← 所有文章2026年8月24日

邮寄投票：便利性与必要的制约措施

一位法官发现，活人投出的选票以已故人士的名义被提交——救济措施是宣布整个选举无效。

2015年4月23日上午，在伦敦一间法庭里，专员理查德·莫瑞QC正在宣读一项在英国民主有记忆以来从未发生过的判决书。伦敦塔哈姆莱茨自治市的执行市长卢夫图尔·拉赫曼在2014年5月以超过3000票的优势当选，现在被撤销职务。

不是暂停。不是调查。是撤销。

选举法院的判决书——Erlam & Ors v Rahman & Anor [2015] EWHC 1215 (QB)——长达217页，认定该选举因市长本人及其代理人进行的腐败和非法行为而被污染。这些行为包括：冒充投票、邮寄选票舞弊、贿赂、非法影响、虚假陈述和不当的精神影响。

邮寄选票的相关调查结论应该足以让任何选举管理人员彻夜难眠。

距离投票站一英里外投出的选票

当你亲自投票时，会发生一系列受控的事件。工作人员检查你的名字。你领取一张选票。你进入投票间。没人看你如何标记它。你自己将其放入密封的票箱。没有人在任何时候接触你的未标记选票、在你旁边填写它，或为你携带它。

邮寄投票打破了这些步骤的每一个。

你的选票通过邮政系统送到一个地址。它被填写——在某个地方、由某个人——远离任何官方见证。它回到一个信封，然后再放进另一个信封，然后放入邮箱。当它到达计票处时，它已经经过了没人登记过的许多人的手。

这不是假设的风险。塔哈姆莱茨法院发现证据表明，邮寄选票表格在有组织的活动中被填写——多张选票一起完成，远离投票者的家，有时甚至由不是注册投票者的人填写。法院发现了冒充投票：以未投票人士的名义投出的选票。

法院没有发现这些是孤立事件。它发现了一种广泛的模式，足以影响伦敦人口最稠密的自治市之一市长选举的结果。

救济措施不是重新计票。没有什么可以重新计票的。整个选举被宣布无效。

问题不在信封——而在信封内发生的事

让我们精确说明塔哈姆莱茨出了什么问题，因为这个教训很重要。

漏洞不在于邮寄投票存在。问题在于邮寄投票周围的制约措施——身份检查、空白选票的保管、要求投票者个人在隐私中完成自己表格的要求——要么不充分，要么被规避了。

**邮寄投票具有一个亲自投票没有的基本安全属性：一旦选票离开官方保管，其保管链就被打破。**选票被送到私人地址。它在没有见证人的情况下被填写。它密封在一个外信封中返回，该信封携带签名和出生日期检查，在2014年的英格兰，这些可以由站在投票者旁边的任何人伪造或引导。

邮寄的选票是一张在某个时期处于无人观察状态的选票。这个间隙——从空白表格到达家庭到完成的表格重新进入官方保管——就是攻击面。

这是一个有着悠久滥用历史的攻击面。在2018年北卡罗来纳州第9国会选区，一个协调的方案从投票者那里收集缺席选票——有时完成它们，有时只是夺走它们——州选举委员会最终下令完全重新举行选举。该方案的核心操作人员麦克雷·道莱斯后来因重罪被起诉。一个不同的候选人赢得了重新举行的选举。

两种情况下的机制是相同的：在选票处于官方保管之外时截获它。

奥地利2016年：未发现欺诈，选举仍被宣布无效

塔哈姆莱茨是有坏事明确发生的案例。奥地利2016年是程序出现问题的案例——而且没人能证明它没有。

2016年7月1日，奥地利宪法法院宣布联邦总统选举第二轮无效——亚历山大·范德贝伦从460万张投出的选票中赢得了约3万票的优势。法院的理由是有条不紊的，在某种意义上，是激进的。

奥地利法律对邮寄选票有明确规定：只有地区选举当局可以处理它们。信封不能被打开，选票不能被计票，在选举后第二天早上9:00之前。选举委员会成员和见证人必须在场。

法院在多个地区发现了违规行为。信封被提前打开。选票由未经授权的人员计票。所需的见证人缺席。大约77,000张选票受到已证实的程序违规的影响。

获胜票数差是30,000票。

**法院明确表示未发现任何实际欺诈的证据。**它没有说选票被改变了。它说因为对操纵的保护措施以超过获胜票数差的规模被违反，不可能确认结果是投票者实际决定的。选举被宣布无效。2016年12月举行了重新选举。

这是一个更难的论点，值得清楚地听取：**可验证性不仅是关于抓住已经发生的欺诈——它是关于足够严格的程序来证明欺诈不可能发生。**当这些程序被违反时，结果是不可验证的，无论谁实际赢了。

邮寄选票的"保管链"实际上意味着什么

将保管链想象成一个没有间隙的日志。每个接触过选票的人、何时、以及在什么权限下。

对于亲自投票选票：保管链从发行选票纸张时开始，继续通过你标记的选票进入票箱，运行到密封的票箱在计票时在观察下被打开的那一刻，并以批次被计票和再次密封时结束。每个环节都被见证、记录和交叉检查。

对于邮寄选票，保管链有一个结构性间隙——表格在私人地址期间的时期。程序法试图通过以下措施来补偿这个间隙：

发行邮寄选票前的身份验证（这个人实际上是否被注册且有资格？）
收到退回信封时的身份验证（签名是否匹配？所述出生日期是否匹配？）
在官方监督下及时、有见证人的打开返回的信封
收到的信封的安全、有记录的存储在打开日期之前

塔哈姆莱茨的调查结果表明第1和第2步被操纵——通过有组织的表格完成和某些情况下的冒充投票。奥地利的撤销发现第3步被违反。两个失败都指向同一个基本真理：邮寄选票保管链只有其最薄弱环节那么强，而目前某些环节是写在纸上的程序规则，而非任何可独立审计的机制所强制。

"只有授权人员可以打开信封"的规则不是防篡改密封。它是一个承诺。在对抗性环境中，承诺与证明不同。

秘密选票的发明正是针对这类威胁

有一个原因解释为什么澳大利亚选票——州印制的、私下标记的选票——在十九世纪成为全球标准。在此之前，投票是公开的。你大声表达你的偏好或在可见的簿册中表达。地主监视租户。雇主监视工人。1872年《投票法案》结束了英国的公开投票，正是为了打破公开投票所使能的贿赂和威胁。

逻辑很简单：如果没人能看到你如何投票，就没人能买通或胁迫你的投票。保密是一种安全属性，而不是礼貌。

邮寄投票对这个属性施加了压力。选票在家中被标记，家庭成员、地主、雇主或社区人物可能站在附近。在塔哈姆莱茨，法院发现证据表明选票是在有组织的聚会上完成的，而不是在投票者自己隐私的时刻。

这与秘密选票旨在防止的压力相同——只是从投票站搬到了厨房餐桌。

美国第一巡回上诉法院在Rideout v. Gardner (2016)中精确阐述了这个机制：秘密选票改革被采纳是为了"对抗广泛的买票和选民威胁"，这些做法依赖于买家或威胁者能够验证投票。任何让投票者能够证明他们如何投票的东西——选票照片、由对结果有利益关系的人见证的已完成表格——都会重新开启这个市场。

在观察下标记的邮寄选票在结构上是在公开投票。十九世纪为投票站解决了这个问题。我们还没有为门阶解决它。

答案不是禁止邮寄投票

邮寄投票满足真实的需求。残疾投票者。因工作而旅行的投票者。住院的投票者。偏远地区的投票者。许多国家的选举当局——以及美国大部分州——扩大了邮寄投票，正是因为使投票更容易获得会增加结果的合法性。参与度很重要。

问题不是是否允许邮寄投票。问题是我们是否设计了其保管链，使其与亲自投票的选票的保管链一样防篡改和可独立审计。

现在，诚实的答案是：不可靠。

以下是邮寄选票真正防篡改所需要的：

**可追踪的、唯一的选票标识符。**每张邮寄选票应携带一个密码学上唯一的标识符，让选举当局——关键是投票者自己——确认发行给他们的特定选票是收到并计票的选票，而不透露他们如何投票。这在技术上是可行的；几个国家正在尝试投票者可见的验证码。

**拍照、记录的信封处理。**收到的每个退回信封应在到达时被记录和时间戳，格式应可公开审计和机器可读。奥地利案例的关键是缺少证明谁何时打开了什么的日志。如果每个信封的收到和打开都被拍照，这些照片的哈希值被发布在公开分类账中，奥地利法院发现的那种程序违规会立即被检测到——而不是数月后通过证人证词重建。

**可独立审计的签名验证。**当前的签名匹配过程大多是应用于纸张的人类判断。被拒或接受的信封应生成任何方都可以检查的可审查记录。在势均力敌的选举中，边界签名的裁定是一个无形、不可验证的过程。它不应该是。

**实时保管日志。**从打印到派发到收到到打开，邮寄选票的位置和处理人员应被记录在一个产生防篡改跟踪的系统中。不是锁在办公室里的纸张表格。任何被认可的观察员——候选人代理、记者、独立研究者——可以针对最终计票检查的机器可读审计日志。

"审计确认了"意味着什么

官员们，在势均力敌的选举后，经常告诉我们程序被检查了，一切都很好。这通常是真诚的。它与证明不同。

乔治亚州2020年全州手工重新计票确认了机器计票的结果在约五百万张选票中大约百分之零点一内——一项重大成就。科罗拉多州的风险限制审计框架提供根据每场比赛的票数差校准的统计信心。这些是真正的改进。

但它们审计已经在票箱中的选票的计票。**它们无法审计票箱中的选票是否是投票者打算提交的选票。**如果邮寄选票是在强制下完成的，或由不是注册投票者的人填写的，它会与合法投票无区别地进入计票。手工重新计票会忠实地再次计票它。风险限制审计会对其进行抽样。两种方法都不会标记它。

塔哈姆莱茨的问题不在计票中。它在选票中。奥地利的问题不在结果中——而在一旦保管规则被违反，无法证明结果是未被篡改的。

这些是不同的失败模式，与任何计票后审计所捕获的不同。它们需要在过程的不同阶段进行控制：在选票被处理之前和期间，而不是在它已经被计票之后。

官方声明"计票是准确的"不涉及计票的输入是否合法。这个间隙是必须关闭的。

什么使这可被任何人检查

我们应该对邮寄投票的标准与德国宪法法院在2009年为电子投票设定的标准相同：基本步骤必须可由公民可靠地检查，无需专业知识。（联邦宪法法院，2 BvC 3/07。）

对于邮寄选票，这些基本步骤是：我的选票是否只发行给我？它是否密封完好地到达选举当局？它是否只由授权人员打开，在合法时间，有见证人？信封内的选票是否被归属于我的选票且只有我的选票？

今天，在大多数司法管辖区使用邮寄选票的投票者无法独立验证这些步骤中的任何一个。他们将他们的选票投入对他们而言是一个封闭过程，并相信官员们遵循了规则。

信任不是验证。

没人能独立检查的结果是一种保证。任何人都能独立检查的结果是一个证明。

使邮寄选票保管防篡改和可公开审计的技术存在。密码学日志、投票者可见的确认码、选票收到的机器可读公开分类账——这些都不需要替换邮寄投票。它需要用对待任何其他安全关键系统那样的工程严谨性对待邮寄选票保管链。

塔哈姆莱茨选举被宣布无效。举行了新的选举。卢夫图尔·拉赫曼不在选票上。塔哈姆莱茨的投票者再次投票，结果是不同的。

这就是系统失败而法院抓住它时发生的事。但法院是回溯性的、缓慢的和对抗性的。它们是最后的手段，而不是设计原则。

正确的问题不是"当欺诈或程序失败被发现后我们做什么？"正确的问题是：什么会使欺诈或程序失败不可能隐藏？

该问题在当今大多数邮寄投票系统中没有令人满意的答案。它应该有。

邮寄投票中的保管链间隙是我们在全球投票系统中追踪的更广泛问题的一个实例。查看这个间隙如何在不同的选举类型和司法管辖区中出现或阅读可验证性问题的2分钟版本。要全面了解保管链在何处断裂——以及什么独立可审计替代方案是什么样子——探索TrustVoting地图集。

来源

查看所有文章探索漏洞