← 所有文章

无纸投票机：与民主的无收据交易

2006年，在佛罗里达州萨拉索塔县，18,000张选票消失在机器中，留下任何东西都无法重新计票。联邦法院在2020年发现同样的问题以新的形式出现。

2006年11月，在佛罗里达州的某个投票点，一名选民触摸屏幕，查看汇总页面，按下"投票"。机器发出声音。计数器在内存某处跳动。然后——什么都没有。没有纸张。没有存根。没有独立可验证的证明表明机器刚刚记录的选票就是选民真正想要投的选票。

这个时刻在萨拉索塔县重复了18,412次。

受此影响的竞选——佛罗里达州第13国会选区——的胜差仅为369票。由于萨拉索塔县的每台机器都是无纸ES&S iVotronic触摸屏，根本没有东西可以重新计票。没有存根，没有纸条，没有被锁定面板后的热敏纸卷。只有一个数字在一个盒子里，以及这个盒子的说法。

这是对本文讨论问题最清晰的说明。但它不是最危险的版本。最危险的版本出现在十四年后，涉及纸张。

你认为意义不同的收据

在关于投票技术的讨论中，有一个普遍假设：如果机器打印出什么东西，可验证性问题就解决了。纸张存在。重新计票。

这个假设是错误的，亚特兰大的一家联邦法院以不寻常的直言不讳表示了这一点。

2020年10月11日，美国地方法院法官艾米·托滕伯格在Curling诉Raffensperger案中发表意见，审查了格鲁吉亚州Dominion选票标记设备系统——替代格鲁吉亚州旧无纸触摸屏的机器。新系统确实生成一张纸。选民接近BMD，在触摸屏上做出选择，机器打印一张选票。该选票随后被送入制表机进行计数。

但法院发现了什么：机器打印的选票包含二维码，制表机实际读取的是这个二维码来确定选票。 打印选票上的人类可读文本——候选人姓名——不是被计数的内容。条形码才是。

法院的原话：该系统"不提供可验证和可审计的选票记录，因为它依赖二维码进行选票制表，而该代码本身无法被选民读取和验证。"

你无法用眼睛读取二维码。你几乎肯定没有尝试过。所以当你在投票点查看打印的选票汇总并按下确认时，你验证的是人类可读的文本——而对条形码中编码的内容只能相信机器。

这不是理论问题。法院引用了Dr. J. Alex Halderman的专家证词，描述了网络攻击的实际可行性，可以改变二维码——交换或删除选票——同时保持人类可读汇总不变。你会看到正确的候选人姓名。条形码会说其他的。制表机会计数条形码。

法院还引用了国家科学院2018年的结论，目前不存在任何技术机制来确保选票计数应用程序产生准确的结果，仅靠测试无法确保系统未被破坏。

法院最终拒绝了在紧急时刻的救济令——2020年大选已近在咫尺，在竞选中期改变投票方式有其自身风险。在极端时间压力下，这是可以辩护的判断。但无论如何，调查结果依然成立：格鲁吉亚州有纸张，但纸张不是选民可验证的。

这是萨拉索塔问题的升级版本。萨拉索塔根本没有纸张。格鲁吉亚有纸张，说一回事，但被计数的记录说另一回事。

为什么"没有纸张"是底线，而不是天花板

要理解这两个案例如何形成一个统一的论证，首先要从审计实际需要什么开始。

当选举官员或法院想要验证机器计数时，他们需要两个独立的证物：机器的输出，以及选民本人确认为正确的东西。如果这两样东西相符，你有了相互印证。如果它们分歧，你有了值得调查的问题。如果只有一个证物存在——机器的输出——就没有东西可以进行相互印证。你是通过询问机器来审计机器的答案。

在萨拉索塔，无纸iVotronic只生成一个证物。当围绕13%的弃票率产生疑问时——远高于使用纸质选票的相邻县——美国政府问责局对这些机器进行了测试。这些测试没有发现能解释弃票的故障，同时明确指出选民验证的纸质记录本可以独立确认触摸屏正确记录了选票。 问责局没有说机器故障了。它说的是没有人能证明它们没有故障，因为没有东西可以检查。

这不是清白证明。这是不可验证性的自白。

在格鲁吉亚，证物问题更微妙。打印的选票存在，但选民可读部分和机器可读部分不是同一记录。选民可以确认人类文本。制表机读条形码。这是一台机器生成的（应该是）相同数据的两种不同编码，该机器的软件选民无法检查，其输出选民也无法独立交叉核实。审计格鲁吉亚纸质选票在技术上是审计条形码——确认条形码被一致制表，而不是它们是否被正确生成。

纸质记录只有在你检查的证物与选民确认的证物相同时才是验证工具。

独立验证实际上是什么样的

对比是有启发性的。格鲁吉亚2020年全州手工计数——大约500万张总统选票，在159个县手工计数，耗时不到六天——之所以有意义和价值，正是因为它将机器计数确认到百分之一以内。该手工计数是任何人都能为纸质选票做出的最强案例：当一份真实、耐久的记录存在时，一场接近的竞选可以在规模上独立检查。

但请注意什么使其有效。格鲁吉亚在BMD系统旁边也为许多选民使用手工标记纸质选票。格鲁吉亚2020年竞选中的手工标记选票以最真实的意义被选民验证：选民用笔在纸上，圈出一个名字或填充一个椭圆，标记的纸张直接进入密封的盒子。没有中间编码。没有二维码。人的标记就是记录。

手工计数有效是因为存在真正的第二个证物——直接在纸上表达的选民意图——可以与机器计数进行比较。当两者一致时，信任是有根据的。

科罗拉多州提供了另一个模型。当科罗拉多州在2017年11月成为首个完成全州风险限制审计的州时，它之所以有效是出于同样的原因：手工标记纸质选票给了审计员东西来检查机器。风险限制审计不仅仅是抽样检查固定百分比的选票。它根据差距调整样本量——在接近的竞选中要求更多手工检查，在大幅领先的竞选中更少，标准化到规定的统计置信水平。在一场由数百票决定的竞选中，它查看足够的选票来说，以定义的概率，机器结果是否正确。

那是一个强大的工具。它也完全依赖于纸质记录的可信度——密封选票盒中的记录是选民实际想要的，而不是选民无法检查的机器生成的编码。

德国标准，以及为什么美国一直没有达到

2009年3月，卡尔斯鲁厄的八位法官解决了一个问题，在投票计算机被部署到任何地方之前可能就应该解决：电子计数系统何时满足民主选举的要求？

德国联邦宪法法院的答案很直接。电子投票仅在**"投票的基本步骤和结果的确定可以被公民可靠地检查，无需任何专业知识"**时才符合宪法。在德国2005年联邦选举中使用的Nedap机器未通过此测试。它们在电子内存中存储选票，没有选民可以检查的独立可验证记录。法院宣布联邦投票机器条例违反宪法。

注意法院没有说什么。它没有说机器故障了。它没有说选票被改了。它说一个其正确性依赖于信任隐藏软件的系统，无论是否被证明有篡改行为，都无法通过公众可验证测试。

荷兰政府的选举过程咨询委员会在其2007年的报告"Stemmen met vertrouwen"（"以信心投票"）中达成了相同的结论。该委员会很直言："选举过程中没有秘密。" 透明度和可检查性是不可谈判的。任何电子方法只有在生成选民可以确认的纸质选票时才可接受。荷兰回到了纸张和手工计数。

爱尔兰电子投票委员会审查了政府已经购买的Nedap/Powervote机器，得出了更微妙但同样重要的结论：它没有作出系统会工作的调查结果。它作出了系统未被证明能够以委员会的满意度工作的调查结果。当准确性和保密性无法独立验证时，正确的默认值不是部署。

这是三个独立国家得出相同立场：证明责任向一个方向运行。投票系统必须向普通公民证明它能正确工作——而不是要求公民相信制造商的说法或政府的认证。

对萨拉索塔应用该标准。对Curling案中的QR编码BMD应用该标准。标准未被满足。

"相信官员"的不可约问题

对所有这一切的反应有一个版本听起来很合理：选举官员审查了这些系统。供应商认证了它们。审计员测试了它们。什么都没发现。

这是在自身重压下崩溃的论证，而CISA 2020年11月关于"美国历史上最安全的选举"的声明实际上是为什么最清楚的例子。

这份声明——由认真的职业官员发布——声称"没有证据表明任何投票系统删除或丢失选票、改变选票或以任何方式被破坏。"它明确引用纸质记录以及重新计票和审计的能力作为其信心的基础。

再读一遍。该声明自己关于可信度的论证是：我们有允许重新计票和审计的纸质记录。认证选举安全的官员以独立可验证纸张的存在为基础进行了认证。他们没有说"相信软件"。他们说的是"相信纸张审计"。

这意味着对任何系统的问题——萨拉索塔的iVotronic、格鲁吉亚的QR编码BMD、任何地方的任何无纸DRE——正是官员们自己必须提出的问题：独立可验证记录在哪里？

当没有时，"审计确认了它"是一个循环性声称。当纸质记录无法被选民读取时，"我们重新计数纸张"只确认了条形码被一致制表，而不是它们被正确生成。当手工计数与机器计数的差异达到十几票时——如密歇根州Antrim县审计中发生的那样——在一场由几十票决定的竞选中，"手工计数确认了它"是一个带有自己误差幅度的保证。

问责局在2005年发现，改进投票系统安全性的联邦努力正在进行中，但关键活动仍需完成。这不是党派批评者的结论。这是职业联邦审计员的结论。他们确定的差距——"认证"与"可被公众验证"之间的距离——在随后的二十年里还没有完全弥合。

修复是具体的，而不是象征性的

这都不是对永久不信任的论证。这是对什么会以更好的东西替代不信任的论证。

修复有两个部分，两者都是必要的。

第一是一份耐久、选民验证的记录——不是机器生成的汇总选民在屏幕上确认，也不是选民无法读取的条形码。一张手工标记的纸质选票，或者一台选票标记设备生成一份人类可读的纸质记录，其中人类可读的文本是被计数和制表的内容，选民在纸张离开他们手中之前确认了它。选民检查的记录必须是被审计的记录。荷兰、德国和爱尔兰通过政策委员会和宪法法院得出了这个结论。科罗拉多州和格鲁吉亚州2020年的手工计数在实践中证明了它能有效。

第二是独立、对抗性的验证——不是由单一权威进行的选前认证，而是持续的公众监督。巴西的选举当局在每次大选前邀请合格的公众成员尝试破坏其投票机。华盛顿特区2010年网络投票试点被放弃是因为这种开放测试有效：密歇根大学团队在大约48小时内破坏了系统，改变选票、阅读选票，并向官员展示了攻击。攻击被发现是因为系统对测试开放，而不是因为认证机构已经清除了它。

印度最高法院在其2024年4月关于电子投票机的裁决中拒绝了废除该国整个EVM系统——但加强了围绕纸质验证、符号加载单元的密封存储和候选人请求的微控制器验证的规则。即使一个支持电子系统的法院也加强了独立可检查的部分。

贯穿其中的线索不是纸张本身。而是选民确认的记录，以防篡改形式保存，可由任何拥有访问规则的人审计，由不是宣布结果的官员的独立方检查。

那就是可验证性。官员说"没问题"不是。

什么仍然无法验证——什么会改变它

这是诚实的结论，尽可能明确地陈述。

在任何使用无纸DRE机器的司法管辖区——每张在iVotronic上投的选票，每张Diebold AccuVote-TS，任何在电子内存中存储选票而无选民验证纸质记录的机器——计数无法被独立确认。现在不能。永远不能。这些选票只存在于机器的内存中，它们唯一的记录就是机器说什么。萨拉索塔县的18,412张弃票仍然没有解释。它们可能是选民的选择。它们可能是软件故障。无法知道，因为没有东西可以检查。

在任何选票标记设备生成选民无法读取的二维码的司法管辖区，制表的计数是对机器编码的审计，而不是对选民意图的审计。人类可读的文本和扫描的条形码可能完全一致，也可能不一致。如果没有对人类可读文本的平行手工计数——而不是条形码——就没有独立检查。

什么会改变这个？

在每个投票点关闭的时刻发布投票点级别的结果，以机器可读格式供任何人下载，并交叉检查官员报告的总数。选民可验证的纸质记录，保留和可审计，其中被计数的是选民阅读和确认的东西。在真实选举中运行前对系统进行公共对抗性测试。大小根据差距调整的风险限制审计，而不是政治舒适度。

这些都不需要相信任何官员、任何供应商或任何政党。这就是重点。"相信我们"的修复是一个设计系统，使你不必这样做。

在那之前，无纸触摸屏的声响是与民主的无收据交易。你按了按钮。发生了什么。你只好听他们的了。

查看这个"没有纸张可重新计数"差距在全球有多普遍 →

阅读这个问题的2分钟版本 →

按系统和司法管辖区探索具体的可验证性差距 →

来源

查看所有文章探索漏洞