← 所有文章

取消投票机的国家

2007年，荷兰政府委员会提出了一个简单的问题：普通公民能否验证投票机是否正确计票？这个答案改变了一个国家的投票方式。

时间回到2006年秋天，一群名叫"Wij vertrouwen stemcomputers niet"（"我们不信任投票机"）的荷兰活动人士站在电视摄像机前做了一件让政府尴尬的事。

他们获得了一台Nedap投票机，这是在整个荷兰使用的同一型号。他们在摄像机前打开了它。他们演示了它可以被篡改。他们展示了它的无线电信号可以从投票站外被检测到，可能会泄露某人的投票方式。他们不是在学术期刊上发表文章的研究人员。他们是普通公民，在电视上公开证明一个观点，而管理选举的人必须看着。

荷兰政府没有驳回他们。

几个月内，政府撤销了正在使用的机器的认证，并委托一个独立的咨询机构——由F. Korthals Altes担任主席的选举过程咨询委员会——来审视荷兰应如何进行选举的整个问题。2007年9月27日，该委员会提交了报告。标题是Stemmen met vertrouwen。

充满信心地投票。

委员会实际上说了什么

Korthals Altes委员会没有为工程师撰写技术白皮书。它提出了一个民主论点。

它规定了核心要求：透明度、可检验性（controleerbaarheid）、完整性和投票保密。 它明确指出，选举过程中没有秘密——问题必须能被回答，答案必须可以被检验和核实。不仅原则上可检验，而是实际上可以由公众检验，无需专业知识。

然后它划清了界线。在投票站进行纸质选票投票从透明度和可检验性的角度来说是更可取的。任何电子方法只有在产生选民可以亲自检查的纸质投票时才能接受。

正在使用的投票机没有产生这样的纸质投票。它们产生一个数字，存储在电子存储器中，在一个密封的盒子里，普通公民无法验证。委员会得出结论，这还不够。荷兰政府同意了。1997年批准投票机的法规被撤销。

荷兰回到了纸张和铅笔。选票现在由手工计票。

对于一个现代化、技术先进的国家来说，这是一件非凡的事情。这值得我们问一问为什么他们认为这是必要的——以及这对所有没有效仿他们的其他国家意味着什么。

电视摄像机揭露的问题

活动人士的演示主要不是关于黑客行为。它是关于一个更基本的问题：你无法观看计算机的思维过程。

当一张选票放入纸箱并由点亮的房间里的人类计算时，你可以看到选票。你可以看到手。你可以对判决提出异议。每一步都可以由在场的任何人观察——候选人的代表、记者、怀疑的邻居。德国联邦宪法法院在其2009年的里程碑式裁决中精准表述了这一点，该裁决禁止了电子投票机：投票和确定结果的基本步骤必须能被普通公民在没有任何专业知识的情况下进行审查。这不是技术标准。这是民主标准。

投票机从设计上就不符合这一要求。你把你的投票交给它，它交还给你一个数字。在这两个时刻之间，机器内部发生了什么你无法观察，机器不向你展示它的工作过程。

荷兰委员会的答案不是"制造更好的计算机"。而是"对公众可验证性的要求无法通过任何不透明的机器满足，所以移除这些机器"。

这比大多数政府愿意达成的结论更难。但逻辑是坚不可摧的。

没有纸质记录时会发生什么

要理解荷兰避免了什么，看看2006年11月在佛罗里达州萨拉索塔县发生了什么——荷兰活动人士进行电视演示的同一年。

萨拉索塔使用了无纸质的ES&S iVotronic触屏机器。选举之夜，该县报告在佛罗里达州第13国会选区的竞选中大约有18,000张废票——大约占所有投票的13%，显示没有记录的国会投票选择。该竞选以369票差距决出。

没有东西可以重新计票。

美国政府问责办公室对这些机器进行了测试，找不到解释废票的故障。它也谨慎地指出，有投票者验证的纸质记录可能提供了独立的确认，证明触屏机正确记录了投票。没有它，18,000名选民的意图问题就根本无法回答。结果成立了，没有人能证明它是正确的。

这就是无纸质差距的最赤裸的形式：一场势均力敌的选举，一个无法解释的异常，和没有独立记录可以检查。 不是阴谋。不是欺诈。只是一种不可消除的不确定性，它侵蚀了公众对正是公众信心最重要的竞选的信心。

荷兰委员会看着这个逻辑陷阱，决定：我们不会建立一个可能最终陷入这里的系统。纸质是保险政策，使其余的部分都可以被检验。

挪威从不同的角度得出类似的结论

荷兰并不是在仔细研究电子投票后退缩的唯一国家。

挪威在2011年地方选举和2013年议会选举期间在12个市政当局进行了互联网投票试点——谨慎地，仅作为纸质投票的补充，仅在提前投票期间。根据负责的部门，这些试点没有导致投票率增加。承诺的便利优势没有实现。

2014年，挪威地方政府和现代化部决定停止进一步的互联网投票试点项目。政府得出结论，在没有广泛政治支持互联网投票的情况下，考虑到关于投票是否可以被验证为如期投出的未解决问题，花费进一步的时间和金钱进行额外的试点是不合适的。

那句话——关于投票是否可以被验证为如期投出的未解决问题——做了大量的工作。挪威不是一个拥有脆弱机构或有竞争性选举历史的国家。它谨慎地进行了试点，诚实地评估了结果，并得出结论，如果无法确保每一票都按投出的方式计算的信心，该渠道就不值得成本。

注意挪威和荷兰的共同点：两者都通过透明的公共过程做出了决定，基于可检验性作为不可协商的要求。两者都不是在应对欺诈。两者都在应对无法验证欺诈没有发生这个不可能性——这，事实证明，是相同的问题。

无法被发现说谎的机器

要理解"无法验证"在其最极端的情况下意味着什么，考虑普林斯顿研究人员在2006年所演示的。与一台真实的Diebold AccuVote-TS触屏机器一起工作——当时在美国部署最广泛的机器之一——Ariel Feldman、J. Alex Halderman和Edward Felten展示了一个攻击者只需约一分钟的物理接触就可以安装恶意代码，该代码会窃取投票、改变所有日志和计数器以保持内部一致，并通过正常的选举活动自动传播到其他机器。

机器不会看起来坏了。它会产生一个总数。总数将是内部连贯的。机器自己的记录中没有什么会标记一个问题。

唯一可能捉住它的是机器不控制的投票者验证的纸质记录——机器无法改变以匹配其自己的欺诈的东西。AccuVote-TS没有产生这样的记录。

这就是荷兰委员会所说的"选举过程中没有秘密"的意思。如果证明计票的记录完全由被审计的机器生产和存储，那就不是审计。那是机器在检查自己的功课。

"我们手工计数了"是一种安心，不是证明——除非纸质记录在那里

电子系统的维护者经常指向审计：手工计数、选后审查、风险限制审计。这些都是真正的改进。科罗拉多州在2017年进行了首次全州风险限制审计。佐治亚州在2020年手工计票了大约500万张总统选票，机器计数和手工计数之间的差异约为千分之一。

但这些审计方法中的每一种都取决于同一件事：机器不完全控制的耐用纸质记录。 你不能手工计算从未打印过的东西。你不能对内存卡自身进行审计。

佐治亚州的手工计数之所以有效，是因为佐治亚州有选民标记的纸质选票。手工计数确认了机器总数，因为有独立的东西可以比对。

2006年萨拉索塔县没有这样的比对。佛罗里达州第13区有369票的差距，18,000张无法解释的废票，没有东西可以重新计票。审计选项不可用。它已经被从系统中设计出来了。

荷兰审视了这一点并做出了选择：纸质优先，永远优先，因为没有它，你可能迫切需要的审计选项就不存在。

还有一个进一步的复杂性值得直接命名。即使是手工计数也存在不可消除的人为误差。2020年12月密歇根州安特里姆县的手工审计——一个小县，大约15,700张选票——产生的最终计数仍然与机器列表相差约十几张投票。不是数千张。十二张。在一个确认了明确无误结果的低风险县审计中，这个差额是无害的。

在由少数几张投票决出的竞选中，一种本身偏差少数几张投票的方法无法解决问题。"手工计数确认了它"是一种安心。它不是证明。唯一将安心转化为证明的是一个系统，在这个系统中任何人——不仅仅是进行审计的官员——都可以独立检查基础记录，对照具有防篡改链的保管链。

这就是荷兰决定无法接受的差距。纸质加手工计数比黑箱更好。但是纸质加手工计数加任何人都可以检查的加密可验证的记录保管链更好。

更深层的论点：用可检验性取代信任

每个从不透明投票技术中退缩的国家都做出了相同的观察，通常是在危机之后：问题不是机器肯定是错的。问题是你无法判断任何一种情况。

德国宪法法院在2009年说了这句话，使2005年联邦选举中Nedap机器的使用无效。一场其正确性取决于隐藏软件的选举，无论是否曾被证明篡改，都不符合公众可验证性测试。

奥地利宪法法院因2016年总统竞选决赛，不是因为欺诈被证明——它没有被证明——而是因为邮件选票的保管链已经被打破，使得欺诈不可能被排除。法院的逻辑：没有人能验证的结果不是一个可信的结果，即使赢家是正确的。

肯尼亚最高法院在2017年推翻了一场总统选举，因为从投票站到国家总数的数字链无法对照防篡改的源记录进行检查。计票无法被验证。结果被推翻了。

贯穿始终的线总是相同的。它不是关于哪个党赢了。它不是关于证明欺诈。它是关于公众——不是官员，不是供应商，不是国务卿——是否能独立检查计票。当他们无法做到时，结果取决于宣布它的权威的信任。而不能被测试的信任不是信心。它是服从。

荷兰委员会的持久贡献是坚持可检验性作为先决条件，而不是作为额外的功能。 结果：一个仍然用纸张和铅笔投票的国家，其选举可以由站在房间里的任何公民从选票到最终计票进行观察，其政府不必要求你相信它的话。

仍然无法验证的内容——以及可以修复它的内容

这是即使在荷兰也还没有解决的东西。

手工计票的纸质选举可以以强有力的意义进行验证：选票是由多方观察的实物，计数是实时观看的。但该过程仍然依赖于人们正确计数，对每张选票完整的保管链记录，以及进入计票的选票与选民标记的选票相同的假设。人为误数、不完整的保管日志和后期替换都仍然可能。

荷兰模式在很多方面远好于无纸质机器。它不是加密可证明的，即软件端到端可验证系统所期望的——在这样的系统中，每个选民都可以独立确认他们的选票被包括在最终计票中而不泄露他们如何投票的系统，以及任何观察者都可以验证总数而不看到任何个人的选择。

这个差距在势均力敌的竞选中最重要。在由十几张投票决出的竞选中，一种本身偏差少数几张投票的方法无法明确确定谁赢了。这不是反对纸质的论点。这是在纸质之上添加独立、数学可验证性的论点——建立一个系统，其中公众不必信任计票，因为他们可以自己检查。

可检验的事实是这样的：现在，在大多数司法管辖区，公众没有这样的独立检查可用。总数被公布。官员说它是正确的。可能有也可能没有重新计票。基础审计线索可能有也可能没有以你可以下载和验证的形式发布。

这就是可验证性差距——而且它是可以弥补的。 它需要做的是立即发布选区级别的结果，以机器可读的形式，对照任何公众成员都可以独立核对的防篡改保管链。不是要求公众信任计票。向他们展示计票，以一种他们可以检查的形式。

荷兰在无法回答这个问题时放弃了这台机器：你能证明这个计票是正确的吗？

这个问题仍在等待一个比"相信我们"更好的答案。

想知道全球无纸质差距有多普遍？查看各司法管辖区的完整情况。想要关于可验证性在实践中意味着什么的两分钟版本？从这里开始。或深入了解真实审计线索的样子——以及它不是什么——在我们的差距页面。

来源

查看所有文章探索漏洞