← 所有文章

监管链：决定你是否能信任选举的乏味文书

一场选举在整个国家被宣布无效——不是因为有人作弊，而是因为没人能证明他们没有作弊。这里是那些能改变一切的文书。

2016年5月23日上午9点之前，在奥地利某个地区选举办公室，选举委员会的一名成员正在做一件严格违反法律的事情。

邮寄选票已经送达。密封的外信封——每一个都是围绕选民一票的纸质堡垒——放在桌子上。法律规定这些信封在选举后的次日之前不能被触碰。法律规定只有地区选举机构才被允许打开它们。法律规定必须有见证人在场。法律规定必须保存日志。

这些都没有发生。

委员会成员还是打开了信封。也许有压力要求加快计票。也许这感起来只是个微不足道的捷径。也许没人想到这会有影响。

六周后，奥地利宪法法院宣布整个总统决选无效。

什么是实际的监管链

在我们讨论法院和后果之前，让我们精确定义我们在说什么——因为"监管链"听起来像法律术语，实际上简单得多。

监管链是记录谁触碰了什么、何时触碰、在什么权限下触碰，以及有什么见证人的文件记录。它是使一件物理证据在法庭上可用的东西。它是使血液样本在审判中可信的东西。它是使选票在经过数十只手、跨越数天后，仍然可以证明是选民放入盒子中的同一张选票的东西。

没有它，你无法区分"什么都没发生"和"发生了什么但没人抓住"。

这种区分至关重要。这正是奥地利宪法法院正在裁决的问题。

奥地利2016年：监管链断裂，结果也随之断裂

2016年5月22日的奥地利总统决选异常接近。亚历山大·范德贝伦以大约30,000票的优势击败诺伯特·霍弗——在全国选举中不到百分之一的差距。

邮寄选票至关重要。数十万奥地利人通过邮件投票。奥地利法律对这些选票的处理方式有明确规定：外信封不能在选举后次日上午9点之前打开，只能由地区选举机构打开，只能在规定的委员会成员在场的情况下打开，只能有见证人在场。

宪法法院在审查对结果的质疑时，在其第W I 6/2016-125号裁决中发现，在多个地区，这些规则都被违反了。选票被过早计数。未授权人员接触了信封。缺少必需的见证人。没有适当的日志。

大约77,000票受到了证实的程序违规影响——超过获胜票数的两倍。

法院发现没有实际欺诈的证据。让这一刻沉淀一下：选举在没有识别出单一被篡改选票的情况下被宣布无效。 问题是断裂的监管链使得无法排除选票被篡改的可能性。无罪证明和有罪证明需要相同的东西：关于谁何时接触了什么的记录完整、不间断的记录。

新的决选在2016年12月4日举行。整个国家重新投票，因为少数几个地区办公室的记录保存失败。

监管链同时在做的两件事

这正是奥地利案例如此启发人心的地方：监管链并未因欺诈而断裂。它断裂是因为一些官员把规则当作官僚形式而不是完整性机制。

这是大多数监管链失败背后的误解。

这些规则同时为两个完全不同的目的服务，而且两者都是必不可少的。

首先：防止欺诈。 如果选票只能由授权人员在授权时间以见证人在场的情况下触碰，篡改的窗口就很狭窄且有见证。房间里总是有人。日志中总是有一个名字。

其次：证明欺诈没有发生。 这是人们经常遗忘的一半。在选举后，如果有人质疑结果，证明没有发生篡改的唯一方式是提供完整、不间断的记录，显示触碰过每张选票的每只手。没有记录，就没有证明。不是欺诈的证明——是欺诈缺失的证明。

为了方便而断裂监管链，你就摧毁了本来能证明你清白的证据。

奥地利宪法法院完美理解了这一点。其裁决不是关于那77,000张选票发生了什么。其裁决是关于发生在它们身上的事情不能再被确定这一事实。在由30,000票决定的比赛中，这种不确定性在法律上和民主上都是致命的。

塔汉姆斯塔2014年：监管链因另一个原因断裂

奥地利向我们展示了监管链因疏忽而断裂时会发生什么。塔汉姆斯塔向我们展示了它因设计而断裂时会发生什么。

2014年5月，卢夫图尔·拉赫曼当选伦敦塔汉姆斯塔区行政市长。2015年4月，由专员理查德·莫雷QC主持的选举法庭宣布该选举完全无效。

埃尔兰及其他人诉拉赫曼及其他人案[2015] EWHC 1215 (QB)的判决发现了一份令人瞩目的腐败和非法行为目录：冒充、邮寄投票欺诈、贿赂、招待、虚假陈述和不当精神影响。法院发现普遍腐败现象如此广泛，以至于可以合理地假设它影响了选举。拉赫曼被免职。

邮寄投票是其中的核心。这是邮寄投票在任何没有强大监管链控制系统中产生的结构性问题。

当你在投票站投票时，投票箱中内置了监管链。你独自在票间里。没有人看你的手。没有人在选票进入密封盒子之前收集它。没有人把它带回家后再带回来。

当你通过邮件投票时，选票离开了受控环境。它在邮件中旅行。它可能在某人的家中放置。它可能与其他人一起填写。房间里可能有人——家庭成员、社区组织者、驾车送投票者的人——能看到标记了什么，或者自己填写。

邮寄选票的整个完整性取决于它到达计票桌之前发生的事情。 而这正是监管链中最难见证、记录和验证的部分。

北卡罗来纳州第9国会选区在2018年遇到了同样的漏洞。协调的缺席投票计划——收集选票，有时完成填写，有时干脆丢弃不利的选票——导致州选举委员会下令完全进行新的选举。欺诈者利用的方法是选票离开投票者手中和到达官方监管之间的间隙。

两种情况中的教训是相同的。监管链必须覆盖选票的整个旅程——不仅仅是在计票室发生的部分。

"谁可以触碰它、何时、以及如何证明"在实践中真正意味着什么

选举中的监管链不是一条规则。它是一个相互关联的要求系统，每一个都关闭了不同的间隙。

授权：只有在每个阶段具有特定角色的特定、指定的个人才可以处理选票。"选举办公室"不是一个人。必须有一个名字、一个角色和一条记录。

时间：行为只能在指定的时间发生。奥地利的规则不是关于对特定官员的不信任——它们是关于确保计数不能在法定时间窗口开放之前开始，以便事件序列之后是可证明的。

见证：大多数处理步骤需要至少一个来自直接团队外的观察者——来自不同政党的代表、独立见证人、公众成员。奥地利的违规包括在没有必需见证人的情况下进行的计数。那位见证人不是为了在当时有用。他们是为了在六周后有用，当有人问发生了什么时。

密封容器：物理防篡改证据。在离开投票站前密封的选票箱以完整密封到达计票室是监管记录中的一个声明。箱子到达时密封被破坏需要在记录中解释。解释是监管链的一部分。

日志记录：每个步骤的同步记录。不是记忆。不是近似值。一个签名、一个时间、对做了什么和谁做的描述。日志是监管链实物化。

在这个系统中断裂任何一个环节，你就有了一个间隙。一个间隙意味着断裂涵盖的时期是无法验证的。而在接近的选举中，无法验证的时期在法律上与欺诈机会无法区分，无论是否真的利用了机会。

手工计数和监管的不舒适数学

这个故事有一个版本以这样结束："然后官员手工计数所有东西并确认了结果。" 法院说。国务卿说。这值得精确说明该声明确立什么和不确立什么。

乔治亚州在2020年对大约500万张选票的全州手工计数是一项非凡的成就——159个县、41,881个批次，在六天内完成。手工计数证实了机器列表结果，误差约百分之零点一。 这是真正有意义的。一张物理纸质选票，独立计数，是任何严肃验证体系的支柱。

但是手工计数的好程度仅取决于它背后的监管链。如果你不知道这41,881个批次中的每张选票是相同的投票者投的选票——如果投票者的手和计票桌之间有任何未记录、无见证的间隙——那么手工计数是在确认盒子内容物的完整性，不一定是投票者提交内容的完整性。

这不是假设性的。在密歇根州安特林县2020年，对总统选票的手工审计产生的最终计数仍然与机器列表差异约为粗略15,700张投出选票中的十几票。十二票。在一个小县、在不在地方决定的比赛中。但十二票是对手工计数——黄金标准——的提醒，它有自己不可减少的人为错误：选票被误读、一堆被误数、一个不清楚的标记被两个不同的人不同地裁定。

在由为数不多的票决定的比赛中，一个验证方法本身就差几票的方法无法解决问题。 "手工计数确认了它"和"国务卿说没问题"是安慰。它们不是证明。把安慰变成证明的东西是任何观察者都能检查的独立、不间断的记录——不是因为他们信任制作它的官员，而是因为记录的结构使得篡改会留下可检测的痕迹。

科罗拉多州的风险限制审计框架指向正确方向：统计上严格的抽样，按比赛差额调整大小，针对持久的纸质记录进行。但即使是RLA也要求纸质记录本身从投票者的手到审计员的桌子经过不间断的监管链。

监管链不是审计的替代品。它是审计的先决条件。

是什么使监管间隙可检查——以及什么不是

奥地利案例提供了一些罕见的澄清：一个宪法法院以书面形式阐明了为什么程序遵守不是形式。

法院的推理不是"我们发现了欺诈。" 它是：在以受影响的票数大于获胜差额的方式中没有遵守所需的保障措施，因此无法验证结果。结果无法验证不是因为法院怀疑操纵——它明确发现没有——而是因为验证只有在记录完整时才可能。部分记录最多产生部分信心。

这与德国联邦宪法法院2009年应用的相同逻辑，当时它认为电子投票机是违宪的，因为普通公民无法独立验证投票的基本步骤——不是因为任何机器出现故障，而是因为架构使验证不可能。肯尼亚最高法院在2017年得出了相同结论，当时它宣布总统选举无效，因为从投票站到国家计票的数字监管链无法被独立检查。

维也纳、内罗毕和卡尔斯鲁厄的贯穿线是相同的：无法被独立验证的结果不是民主能够采取行动的结果。

修复也在每种情况下相同。它不是"信任我们——我们检查了。" 它是一个系统，使得检查不需要信任任何特定的人。即时、地方层级结果以机器可读形式发布。防篡改选票处理，具有任何人可以请求的同步日志。审计跟踪结构化，以便记录中的任何间隙与计数中的任何间隙一样可见。

监管链是乏味的文书，直到它是唯一阻止合法选举和无人能为之辩护的选举的东西。

什么仍然无法检查——以及什么会改变这一点

这是奥地利宪法法院的裁决没有做的：它没有创建一个系统，在该系统中下一次奥地利选举的监管链可以被任何想检查的人独立验证。

它产生了一次新的选举。它没有产生一个新的架构。

在大多数进行邮寄选票的司法管辖区中，谁处理选票、何时处理以及有什么见证人的日志是一份内部行政文件。它可能不一致地保持。它可能不能被公开请求。没有标准化、实时、机器可读的监管事件发布，任何观察者都可以下载和验证。

这就是仍然缺失的。 "我们遵循了规则"和"这是无法改变的、公开可验证的记录证明我们遵循了规则"之间的间隙是产生维也纳2016、塔汉姆斯塔2014和北卡罗来纳2018的间隙——并将产生下一个的间隙。

关闭这个间隙的工具是存在的。监管事件的密码日志。授权人员何时触碰了哪个密封容器的实时、签名记录。在每个监管步骤发生时发布的机器可读审计跟踪，而不是之后重建。不是因为任何特定官员不可信——而是因为需要信任的系统是一个信任可能被误放的系统，以及在为时已晚之前错误和不当行为无法区分的系统。

任何人都能检查的监管链不是任何人都能悄悄断裂的监管链。

查看这个间隙在世界各地有多普遍 →

阅读可验证性问题的2分钟版本 →

探索完整的监管链间隙 →

来源

查看所有文章探索漏洞