← すべての記事

「再集計」が同じバーコードを再び読み込んでいるだけの場合

ジョージア州は500万票の投票用紙を手作業で数え直し、それを再集計と呼びました。しかし、スキャナーがデコードできないQRコードを読み込む場合、誰が正確に何を数えたのでしょうか？

2020年11月、ジョージア州グウィネット郡のどこかの投票所で、投票者が Dominion 投票用紙作成機で自分の選択肢を終えたばかりです。機械は紙を印刷します。彼女はそれを持ちます。人間が読める文字があります — 彼女の候補者の名前、彼女の選択肢が平易な英語で記載されています。また、切手ほどの大きさの QR コードが隅にあります。

彼女はQRコードを読むことができません。部屋の誰もが肉眼でQRコードを読むことはできません。

彼女は紙をスキャナーに入れます。スキャナーはQRコードを読みます。QRコード、文字ではなく、彼女の投票がどのように集計されるかを決定します。

6週間後、ジョージア州はこれらの紙を手作業で数え、歴史的な監査と呼ばれるもの — 過去最大規模の手作業による再集計の一つを実施します。約500万票、159郡の人間の目で検査されました。職員は集計が機械の結果を確認したと発表します。メディアはそれが正当性の証だと宣言します。

ここに誰も十分に大きな声で尋ねなかった質問があります：これらの人間は実際に何を見ましたか？

不快な質問をした連邦裁判所

2020年10月11日 — 選挙日の3週間前 — アトランタの連邦判事は、ほとんどの投票者が決して目にすることのない専門家証言を読んでいました。

Curling v. Raffensperger では、ジョージア州北部地区アメリカ合衆国地方裁判所が Dominion 投票用紙作成機システムのセキュリティと検証可能性を審査しました。裁判所は、米国の主要な選挙セキュリティ研究者の一人である J. アレックス・ハルダーマン博士から、サイバー攻撃が集計用のQRバーコードを改ざんすることで投票を入れ替えたり削除したりする可能性があることを説明する証言を聞きました。

より正確には、より持続的に、裁判所は次のことを判示しました：システムは**「投票者が読み取り・検証できないQRコードに依存しているため、検証可能で監査可能な投票記録を提供しない」**

裁判所はまた、全米科学工学医学アカデミーの2018年の結論を引用しました：投票数え集計アプリケーションが正確な結果を生成することを確保する技術メカニズムは現在存在せず、テストだけではシステムが侵害されていないことを確保できないということです。

判事は緊急救済を命じることを拒否しました — 大統領選挙の数週間前に州全体の投票インフラを切り替えることは異なるカテゴリーの混乱をもたらしたでしょう。それは状況下では合理的な決定でした。しかし、法的な結果は基礎となる問題を解決しません。裁判所はそれを特定し、名付け、開かれたまま残しました。完全な判決書をここで読んでください。

再集計が実際に再集計するもの

ここに最も単純な形で述べられたメカニズムがあります。

投票用紙作成機（BMD）はこのように機能します：画面にタッチして選択肢を作成し、機械が投票用紙を印刷します。その投票用紙には2つの形式で選択肢が含まれています。1つは人間が読める文字です。もう1つは機械が読める QR コードです。投票用紙がスキャナーに入ると、スキャナーはQRコードを読みます。QRコードが集計ソフトウェアが処理するものです。人間が読める文字は数えられるものではありません。

ここで手作業の再集計を実施してください。作業者は各印刷投票用紙を手に取り、読みます — 何を？人間が読める文字を。彼らは投票用紙が単語で言っていることに基づいて集計します。

QRコードと人間が読める文字が一致する場合、手作業の集計は機械の集計を確認します。良い。しかし、再集計はQRコードを検証しませんでした。テキストを検証しました。再集計が答えることができない質問は、実際に集計されたQRコード — が投票者が選択したものと一致したかどうかです。

侵害された BMD は、理論上、人間が読める文字で「候補者A」と言う投票用紙を印刷しながら、QRコードで候補者Bへの投票をエンコードできた可能性があります。投票者は、テキストをちらっと見て、自分の選択が正しく表現されていることを確認します。スキャナーは候補者Bを集計します。その後の手作業の集計はテキストを読み、候補者Aをカウントします。機械の合計と手作業の集計は両方とも候補者A — と言っており、もし詐欺があったとすれば、その詐欺は両方とも目に見えません。

これは偏執的な空想ではありません。これは Curling の連邦裁判所が説明していた攻撃面です。

紙の印刷物は投票者が検証可能な記録と同じではありません。数えられるものが投票者が検査できるものでない場合、「私たちは紙を数えた」と「私たちは投票を検証した」は2つの異なる文です。

ジョージア州の500万票監査：それが証明したもの、そして証明しなかったもの

ジョージア州の2020年11月リスク限定監査は、差が再集計を必要とするほど十分に狭かったため、完全な手作業の集計になりました。約41,881のバッチ、159郡、6日以内に人間の手で検査された約500万票。手作業の集計は、機械で集計された結果を確認しました。約0.1％以内です。

これは物流的成果として本当に印象的です。また有意義な知見でもあります — これは印刷投票用紙の人間が読める文字が、手作業で集計されたものが機械の合計と一致したことを意味します。大規模な体系的な不一致があった場合、それは浮かび上がっていたでしょう。

しかし「一致した」が何を意味するかに注意してください。人間が読める文字が機械の合計と一致しました。これは2つの説明と一致しています：QRコードが正確で、テキストと一致した、または QRコードが機械の合計も破損させる方法で体系的に破損されていて、手作業のテキスト集計が破損をキャッチするのではなく確認しました。

手作業の監査はこの2つのシナリオを区別することはできません。そうするために設計されませんでした。テキストを合計に対してチェックしました。すべての QR コードを個別にデコードして検証しませんでした。

これはジョージア州の2020年選挙結果を信じないための理由ではありません。ジョージア州の2020年選挙で大規模な QR コードの改ざんの証拠はありません。しかし「改ざんの証拠がない」ことは「システムが改ざんをキャッチしたであろう」ことと同じではありません。Curling 裁判所の論点はまさにこれでした：監査メカニズムが集計された成果物と投票者の検証された意思の間のループを閉じることができないシステムは、何人の人間が紙に触れるかに関わらず、完全に監査可能ではありません。

2020年のアントリム郡、ミシガン州はこれを小規模で示しました：間違った数字が公開され、それらが不合理だったためだけに捕捉されました — 信頼できる共和党郡が数千票で対立候補を先んじて示していました。郡の手作業の集計が実施されたとき、修正された機械の集計と約12票異なっていました。約15,700票中の12票です。接戦では、それ自体が12票ずれている方法は12票未満で決定される質問を決定的に解決することはできません。「監査がそれを確認しました」は安心感です；それは証明ではありません。

「ただ手作業で数える」での削減不可能なエラー

手作業の集計が常に最高の基準であるという恋愛的な考えがあります — 人間の目は究極のチェックです。これは部分的に真実で、部分的に誤解を招きます。

手作業の集計は独自のエラー率をもたらします。集計疲労。曖昧な印。異なる読者が軽い印でのある投票用紙での異なるコール。テーブル間で異なる裁定決定。2021年ニューハンプシャー州ウィンダム法医学監査では、AccuVote スキャナーが投票用紙を誤読するとき — 折り目亀裂がたまたま投票対象を通じて通ったため — 手作業の集計は機械が失った投票者の意思を復元できました。その場合、紙の投票用紙が存在し、手作業の集計は機械の結果を改善しました。良い。

しかし、ウィンダムはまた床も示しており、天井ではありません。エラーは監査者が耐久的な物理投票用紙 — 投票者による直接的な印 — を戻るために監査者が持っていたため発見されました。折り目亀裂のスキャナーの誤読は、基礎となる意思が紙にまだ物理的に存在していたため検出可能でした。

BMD システムでは、回復する直接的な投票者が印したマークはありません。投票者は画面にタッチしました。機械はそのタッチの表現を印刷しました。表現が間違っている場合 — QRコード、ソフトウェア、集計で — 比較する元のマークはありません。印刷物は投票者のマークではありません。これは投票者のマークの機械の転写であり、存在する唯一のレコードです。

これは Curling 裁判所が特定した構造的なギャップです。また、コロラド州のリスク限定監査モデルが — 2017年に完了された最初の州全体 RLA — 手作業で印された紙の投票用紙に適用されたときに、より良く機能する理由です。RLA は報告された結果が正しいという統計的信頼レベルを提供し、競争の緊密さに合わせてサイズ設定されます。しかし、監査する信頼できる紙のレコードが必要です。レコード自体が投票者の直接的なマークではなく機械の出力である場合、あなたは投票者の意思ではなく、機械の正直さを監査しています。

「投票者はテキストを見た」が十分でない理由

職員とベンダーは指摘しています — 正しく — 投票者は投票用紙を投じる前に印刷投票用紙をレビューすることが推奨されています。テキストが間違っている場合、投票者は投票用紙を拒否して再度開始できます。

これは本当です。また、2つの理由から不完全な防御です。

まず、行動的現実。 ほとんどの投票者は、特に混雑した投票所で彼らの後ろに列がある場合、印刷投票用紙サマリーのすべての行を注意深く読むことはしません。セキュリティコンテキストでの人間の検証行動についての研究は一貫しています：ユーザーは文字ごとに自動的に生成されたサマリーを定期的に確認なしで受け入れます。100％の投票者が機械出力の注意深い監査を実施することに依存するシステムは、すでに検証負担のほとんどを注意散漫、急いでおり、訓練を受けていない人にすでに委譲しているシステムです。

第二に、そして根本的には：テキストを読んで承認した投票者さえ QR コードを検証していません。 彼女はテキストが彼女の選択肢と一致することを確認しました。彼女はQRコードがすることを確認していません。スキャナーはテキストを集計しません。投票者は1つのことを検証しました；システムは別のものを数えました。それらは同じ検証ではありません。

ドイツ連邦憲法裁判所は2009年にこのロジックを正確に説明しました。投票と数えの本質的なステップは、専門知識なしに普通の市民によって検査可能である必要があるという根拠で電子投票機を廃止しました。裁判所は発見しました、その正確性が隠されたプロセスへの信頼に基づくシステムは、改ざんが証明されたことがあるかどうかに関わらず、公開検証可能性テストに失敗します。この原則は、普通の市民がデコードできない QR コードに等しく適用されます。

オランダは2007年に同じ結論に達しました。政府の独立した選挙委員会が、選挙プロセスには秘密がなく、答えは誰でも確認可能で検証可能である必要があると述べたとき — そして人間が直接読むことができる紙の投票用紙を支持して投票コンピュータを廃止することを推奨しました

実際のギャップ：「監査可能」が実際に何を意味するのか

監査可能な投票記録は、数えられたものが投票者が検証できるもの — と同じで、独立したチェックが2つが同じであることを確認できるものです。

手作業で印された紙の投票用紙については、これは自然に閉じます。投票者は紙にマークします。スキャナーは紙を読みます。監査者は紙を検査します。投票者のマーク、機械の読み込み、監査者の読み込みはすべて同じ物理的なオブジェクトを参照します。機械と監査者の間の不一致はスキャンエラーを示します；両方とも同じソースに対してチェックできます。

QRコードを印刷する BMD システムでは、このループが壊れます。投票者はテキストを検証します。機械はバーコードを集計します。監査者はテキストを読みます。誰も — 投票者でも監査者でも — バーコードがテキストが言ったことを言ったかどうかを独立して確認しません。

そのループを閉じるには、2つのことの1つが必要です。どちらか：QRコードは投票者と監査者が独立してデコードできる形式で印刷されます（人間が読める可能なエンコーディング、または、リアルタイムでそれをデコードする別の独立した表示）。または：集計ソフトウェアと QR エンコーディング自体がオープンで、独立して検査可能であり、敵対的なテストの対象です — エンコーディングステップが投票が投じられる前に正直であることが検証できるように。

ロサンゼルス郡の Voting Solutions for All People (VSAP) システム、2018年にカリフォルニアによって最初の公開所有、オープンソース選挙集計システムとして認証されました、は透明性設計原則の例です：コードが公開され、独立して監査可能である場合、エンコーディングステップはベンダーの言葉を信頼するのではなく、外部者によって検査できます。オープンコードだけでは十分ではありません — 実装、チェーン・オブ・カストディ、独立したテストはすべてまだ重要です — しかし、それは中核的な不透明性を削除します。

ブラジルの最高選挙裁判所は年次公開敵対的セキュリティテストを実施しています：適格市民は投票機を破壊しようと招待されます、調査結果はシステムを改善するために使用され、修正は再チェックされます。これは一回限りの認証と比較して、信頼ベースのアプローチではなく、独立検証の構造的な約束です。

代替案 — 閉じられた、独占的なシステムが一度認証されて、その後信頼される — は Curling 裁判所が暗黙のうちに非難するモデルであり、2021年のコーヒー郡侵害が粘性的に具体化しました：ジョージア州が秘密を通じたセキュリティに依存していた独占的なソフトウェアは、単一の午後にコピーされて配布されました

今なお検証不可能なこと — そしてそれをチェック可能にするもの

ここにジョージア州2020年の物語が今日立っているところがあり、正直に語られます。

手作業の集計は、約500万の印刷投票用紙の人間が読める文字が機械の集計と一致したことを確認しました。それは有意味なデータポイントです。それは完全な監査ではありません。「テキストが一致した」と「QRコードが投票者の選択を正確にエンコードした」の間のギャップは、公開されたプロセスによって独立して閉じられていません。

Curling ケース自体は後で2024年に立ち位置の理由で却下されました。手続きの結果は技術的な知見に対処しません。裁判所が救済を与えることができない — 選挙が接戦のため、または立場が狭すぎるため — は、基礎となる脆弱性が修正されたことを意味しません。

ギャップを実際に閉じるのは何でしょうか？

  • QRコードの投票所でのリアルタイム、独立したデコード、BMDベンダーから独立した、ハードウェアまたはソフトウェアを使用して投票用紙が投じられる前に投票者に表示されます。
  • 開かれた、公開されて検査可能なソースコードエンコーディング段階について、ベンダーによって雇用されたり契約されたりしていない研究者による敵対的レビューの対象。
  • 定期的で独立した統計サンプリング選挙後のQRコードの、独立したツールによってデコードされ、対応する人間が読める文字と比較され、だれもがダウンロードしてチェックできる機械が読める形式でプリシンクトレベルで公開されました。
  • RLAs は可能な限り手作業で印された紙の投票用紙に適用されます — 監査される成果物が投票者の直接的なマークであるため、機械の転写ではなく。

これらのどれも、公式が不正直であると仮定する必要はありません。「職員がそれをチェックした」を検証チェーンの終わりとして扱うことをやめ、独立した公開チェック可能性をすべてのシステムが満たす必要がある基準として扱い始める必要があるだけです。

バーコードを再度読む再集計は再集計ではありません。それは再生です。

本当の監査は投票者が実際に検証したものに戻ります。今のところ、投票用紙作成機を使用しているほとんどの司法管轄区では、その基準は満たされていません — そして何の公式声明もそれを変えません。

投票システム全体でこのギャップがどのように表示されるかを確認してください →

監査可能な投票用紙問題の2分版を読んでください →

出典

すべての記事を表示ギャップを探索