← すべての記事

紙の記録だけでは十分ではない理由

プリンストン大学の教授が2006年に実際の投票機を研究室に持ち込み、痕跡を残さずに選挙を盗むことができることを証明しました。紙の記録があってもそれを防ぐことはできませんでした。

アリエル・フェルドマン、J・アレックス・ハルダーマン、エドワード・フェルテンにかかった時間は約1分でした。

プリンストン大学の研究者たちは、2000年代半ばに数百万票を数えたディーボルド製AccuVote-TSタッチスクリーン投票機に物理的にアクセスして、わずか1分で候補者間の票を密かに再配分できる悪意のあるコードをインストールしました。このコードはすべての内部カウンター、ログ、記録を改ざんして内部的に一貫性を保ちました。痕跡は残りません。通常の選挙前のセットアップルーチン中に、オフィスの風邪のように機械から機械へ自動的に広がることもできました。

研究者たちは2006年に調査結果を発表しました。それでもこれらの機械は使用され続けていました。

ここで立ち止まるべき部分があります。この種の不正行為が懸念として指摘されたとき、標準的な安心感は、これらの機械は最終的に紙の記録がある仕組みに置き換わるというものでした。問題解決、完了。

ところが、そうではありません。決してそうではありません。

紙について私たちが信じている心地よい嘘

紙は良いものです。投票者が記入して確認した物理的な投票用紙は、ペーパーレスのタッチスクリーンよりも本当に優れています。真面目な誰もが反論しません。2006年のフロリダ州サラソタ郡の選挙は18,000票が失われ、差は369票で終わりました。これらのタッチスクリーンは紙の記録をまったく作成しなかったため、独立して再集計する根拠がまったくありませんでした。紙があった方がましでした。以上です。

しかし、「紙がそれを解決する」というフレーミングが静かに見落としている部分があります。紙の記録が選挙を保護するのは、誰かがそれをチェックする義務があり、そのチェックが実際に認定結果を変える可能性がある場合だけです。

これらの2つの条件（義務的で、拘束力のある）は、ほとんどの場所ではデフォルトではありません。例外です。この両方がなければ、選挙夜に密閉されたバッグに入っている紙は、保護手段ではなく小道具です。

プリンストンの投票機が実際に証明したもの

あのディーボルド AccuVote-TSに戻ってください。フェルドマン、ハルダーマン、フェルテンは単に理論的な脆弱性を実証していただけではありません。彼らは実際のハードウェア上で機能する投票奪取ウイルスを構築しました。攻撃は内部監査ログを制御していたため、内部監査ログでは検出不可能でした。

ここで、その機械が投票がキャストされるたびに各投票の紙の記録も印刷していたと想像してください。いわゆる有権者検証紙監査証跡（VVPAT）です。それは攻撃を止めたでしょうか？

誰かが紙を機械の合計と比較した場合のみです。その比較が法的に義務的で、オプションでない場合のみです。矛盾があれば、プレスリリースではなく拘束力のある調査をトリガーした場合のみです。そして、検査された紙の投票票のサンプルが、接戦の操作を捕捉する実際の統計的確率を持つのに十分な大きさがある場合のみです。

これらの機械を配備したほとんどの州では、これらの条件のいずれも満たされていませんでした。紙は印刷、梱包、密閉、貯蔵室にロックされ、誰かが訴訟を起こしてそれを開くまで、どうすることもできませんでした。誰も従う必要のない紙の記録は、高額な再利用可能なだけです。

これがプリンストンの研究が実際に露呈させたギャップです。単に機械がハッキングされる可能性があることではなく、それを取り巻く検証アーキテクチャ全体が虚ろであるということです。その機械は設計上、監査不可能でした。そしてそれを取り巻く政治的および法的システムはそれが監査されることをまったく要求していませんでした。

コーヒー郡の投票システム全体がドアから出て行った日

2021年1月7日、議会が大統領選挙を認定するように予定されていた翌日に、コンピュータ法医学企業がコーヒー郡（ジョージア州）の選挙管理局に入ることを許可されました。彼らがコピーしたものは、ファイル数個ではありませんでした。

彼らは選挙管理システムサーバーを取得しました。ポーリングパッド。投票マーク装置。スキャナー。そしてジョージア州のドミニオン投票システムソフトウェア全体。

すべてです。1つの郡。1日。

ジョージア州事務長官室はそれを、以前の郡当局者が州法に違反して有効にした不正アクセスと呼びました。このエピソードは連邦裁判所カーリング対ラッフェンスペルガー事件に提出された供述書に記録されています。それに関連する何人かはその後、ジョージア州の2020年の結果を覆す広範な取り組みに関連する容疑で有罪を認めました。

コーヒー郡のエピソードが明確に示すのは、**「ソフトウェアは独占的であり、したがって安全である」と言った安全保障モデルは、1月7日にそのオフィスで死にました。**秘密は安全保障アーキテクチャではありません。鍵を持つ誰かがドアを開けると、秘密は明かされます。この場合、ソフトウェアはコーヒー郡を超えて広がりました。

しかし、紙の記録の質問に直接つながる部分はここです。ジョージア州は紙の投票用紙を使用しています。紙があります。2020年に約500万の大統領投票用紙の大規模な手による集計を実施しました。紙は存在します。

それでもコーヒー郡の侵害は起こりました。紙は集計を保護しますが、ソフトウェア環境や、これらの投票用紙を生成してマークするシステムの監督の連鎖は保護しません。あなたの投票マーク装置が危険にさらされていた場合、それが印刷する紙は、危険にさらされた装置が何を印刷するかを言うように忠実に記録するかもしれません。紙は、それを作成したプロセスと同じくらい信頼できるだけです。そのプロセスはサーバー上に存在していました。そのサーバーはコピーされ、ジョージア州の小さな郡の選挙事務所から持ち出されました。

監査が重要であることが許可されていないとき

紙の投票用紙があり、投票者が投票ブースから出る前に検証した正直にマークされた投票用紙があることを認めてください。それでも、監査が拘束力を持たない限り、保護されていません。

これは「非拘束力の監査」ギャップが現実になる場所です。いくつかの州と管轄区域は、選挙後の監査要件を可決しました。その要件は紙面では厳密に見えます。プリシンクの無作為サンプル、手による集計、比較です。しかし、監査が認定結果を変えるメカニズムはありません。監査は報告されます。矛盾は記されます。そして、認定結果は維持されます。

実際には何を意味するかを考えてください。あなたの監査が法的に非拘束力である場合、それが実際に提供するのは、当局者が「私たちは監査を行った」と言う方法です。そして監査はシナリオの下では選挙の結果に影響を与えることはできません。監査行為は通信演習になります。正当性を与えるが説明責任を提供しない儀式。

コロラド州が構築したものと比較してください。2017年から始まって、コロラド州は最初の州になり、州全体のリスク制限監査を完了しました。これは、手による確認の統計的なサイズを人種のマージンに合わせるプロセスです。接戦ですか？投票用紙をもっと調査してください。一方的な人種ですか？必要な投票用紙は少なくなります。主要な機能は、監査が必要な信頼レベルで報告された結果を確認しない場合、続けます。さらに多くの紙を調査します。数学が早期に停止して完了と言うことをさせません。

それが「拘束力」がどのように見えるかです。監査は歯があります。それは結果が立つかどうかを制御するため。

この構造がなければ、紙は慰め物です。

アントリムとその12票が失われたという厳しい教訓

2020年12月、アントリム郡（ミシガン州）が非常に間違った非公式の結果を公開した後、信頼できる共和党の郡に対して非常に信じがたいほどの結果で、ほぼ即座に捕捉されました。完全な手による監査が実施されました。すべての大統領投票用紙、手によって。ミシガン州務長官はその結果を認定しました。

しかし、ここで「監査がそれを確認した」という祝賀のヘッドラインで静かに脇に置かれる傾向がある数字があります。手による集計は、約15,700票の中で約12票の投票用紙の機械集計と異なっていました。

12票。完全な、注意深い、法的に監督された手による監査の中で。

さて、2020年のアントリム郡では、12票は問題ではありませんでした。郡レベルの大統領マージンは近くはなく、アントリムで12票によって決定された重要な人種はありませんでした。エラーは結果には無関係でした。

しかし「結果に無関係」がその文で何をしているかをよく考えてください。それは荷重を運んでいます。**手による集計が安心感を与えるのは、マージンが手による集計自体のエラーが重要ではないほど十分に大きかったからです。**実際のマージンが8票の場合、手による集計（私たちが証拠として提示する金標準）は誰が勝ったかを告げることはできません。結果を検証するために使用される非常なメソッドは、それ自体が決定されている人種と同様の票数で不確実です。

FactCheck.orgのアントリムの説明は陰謀論を適切に否定することに焦点を当てています。ハッキングや操作の証拠はありません。しかし、12票の矛盾は、安心感のあるヘッドラインが言わないことをささやきます。正直でよく実行された人間の手による集計さえ、削減不可能なエラーを持っています。彼らは常にそうします。投票用紙には曖昧なマーク。カウンターが間違い。仲裁には、2人の異なる人が異なる決定をするという判断の呼び出しが含まれます。

「監査がそれを確認しました」は安心感です。わずかな票の差で決定される人種では、それ自体がわずかな票の数で不確実な方法を使用して、それは証拠ではなく、安心感です。

これを実際にチェック可能にするもの

ここに真の検証アーキテクチャが必要とするものの正直なバージョンがあります。信頼ではなく、検証可能性。

**まず、投票者が実際に検証した紙。**機械によって印刷された紙ではなく、投票者によって調べられ、キャストされる前に確認された投票用紙または紙の記録。これはすべての依存関係が依存する基盤層です。

**2番目に、オプションではなく法律で要求される監査。**監査が候補者がそれを要求した場合のみ、または人種が候補者が1つを要求する法的費用を支払うことができるほど近い場合のみ発生する場合、ほとんどの選挙では、ほとんどの年では、ほとんどの管轄区域では監査がありません。紙は破壊されるまで貯蔵に座っています。

**3番目に、マージンに統計的にサイズ設定された監査。**固定パーセンテージのスポットチェック「プリシンクの3%を見た」は、接戦で非常に弱い証拠を提供します。リスク制限監査は、マージンに合わせてサイズ設定され、定義された統計的信頼を提供します。「何かを確認した」と「報告された勝者が実際に勝つ可能性が97%ある」の間に有意な違いがあります。

**4番目に、結果を変えることができる監査。**監査が矛盾を見つけて法律が「それを記して、とにかく認定しろ」と言った場合、紙の記録があり、監査があり、何もありません。チェーンはその最も弱いリンクと同じくらい強く、非拘束力の監査は破損したリンクです。

**5番目、これは暗号検証可能性が画像に入る場所です。チェックは完全にチェックを実行する人間を信頼することに依存してはいけません。**プリンストン大学の研究者たちは、機械がそれ自体の記録を操作できることを示しました。コーヒー郡は、独占的なソフトウェアが盗まれ、広がり、数ヶ月間ブラックボックスシステム内に隠れたままでいる可能性があることを示しました。アントリムの手による集計は、人間のカウンターが自分のエラーを導入することを示しました。

このメイズの出口は、より信頼できる当局者を見つけることではありません。それは、公人（特別なアクセスなしで公人）が、彼らの投票が含まれ、変わらずに、最終的なタリーに含まれたことを独立して検証できるシステムを構築することです。これはエンドツーエンドで検証可能な投票と暗号監査証跡が行うことが設計されています。紙を置き換えるのではなく、チェックを選挙を実行する人々から本当に独立させることです。

あなたを夜中に目を覚ましておくべき質問

すべての選挙の後、当局者は監査が実施され、結果が認定されたことを確認する声明を発表します。これらの声明のほとんどはおそらく正確です。ほとんどの場所で選挙を実行している人々は、良心的な民間人で、難しく、給与が低い仕事をしています。

しかし、「事務長官がそれを確認したと言ったこと」は請求です。それは検証ではありません。民主的な正当性の建築全体は、選挙を実行している公式が間違っているかもしれない可能性に、あるいは最悪の場合、中立的ではないかもしれないという可能性に基づいています。その可能性は偏執狂ではありません。それはそれを必要とする独立したチェックの前提です。

誰も確認する必要のない紙の記録は、プリンストンが実証したようなソフトウェア攻撃を捕捉することはできません。コーヒー郡で何が起こったかを捕捉することはできません。手による集計のエラーマージン自体より少ない投票数によって決定された人種を決着させることはできません。

検証できないもの、あなたは信頼することだけができます。そして信頼は安全保障アーキテクチャではありません。

選挙夜後の密閉されたバッグの紙は必要です。それは十分ではありません。これら2つの単語の間のギャップは、ほとんどのアメリカの選挙が現在どこに住んでいるかであり、より強力な監査法、統計的厳密さ、暗号検証可能なシステムが閉じる可能性があるギャップです。

ほとんどの場所はまだそれを閉じていません。

管轄区域全体で「非拘束力の監査」と「再集計する紙がない」ギャップがどれほど一般的であるかを確認してください、またはなぜ紙だけで十分ではないかについての2分間のバージョンを読んでください。リスク制限監査が実際に何を行う（そして行わない）かについてもっと詳しく知りたい場合は、ここで核となる検証ギャップをマップしました。

出典

すべての記事を表示ギャップを探索