票が運用された2つの選挙中に、投票がトランジット中またはサーバーで改ざんされたかどうか。

答えは。私たちは知らない。そして、今それを決定することはできない。ログが存在する場合は公開されていない。ソースコードが独立して見直された場合は、公開されている調査結果を生成しなかった。投票者が当時利用できた検証メカニズム（存在する場合）は、すでに投じられた投票用紙に対して実行することはできない。

これはノルウェーの試験の記録だ。省の独自の言葉に従うと有価な知識と経験だが、誰もが投票に何が起こったかを独立して確認できる公開監査証跡はない。安心は、実行中にすべてが大丈夫だったという証拠ではなく、停止する決定だ。

これを確認可能にするもの、ノルウェーまたはオンライン投票を検討している任意の管轄区域のために、そのシステムはその検証可能性が任意の公務員またはベンダーの正直さに依存しないように設計されている。

公開されたソースコード、任意の暗号化学者がデプロイ前だけでなく、いつでも見直せるもの
エンドツーエンド検証可能な暗号化。投票者は、投票用紙の投票方法について何も明かさない受領書を使用して、特定の投票用紙が最終集計に含まれたことを確認できる。また、任意の人が集計が有効で含まれたすべての投票用紙から完全に構成されていることを確認できる。
独立した公開敵対的テスト、D.C.が行ったモデル（およびブラジルの選挙当局が機械で定期的に行うもの）に基づいて、あらゆるバインディング投票の前に
即時、選挙区レベル、機械読み取り可能な結果発表。公務員の要約を待たずに独立したオブザーバーが数えを再構成して確認できるように、結果が最終的になったら

これらのいずれも科学フィクションではない。いくつかはアカデミック的および実験的システムの断片で存在する。デプロイされた国家インターネット投票システムで独立して検証されるすべてが存在するものはない。

そうなるまで、「投票が改ざんされていない」という信頼は、インターネット投票システムが正直に提供することはできない。そして、ノルウェーは投票者にそれを拡張するよう頼むのをやめるのが正しかった。

共有可能なバージョン: ノルウェーは何か悪いことが起こったからではなく、何もかもが正しく機能したことが証明できなかったために、インターネット投票を廃止した。チェック可能性のない利便性は民主主義ではなく、信仰に基づく投票だ。

世界中でこの検証可能性ギャップがいかに一般的であるかを見る →

チェック可能性が重要な理由の2分バージョンを読む →

ソース

すべての記事を表示ギャップを探索