← 所有文章

232张选票消失在计算机里，法院下令重新举行整场选举

法院下令重新举行选举——不是因为任何人证明了舞弊，而是因为232名选民按下了"确认"，他们的选票就此消失无踪。

2009年4月9日上午，赫尔辛基的一名法官做了芬兰历史上从未做过的事：命令三个市镇重新举行选举，从头开始。

没有选票被烧毁。没有装进投票箱的虚假选票。没有阴谋。只有232个人走进投票站，在触摸屏上做出选择，离开时相信他们已经投了票——实际上机器已经丢弃了他们的选票。

他们的选票消失了，他们从未意识到。

芬兰最高行政法院在判决书KHO:2009:39中言辞明确：2008年市政选举期间在卡尔基拉、考尼艾宁和维赫蒂进行的电子投票试点存在致命缺陷。选择使用电子投票的选民必须在做出选择后等待最后的确认步骤。很多人没有等待。说明书不清楚。机器的设计令人困惑。因此有人在选票被保存前就取出了智能卡——选票就此无声地消失无踪。

系统没有给他们任何收据。没有"你的选票已被记录"的提示。没有办法知道机器是否保存了他们的选票。

这种沉默就是这篇文章讨论的重点。

机器拿走了你的选票，一言不发

想想"投票"在机械层面上的真实含义。你做出选择。你用耐久的形式记录这个选择。某个人——或某个机器——计算这个耐久的记录。计数成为结果。

这些步骤都必须起作用。破坏链条中的任何一个环节，计数就不再是选民决定的计数。它变成了机器碰巧保存的东西的计数。

在芬兰的试点中，断裂发生在第一步和第二步之间。选民做出了选择。但其中232人在机器确认选票已保存前离开了——因为设计中没有任何东西告诉他们需要等待，也没有任何东西在之后告诉他们失败了。

232张选票，消失。无声。违背了选民的意愿。

法院认为这不是一个小的行政错误。这是投票方法本身的结构性缺陷。法院宣布选举无效。芬兰没有再进行电子投票试点。

这项判决应该被细细品读。法院不需要舞弊证据。不需要证明丢失的选票会改变结果。它应用的标准更简单也更严格：投票方法只有在每张投出的选票都被可验证地记录的情况下才合法。 如果选民无法确认他们的选票被捕获，这个方法就失败了——就这么简单。

"确认"不是用户体验问题。它是宪法问题。

简单的理解方式是芬兰有一个软件bug。修改说明书，添加更清晰的确认屏幕，下一次进行更好的试点。问题解决。

但这种理解方式错过了法院实际说的东西。

问题不是接口是否能改进。问题是：选民得到验证什么，什么时候验证？ 在芬兰系统中，答案是：什么都没有，永远没有。选民按下按钮，相信机器。没有独立的、耐久的工件——没有纸张、没有加密收据、没有选区级记录——选民可以检查以确认机器按照他们要求的做了。

这不是可以通过修复用户体验来解决的问题。这是系统设计方式中的一个范畴错误。

比较一下同一年德国联邦宪法法院阐述的标准——2009年3月3日，仅在芬兰判决前数周——当它驳回在2005年德国联邦议院选举中使用Nedap电子投票机时。德国法院认为投票和计数的基本步骤"可由公民可靠地在没有任何专业知识的情况下进行检查"。不是由审计员检查。不是由供应商检查。由普通公民检查。 因为任何低于这个标准的做法都会使民主合法性取决于相信正确的专家——这不是民主，这是委托。

芬兰的232张丢失选票正是德国法院在抽象意义上描述的东西。当记录步骤是看不见的且无法确认时，选民没有补救办法。他们无法知道他们的选票是否是232张消失选票中的一张。任何人都无法知道，直到有人统计数字并发现232人被记录为开始了这个过程但没有完成。

注意：错误之所以被发现，仅仅因为系统记录了未完成的会话。如果它没有呢？如果机器只是简单地没有计数而没有留下任何痕迹？有谁会知道？

这个数字应该让你感到不安

232张选票。在三个小市镇。这听起来是可以管理的。

现在从另一个角度计算数字。

芬兰试点涉及本地选举中数量有限的选民。232张丢失的选票代表大约2%的电子选票。2%不是舍入误差。在势均力敌的竞争中——很多竞争都以少于2%的差距决出——这种无声脱落率会改变结果。

更重要的是：这是一个被发现的系统的失败率。我们之所以知道这232张选票，仅仅因为系统保留了足够的元数据来重建发生了什么。法院有东西可以检查。

现在考虑没有东西可检查的情况。

在2006年的佛罗里达州萨拉索塔县，大约18,000张选票在一场由369票决出的众议院竞争中未被计录。这些机器是无纸的触摸屏——没有独立记录，没有线索。政府审计办公室测试了这些系统，无法确定是否有故障，部分原因是没有独立的东西可以测试。少计票可能是选民的选择。可能是机器故障。没人能告诉。

芬兰的错误被捕获了。萨拉索塔的永远没有。差异不是官员的素质。而是系统留下了什么。

"选民可验证"实际上必须意味着什么

现在变得精确了——也是大多数选举讨论出错的地方。

"选民可验证"已经成为官员和供应商贴在任何有纸张成分的东西上的短语。但并非所有纸张都一样。

一个打印你的选择的投票标记设备，然后用二维码编码，会给你一张纸。但在2020年，一个审查乔治亚州系统的联邦法院发现该系统"不提供可验证和可审计的选票记录，因为它依赖于二维码进行投票统计，而且该代码本身选民无法读取和验证"。机器从条形码统计。选民读取人类文本。如果这两件事不同意，选民无法知道。 纸张的手工重新计数审计条形码的输出，而非选民的意图。

这是一条纸张线索。它不是选民验证。

真正的选民验证意味着被计数的工件与选民可以独立检查和确认的工件相同。手写纸质选票满足这一点。可被制表的人类可读打印输出满足这一点。选民无法读取的二维码不满足。没有纸张的触摸屏不满足——就像萨拉索塔的那样。

荷兰政府2007年的科索尔特斯·阿尔特斯委员会在其报告"Stemmen met vertrouwen"（有信心的投票）中直言：「选举过程中没有秘密。」 任何电子方法只有在产生选民可以检查的纸质选票的情况下才是可接受的。荷兰完全放弃了投票机，回到了手写纸质选票。不是因为舞弊。因为可检查性的标准没有被满足。

芬兰人用不同的途径在两年后到达了同样的目的地。他们的触摸屏根本不产生任何可检查的记录。委员会的理论标准成为了一个真实法院的具体判决：重新举行选举。

不会公布的问题

芬兰案例中真正令人不安的部分是：系统无声地失败了。

没有报警响起。没有错误消息出现。没有投票工作人员注意到。232名选民走出投票站，相信他们做了一切需要做的。失败对他们伤害的人来说是看不见的，对运行选举的官员是看不见的，对所有人都是看不见的，直到有人在事后检查日志。

无声失败是投票系统中最糟糕的失败类型，因为当你发现它时，选举已经结束，伤害已经造成。

比较一下一堆纸质选票在阵风中吹出投票站的情景。明显。可恢复。有见证人。可以重建或在最坏的情况下记录为被破坏的保管链。法院可以检查物理记录。观察者可以计算剩下的东西。

电子无声失败不留下任何这些。它留下一个看起来完整的数字，由一个看起来运作了的过程产生，在一个没有外部信号表明任何东西出了问题的系统中。

这就是为什么选民可验证确认的案例不是设计偏好。这是知道选举是否真的发生了的最低要求。

当独立研究人员在2013年市政选举期间检查爱沙尼亚国家互联网投票系统时，他们发现一个资源充足的攻击者或不诚实的内部人员可以可信地破坏选票或选民隐私而不被发现。发表的论文建议爱沙尼亚停止使用该系统。爱沙尼亚当局对结论提出异议——但该交换中的关键词是不被发现。对现场国家选举的无声攻击。没有报警。没有错误日志。没有232名选民在事后被识别。

研究人员能够提出这些担忧，正是因为至少系统的某些代码和程序可供独立检查。可检查性使这个问题能够被陈述。 没有它，"这是否正确运作？"这个问题只有一个可用的答案：相信我们。

"审计确认了它"是声明，不是证明

这个故事有一个舒适的版本结尾。官员们发现了问题。法院采取行动。进行了新选举。系统得到改进。完成。

但那个版本要求你把发现和回应当作教训，而硬教训是什么是不可检测的。

在2020年密歇根州安特里姆县，错误的结果被公布并被捕获——但之所以被捕获，是因为他们对于一个政治立场众所周知的县来说是不合理错误。一个更微妙的错误，一个改变了紧密竞争的结果几百票而不使县看起来改变了政党的错误，可能会逃脱注意。而随后的手工重新计数——"黄金标准"检查——仍然与机器统计差异约十几张选票，共约15,700张投出。十几张选票的差异，由最受信任的手工方法产生。

在一个由十几张选票决定的竞争中，一个方法本身偏差十几张选票无法解决这个问题。"审计确认了它"和"国务卿说一切都很好"是保证。它们不是证明。 证明需要基础过程可被任何人独立验证——不仅仅是其工作是告诉你一切都很好的官员。

芬兰法院理解了这一点。它没有等待舞弊证据。它没有接受该系统已普遍运作的官方保证。它问：选民可以独立确认他们的选票被捕获吗？答案是否定的。那就足够了。

乔治亚州在2020年进行了大约500万张选票的完整手工计数——美国历史上最大的此类运动——机器计数和手工计数之间的变化约为千分之一。那是证据，纸张加审计让任何人都可以检查接近的结果。这是模式：一个耐久的、人类可读的记录，独立计数，由能看到每张选票的观察者。它起作用因为被计数的工件与任何人都可以检查的工件相同。

芬兰之后、萨拉索塔之后、安特里姆县之后的问题总是一样的：系统留下了什么，谁能检查它？

什么会真正使这个可以检查

芬兰案例在一个方面很清晰：一旦法院下令重新选举，错误被纠正。232名选民得到了补救。

但事后的补救不等于一个首先就不能无声地失败的系统。这就是"不能无声地失败"所需要的：

首先：选民必须在离开投票站前能够验证他们的选票已被记录。 不是说"感谢你投票"的屏幕。一个与独立可检查工件相关联的确认——选民可以检查的物理纸张、选民稍后可以根据已发布记录验证的加密承诺，或两者。

其次：被计数的工件必须是选民确认的同一工件。 选民无法读取的二维码失败此测试。选民自己标记的手写纸质选票通过了。

第三：独立审计员——不是官员、不是供应商、不是政党代表，而是真正独立的外部各方——必须能够检查从选民确认到最终计数的完整链条。 不是抽查。不是相信认证。实际检查，有权获取原始记录，在任何时间。

第四：结果必须在粒度级别公布——逐选区，以机器可读的形式——在每个选区的计数完成的瞬间。 不是在选票确认后。不是捆绑成州总数。选区级结果，任何人都可以下载、求和并与官方总数交叉检查，是公众可验证的最小单位。

这些都不是理论。科罗拉多州全州风险限制审计提供的统计置信度与竞争实际有多接近相关——在更紧密的竞争中进行更多检查，在压倒性胜利中进行较少检查，所有这些都以纸质记录为基础。框架存在。 缺少的部分，几乎处处都是，是普遍应用它的政治意愿以及足够快地发布结果的基础设施，以便在新闻周期继续前审计可以发生。

可以分享的要点

投票只有在可验证地被记录时才值得信任——由选民验证、在耐久工件中确认、并可由任何人根据公共记录进行检查。

芬兰法院不需要证明舞弊。它证明了更基础的东西：选民无法确认他们的选票被捕获的选举不是可验证的选举。 它是机器碰巧保存的东西的计数。

232张选票。三个市镇。一项判决。但它建立的原则适用于每个司法管辖区运行的任何系统——电子的或纸质的——其中选民无法独立确认他们的选择是否通过。

你应该问你自己的选举系统的问题不是"舞弊是否被证明了？" 而是："什么会让我看到我的选票被记录为我投出的样子？"

如果答案是"没有"——或"相信我们"——那就是需要填补的空缺。

查看这个空缺在世界范围内有多普遍 | 阅读2分钟版本 | 探索特定的验证失败

来源

查看所有文章探索漏洞