最高法院因无法核实数字而推翻总统选举
肯尼亚最高法院不仅推翻了一场选举——它裁定，任何人都无法独立核实从投票站到全国计票过程的结果，就根本不是一个结果。
2017年9月1日上午，肯尼亚最高法院刚刚做了非洲历史上任何法院都未曾做过的事情：推翻了一场总统选举。
不是因为政变。不是因为投票站的暴力事件。而是因为这些数字无法被核实。
拉伊拉·奥廷加以约140万票之差败给了现任总统乌胡鲁·肯雅塔——这个差距之大，你可能认为足以说明一切。但法院不同意。以4比2的多数，它完全推翻了选举结果，并下令在60天内重新举行选举。法院在2017年9月20日发布的完整理由值得深入研究。法院裁定，独立选举和边界委员会未能符合宪法要求，即投票必须是简单、准确、可验证、安全、负责和透明的。不是其中一个词——而是所有这些词。
差距不是问题。问题在于链条。
断裂的链条
肯尼亚的系统在纸面上是现代选举管理的典范。这个国家大约4万个投票站中的每一个都应该完成一份第34A表——一份防篡改的结果表，记录该站的计票结果。这份表格应该以电子方式同步传输到全国计票中心，而纸质副本应该通过第34B和34C表格逐级上传，经过选区和县级部门。
这个想法很巧妙：顶部的每个数字都应该可以从底部的数字重建。任何有权获取原始表格的公民原则上都可以将它们相加，并独立检查全国总数。
但法院发现，并非所有第34A表都按法律规定进行了电子传输。它发现结果表格缺乏一致的安全特征。最终计票表——宣布谁将成为总统的文件——既没有水印，也没有序列号。独立选举和边界委员会主席在所有基础表格甚至还未到达的情况下就宣布了肯雅塔的胜利。
想象一下这在物理上意味着什么。在内罗毕的某处，一位官员站在摄像机前宣布总统选举的赢家，而那些——正是宣布所依据的证据——的表格仍在运输途中。链条的顶端在链条的底端被组装之前就已经被宣布了。
这不是一次计票。这是一个声明。
为什么差距无法拯救它
你最常听到的对肯尼亚裁决的反对意见是：140万票。如果翻转选举所需的欺诈或错误需要伪造超过100万张选票，难道无论文书工作如何，结果明显是正确的吗？
这是错误的问题。这是一个相信这个数字的人会问的问题。法院问的是一个不同的问题：我们如何知道这个数字是什么？
选举结果不是自证的。 公布的总数只有在产生它的过程本身可靠的情况下才是可靠的。如果第34A表并非全部传输，如果安全特征不一致，如果最终计票文件没有序列号——那么公布的总数就不是经过验证的总和。它是一个从一个不透明过程中浮现出来的数字，由其工作就是声明事物正确的机构宣布为正确。
这个区别将一个可信赖的选举与一个要求相信的选举分开。一个可信赖的选举让你可以核实。一个要求相信的选举要求你相信。
肯尼亚法院并不是指控独立选举和边界委员会欺诈。它说的是更基础的事情：这个过程的设计方式使得欺诈无法隐藏。一个无法证明不存在欺诈的选举在任何有意义的意义上都不是被证明的。
这不仅仅是一个非洲故事
其他民主国家的法院已经通过不同的途径得出了相同的结论，值得明确说明什么连接了它们——因为这种联系不是关于腐败、发展中民主国家或任何舒适的他者化，当肯尼亚这样的故事让我们感到不安时，我们会采取的措施。
2009年，德国联邦宪法法院宣布在2005年联邦议院选举中使用电子投票机违反宪法。这些机器在电子记忆中存储选票，没有选民可以核实的独立记录。法院裁定，投票和结果确定的基本步骤必须由公民可靠地审查，无需任何专业知识。不是由专家。不是由政府。由公民。这些机器未能通过该测试，允许它们的法令被宣布违反宪法。
2016年，奥地利宪法法院推翻了一次总统竞选——一次差距约3万票的选举——不是因为发现了欺诈，而是因为管理谁可以处理邮寄选票以及何时可以处理的规则在足够多的地方被打破，以至于约7.7万张选票受到影响。法院明确阐述了其理由：防止操纵的保障措施被违反的数量足以影响结果。不是操纵已经发生了。而是无法排除它。
相同的逻辑。不同的国家。不同的技术。相同的基本要求：任何人都无法独立验证的结果不是可以被信任的结果。
在2020年的马拉维，在发现官方计票单被涂改液改写——白出液涂在应该防篡改的文件上的数字后，法院推翻了总统选举。如果源文件可以被悄悄改写，就没有源文件。公布的总数变成了最后一个拿着Tipp-Ex瓶的人决定的数字。
"可验证"实际上需要什么
这些案件一起阅读，说明了一个精确的技术要求，很容易陈述但很难满足。
可验证性同时意味着三件事：
首先，每一票必须在投票时产生一份持久的、防篡改的记录——一份第34A表、一张纸质选票、一个有监管链的密封箱子。
其次，该记录必须以可独立核实的方式传输或转移到下一个聚合级别——以电子方式和同时进行，具有一致的安全特征，而不是在投票站和计票中心之间可以被中断或改变的过程。
第三，最终总数必须由任何人从源记录中重建——不是由选举机构，不是由受雇的审计员，而是由任何有时间和数据的人。
肯尼亚的系统概念是正确的。它要求第34A表以电子方式同步传输，正是为了让公众可以检查算术。它缺乏的是对该要求的实施，以及——关键的是——一种技术架构，使得不遵守在实时中是可见的，而不是仅在数周后在法庭上发现。
这个差距就是问题所在。
设计和验证之间的差距
这是这个论点的更难版本，超越肯尼亚的版本。
一个工作正常的结果传输系统会产生任何人都可以验证的数字。一个无声失败的结果传输系统——或一个可以被在所有表格到达之前宣布赢家的官员绕过的系统——会产生看起来相同但无法核实的数字。
从外部，你无法判断你正在看哪一个。
这就是为什么**"选举机构说结果是正确的"不能是分析的结束**。独立选举和边界委员会说结果是正确的。肯尼亚最高法院发现它无法从基础文件中验证这一主张。不是因为它发现了欺诈——法院没有发现欺诈。因为应该使这一主张可以核实的文件丢失、不一致或到达时间太晚。
同样的逻辑适用于每次官员或新闻稿告诉你审计确认了结果的时候。一个审计已经断裂的传输链的审计不是对选举的审计——它是对到达计票中心的东西的审查。无论这是所有选票、大多数选票还是精选，正是监管链应该证明的。
巴西提供了一个值得注意的反例：其选举机构每年运行其投票机的公开对抗测试，邀请任何合格的公民在真实选票面临风险之前尝试破坏系统。那不是新闻稿。那是对外部人员审查的结构性承诺。这种方法和"我们宣布结果经过认证"之间的差距就是可验证性和信任之间的差距。
什么会使肯尼亚的结果可以核实
肯尼亚系统的设计并没有错。宪法要求——从每个投票站同步电子传输第34A表——正是正确的想法。缺少的是对该要求的公开强制执行。
想象相反一个系统，其中每一份第34A表，在一个投票站被签署和扫描的那一刻，就被发布到一个公开的、仅追加的日志中——带有时间戳、加密哈希，并可供下载。任何候选人的代理人、任何记者、任何有笔记本电脑的选民都可以在表格到达时连续求和。公布的全国总数与已发布表格的总和之间存在任何差异的那一刻，该差异对所有人同时可见。
在那种架构中，主席不能在所有表格到达之前宣布赢家——因为宣言和基础证据都是公开的，一个明显与另一个不一致。肯尼亚法院必须在数周的诉讼后重建的问题将在实时中对任何有电子表格的人可见。
这不是幻想。许多民主国家已经在实时发布选区级别的、机器可读的结果。美国选举援助委员会自己的指导意见敦促官员使结果以常见格式可下载，以便可以独立核实。该架构存在。差异在于任何特定司法管辖区是否承诺了它。
没有官员会在新闻稿中发布的要点
肯尼亚最高法院的裁决从根本上说是对一项原则的司法表述，每个选举系统都应该从第一天开始围绕这项原则建立：任何人都无法独立检查的结果不是结果——它是一个声明。
声明和结果之间的区别是可验证性。不是可验证性的保证。不是审计线索的声称存在。实际的、公开的、可独立核实的可验证性：设计上防篡改的源文件、以使得不传输立即可见的方式传输，以及以任何人可以用来重建总数而无需征求许可的形式发布。
两名法官在肯尼亚案件中不同意，认为证据负担还没有被满足。这个异议并非无关——它告诉你法院与其坚持被证明有多接近的距离，而是相信官方结果的信念。在不同的法院、不同的日期、不同的证据标准下，同样无法验证的过程可能已经被挥手通过。
这就是应该让你整夜失眠的这个故事的版本。不是法院抓住它的情况。
而是没有人这样做的版本。
仍然无法核实的是：你自己国家的结果传输架构是否会经得起肯尼亚法院应用的测试。每个投票站的结果是否在编制时立即产生一个公开的、带时间戳的、加密防篡改的记录？任何公民是否可以独立求和这些记录并重现全国总数？如果你不能对两者都回答是，该架构就是要求你相信——而不是验证。
查看这个差距在全球范围内有多普遍 · 阅读2分钟版本 · 探索这个具体差距