← 所有文章

他们没有发现欺诈。他们还是重新进行了选举。

奥地利最高法院在2016年宣布一次总统选举无效——不是因为有人作弊，而是因为没有人能证明他们没有作弊。

想象一个上锁的房间。里面放着将决定谁成为奥地利总统的选票。这个房间没有进出记录。没有证人签到。房间里的一些选票被未获授权的人在法律规定前提前计票。当奥地利宪法法院审查所发生的一切时，它发现了一些引人注目的事情：它不能说欺诈发生过。但它也不能说欺诈没有发生过。 这种区别——微妙、程序化、几乎官僚化——足以推翻一次全国总统选举。

这就是本文要讲述的故事。

法院宣布选举无效，却无法证明选举被盗

2016年5月22日，奥地利举行了总统选举的第二轮投票。亚历山大·范德贝伦击败诺伯特·霍费尔，获胜票数约30,000张（超过450万张选票中），差距不到百分之一。霍费尔一方对选举结果提出异议。

2016年7月1日，奥地利宪法法院（Verfassungsgerichtshof）发布了第W I 6/2016-125号决议。长达38,000字。其结论是明确的。

奥地利法律要求所有邮寄选票的处理——外信封的打开、内信封的取出、实际计票——必须由地区选举当局专门进行，需要出席所需的选举委员会成员和证人，且不得在选举后第二天上午9点之前开始。

在一个又一个地区，这些规则都被违反了。缺席投票信封被提前打开。它们被未获授权的人打开。它们在没有所需证人在场的情况下被处理。法院发现大约77,000张选票受到了已证实的程序违规影响——超过获胜票数差距30,000张的两倍。

最重要的部分是：法院明确发现没有证据表明任何一张选票被改动、添加或销毁过。没有人被发现犯过欺诈罪。这些违规行为似乎混合了过度热情的官员和草率的行政习惯。然而选举还是被宣布无效了。

重新进行的第二轮投票于2016年12月4日举行。范德贝伦再次获胜。

为什么宣布一次你无法证明被操纵的选举无效？

奥地利法院的逻辑值得深思，因为它与我们大多数人对这个问题的直觉思考相悖。

大多数人假设问题是：有人作弊吗？ 如果答案是否，那么结果成立。但法院提出了更严格的要求：问题是程序是否严谨到足以让我们能够明确证明作弊不可能发生。当你在没有证人、在规定时间之前打开77,000个选票信封时，你破坏了进行该证明的条件。监管链条被破坏了。结果不是"可能没问题"。它是无法验证的。

"无法验证"不是比"欺诈"更轻的问题。在选举法中，它通常是同一个问题。

想象一下那些邮寄选票规则实际上做了什么。要求计票仅在第二天上午9点之后开始、仅由获授权的官员进行、仅在证人在场的情况下进行——这些条件中的每一个都不是形式问题。每一个都是链条中的一环，如果完整，它能让任何观察者重建和确认每张选票的处理过程。移除一环，链条就不再证明任何东西了。证人不是来监看欺诈；他们在那里以便不存在欺诈是可以观察和记录的。当证人不在场时，记录就不存在了——而没有文件的计票在法律和民主上是一种声称，而不是证明。

奥地利法院理解了在关于选举安全的辩论中容易丧失的东西：程序不是官僚主义负担。程序是验证机制。

监管链条问题不仅限于奥地利

奥地利的案例最清晰，因为法院用如此精确的方式阐述了其推理。但同样的潜在失败以不同形式出现在世界各地。

在2014年英国塔威尔哈姆茨区，一个选举法院发现了真实的邮寄选票欺诈——冒充、选票操纵和贿赂——并宣布市长选举无效。与奥地利不同的是，欺诈被证明了。但这种攻击之所以可能，是因为邮寄选票监管链条有漏洞：在受控的投票站环境之外移动的选票是可以被拦截、施加压力或伪造的选票。

在2018年北卡罗来州第9国会选区，一个协调的缺席选票计划——由州选举委员会描述为非法且资源充足——导致举行了一次新选举。再次：攻击面是在运输中、在获授权官员监管之外的邮寄选票。

在2020年马拉维，结果统计表在进入正式计票之前被用修正液更改。最高上诉法院的判决宣布总统选举无效，因为文件链——投票者决定的源记录——被明显破坏了。没有连续的、防篡改的监管。没有可验证的结果。

跨越司法管辖区、法律制度和大陆的模式是一致的：当物理监管链条断裂时，结果就失去了被信任的资格——即使，如奥地利情况，这种断裂似乎是粗心而非恶意。

更深层的原则：验证不是关于事后捕捉欺诈

这是奥地利案例强制显露的不舒服的含义。

我们倾向于将选举安全视为一个检测问题。有人作弊，有人抓住了，系统自我纠正。在这个模式下，选举后要问的问题是：审计发现了什么可疑的事情吗？

但奥地利法院应用的是一个更严格的标准。它提出的问题是：这次计票的完整性能否由中立观察者使用现有的文件和程序记录独立验证？ 当答案是否——不是因为发现了欺诈，而是因为程序没有被遵循——结果就无法被认证为清洁。

没有人能独立验证的结果不是"可能清洁"的结果。它是一个未解决的问题。

这个原则以不同的形式出现在肯尼亚2017年最高法院的判决（Odinga v. IEBC）中，该判决宣布总统选举无效，因为结果表格没有按法律要求传送，并且缺乏一致的安全特征。再次：没有欺诈证据。无效，因为从投票站到全国计票的链条无法独立验证。

这也是德国联邦宪法法院在其2009年的判决中阐述的同样原则，该判决禁止使用没有独立可检查记录的投票计算机：电子投票计数仅在普通公民而非仅专家能验证每个基本步骤时才合法。不是"可能没问题"。通过设计可以被验证。

邮寄选票是链条中最难保护的环节

值得精确说明为什么邮寄选票会产生结构上不同的验证挑战。

当你在投票站投票时，你在一个受控的环境内。官员在场。允许观察者。选票箱在证人面前被密封。监管链条从你的选票离开你的手的那一刻开始。

邮寄选票开始它的旅程是在你的厨房餐桌上，或者任何你碰巧所在的地方。没有观察者。没有在证人面前施加的密封。选票通过邮政系统旅行，到达选举办公室，必须由官员在加入计票之前处理。这些步骤中的每一步都是链条断裂的机会——不一定通过欺诈，但通过奥地利法院记录的同样种类的行政草率。

奥地利官员违反的规则——时间限制、证人要求、授权检查——正是因为邮寄选票的旅程引入了在人身投票通过设计消除的监管漏洞。这些规则不是程序形式。它们是投票站受控环境的替代品。

当它们被遵循时，链条是完整的。当它们被跳过时——即使是由在漫长的一天中运行进度延误的好意官员——链条就会断裂。而断裂的链条无法追溯修复。奥地利法院没有机制回头以信心重建77,000张选票发生了什么。所以它宣布无效。

"审计确认了"实际上意味着什么——以及不意味着什么

此时，一个理性的读者可能会说：但如果之后进行审计呢？那不会恢复信心吗？

让我们精确说明审计能做什么和不能做什么。

乔治亚州2020年对约500万张选票的全面手工重计——由乔治亚公共广播和NPR记录——确认了机器计票在约千分之一以内。这是一个非凡的结果，也是对物理的、选民标记的纸质记录允许对机器计票的独立验证的真正演示。它有效是因为纸质选票本身构成了从选民的手到重计表的一条完整的链条。

但注意那个审计实际上在审计什么：纸质记录。纸质记录仅在其自身的监管链条完整时才值得信任——如果我们知道那些选票是选民标记的相同选票，以相同的条件，在计票和重计之间未被改动。

审计无法重建发生在纸质记录本身上游的监管链条漏洞。如果77,000个邮寄选票信封被未获授权的人在没有证人的情况下打开，对相同选票的随后手工计票不能告诉你这些选票是否是原始的，或者它们是否以允许替换或移除的方式处理。审计计数现有的。它无法计数可能被移除的东西，或验证它看不见的东西。

这也是为什么手工计票在接近的比赛中不是最终判决。密歇根州安特林县2016年12月的手工审计——一个对约15,700张选票的细致、有序的审查——仍然产生了与机器计票不同的统计，约十几张选票。那不是对手工计票的控告；人工误计、模糊的标记和裁决中的判断要求是真实和不可避免的。但在由该错误范围内的差距决定的比赛中，"手工计票确认了"是一个保证——不是证明。一个本身关于十几张选票有误的方法无法解决由十几张选票决定的问题。

答案不是放弃审计。答案是建立系统，使监管链条的记录如此充分、透明和防篡改，以至于不会发生任何漏洞需要事后重建。

程序严谨到足以证明欺诈不可能发生

奥地利法院应用的标准在选举完整性的更广泛文献中有一个名称：端到端可验证性。想法是选举过程的每一步——从选民标记选票的时刻到结果被认证的时刻——都应以任何独立观察者能够重建和检查的方式记录。

这不是关于你是否信任官员。打开那些信封提前的奥地利官员据法院所能确定，没有犯欺诈罪。问题是他们对程序的偏离使结果无法验证——而且对任何人都无法验证，包括官员们自己。他们无意中使得给公众或法院证明它需要的证据成为不可能。

荷兰政府的选举流程咨询委员会在其2007年报告"Stemmen met vertrouwen"（带着信心投票）中得出了相同的结论：选举过程中没有秘密，问题必须是可以回答的，答案是可以检查和验证的。随后荷兰放弃了电子投票，回到手工标记的纸质选票手工计票——不是因为机器被发现作弊，而是因为它们的操作无法被验证到委员会的标准。

来自奥地利、荷兰、肯尼亚和马拉维的教训是同样的教训，以不同的方式表述：仅仅程序可能工作正确是不够的。程序必须以任何人都能独立确认它工作正确的方式工作。

什么会使这一切中的任何东西可以检查？

这是奥地利案例留下未解决的——以及它要求的。

宪法法院宣布了77,000张选票无效并命令重新运行。这是法律救济。但它是最后的手段救济，昂贵且不稳定，需要整个选举运行两次，因为行政程序第一次未能通过。

更好的修复是上游：用一条监管链条设计邮寄选票程序，使其文件化、时间戳和证人化，以至于一个漏洞会立即明显——而不是在法庭挑战中六周后被发现。每个打开的信封都应被记录。每个证人都应签名。每个阶段都应产生独立于进行计票的官员的记录。

除了邮寄选票，更广泛的原则适用于过程的每个部分：结果应在前期级别发布，立即，以任何人都可以下载和对账的机器可读格式。 不是因为官员不值得信任，而是因为对任何个人或机构的信任是脆弱的，而可验证性是持久的。查看这条监管链条漏洞在世界各地有多普遍。

在奥地利2016年之后或上述任何案例中，仍然无法验证的是在计票之前在官方监管之外移动的选票的处理——邮寄选票运输中、在授权打开时间之前的缺席信封。没有法院、没有审计、没有官方声明能够重建对在没有证人的情况下处理的选票发生了什么。这个漏洞只能由程序严谨到足以使漏洞永远不会打开的方式前瞻性地关闭。

目标不是一次官员确认一切都没问题的选举。目标是一次任何人都可以独立检查它是否没问题的选举。

阅读这个问题的2分钟版本 | 查看完整的漏洞追踪器

来源

查看所有文章探索漏洞