← すべての記事

ペーパーレス投票機：民主主義とのレシートなし取引

2006年のサラソタ郡では、18,000票が再集計するものを何も残さない機械に消えました。2020年の連邦裁判所は、新しい姿をした同じ問題を発見しました。

2006年11月、フロリダ州のある投票所で、投票者は画面に触れ、確認画面を見て、「投票を投じる」を押します。機械がビープ音を出します。メモリのどこかでカウンターが上がります。そして——紙がありません。スタブもありません。機械が記録した投票が投票者が実際に意図した投票であることを独立して検証できる証拠もありません。

その瞬間はサラソタ郡だけで18,412回繰り返されました。

これが影響した選挙——フロリダ州第13議会地区——は369票の差で決まりました。サラソタ郡のすべての機械がペーパーレスのES&S iVotronic タッチスクリーンだったため、再集計するものは地上に何もありませんでした。スタブもなく、伝票もなく、ロックされたパネルの後ろの感熱紙のロールもありません。ただ箱の中の数字と、その箱の言葉だけです。

これはこの投稿が扱っている問題を最もはっきりと示しています。しかし、それは最も危険なバージョンではありません。最も危険なバージョンは14年後に来て、それは紙を含んでいました。

あなたが思っていることを意味しないレシート

投票技術についての議論には、一般的な仮定があります：機械が何かを印刷すれば、検証可能性の問題は解決されたということです。紙が存在します。それを再集計してください。

その仮定は間違っており、アトランタの連邦裁判所がそれを異常な率直さで述べました。

2020年10月11日、米地裁のエイミー・トテンバーグ判事は、ジョージア州のDominion投票用紙マーキングデバイスシステムを検査するCurling v. Raffenspergerの意見書を発行しました——ジョージア州の古いペーパーレスタッチスクリーンを置き換えた機械。新しいシステムは紙を生成します。投票者はBMDに近づき、タッチスクリーンで選択を行い、機械が投票用紙を印刷します。その投票用紙は集計者に送られて数えられます。

しかし、ここが裁判所が見つけたことです：機械が印刷する投票用紙にはQRコードが含まれており、そのQRコードが集計者が投票を決定するために実際に読むものです。 印刷された投票用紙の人間が読める文字——候補者名——は数えられるものではありません。バーコードです。

裁判所自体の言葉：システムは「QRコードが投票集計に使用され、そのコード自体が投票者によって読まれ、検証されることができないため、検証可能で監査可能な投票レコードを提供しない」。

QRコードは目で読むことができません。あなたはほぼ確実に試しませんでした。投票所で印刷された投票概要を確認し、確認を押したとき、あなたは人間が読める文字を検証しました——そして、バーコードに何が符号化されているかについては機械の言葉を信じました。

これは理論的な懸念ではありません。裁判所は、QRコードを変更できるサイバー攻撃——投票を入れ替えたり削除したり——しながら人間が読める概要は変わらないままにするという実際の実行可能性について、Dr. J. Alex Haldermanの専門家証言を引用しました。正しい候補者名が表示されます。バーコードは別のことを言うでしょう。集計者はバーコードを数えるでしょう。

裁判所はまた、National Academiesの2018年の結論を引用しました：投票集計アプリケーションが正確な結果を生成し、テストだけではシステムが危険にさらされていないことを確保できることを確認する現在の技術的メカニズムは存在しません。

裁判所は最終的に最後の瞬間の救済を命じることを断りました——2020年選挙は数週間先にあり、キャンペーン中に投票方法を切り替えることには独自のリスクがあります。これは不可能な時間圧力の下では防守できる判断です。しかし、その判決は関係なく成り立ちます：ジョージア州は紙を持っていて、その紙は投票者に検証可能ではありませんでした。

これはサラソタの問題のアップグレード版です。サラソタはまったく紙を持っていませんでした。ジョージア州は一つのことを言いながら、カウントされたレコードは別のことを言っている紙を持っていました。

なぜ「紙がない」が天井ではなく床なのか

これらの2つのケースがどのように単一の議論を形成するのかを理解するために、監査が実際に何を必要とするのかから始めてください。

選挙当局または裁判所が機械のカウントを検証したいとき、彼らは2つの独立したアーティファクトが必要です：機械の出力と、投票者自身が正しいことを確認した何か。これら2つが一致する場合、相互検証があります。それらが異なる場合、調査する価値のある問題があります。1つのアーティファクト——機械の出力——のみが存在する場合、相互検証する何もありません。あなたは機械に機械の答えを聞くことによって監査しています。

サラソタでは、ペーパーレスのiVotronicは単一のアーティファクトを生成しました。13％のアンダーボート率——紙の投票用紙を使用する隣接する郡よりもはるかに高い——についての質問が生じたとき、米国政府説明責任局は機械でテストを実施しました。これらのテストはアンダーボートを説明した機能不全を見つけませんでしたが、投票者検証済みの紙の記録がタッチスクリーンが投票を正しく記録したことの独立した確認を提供できたかもしれないことを明確に述べました。 GAOは機械が機能不全にあると言っていません。彼らは誰もそれができなかったと言っていました、チェックするものが何もないので。

それは健全な証明書ではありません。それは検証不可能性の告白です。

ジョージア州では、アーティファクト問題はより微妙です。印刷された投票用紙は存在しますが、投票者が読める部分と機械が読める部分は同じレコードではありません。投票者は人間のテキストを確認できます。集計者はバーコードを読みます。これらは（推定上）同じデータの2つの異なる符号化であり、機械によって生成されます。その機械のソフトウェアは投票者が検査することはできず、その出力は投票者が独立して相互チェックすることはできません。ジョージアの紙の投票用紙の監査は、技術的にはバーコードの監査です——バーコードが一貫して集計されたことを確認し、それらが最初に正しく生成されたのではなく。

紙の記録は、あなたが確認しているアーティファクトが投票者が確認したのと同じアーティファクトである場合にのみ、検証ツールです。

独立した検証が実際にどのように見えるか

対比は指導的です。ジョージア州の2020年の全州手集計——約500万の大統領投票用紙、159郡全体で手で集計、6日未満で——は、機械の集計が約千分の1パーセント以内で確認されたため、意味があり、価値がありました。その手集計は、紙の投票用紙について誰もが作ることができる最強の事件です：実際の、耐久性のあるレコードが存在する場合、接戦は大規模で独立してチェックされることができます。

しかし、それが機能したものに注目してください。ジョージア州はまたBMDシステムと一緒に多くの投票者にとって手でマークされた紙の投票用紙を使用していました。ジョージア州の2020年の選挙における手でマークされた投票用紙は、最も真の意味で投票者が検証されました：投票者はペンで紙に置き、名前を丸で囲むか楕円形を埋めて、マークされた紙は密閉されたボックスに直接行きました。中間符号化はありません。QRコードはありません。人間のマークはレコードです。

手集計が機能したのは、本物の2番目のアーティファクト——投票者の意思、紙に直接表現されたもの——があり、それを機械の集計と比較することができたからです。2つが揃ったとき、信頼が正当化されました。

コロラド州は別のモデルを提供しています。コロラド州が2017年11月にリスク限定監査を完了する最初の州になったとき、それは同じ理由で機能しました：手でマークされた紙の投票用紙は監査人に機械に対してチェックするものを与えました。RLAはただ投票用紙の固定比率をスポットチェックするだけではありません。マージンに基づいてサンプルサイズを調整します——接戦ではより多くの手でのチェックと一方的なものではより少ないを要求し、述べられた統計的信頼レベルにキャリブレーションされます。数百票で決まった選挙では、十分な投票用紙を見て、定義された確率で、機械の結果が正しいかどうかを言うのに十分です。

これは強力なツールです。また、紙の記録が信頼できる——密閉されたバリボックス内のレコードが投票者が実際に意図したものであり、投票者が検査することができなかった機械によって生成された符号化ではない——ことに完全に依存しています。

ドイツ標準、および米国がそれを満たさない理由

2009年3月、カールスルーエの8人の判事は、投票コンピュータがどこにでも配置される前に質問がおそらく解決されるべきだった質問を解決しました：電子投票システムが民主主義選挙の要件を満たすのはいつですか？

ドイツ連邦憲法裁判所の答えは直接的でした。電子投票は**「投票の本質的なステップと結果の決定が市民によって確実に、かつ専門知識がなくても検査できる」**場合にのみ憲法です。ドイツの2005年連邦選挙で使用されたNedap機械はこのテストに失敗しました。彼らは投票者が確認できる独立して検証可能なレコードなしで電子メモリに投票を保存しました。裁判所は連邦投票機械令を違憲と宣言しました。

裁判所が言わなかったことに注目してください。機械が機能不全にあったと言いませんでした。投票が変更されたと言いませんでした。隠されたソフトウェアの正しさが基づくシステムが、改ざんが証明されたかどうかに関わらず公開検証可能性テストに失敗すると言いました。

オランダ政府の選挙プロセスアドバイザリーコミッションは2007年に同じ場所に到達しました、レポート「Stemmen met vertrouwen」（「信頼と共に投票」）で。委員会は率直でした：「選挙プロセスに秘密はありません。」 透明性とチェック可能性は交渉不可能でした。電子方法は、投票者が確認できる紙の投票を生成する場合にのみ許容可能でした。オランダは紙と手による投票に戻りました。

政府がすでに購入していたNedap/Powervote機械を見直していたアイルランドの電子投票委員会は、より微妙だが同等に重要な何かに達しました：システムが機能しないという結論を下していませんでした。システムが委員会の満足度に証明されていないという結論を下していました。精度と秘密が独立して検証できない場合、正しいデフォルトは配置ではありません。

これは3つの独立した国が同じ立場に到達しています：証明の負担は一方向に走ります。投票システムは、通常の市民が正しく機能することを証明する必要があります——市民が製造業者の言葉または政府の認証を信じるよう求めるのではなく。

サラソタに標準を適用してください。CurlingのQRコード付きBMDに適用してください。標準は満たされません。

「当局を信頼してください」との削減不可能な問題

このすべてへの応答には、妥当に聞こえるバージョンがあります：選挙当局はシステムを見直しました。ベンダーはそれらを認定しました。監査人はそれらをテストしました。何も見つかりませんでした。

これはそれ自身の重さの下で崩壊する議論であり、2020年11月のCISA「アメリカの歴史の中で最も安全な選挙」声明は実際には理由が最も明確な例です。

その声明——真摯で職業的な当局によって発行されました——「投票システムが投票を削除または失ったか、投票を変更したか、またはいかなる方法でも危険にさらされたという証拠がない」と宣言しました。明示的に紙記録と再集計と監査する能力をその信頼の基礎として引用しました。

もう一度読んでください。声明の独自の信頼性の議論は：独立して検証可能な紙記録により再集計と監査できます。選挙を安全として認定した当局はその認定を独立して検証可能な紙の存在に基づいていました。彼らは「ソフトウェアを信頼してください」と言っていません。彼らは「紙の監査を信頼してください」と言っていました。

これは、任意のシステム——サラソタのiVotronics、ジョージア州のQRコード付きBMD、どこでもペーパーレスなDRE——の質問が正確に当局自身がしなければならない質問は：独立して検証可能なレコードはどこにあるかということです。

1つがない場合、「監査はそれを確認した」は循環的な主張です。紙記録が投票者が読むことができないときに、「紙を再集計しました」は、バーコードが一貫して集計されたことを確認するだけで、それらが正しく生成されたことを確認しません。手集計が機械カウントと1ダース投票で異なるとき——アントリム郡、ミシガン州の監査で起こったように——「手集計がそれを確認した」は自体のエラーマージンを持つ保証です。

GAOは2005年に発見しました：投票システムセキュリティの改善のための連邦の取り組みは進行中でしたが、主な活動は未完成のままでした。これはパルチザンの批評家の結論ではありませんでした。キャリア連邦監査人の結論でした。そして彼らが特定したギャップ——「認定」と「公衆による検証可能」の距離——は以来20年で完全には閉じられていません。

修正は象徴的ではなく具体的です

これはすべて恒久的な状態として不信の議論ではありません。不信をより良い何かで置き換えるであろう議論です。

修正には2つのコンポーネントがあり、両方が必要です。

最初は耐久性のある投票者検証済みレコードです——投票者が画面上で確認する機械生成の概要ではなく、投票者が読むことができないバーコードでもなく。手でマークされた紙の投票用紙、または投票者が確認する前に人間が読める紙記録を生成する投票用紙マーキングデバイス、そして投票者がそれを確認し、彼らの手を離れる前に確認します。投票者がチェックするレコードは監査されるレコードでなければなりません。オランダ、ドイツ、アイルランドはポリシー委員会と憲法裁判所を通してこの結論に到達しました。コロラド州とジョージア州の2020年手集計はそれが実際に機能することを示しています。

2番目は独立した敵対的検査です——単一の当局による前選挙認定ではなく、進行中の公開精査。ブラジルの選挙当局は一般選挙の前にすべての公開資格を有する公衆が投票機械を壊そうとするよう招待します。ワシントンDCの2010年のインターネット投票パイロットは放棄されました：その種のオープンテストが機能したので。ミシガン大学チームは約48時間で投票用紙を変更し、投票を読み、攻撃を当局に示してシステムに侵害しました。攻撃は認定機関がそれをクリアしたからではなく、システムがテストに対して開かれていたため捕らえられました。

インドの最高裁判所は、電子投票機に関する2024年4月の判決で、国全体のEVMシステムを廃止することを断りました——しかし、紙検証、シンボルロード単位の密閉ストレージ、候補者要求マイクロコントローラ検証の周りのルールを厳しくしました。電子システムを支持した裁判所でも、独立してチェック可能な部品を厳しくしました。

それ自体のための紙ではなく、流れ線はです。それは投票者が確認し、改ざん耐性形式で保存され、アクセスルールを持つ誰でも監査可能であり、結果を発表している当局ではない独立した当事者によってチェックされたレコード。

それが検証可能性です。当局が「それは大丈夫だった」と言うことではありません。

検証不可能なままです——そして何がそれを変えるのか

ここに最も平易に述べられた正直な結論があります。

ペーパーレスのDRE機械を使用したどの管轄区でも——iVotronicで投じられたすべての投票、すべてのDiebold AccuVote-TS、投票者検証済みの紙記録なしで電子メモリに投票を保存した任意の機械——カウントは独立して確認することができません。今すぐ。決して。その票は機械のメモリのみに存在し、それらの唯一のレコードは機械が言うことです。サラソタ郡の18,412アンダーボートは説明されないままです。投票者の選択であった可能性があります。ソフトウェアの不具合であった可能性があります。チェックするものが何もないので、知る方法はありません。

投票者が読むことができないQRコードを生成する投票用紙マーキングデバイスを使用したどの管轄区でも、集計されたカウントは投票者の意思の監査ではなく、機械の符号化の監査です。人間が読める文字とスキャンされたバーコードは完全に一致する場合もあれば、そうでない場合もあります。人間が読める文字の平行手集計がなければ——バーコードではなく——独立したチェックはありません。

何がこれを変えるのか？

投票所のレベルの結果、各投票所が閉じるとすぐに公開され、誰もがダウンロードして官当局によって報告された合計に対してチェックできる機械が読める形式。投票者検証済みの紙記録、保持および監査可能。実際の選挙を実行する前にシステムの公開敵対的テスト。マージンに対してサイズ設定された、政治的な快適さのレベルではなく、リスク限定監査。

これらのいずれも任意の当局、ベンダー、または政治党を信頼する必要はありません。それが重点です。「私たちを信頼してください」への修正は、あなたが持つ必要がない設計されたシステムです。

その時まで、ペーパーレスタッチスクリーンのビープは民主主義とのレシートなし取引です。ボタンを押しました。何か起こりました。あなたはちょうどそれらの言葉を取る必要があるでしょう。

世界中で「再集計する紙がない」ギャップがどの程度一般的であるかを参照してください→

この問題の2分間版を読んでください→

システムと管轄区ごとに特定の検証可能性ギャップを探索してください→

ソース

すべての記事を表示ギャップを探索