← 所有文章

你看不到计算你的投票的条形码。一家联邦法院注意到了。

你的选票打印了人类可读的文字——但扫描仪忽略了它，读取的是一个你无法解码的条形码。一家联邦法院用书面形式记录了这一发现。

2020年10月11日，亚特兰大的一位联邦法官正在阅读大多数选民永远不会看到的专家证词。

J. Alex Halderman博士——同一位在48小时内接管华盛顿特区网络投票试点的研究人员，也是花了二十年来压力测试选举技术的人——在宣誓下解释了乔治亚州的选票标记设备如何实际工作。你走到一个触摸屏前，进行你的选择，机器打印一张纸。纸张用普通英文显示你的选择。你把它带到扫描仪。扫描仪忽略了文字。

它读取一个二维码。

二维码是一个密集的黑白像素方块，以人眼在没有单独解码设备的情况下无法解析的格式编码你的投票。你没有实际的方式来验证条形码说的是否与打印文本相同。而条形码——不是文本——才是被计算的东西。

美国乔治亚州北区地方法院在其2020年10月11日对Curling v. Raffensperger案的意见书中发现了完全相同的问题：该系统"没有提供可验证和可审计的选票记录，因为它依赖于二维码进行计票，而该代码本身不能被选民读取和验证"。

这句话不是来自倡导团体或党派简报。它是联邦法院的事实认定，引用了专家证词和美国国家科学、工程和医学研究院的意见。

而且它指向了一个远比乔治亚州更深、远比一次选举更深、远比任何单一硬件更深的差距。

被计算的东西必须是你能检查的东西

这是Curling法院的发现所暴露的原则。

选票应该是你的记录——一件物理的人工制品，捕捉你的意图并且可以被任何检查它的人独立验证。这就是纸张的全部意义。纸张可以在停电、软件崩溃和网络攻击中幸存。纸张可以被人类用手计算。纸张是审计检查的对象。

但是一张带有二维码的纸并不完全是同一种东西。纸张携带两条记录：一条人类可读的记录和一条机器可读的记录。如果这两条记录可能偏离——而Halderman证明它们可以，通过一次改变二维码内容但不改变打印文本的网络攻击——那么被计算的人工制品就不是选民验证过的人工制品。

被计算的东西必须是可检查的东西。如果它们可以分离，你就没有纸质记录。你有一个纸质的不在场证明。

法院在潜在风险上是明确的。它指出专家证词关于"通过网络攻击交换或删除投票并危害系统的实际可行性，包括通过访问和改变用于计票的二维码"。它还引用了美国国家研究院2018年的发现，即"目前不存在技术机制来确保投票计算应用产生准确结果"，以及"仅靠测试无法确保系统未被破坏"。

这不是一个边缘立场。这是国家最高科学机构的深思熟虑的判断，由联邦法院认可。

法院做了什么——没有做什么

故事到这里变得不舒服了。

做出这些发现后，法院拒绝了下达任何救济令。距离2020年11月的选举仅几周，Totenberg法官得出结论，取消乔治亚州整个选票标记设备系统并转换到手写纸质选票不是应急时间表上的实际补救办法。混乱的风险太高了。她在宪法缺陷和治疗的破坏之间进行了权衡，选择让选举进行。

这是合理的司法判断。这也说明了系统如何自我巩固：一旦一个州部署了数万台选票标记设备，围绕它们重新培训了其民调工作人员，并打印了要被它们读取的选票，改革的窗口就在问题被记录下来的时候关闭了。

法院的发现留在了记录中。机器进行了选举。更广泛的案件最终在2024年以诉讼资格为由被驳回——不是因为基本发现是错误的，而是因为原告无法确定继续进行所需的法律资格。

"我们发现了问题但来不及修复"不是一种保证。这是对不可验证系统如何变得永久化的描述。

条形码问题的简史

乔治亚州没有发明这个差距。它买了它。

2002年《美国投票法案》投入联邦资金来替换在2000年失败的打孔卡和杆式机器。意图是合理的：旧的、模糊的技术产生了悬挂的风险。新的数字技术会更清洁、更准确。各州花了数亿美元升级。

但升级路径在许多情况下导致了触摸屏直接记录电子机器——根本不产生纸张的设备——以及后来，当纸质成为政治要求时，导致了产生条形码纸张的选票标记设备。条形码是一个设计选择，使得机器的计数更快、更可靠。它使验证对人类来说更难。

2006年佛罗里达州萨拉索塔县的灾难说明了这个问题的无纸版本：在一场由369票决定的竞选中，18,412张选票显示没有记录的选择，因为该县使用无纸触摸屏，没有什么独立的东西可以重新计算。GAO测试了这些机器，没有发现明确的故障——这意味着也没有办法证明机器运行正确。纸张就是回答这个问题的东西。但"纸张"和"可验证的纸张"不是同一件事。

德国标准，以及为什么它在这里仍然很重要

2009年3月，德国卡尔斯鲁厄联邦宪法法院裁定，电子投票只有在"投票和结果确定的基本步骤可以被公民可靠地检查且不需要该主题的任何专家知识"时才在宪法上是合法的。

不需要专家知识。这个短语承担了繁重的工作。

二维码不符合这个测试。读取它需要解码设备或软件专业知识。你不能拿起条形码对着光线，确认它与打印文本说的是一样的。德国法院的标准——来自该国的《基本法》和选举公共可验证性的原则——如果应用于条形码乔治亚州选票会令人不适。

德国裁决导致了对缺乏独立可验证记录的投票计算机的禁令。荷兰在同一年得出了相同的结论，在政府委员会确定任何电子方法必须产生"选民可以检查的纸质投票"后，回到了纸质选票和手工计算。

荷兰委员会的短语很精准。不仅仅是纸张。**选民可以检查的纸质投票。**条形码选票是纸张。它不一定是选民可以检查的纸张。

重新计票实际审计的是什么

这是容易遗漏的花招。

当乔治亚州在2020年11月后进行了大约500万张总统选票的全州手工计票时——美国历史上最大的手工重新计票——审计员们计票的是条形码选票。手工计票确认了机器计算的结果与百分之一以内相符。

这是一个有意义的交叉检查。它告诉你扫描仪一致地读取了条形码。它没有告诉你条形码是否与打印文本说的一样。对条形码选票的手工重新计票是对条形码一致性的审计，而不是对选民意图的审计。

要审计条形码选票上的选民意图，你需要解码每个条形码并将其与相应的打印文本进行比较。没有州作为例行事项这样做。

2021年Windham新罕布什尔州的司法鉴定审计提供了一个有用的比较。在那里，AccuVote扫描仪在缺席选票上将折线误读为标记的椭圆形——一个纯粹的机械错误，产生了数百张误计的选票，没有欺诈也没有恶意软件。该错误只有在纸质选票存在且人类可以检查它们以确定实际选民意图时才能恢复。这就是纸张的作用：当机器出错时恢复意图。

在条形码选票上，如果机器在条形码中编码了错误的选择，纸张就没有人类可以恢复的关于选民意图的独立记录。纸张是条形码的收据，而不是投票的收据。

Coffee County问题，压缩版

2021年1月，一家计算机取证公司被允许进入Coffee County乔治亚州选举办公室，并获得了所有东西的副本：选举管理系统、选票标记设备、扫描仪和乔治亚州的全州Dominion投票软件。这在Curling v. Raffensperger本身的证词中被记录过——同一个案件刚刚发现了二维码无法验证。

这一事件说明了一些具体的事情。乔治亚州的系统在部分基础上得到了辩护，即专有软件是安全的，因为它是秘密的。Coffee County表明这种辩护的价值：一个内部人员和一个没有上锁的门，加上一家计算机取证公司和一台笔记本电脑，可以在一个下午内复制整个系统。

一旦软件泄露，其攻击面未知的假设就崩溃了。对于闭源专有选票标记设备代码的安全论证从来就很薄弱；在Coffee County之后，它就消失了。

这就是为什么不可读二维码的问题不仅仅是一个可用性抱怨。这是一个系统架构问题。一个其可验证性依赖于其代码保密的系统，是接近任何对手的一步之遥，从而两者都没有。

"可验证"实际上需要什么

Curling法院的发现暗示了一个具体的标准：被计算的人工制品必须是选民可以独立检查的，不需要专家知识。

有些方法比条形码选票更接近这一点。

手写纸质选票，由光学扫描仪读取，将选民自己的标记置于记录的中心。扫描仪解释标记；人类审计员可以独立地重新检查相同的标记并得出相同的结论——或不是。当它们不匹配时，如在Windham，纸张获胜。选民的意图在机器的错误中幸存。

具有仅人类可读输出的选票标记设备——将选择打印为文本，没有与文本不同的编码条形码——部分关闭了差距，尽管它们仍然依赖于选民在提交前实际审查打印件。

密码可验证的投票系统，其中每张投入的选票可以针对公开发布的匿名记录进行检查，使用开放的、可审计的数学，会更进一步——但如2019年瑞士邮政案所证明的，即使是发布的源代码和发布的密码证明也可能包含只有对抗性的外部审查才能发现的后门。开放性是必要的；它是不充分的。独立的、持续的审查是使开放性真实的东西。

唯一不起作用的答案是乔治亚州在2020年给出的答案：一个纸质记录，官方流程将其视为可验证但选民实际上无法解码。

官方保证，以及它所依据的东西

2020年选举后，CISA和它的选举基础设施合作伙伴发布了联合声明，宣称它是"美国历史上最安全的"。声明特别引用了纸质记录作为原因：它们启用了重新计票和审计。

但CISA声明自己的逻辑依赖于纸质记录意味着什么。如果正在审计的纸质记录是选民无法读取的条形码，如果审计程序只检查条形码是否被一致地扫描而不是检查它们是否编码了选民的选择，那么保证就是循环的。它说：我们确认机器正确读取了条形码。它没有说：我们确认条形码包含了选民的选择。

这不是一个阴谋论。这是联邦法院写在纸上的结构性差距。

Curling发现不是乔治亚州2020年结果是错误的证据。它是系统不是设计成让你独立找到答案的证据——而这就是问题，不管任何特定的结果。

仍然无法验证的东西——以及什么会修复它

以记录事实的方式，这是仍然开放的：

乔治亚州——或大多数使用条形码选票标记设备的州——没有日常流程来解码每个二维码并将其与打印文本进行比较。审计检查机器的一致性，而不是选民的意图。

美国国家研究院的发现，由Curling法院引用，仍然成立：目前不存在技术机制来保证投票计算应用产生准确的结果。测试抓住了许多错误。它不能保证所有错误或所有危害的缺失。

什么会使这个可以被任何人检查：

首先，用仅人类可读的记录替换条形码选票记录，或要求条形码与打印文本的定期解码和比较作为强制性审计步骤。

其次，在每个选区最终时发布选区级别、机器可读的结果——所以任何观察者可以下载、协调和交叉检查而不需要等待官方摘要。

第三，在投票系统中要求开放的、独立可审计的软件，所以外部研究人员可以检查生成二维码的代码，而不仅仅是它打印在上面的纸张。

第四，将"法院没有发现操纵的证据"和"官员确认了结果"视为验证对话的开始，而不是结束。

Curling法院发现了问题。机器仍在运行。差距仍然存在。

修复不是不同的官员说一切都很好。修复是任何人都可以检查的系统——包括你。

查看世界各地不可读选票记录差距有多普遍 | 阅读两分钟版本 | 探索完整案件地图

来源

查看所有文章探索漏洞