← すべての記事

「公開」選挙の原則：復活させる価値のある法的理念

2009年、ドイツの最高裁判所は、普通の市民が専門知識なしに投票数を自分で確認できなければ、それは本当の民主的選挙ではないと判示しました。

2009年3月3日の朝、カールスルーエの8人の判事は、世界のほとんどの選挙管理者が読むことのない判決を下しました。おそらく読むべき判決です。

ドイツ連邦憲法裁判所に持ち込まれた事件は、表面的には投票機についての技術的な紛争でした。具体的には：2005年のドイツ連邦選挙で使用されたNedap電子投票機について。批評家たちは、これらの機械が投票を電子メモリにのみ保存していると不満を述べていました。独立した記録はありません。投票者、あるいは投票所監視者、あるいは記者、あるいは単に現れた好奇心旺盛な市民が、後に何かを見て投票数が正しかったことを確認する方法はありません。

裁判所も同意しました。そして、それ自体よりはるかに深い何かを述べました。

投票プロセスの本質的な段階および結果の決定は、市民が専門知識なしに確実に検査できなければならない。

joined cases 2 BvC 3/07 and 2 BvC 4/07からのこの文は、技術的な推奨ではありません。それは選挙が何であるかについての声明です。それが何であるべきかではなく。民主的行為全体として数えられるために、それが憲法上何でなければならないか。

その機械はそのテストに不合格でした。そしてそれらは消えました。

この原則は機械より古い

ドイツの判決を電子投票コンピュータについての話として読むのは簡単です。今では安全に解決された、いかにも2000年代初期のドラマです。それは間違いです。

裁判所は実はNedap機械について議論していませんでした。それはドイツの基本法第38条、第20.1条、第20.2条に組み込まれた、Öffentlichkeit der Wahl（選挙の公開性）と呼ばれる原則を復活させていました。考え方は次のとおりです。民主主義では、主権は国民に属します。国民に代わって権力を行使する人を決定する投票数は、したがって国民によって観察可能でなければなりません。彼らの代理人ではなく。彼らが信頼しなければならない専門家ではなく。彼らによって、直接に、彼ら自身の目で。

紙の投票用紙と開かれた投票所は、紙がロマンチックだから発明されたのではありません。誰もが中に入り、人間が投票用紙の山をグループに分類するのを見て、フォームに書かれた数字を見ることができたので発明されたのです。管理の連鎖は、原則として、技術的背景のない祖父母でも追うことができるものでした。

電子投票はその連鎖を断ち切りました。そして裁判所はそれがなぜ重要なのかをまさに名付けました。本質的な段階がエンジニアだけが調査できる密閉箱の中で起こるとき、公開者は彼ら自身を代表することになっているプロセスから静かに除外されています。

これは技術に対する議論ではありません。これは選挙で使用される任何の技術が提供しなければならないものについての議論です。公開者が独立して確認できる結果、許可を求めることなく、コンピュータ科学の学位を必要としません。

「公開者によって確認可能」が実際に何を要求するのか

これを具体的にしましょう。「公開検証可能性」はスローガンのように聞こえることができるので、それが実践で何を必要とするのかを尋ねるまで。

投票者は投票所に入ります。彼女は紙の投票用紙に印をつけます。投票用紙は密閉箱に入ります。その日の終わりに、作業員は箱を開け、投票用紙を分類し、投票所の扉に署名して掲示されるフォームに数字を書き留めます。現在の観察者は誰でも数えることができます。通行人は誰でも掲示された結果を写真に撮ることができます。

その連鎖（マーク、シール、ソート、掲示）は、ドイツの裁判所の意味で公開検証可能です。すべてのステップは人間が観察できます。ステップは専有アルゴリズムを信頼する必要がありません。

ここで同じシナリオを紙のない電子投票機を通して実行してください。投票者は画面をタッチします。機械のメモリの何か、数字が変わります。その日の終わりに、テープに数字が印刷されます。投票者は彼女のタッチが正しく記録されたことを確認できますか？いいえ。投票所監視者は、メモリがテープが言うことを保持していることを確認できますか？いいえ。誰でも、専門知識なしに、本質的なステップを追跡できますか？いいえ。

オランダも2007年に同じ結論に達しました。政府自身の委員会がStemmen met vertrouwen（「信頼をもって投票する」）と呼ばれるレポートを公開したときです。合法的な選挙の基準にはcontroleerbaarheid（確認可能性）が含まれていました。選挙プロセスに秘密はありません。質問は答えられなければならず、答えは確認可能で検証可能でなければなりません。 委員会は、手で数えられた紙の投票用紙がこの基準を満たしたと結論付けました。電子的方法は、投票者が確認できる紙の記録を作成した場合にのみそれを満たすでしょう。オランダは投票機を手放し、それ以来手で数えられた紙を使用しています。

アイルランドはわずかに異なる角度から同じ壁に到達しました。電子投票に関する独立した委員会は、政府が購入したNedap/Powervoteシステムを調べました。倉庫に準備ができていたハードウェアの数百万ユーロです。そして、提案されたシステムの使用を推奨することができないと結論付けました。機械が間違っていることを証明したからではなく。それが正しかったことを自分の満足度に証明できなかったので。実証の負担は懐疑的ではなく、システムにあります。

検証可能性が失敗することができます2つの異なる方向

投票システムが検証不可能である2つの異なる方法があり、それらは混同するのは簡単です。

最初は、機械が何を記録したかを確認できない場合です。 これはNedapの問題です。ドイツの裁判所問題です。サラソタ郡、フロリダの問題で、369で決定された競争で紙のないタッチスクリーン機に18,000票が消えました。そしてGAOは不具合を見つけることができませんでした。ただし、調べるべき投票者がマークした紙もありませんでした。機械の言葉は唯一の言葉であり、機械は反対尋問を受けることができませんでした。

2番目は、紙の記録が存在しているが、実際に数えられた成果物が投票者が読むことができるものではない場合です。 これはより微妙でより現代的です。2020年、ジョージア州の連邦裁判所はDominionの投票用紙マーキングデバイスシステムを調べました。J. Alex Halderman教授を含む専門家の証言は、機械が紙の投票用紙を印刷する方法を説明しました。確認可能に見えます。しかし、実際に集計されるのは同じ紙のQRコードです。投票者が別のデバイスなしに読むことができないQRコード。裁判所は、システムが「QRコード用に依存し、そのコード自体が投票者によって読取られおよび検証されることができないため、検証可能で監査可能な投票用紙の記録を提供しない」と判断しました。紙が存在しました。ドイツの裁判所の意味での検証可能性は、しませんでした。

投票者が個人的に検査できない機械が読める要約を含むペーパー記録を持つシステムは、不透明性をシリコンからインクに移動させました。原則は同じです：重要なステップは市民が追うことができない場所で起こります。

「監査がそれを確認した」は「あなたはそれを確認することができた」と同じではありません

ここは公式的な保証がほとんど一貫して誤解させるところです。

争われた投票の後、選挙当局は監査が結果を確認したことを定期的に発表します。時々これは意味があります。ジョージア州の2020年の州全体の監査は、約500万の大統領投票用紙の完全な手数え、投票者がマークした紙に対する機械出力をチェックするための真の大規模な演習の形をとりました。変動は約0.1%でした。これは本当のデータポイントです。

しかし、それが本当にしたことに注意してください。投票者がマークした紙の投票用紙の存在で、機械とは独立して人間によって再検査することができました。紙は検証可能性でした。手数えは投票者が実際に触った成果物が存在し、誰でも読むことができたからこそ可能でした。

今、より難しい質問をしてください。読み取り不可能なQRコードを持つ投票用紙マーキングデバイスを使用する管轄区域では、「手数え」監査は何ですか？それは紙の記録を監査します。QRコードの出力を反映し、投票者の独立したマークではありません。機械がタッチをQRコードに間違って翻訳した場合、紙は間違っており、手数えは忠実に間違った答えを再現します。

「監査がそれを確認した」は、監査されているものが投票者が独立してマークした場合にのみ意味があります。投票者に代わって機械が作成したものではありません。

そして、「国務長官は監査がそれを確認したと言う」は何の証拠もありません。それは主張です。質問は常にです。その人の主張を信頼せずに、あなたはそれをあなた自身で確認することができますか？

最初の原則が実際に必要とするもの

個別のケースと特定の技術から段階的に戻り、合法的に公開された選挙が必須でドイツの裁判所の原則が真剣に受け取られた場合。

最初：すべての投票者は、彼ら自身の感覚で彼ら自身の選択が彼らの意図されたように記録されたことを確認できなければなりません。 機械のディスプレイを信頼することによってではなく。ベンダーの言葉を取ることによってではなく。彼ら自身が作成した人間が読める成果物、彼らの手を離れる前に読むことができる標記された紙の投票用紙を検査することによって。

2番目：投票者がマークする成果物は、カウントされる成果物と同じでなければなりません。 その成果物の機械が生成された翻訳ではなく。そこから導き出されたバーコード。もの自体、または透過的で人間が読める可能なコピー。

3番目：誰でも、専門知識なしに、個々の成果物が最終的な合計に集約されるプロセスを観察できなければなりません。 手数えでは、これは部屋で見えます。機械数えでは、集約を実行するソフトウェアが公開され、独立して検証可能であり、機械の出力が物理的な成果物に対して確認可能であることが必要です。

4番目：公開された結果は、観察者が彼ら自身の算術をすることができるように十分な細粒度でなければなりません。 自治区レベルの合計、それらが最終的になった瞬間から機械が読める形式で利用可能。観察者が当局を信頼していないので、むしろ独立して検証する能力が信頼を理性的ではなく強制的ではなくするのです。

これらはユートピア的な要求ではありません。紙の投票用紙、開かれた投票、掲示された自治区の合計、および公開されたリスク制限監査は、すでにそれらを実装することを選択した管轄区域でそれらのほとんどを提供します。コロラド州は2017年に最初の州全体のリスク制限監査を実行しました。この方法は珍しくありません。レース統計的にサンプルの投票用紙をサンプリングし、競争がより密接な場合、より多くをチェックしますが、間違った結果をミスした確率が定義されたしきい値を下回るまで。公開者は方法論を検査できます。紙を再検査できます。

どの管轄区域も完全に提供したことがありません。まだ：公開者の任意のメンバーが任意の当局またはベンダーを信頼せずに検証可能である正しい投票数の暗号化の証拠が公開されたシステム。それはドイツの裁判所の原則が完全に実現されるでしょう、壁上の紙ではなく、しかし任意のメンバーが開かれたツールを持つ任意のメンバーが、または個人的に票を数えるために出席したり、当局から一部を要求したり。

悪役は機械ではありません。それは不透明性です。

重要なのは、ドイツの判決は2つの方向で誤読されるので、正確にあります。

1つの誤読は、電子投票に対する投票です。それはそうではありません。裁判所は電子投票が違憲であると言いませんでした。それは電子投票が違憲であると言いました普通の市民が本質的なステップを確認できない場合。投票者がマークした紙、公開監査可能な集約ソフトウェア、および自治区レベルで公開された結果を持つシステムは、手で数えられた紙と同じように原則を満たすでしょう。おそらくより良い、暗号化の検証可能性が厳密にある場合。

2番目の誤読は、それが特定の代替品に対する投票です。それはそうではありません。あるシステムを別の検証不可能なものに切り替えることは、何も達成しません。オランダは紙に戻りました。ただし、密閉されたドアの後ろで起こる紙の数え、集約にのみ報告された結果、独立した調整のために利用可能な機械が読める自治区データなし、それでも原則に失敗するでしょう。形式は重要ではありません。確認可能性は。

このアーカイブのすべてのケースの悪役。2011年のDRC、EUの観察ミッションは公開の可視性なしでコンパイルされた結果を見つけました。2017年のベネズエラ、投票システムベンダー自身が発表された投票を縁故しました。2020年のマラウイ、集計シートが修正液で上書きされていました。特定の技術ではありません。それは不透明性です。投票数を独立して確認する能力から誰かの体系的な削除。

そして、公式的な保証は不透明性を溶かしません。それはその上にレイヤーを追加します。

まだ確認可能ではなく、それを修正するもの

ここは真実が残っているものです、現在ほとんどの世界の選挙で公式が何と言っても。

郡または全国の合計に自治区の結果を集約するソフトウェアは、ベンダーと認定ラボの外の誰にも検査されない所有物です。認定ラボの調査結果はほとんど完全には公開されていません。個々の投票用紙から最終的な合計までの連鎖は、複数のステップを通ります。スキャン、集計、アップロード、キャンバス。公開者の任意のメンバーによって個別に検証可能ではありません。

投票用紙マーキングデバイスではなく手マークペーパーを使用する管轄区域では、数えられている成果物は投票者が検査できないソフトウェアによって生成されます。

リスク制限監査がない管轄区域では、機械数えは、接近した競争に統計的保証を提供しない固定パーセンテージスポットチェックで確認されます。

リアルタイムで公開された自治区レベルの機械が読める結果がない管轄区域では、公開者は公式の合計に対して独立した算術をすることはできません。

ドイツの裁判所は2009年に行をはっきりと描きました。結果は、専門家だけが検証できる民主的に合法的な結果ではありません。 その行はまだ超えられていません。完全な公開検証可能性の方向で。今日使用されているシステムのほとんど。

それを何がクロスするでしょうか？投票者がマークした紙の投票用紙、公開で数えられたまたはスキャンされ、自治区レベルのレコードが直ちに掲示され、任意のスプレッドシートで開くことができる形式でダウンロード可能。すべての接近した競争のリスク制限監査、抽出された投票用紙とそれらの手で読まれた合計が公開されています。そして、暗号的に野心的なもの：エンドツーエンドの検証可能なシステムの終わり。各投票者が、彼らの投票用紙が最終的な集計に含まれたことを確認できる、そして任意の観察者が、集計の数学的整合性を検証できます。単一の当局を信頼せず。

その最後のアイテムは技術的に可能です。スイスはそれを実装しようとし、暗号化で落とし戸を見つけました。しかし、独立した研究者が公開されたコードを検査することができたからこそ、見つかりました。落とし戸は修正されました。これが正しい結果です。公開的な精査は、プライベート認定が見逃した欠陥を見つけました。欠陥のある暗号的検証可能性システムへの答えは、検証可能性を放棄することではありません。欠陥が消えるまでコードを公開に保ってください。

ドイツの裁判所の原則は、すべての本質的なステップが見て選ぶことを選ぶすべての市民によって確認可能になるまで満足していません。

ほとんどの選挙、今、そこにはいません。

世界中の選挙システムでこのギャップがどのように現れるかを見る →

検証可能性がなぜ重要なのかについて、2分間のバージョンを読む →

検証不可能な選挙の文書化されたケースを調査する →

参考資料

すべての記事を表示ギャップを探索