← 所有文章

小的、平凡的错误比欺诈更常决定大选举的结果

在2008年芬兰的三个城镇中,232人投票,但他们的投票从未被保存——没有欺诈,没有黑客,只是一个没人告诉他们需要按的确认按钮。

时间是2008年10月26日上午,在芬兰城镇卡尔基拉,一名选民走进投票站,坐在电子终端前,做出了自己的选择,然后取出智能卡。她已经完成了要求她做的一切。她离开时相信自己已经投了票。

她没有。

她的投票从未被保存。终端需要最后一个确认步骤——短暂的停顿、一次按钮按压——但屏幕上的指导并未明确说明这一点。没有这一步,系统会无声地丢弃她的选择。同样的事情也发生在考尼亚宁和维赫蒂。在芬兰当天运行电子投票试点的三个市政当局中,232张选票在无任何声音的情况下消失在机器中。

没有警报。没有错误消息。投票者无法知道。

没人计划过的失败

芬兰不是与选举混乱相关联的国家。它拥有世界上最稳定的民主传统之一。2008年市政电子投票试点是一项谨慎、有限的实验——三个城镇、监督条件、同一投票站仍可进行纸质投票。

然而:232人离开投票站时相信自己已经参与了民主过程,事实上他们并没有。他们的意图在任何地方都没有被记录。

芬兰最高行政法院(Korkein hallinto-oikeus)进行了调查,并于2009年4月9日发布了判决书KHO:2009:39。法院发现,投票人说明和机器设计的缺陷意味着这三个市政当局的选举必须重新举行。新的选举被命令进行。芬兰没有继续进行电子投票。

仔细阅读这个顺序。错误不是网络攻击。不是欺诈。不是流氓官员。这是一个可用性缺陷——一个不能告诉人们他们需要做什么的界面——加上一个没有办法警告投票者其操作不完整的系统。该方法没有向投票者提供任何独立确认其选票已被捕获的方式。 所以当它没有被保存时,没人知道。

这是选举完整性对话几乎从不关注的那种失败。我们已经训练自己去寻找阴谋。平凡的灾难就在我们身边走过。

为什么平凡的错误是真正决定选举的错误

有一种持久的观念认为,接近的选举主要受到坏的参与者的威胁——有人填充选票,有人改变机器,有人贿赂选区工作人员。这个威胁是真实的且有文件记载的。但这不是微弱差距被除投票之外的原因决定的最常见方式。

更常见的原因是普通错误。而普通错误,顾名思义,是看不见的,直到有人查看。

折线在错误的位置。镜头上的灰尘。没人按的确认按钮。一个没有更新的存储卡。这些并不戏剧化,这正是问题所在。

考虑一下温莎姆,新罕布什尔州2021年7月进行的法医审计发现了什么。在2020年州代表竞选中机器计数和手工重新计数之间出现差异后,新罕布什尔州议会根据SB 43命令进行了全面的法医调查。审计小组——哈里·赫尔斯蒂、马克·林德曼和菲利普·斯塔克——将计数错误追溯到几乎滑稽平凡的东西:该镇为无关邮件目的租赁的折叠机。它折叠缺席投票,但不沿着选票的打印分数线。结果的褶皱穿过投票目标的椭圆形。AccuVote光学扫描仪将这些褶皱中的大部分读作已标记的投票。

该团队估计,大约44%的通过投票目标的褶皱在11月被解释为投票,实验速率根据条件的不同而从约20%到超过72%。白色粉末残留物也在扫描仪内积累,阻挡了镜头。没有恶意软件。没有篡改。没有欺诈。只是物理学。

只有因为纸质选票存在,这个错误才是可以发现的。人工审查可以恢复选民实际标记的内容——因为纸张仍在那里,仍然可以被人眼读取。审计报告得出结论,选举在大多数方面都进行得很好。但机器计数是错误的。捕获它的手工计数本身也是不完美的,手工计数总是这样。

"手工计数证实了它"是保证,而不是证明

这是标准保证崩溃的地方——我们需要诚实而不是安慰。

在2020年密歇根州安特里姆县,制表错误导致发布了不正确的非官方结果。原因是人为的:配置错误,而不是欺诈或恶意软件。之所以发现这个错误,是因为这个数字对县来说是非常不合理的。当官员在2020年12月对每张总统选票进行全面手工审计时,他们发现认证的机器总数和手工计数之间仍相差约12张,共投出约15,700张。

12张投票。来自手工计数。黄金标准。

一种本身相差几张投票的方法无法确定地解决由少数几张投票决定的竞选。

这不是指控。这是对人工计数工作方式的描述。人们对模糊标记进行错误分类。他们在计数堆栈时失去计数。他们争论随意的笔划是否穿过椭圆形。温莎姆审计指出了这一点:手工计数可以"确定选民意图",即扫描仪误读的——但手工计数也是人类活动,受人为判断和人为错误的约束。

乔治亚州在2020年进行的巨大手工计数,大约500万张总统选票——跨越41,881个批次、159个县、不到6天——证实了机器制表的结果,误差不到百分之一。这在规模上令人印象深刻。这也是提醒"大约百分之一"在一场非常接近的竞选中不是零。科罗拉多州的全州风险限制审计,在2017年推出时首次出现,提供了一种统计原则性的方法来根据竞选的接近程度确定检查的大小——但即使这些审计也取决于纸张记录的准确性,以及抽样是否真正随机。

重点不是手工计数毫无价值。它们是必不可少的。重点是**"手工计数证实了它"和"州务卿说没问题"是主张,而不是证明**。在由几十张投票决定的竞选中,用本身不确定数十张投票的方法确认是保证。这与独立可验证性不同。

这两种情况共享的结构问题

芬兰2008年和温莎姆2020年在表面上看起来不同——一个是北欧试点项目中的电子投票终端,另一个是新英格兰城镇的光学扫描仪。但它们共享同样的根本失败。

在两种情况下,系统产生的计数与实际投出的选票不同,没有实时机制让任何人——投票者、观察者或官员——独立检测到这一点。

芬兰的投票者没有确认他们的选票被捕获。温莎姆的选票没有办法标记折线正在损坏扫描。在芬兰,差距只是因为官员最终可以比较记录的电子投票人数与预期的选票数量才被发现。在温莎姆,它只是因为手工重新计数产生了足够不同的数字以促成调查——然后仅在法医团队花费数月才被完全解释的情况下。

两个错误都是在事实发生后被捕获的。两者都需要大量的努力来诊断。在芬兰的情况下,唯一的补救措施是完全重做选举。在温莎姆的情况下,结果成立——但受影响竞选中的差距在选举之夜是错误的,最后认证计数在多大程度上准确反映了选民意图是无法肯定回答的。

两个故事中的反派是不透明。 不是恶意。不透明。

法院实际上对此说了什么

这不仅仅是一个技术论证。来自多个国家的法院从宪法方面得出了相同的结论。

德国联邦宪法法院在2009年3月3日的裁定中——几乎正好是芬兰最高行政法院两个月之前——认为,电子投票仅当普通公民(无需专家知识)能够独立验证从选票到结果的每个基本步骤时才在宪法上是合法的。法院发现,仅在电子记忆中存储投票、没有独立可验证记录的机器未能达到这一标准。它在没有实际故障证据的情况下,使机器的法律依据无效。

荷兰政府的科尔塔尔斯·阿尔特斯委员会在其2007年报告《有信心地投票》(Stemmen met vertrouwen)中,以更清晰的方式阐述了这一原则:选举过程中没有秘密。问题必须有答案,答案必须是可检查和可验证的。荷兰放弃了投票计算机,回到纸张。

肯尼亚最高法院在2017年部分因为结果表缺乏一致的安全功能,选票站到国家计票的链条无法独立验证而取消了总统选举。马拉维法院在2020年因为票据用修正液被修改——一种平凡的物理干预,而不是网络攻击——留下了选民实际决定的可靠记录,而取消了总统结果。

注意所有这些案件的共同之处。它们不是关于黑客。它们是关于计票权威之外的任何人无法用来独立检查计数的机制的缺失。无论故障模式是可用性缺陷、折线、修正液还是无法读取的二维码,根本问题是相同的:本应证明结果的记录无法被独立验证。

更深层的论证:可验证性捕捉诚实错误,不仅仅是欺诈

关于选举完整性的公开对话几乎完全围绕欺诈展开。这是可以理解的,但具有误导性。欺诈是故意行为,故意行为留下痕迹——动机、模式、受益人。诚实错误除了一个错误的数字外什么都不留。

暗示很重要:一个仅为检测欺诈而设计的系统会错过最常见的错误。

芬兰的电子投票系统不是为了被黑客入侵。它的设计初衷是方便。它失败了,因为其设计者没有建立一个机制让投票者独立确认他们的选票被计数——没有这种机制,可用性缺陷成为无法检测的投票损失。

温莎姆的扫描仪没有受到损害。他们在做他们被编程做的事情:读取特定位置的深色标记。折线是特定位置的深色标记。如果没有物理选票的独立验证,机器的输出被视为权威。

补救措施不是不信任官员。大多数选举官员正在做真正困难的工作,资源有限,审查密集。补救措施是停止构建需要信任任何人的系统——并构建计票可以被任何人独立检查的系统,而无需相信特定的人或机构。

这意味着纸质选票,投票者实际标记并可以看到被计数。这意味着由统计学家设计的审计,以捕捉错误在可能改变结果所必须发生的规模——这是科罗拉多风险限制审计框架所尝试的。这意味着即时发布的选区级别结果,以机器可读的形式,所以任何拥有电子表格的人都可以重建计票并比任何官方审计更快地标记异常。这意味着密码承诺,让独立核查人员可以确认计票而不能看到个人投票。

这不意味着信任扫描仪。这不意味着信任说审计证实了它的官员。这意味着设计系统,使信任不是变量。

什么仍然无法验证——什么会使其可检查

即使现在,从芬兰和温莎姆案件中,我们也不知道什么:

在芬兰的三个市政当局,我们知道232张投票丢失了。我们不知道那些投票者打算支持谁。我们不知道这232张投票是否会改变任何个别竞选结果。我们知道新选举已举行。我们不知道重新运行的选民在组成或投票率上是否与原始选民相同。法院做了正确的事。这仍然对原始选民实际决定的内容留下真实的不确定性。

在温莎姆,我们知道折线导致了计数错误。我们知道法医团队出色地诊断了原因。我们知道手工计数恢复了审查选票的选民意图。我们不知道是否在之前的选举中使用了相同设备时出现了类似的折叠效应。我们不知道每个选票批次的确切错误率。结果已认证。证实它的方法携带了自己的不可减少的不确定性。

这些不是指控。这些是依靠事后检测而不是实时验证的诚实残留。

什么会使其可检查?一种投票方法,其中每个投票者收到一个匿名令牌——不可追溯到他们的身份——他们可以用来验证他们的特定选票出现在最终计票中,正确,而不透露他们如何投票。这是密码可验证端到端投票系统试图提供的。投票者不必信任终端、扫描仪、官员或供应商。他们自己检查。

该技术存在。它在大规模上尚不是标准。在此之前,每次由几十张投票决定的接近选举都是一个穿着自信西装的悬而未决的问题。

可分享的要点是这样的:对接近选举的最大威胁不是来自国外的黑客——它是没人注意到的折线、没人解释的界面、没有标记的错误,因为系统从未被构建来标记它。解决方案不是更好的官员或更大声的审计。它是对每个人都有效的可验证性,不需要任何人的信任,并在平凡的失败成为永久记录之前捕捉它们。

查看这种验证差距在全球有多普遍 →

阅读两分钟版本 →

浏览完整差距数据库 →

来源

查看所有文章探索漏洞