← すべての記事

「検証可能」とは政治家が好む言葉です。実際には何を意味すべきか。

ケニアの最高裁が大統領選挙を無効にしたのは、不正が証明されたからではなく、誰も——判事も、ジャーナリストも、普通の有権者も——結果がどのように築かれたのかを独立して確認できなかったからです。

2017年9月1日の朝、ナイロビの6人の判事が4対2に分かれて、マラウイからドイツ、そしてあなたのリビングルームの法廷まで響き渡る問題に判断を下したばかりです。投票所から国家集計までの投票を追跡できない場合、あなたは本当に選挙を持っているのでしょうか？

ケニアの8月8日大統領選挙の公式優勝者は、約54％の票を獲得したウフル・ケニャッタでした。しかし最高裁が結果を無効にしたのは、その数字が間違っていたからではありません。誰も数字が正しいかどうかを確認できなかったからです。 憲法が電子的に国家集計センターに送信されることを要求していた投票所レベルの結果用紙「フォーム34A」がすべて要求通りに到着していませんでした。最終集計用紙には透かしもシリアル番号もありませんでした。選挙委員会の議長は、基となるすべての書類を受け取る前に優勝者を宣言していました。個々の投票用紙から国家総計への鎖には切れ目がありました。憲法民主主義では、切れ目は技術的な不便ではありません。それは全体の問題です。

「選挙は憲法に準拠して実施されませんでした」と多数派は9月20日に発表した全理由で書きました。要件は、投票が単純で、正確で、検証可能で、安全で、説明責任があり、透明であることです。信頼ではなく。認証ではなく。検証可能です。

その言葉——検証可能——はその文章で莫大な仕事をしています。政治家は常にそれを使いますが、ほぼ決して定義しません。裁判所は、それを定義する必要があることが判明しました。

裁判所が「検証可能」で意味すること

ケニア最高裁は、ケニア憲法第86条を解釈していました。この条項は、6つのプロパティを要件として設定しています——願いではなく、要件です。しかし判決のより深い貢献は、それが言葉の内容について何を暗示しているかです。

検証可能とはあなたが信頼する誰かによって検証されたのと同じではありません。私たちの監査役がそれをチェックしたのと同じではありません。それは意味します：専門家だけでなく、誰もが必須のステップを追跡できます——投票箱の投票用紙から集計用紙の数字まで——そして、それらが一致することを確認できます。 切れ目のない、独立して確認可能な鎖。各リンクは公開で、文書化され、改ざん防止です。

ケニアシステムは同時に複数のリンクで失敗しました。フォームは要求通りに送信されませんでした。到着したフォームは一貫したセキュリティ機能に欠けていました。最終集計は、それが反映すべき出典となる書類が受け取られる前に発生しました。このいずれもが投票が盗まれたことを意味しません。裁判所は明示的に不正が発生したと判断しませんでした。しかし集計の構造により不正は検出不可能になりました——検出不可能なエラーは検出不可能な不正と区別がつきません。それがポイントです。

新しい選挙は60日以内に命じられました。準優勝者のライラ・オディンガはそれをボイコットしました。ケニャッタは再び勝利しました。2017年8月の根底にある投票が正確だったかどうか、私たちは本当に知りません——そしてそれが正確に裁判所が名付けた問題です。

ドイツの定式化：専門知識は必要ありません

ケニア選挙が開催される4ヶ月前、世界の反対側の裁判所は同じ線をより鮮明に引いていました。

2009年3月3日、ドイツ連邦憲法裁判所は2005年連邦選挙でのNedap電子投票機の使用を無効にしました。マシンは広く使用されていました。認証されていました。改ざんの証拠は誰も見つけませんでした。それのどれもが重要ではありませんでした。

裁判所の推論は言葉のまま暗記する価値があります：投票の本質的なステップと結果の確定は、市民が専門的な知識なしに確実に検証可能でなければなりません。これは基本法——ドイツ憲法の基礎的民主的要件——に組み込まれた選挙の公開の原則から流れます。

マシンは電子メモリにのみ投票を保存しました。有権者が検証できる独立した記録は存在しませんでした。通常の人が「私がこのボタンを押した」から「この数字が総計に現れた」への遷移を確認することはできませんでした。裁判所はこれを憲法上の欠陥と呼びました、完全に。2005年の結果を無効にすることを拒否しました——選挙は起こり、機能不全の証拠はなく、裁判所は議会を廃止することの混乱に対してそれを比較しました——しかし今後マシンを禁止しました。

2つの裁判所、2つの大陸、2つの憲法伝統。検証可能の同じ定義。 投票から総計への鎖は、テクニシャンの言葉を信じる必要なく、誰もが確認できなければなりません。

「検証可能」とは何ではないか

ここは概念が除外するもので研ぎ澄まされるところです。

それは「私たちはそれを手で数えました」ではありません。手による計数は有用なチェックですが、自己検証的ではありません。2020年のミシガン州アンティム郡では、機械計数エラーが精査を引き付けた後、選挙職員はすべての大統領投票用紙の完全な手動監査を実施しました。手数は修正された機械集計から約15,700投票のうち約12投票異なりました。12投票。これは手動プロセスにおける既約的な人的エラーです——疲労、曖昧なマークに関する判断呼び出し、投票用紙が一時的に間違ったパイルに誤って配置されました。わずかな投票での決定では、それ自体わずかな投票分オフになっている方法は質問を決着できません。「手数がそれを確認しました」は安心感です。それは証拠ではありません。

それは「私たちはシステムを認証しました」ではありません。アイルランドは国家電子投票システムを購入しました——Nedap/Powervoteマシン、7,500台——独立委員会は、「必要な程度の確信」で配備を推奨することができないと単純に結論付けました。不正が発見されたからではなく。精度と秘密が委員会の満足に証明されていなかったからです。マシンは5年間倉庫に座り、その後廃棄されました。認証は主張です。委員会の仕事はその主張をテストすることでした。その主張は失敗しました。

それは「高位の公務員がそれが良いと言いました」ではありません。2017年8月のベネズエラで、Smartmatic——10年以上の間その国の投票インフラを構築して運営していた会社——7月30日の制憲議会選挙で発表されたターンアウトが「疑問の余地なく」操作されたことを知っていると述べた公開声明を発行しました。実際の参加と少なくとも100万票異なります。公式結果は宣言されていました。ベンダー自体はそれを否定しました。マシンを構築した人がマシンが記録したものと発表されたものを調整できず、独立したチェックが存在しない場合、公衆が立つために何も残っていません。

それは「私たちの暗号証拠は公開されています」でさえありません。スイス・ポストとそのベンダーScytlは、2019年に透明性のジェスチャーとして彼らのインターネット投票システムの完全なソースコードを公開しました。独立した研究者Sarah Jamie Lewis、Olivier Pereira、およびVanessa Teagueはコードを読み、mixnetのシャッフル証拠にトラップドアを見つけました。トラップドア値を知っている誰かが、すべてのチェックに合格した検証トランスクリプトを生成でき、投票をサイレントに変更しながらです。スイス当局はシステムを一時停止しました。証拠は有効に見えました。外部の暗号学者が、結果に利害関係のないまま、それを見に行くまでの欠陥は見えません。検証可能性の主張は、敵対的な外部精査を生き残る場合にのみ意味があります。

チェーンの5つのリンク

「普通の人が検証可能」が憲法基準である場合、それは実際に何を要求しますか？ケニア訴訟は、ドイツ訴訟と読み合わせて、さらに他の12カ国からの累積的な証拠に対して、すべてが成り立つ必要のある5つの具体的なリンクを示唆しています。

1つ：投票時の改ざん防止記録。 投票——紙またはそれに相当するもの——有権者の意図を、マシンも後続のハンドラーも改変できない形式でキャプチャする必要があります。ジョージア州のCurling v. Raffenspergerで見直されたQRコード投票用紙マークデバイスは失敗モードを示しています。連邦裁判所は「有権者が読んで検証できないQRコードに依存しているため、検証可能で監査可能な投票記録を提供しない」システムを検出しました。カウントされるもの有権者が検査できるものと同じアーティファクトである必要があります。

2つ：文書化された、署名された保管の鎖。 オーストリアの2016年大統領決選投票では、郵送投票が早期に開かれ、カウントされました。権限のない人による、必要な証人なく。オーストリア憲法裁判所は結果を無効にしました——77,000の影響を受けた投票は30,000票の差を超えました——不正の証拠がないにもかかわらず。手続き的鎖は操作が検出可能になるために存在していました。チェーンが破られると、手続き的違反と隠蔽された不正を区別することはできません。結果は間違っているからではなく、検証不可能だから法的に防衛不可能になります。

3つ：すべての集計ステップでの公開記録。 ケニアでは、憲法要件はすべての投票所からのフォーム34Aの実時間電子送信でした。その要件は、誰もが——ジャーナリスト、党の代理人、私人——ボトムアップ合計とトップダウン発表を比較できるように存在していました。それが起こらない場合、国家総計はその出典ドキュメントから自由に浮かぶ。2019年のマラウイでは、選挙職員は公開集計用紙で修正液を使用してからそれを数に入力しました。憲法裁判所は選挙を無効にしました。誰かがすでに消去して書き直した数を検証することはできません。改ざん防止出典記録は官僚的な細部ではありません。それらはその後のすべての監査が依存する証拠ベースです。

4つ：統計的な歯を持つ独立監査。 数字を生成した同じ機関によるチェックは独立していません。コロラドは2017年にアメリカ初の州全体のリスク制限監査を実施しました——十分な手数えの紙投票用紙を調査して、機械総計が正しいことの数学的に定義された信頼レベルを与える手順。它は耐久性のある紙投票用紙が存在し、機械出力に対して物理的に比較できるためにのみ機能します。監査のロジックは敵対的です：それは発表された優勝者をゴム印にするのではなく、高い確率で間違った結果を捕捉するように設計されています。それは独立したチェックがどのように見えるかです。

5つ：結果が最低レベルで、即座に、機械読み取り形式で公開されます。 ケニア憲法のフォーム34A要件はこの理由で正しいアイデアでした：投票所レベルでのボトムアップ透明性は、誰もがフォームを追加して比較できるため、集計エラーを即座に可視化します。米国選挙支援委員会は、市民が自分でカウントを調整できるように、投票所レベルの結果をダウンロード可能な機械読み取り形式で公開することを当局に促します。それは検証可能性を実用的にした——「PDFを投稿しました」ではなく、「ここに生データがあります。私たちの算術をチェックしてください」。

すべての5つのリンクが保つ必要があります。1つの切れたリンクは鎖を検証不可能にするのに十分です。 ケニアの鎖は同時にリンク3と5で壊れました。オーストリアのはリンク2で壊れました。マラウイのはリンク3で壊れました。これが3つすべてのケースで自信を持って発表された結果が依然として法的に不健全だった理由です。

信頼は検証可能と同じではありません——そして違いは重要です

このゆえに不快感を感じるバージョンの議論があります。ほとんどのオブザーバーが誠実に実行されたと信じている選挙に疑いを投げかけるようです。その不安は一緒にいる価値があります。

ポイントはケニア2017またはオーストリア2016が詐欺的だったということではありません。両方のケースの裁判所は不正の発見を拒否しました。ポイントは、検証不可能なプロセスによって生成された誠実な結果は、同じプロセスによって生成された不誠実な結果と公衆には区別がつかないということです。信頼されている信頼はまだ信頼です。それは検証可能性ではありません。そして信頼——職員で、ベンダーで、国務長官のプレスリリースで——は正確に強制、腐敗、洗練された技術的操作が悪用するものです。

オランダは2007年に「信頼を持って投票」と呼ばれるレポートを公開し、電子投票を放棄することを勧めた諮問委員会で理解しました。その論理：「選挙プロセスに秘密がない」、そして「質問は答えられる必要があり、答えは確認可能で検証可能である」。それは紙と手による計数に戻りました——マシンが危険にさらされたことが証明されたからではなく、透明性と確認可能性が、現在の演算子がどれほど信頼できるかに関わらず、非交渉として扱われたからです。

それは構築する価値のあるアーキテクチャです。あなたが信頼できるシステムではなく。確認できるシステム。誰もが独立して検証できるシステム。所有コードへのアクセス、分類ログ、ベンダーの保証を必要とせずに。証拠が公開され、敵対的にテストされ、それを生成した人を信じることに依存しないところ。

次の政府はこれほど誠実ではないかもしれません。次のベンダーはこれほど注意深くないかもしれません。次の選挙はエラーをキャッチするのに十分明らかなマージンで決定されないかもしれません。憲法要件は「私たちが注意を払っている場合の検証可能」ではありません。それは設計、誰でも、当然のことのある検証可能です。

依然として確認可能ではないもの——そしてそれを可能にするもの

ここは、ケニア判決、ドイツ判決、および上記の完全な証拠の本体が未解決のまま残すものです：

ほとんどの民主主義では、普通の市民として、投票所から報告された数が機械に記録されたものと一致するかどうかを独立して確認することはできません。投票所から投票区から郡から国家総計への集計が正しく行われたかどうかを確認することはできません。投票用紙を集計したソフトウェアに認証されたコードが含まれているかどうか、または後の認証されていないバージョンかどうかを確認できません。投票用紙のQRコードを、あなたが選択していると思った人間が読める文字と比較することはできません——スキャナーはテキストではなく、バーコードを読むからです。

これらは仮説的なギャップではありません。裁判所はそれらに名前を付けました。研究者はそれらを悪用しました。選挙当局は、場合によっては、それらを修正しました——そして多くの場合、そうではありません。

それらを確認可能にするのは何ですか？ 最終的になった瞬間、公開され、署名され、投票所レベルの結果。有権者によってマークされた、人間が読める文字が何であるかがスキャンされる紙投票用紙。独立した専門家が読み、テスト、再テストできるオープンソース集計ソフトウェア——認証時に一度ではなく、継続的に。定期的で、敵対的で、公開監査。規定の信頼レベルに結びついけられたもので、固定パーセンテージではなく。そして保管の鎖は、改ざん防止シール付きのすべてのステップで文書化され、立つ権利がある誰もが事後的に物理的に検査することができます。

それのどれもが政府、ベンダー、または国務長官を信じる必要はありません。それがポイントです。

独立して検証できない選挙結果は、憲法的な意味では結果ではありません。それは発表です。

世界中でこのギャップが表示される場所を参照→

2分バージョンを読む→

特定の国のケースを探索→

ソース

すべての記事を表示ギャップを探索