← 所有文章

并非所有纸质投票记录都是平等的：你能读懂的收据与你看不懂的收据

你投了票。机器打印了一张显示你选择的收据——还有一个你无法读取的条形码。联邦法院确认：是这个条形码而不是文字被计算。

时间来到2020年11月3日上午，在格威尼特县投票站的某个地方，一名选民站在Dominion投票标记设备前。她触摸屏幕。她做出选择。机器打印出一张纸质选票——一张真实的、她能拿在手里的纸张。她能读到上面的候选人名字。她把它放入扫描仪。

她无法读取的是印在那些名字旁边的二维码。

那个条形码才是扫描仪实际计数的东西。不是人类可读的文本。而是条形码。如果她的屏幕点击和那个条形码之间出了问题——如果软件无论是恶意的还是仅仅有漏洞，编码了与她做出的选择不同的内容——她将无法知道。她手里的纸张，她刚刚"验证"过的东西，不会告诉她任何她能检查的信息。

这不是假设性的担忧。联邦法院在2020年10月的庭审记录中说过。

法院阅读收据——并发现它无法阅读

在Curling诉Raffensperger案中，美国佐治亚州北区地方法院审查了有关佐治亚州Dominion投票标记设备系统的专家证词。法院2020年10月11日的意见和裁定很明确：该系统**"无法提供可验证和可审计的选票记录，因为它依赖二维码进行计票，而该代码本身无法被选民读取和验证。"**

法院还引用了美国国家科学院2018年的结论——目前不存在技术机制来确保投票计数应用程序产生准确结果，单靠测试无法确保系统未被破坏。

包括J. Alex Halderman博士在内的专家证词描述了一次网络攻击的实际可行性，该攻击可以通过更改二维码来交换或删除选票。即使只是短暂进入投票标记软件的攻击者——甚至可以远程操作——也可以编码不同的选择，而不改变打印页面上的任何人类可读的文字。

法院没有命令佐治亚州在2020年11月前改用手工标记的纸质选票。选举只有几周时间。临时更换系统有其自身风险，法院会权衡这些风险。这是一个合理的司法时间决定。但它不是对该系统的彻底清洁认可。

更深层的问题仍然成立：你无法阅读的纸质记录不是选民可验证的纸质记录。 它是一张你无法审计的交易收据。

查看二维码漏洞如何符合全球不可验证系统的模式

"选民验证"实际上意味着什么——以及它不意味着什么

"选民验证纸质审计记录"这个短语——VVPAT——听起来令人放心。它暗示选民检查了什么，纸质存在，审计会发生。实际上，这些词可以描述相差很大的系统。

想想验证需要什么。选民必须能够阅读记录。记录必须编码意图——选民实际做出的选择——以选民在投票前能够确认的形式。该记录的任何审计都必须计数人类可读的意图，而不是机器对其的翻译。

二维码同时不符合所有三个测试。选民无法读取它。它编码机器输出，而不是直接可见的意图。扫描条形码的审计是在审计机器的编码，而不是选民的意愿。

现在把它与手工标记的纸质选票比较。选民在"候选人X"旁边标记一个椭圆。该椭圆是记录。选民能看到它。审计员能看到它。法院能看到它。投票人的行为与被计数的物品之间不存在翻译层。佐治亚州2020年的手工计数——159个县在不到六天的时间内手工统计了大约500万张总统选票——之所以有效，是因为这些选票是手工标记的，而人类可读的标记就是投票。机器计数和手工计数之间的差异约为千分之一，这值得了解，而手工计数以人工过程可以提供的任何信度确认了结果。

但请注意，如果佐治亚州的选票箱中只有二维码选票，手工计数本来无法做的是什么：它必须重新扫描条形码。这意味着它将使用机器来审计机器。盒子里的纸张仅仅成为条形码的传递机制，而条形码是仅有的记录。

"纸质选票"和"选民可验证选票"不是同义词。 一个描述介质。另一个描述选民的意图是否可以被人类独立阅读。

印度尝试不同的方式：你能看到的纸条

现在向东旅行8000英里。

印度进行世界上最大规模的民主选举——数亿选民、每个选区都有电子投票机(EVM)，这是一个物流本身就是巨大挑战的国家。多年来，请愿人呼吁完全废除电子投票机，或应将每次电子投票与纸质记录进行交叉检查。2024年4月，Sanjiv Khanna和Dipankar Datta法官的最高法院法庭在民主改革协会诉印度选举委员会案中对这些问题做出了裁定。

法院拒绝命令返回纸质选票或100%手工验证VVPAT纸条。但这里的关键设计细节是：印度的VVPAT产生选民实际能读懂的纸条。

在按下印度电子投票机上的按钮后，纸条在一个小玻璃窗后面打印。选民看到候选人的名字和符号。他们可以确认它与他们按下的内容相匹配。纸条然后掉入一个密封的隔间——它永远不在选民的手中，所以无法被拍照作为买票收据——但选民已经以真实和直接的意义验证了记录，然后它被封存。

这与格鲁吉亚选票上的二维码在本质上是不同的。一个是人类可读的确认。另一个是选民被要求信任的不透明编码。

印度最高法院确实加强了对该纸条的规则：命令符号加载单元在符号加载过程后被密封和保护，在结果后保存至少45天，如果候选人付费要求，可在5%的电子投票机中进行微控制器验证。法院实际上是在建立更多的审计阶梯，即使拒绝要求最高阶梯。

印度的系统不是没有批评者。2024年的请愿提出了合理的问题，即每个选区是否有5个随机选定的投票站足够大的VVPAT样本来发现系统性的破坏。这些问题是真实的。但VVPAT的架构——选民在密封前看到的人类可读纸条——正在做一些格鲁吉亚二维码没有做的事情：它给了选民一个真实的、不受干扰的验证时刻。

在我们的漏洞追踪器中阅读更多关于VVPAT和全球纸质记录标准的内容

审计错误对象的审计

以下是从二维码问题衍生的问题，它比看起来更难。

当选举当局审计投票标记设备选举时，它实际上在计数什么？

如果审计重新扫描二维码——甚至通过将打印的选票送入不同的扫描仪——它在测试两台机器是否一致。这是针对某些硬件故障的有用检查。但这不是针对从一开始就编码了错误选择的软件的检查，因为两台机器都在读取原始软件产生的相同条形码。

如果审计只读取人类可读的文本而忽略二维码，它在做一些奇怪的事情：计数不是操作记录的候选人名字。选举夜运行的扫描仪没有计数这些名字。它计数条形码。人类可读的文本和二维码原则上可能发散——在一个被破坏的系统中，那个发散正是攻击。

审计检查选民意图——人类做出的标记，或人类看到的纸条——在本质上不同于审计重新计数机器输出。德国宪法法院在2009年以宪法术语表述了这一原则：投票和计数的基本步骤**"可以被公民可靠地、不需要任何专业知识地检查。"** 公民不能在没有专业知识的情况下读取二维码。公民可以阅读纸条上的名字。

荷兰政府的2007年"有信心地投票"委员会得出结论，任何电子方法只有在**"产生选民可以检查的纸质投票"**时才是可接受的。强调的是选民检查的能力——不是审计员的、不是供应商的、不是法院指定专家的。

在我们经过验证的案例库中查看2009年德国裁定和荷兰委员会

成为武器的收据：还有一个复杂问题

任何选民可验证记录中都存在一种内在的紧张关系，印度的VVPAT设计故意应对了这一点。

纸条是可读的。但它永远不在选民的手中。

这很重要，因为你可以带回家的选票——或拍照——是你可以向第三方证明的选票。而你可以向第三方证明的选票是投票买家可以要求你展示给他们的选票。法院在这个机制上已经很明确了。在Rideout诉Gardner案中，美国第一巡回上诉法院追溯了历史：秘密投票改革的采取是为了防止买票，方法是消除买家验证购买的能力。一张标记选票的照片恢复了该验证并重新开启了市场。

印度的VVPAT纸条对选民可见但在他们离开投票间前被密封。你可以确认你的投票。你不能向任何人证明它。这是正确的平衡：选民验证而没有胁迫的架构。

打印完整、人类可读纸质选票的投票标记设备——选民将其送入单独扫描仪的设备——比仅限二维码的系统更进一步。但它产生了一个新问题：那张纸能被拍照吗？如果可以，由谁拍照，在过程的什么阶段？"选民可验证"的安全属性取决于纸张的物理处理，而不仅仅取决于它上面打印的内容。

可验证性是一个系统属性，而不是一个特性。 它需要可读的记录、密封的处理、对选民意图的独立审计，以及防止篡改和胁迫的监管链。每一部分都很重要。移除任何一个，保证就会崩溃。

更深层的问题：谁检查检查员？

佐治亚州在2020年对500万张选票进行了手工计数，并确认机器结果在千分之一以内。这是关于一次选举的真实证据。Curling案留下悬而未决的问题——以及CISA 2020年11月的"最安全选举"声明没有回答的问题——是在未来选票箱中是二维码选票的选举中会发生什么。

CISA声明指出纸质记录"在需要时能够重新计数和审计。"这是真的。但声明没有说——而且其重要性非凡——是什么类型的记录能够进行有意义的审计。纸上的二维码是纸质记录。它不是选民可验证的记录。

如果佐治亚州或任何运行投票标记设备的州进行选后审计，重新扫描二维码，它已经产生了机器相互一致的证据。一致性不是正确性。2006年将Diebold AccuVote-TS变成投票盗窃病毒的普林斯顿研究人员构建的代码修改了所有记录、日志和计数器以保持内部一致。内部一致性审计正是那个软件被设计来幸存的。

2021年的Coffee县事件——整个司法管辖区的Dominion投票系统软件被复制并泄露——显示了封闭代码安全在实践中是多么脆弱。源代码的保密不是安全属性。这是一个在掌握它的人决定分享时就蒸发的便利。

答案不是假设这些攻击中的任何一个曾经发生过。而是建立系统，使得即使它们发生了也不会有关系——因为密封盒子中的选民可读记录会与任何被破坏的电子输出相矛盾，而该记录的独立手工审计会浮现出差异。

这是佐治亚州系统无法提供的架构，而印度VVPAT虽然不完美，但正在尝试提供。

什么会实际关闭差距

测试的表述足够简单，实施更困难，目前美国大多数投票标记设备部署都没有达到。

选民可验证纸质记录必须：

1. 在投票时刻人类可读。 选民看到单词和符号——不是条形码——并且在记录被密封前可以确认它们与他们的意图相匹配。

2. 是计数的操作记录。 被手工审计的人工制品必须是选民验证的相同人工制品，而不是它的机器翻译。如果扫描仪计数条形码，审计必须计数证明条形码与人类可读文本相匹配的东西。

3. 在它能被证明给第三方前被密封。 选民控制的收据是胁迫工具。选民看到但不能带走的纸条是验证机制。

4. 受到计数选民意图的独立审计。 不是机器输出审计。不是一致性检查。审计是一个人类阅读另一个人类标记的东西，两个数字与机器的输出进行比较。

这些都不需要放弃为需要它的选民提供电子协助。洛杉矶县的VSAP是在完全开源系统的前提下建立的，基于进行计数的软件应该能被局外人检查，而不是被作为供应商的商业秘密而被保护。可检查的软件加上人类可读的密封记录加上选民意图的独立审计是与仅仅可检查的软件不同的安全架构——而与封闭软件加二维码完全不同。

什么仍然不可验证——以及什么会使其可验证

这是2020年10月Curling意见没有解决的，也是之后没有任何官方声明回答的：

在任何运行二维码投票标记设备的选举中，其中选后审计包含重新扫描条形码，没有公开可获得的证据表明打印选票上的人类可读候选人名字与实际被计数的二维码相匹配。 该比较没有被系统性地执行。如果选票没有以允许大规模独立人类阅读的格式保存，事后执行可能在技术上不可行。

这个问题不是是否发生了欺诈。而是系统架构是否使得问题可以由供应商和选举当局以外的任何人回答。 现在，对于二维码BMD系统，诚实的答案是：不完全。

什么会使其可检查？一个常规的、预先指定的、公开可观察的打印选票的有统计意义的随机样本的手工阅读——不是重新扫描，而是人类阅读——将候选人名字与机器报告的总计进行比较，样本大小和方法在选举前发布，而不是在选举后选择。

这不是党派性的要求。这是德国宪法法院、荷兰"有信心地投票"委员会和印度最高法院从不同方向都达到的相同标准：公民必须能够检查基本步骤，不需要专业知识，使用他们自己验证的记录。

二维码无法成为该记录。

纸质记录只有在它记录你的意图——用你能读的语言——时才能保护你。

查看全球选民可验证纸质差距跨越司法管辖区 | 阅读这个论证的2分钟版本

来源

查看所有文章探索漏洞