← 所有文章

公开选举中的"公众"：值得复兴的法律理念

2009年，德国最高法院裁定，如果普通公民无法在没有专业知识的情况下自行检查选票计数，那它根本不是真正的民主选举。

2009年3月3日上午，卡尔斯鲁厄的八位法官刚刚发布了一项裁决，世界上大多数选举管理员可能永远不会读到——但他们应该读一读。

提交给德国联邦宪法法院的案件表面上是关于投票机的技术争议。具体来说：德国2005年联邦选举中使用的Nedap电子投票机。批评人士抱怨这些机器仅将选票存储在电子内存中。没有独立记录。没有办法让投票者——或者监票员、记者或任何好奇地出现的普通公民——在事后查看任何东西并确认计数是否正确。

法院同意了。然后它说了一些比机器本身意义更深远的话。

投票过程和确定结果的基本步骤必须能被公民可靠地审查，不需要任何该领域的专业知识。

这句话来自2 BvC 3/07和2 BvC 4/07两个合并案件，不是技术建议。它是对选举是什么的表述。不是它应该渴望成为什么。为了符合民主行为的要求，它必须是什么。

这些机器未能通过该测试。因此它们被淘汰了。

这一原则比这些机器更古老

人们很容易将德国的裁决理解为关于投票计算机的故事——一出古怪的21世纪初闹剧，现在已安全解决。那将是个错误。

法院并非真的在争论Nedap机器的问题。它在恢复一项原则，称之为Öffentlichkeit der Wahl——选举的公开性——这项原则植根于德国《基本法》第38、20.1和20.2条。这个理念是这样的：在民主制度中，主权属于人民。决定谁代表人民行使权力的计数因此必须可被人民观察。不是由他们的代理人。不是由他们必须信任的专家。直接由他们用自己的眼睛。

纸质选票和开放计票室的发明不是因为纸张浪漫。它们的发明是因为任何人都可以走进去，看着一个人把一堆选票分类，然后看到一个数字被写在表格上。监管链原则上是任何没有技术背景的祖父母都能跟踪的。

电子投票打破了这条链。法院准确指出了这为什么重要：当基本步骤发生在只有工程师才能审查的密闭盒子内时，公众被悄悄地排除在应该代表他们的过程之外。

这不是反对技术的论证。这是对任何用于选举的技术必须提供什么的论证：公众可以独立检查的结果，无需请求许可，无需计算机科学学位。

"公众可检查"实际上需要什么

让我们具体化这一点。因为"公众可验证性"听起来像是口号，直到你问它在实践中需要什么。

一个投票者走进投票站。她标记一张纸质选票。选票放入密闭的盒子。一天结束时，工作人员打开盒子，分类选票，并在签署并张贴在投票站门上的表格上写下一个数字。任何在场的观察者都可以一起计数。任何路人都可以拍照已发布的结果。

这条链——标记、密封、分类、张贴——在德国法院的意义上是公众可验证的。每一步都是人们可以观察的。没有一步需要信任专有算法。

现在用无纸质电子投票机运行相同的场景。投票者触摸屏幕。在机器的内存中某个地方，一个数字改变了。一天结束时，一个数字打印在纸带上。投票者能确认她的触摸被正确记录了吗？不能。监票员能确认内存所持信息与纸带一致吗？不能。任何人——不需专业知识——能追溯任何基本步骤吗？不能。

荷兰在2007年得出了相同的结论，当时政府自己的委员会发布了一份名为Stemmen met vertrouwen——"充满信心地投票"的报告。其对合法选举的标准包括controleerbaarheid：可检查性。选举过程中没有秘密。问题必须能被回答，答案必须可检查和可验证。 委员会得出结论，手工计数的纸质选票符合这一标准。电子方法只有在提供投票者可检查的纸质记录时才符合。荷兰放弃了投票机，从那时起一直使用手工计数的纸质选票。

爱尔兰从略微不同的角度遇到了同样的问题。其独立的电子投票委员会审查了政府购买的Nedap/Powervote系统——数百万欧元的硬件，在仓库里静静等待——并得出结论，它无法建议使用该提议的系统。不是因为它证明了机器有问题。而是因为它无法令自己满意地证明机器是正确的。证明的负担落在系统上，不在怀疑者身上。

可验证性失败的两个方向

有两种不同的方式使投票系统无法验证，它们很容易被混淆。

第一种是当你无法检查机器记录了什么时。 这是Nedap问题。德国法院问题。佛罗里达州萨拉索塔县的问题，其中18000张选票消失在无纸质触屏机器中，而这场选举以369票之差定出胜负，GAO找不到任何故障——但也没有选民标记的纸张可以检查。机器的话是唯一的话，机器无法被质证。

第二种是当纸质记录存在但实际计数的票据不是投票者可以读的那个时。 这更微妙，也更现代。2020年，一家联邦法院在乔治亚州审查了该州的Dominion票证标记设备系统。专家证词，包括来自J. Alex Halderman教授的证词，描述了这些机器如何打印选票——看起来可检查——但实际计数的是同一张纸上的二维码。投票者无法用单独的设备读取的二维码。法院发现该系统"不能提供可验证和可审计的选票记录，因为它依赖于二维码进行投票计数，而该代码本身投票者无法阅读和验证。" 纸张存在。但德国法院意义上的可验证性不存在。

选票记录包含机器可读摘要但投票者无法个人检查的系统已将不透明性从硅转移到了墨水。原则是相同的：重要的步骤发生在公民无法跟踪的地方。

"审计确认了"与"你可以验证"并不相同

这是官方保证最一致地误导的地方。

在有争议的计数之后，选举当局例行公事地宣布审计已确认结果。有时这很有意义。乔治亚州2020年全州审计采取了大约500万张总统选票的全面手工计数形式——这是针对机器输出与选民标记纸张进行检查的真正的大规模活动。差异约为千分之一。这是一个真实的数据点。

但注意什么使其成为真实的：选民标记纸质选票的存在，这些选票可以被独立于机器的人类重新检查。纸张是可验证性。手工计数之所以成为可能，是因为投票者实际接触的票据仍然存在并且可以被任何人阅读。

现在问一个更难的问题。在使用不可读二维码的票证标记设备的司法管辖区中，"手工计数"审计什么？它审计纸质记录——这反映了二维码的输出，而不是投票者的独立标记。如果机器错误地将触摸转换为二维码，纸张是错的，手工计数忠实地再现了错误答案。

"审计确认了"只有在被审计的对象是投票者独立标记的东西时才有意义——而不是机器代表他们产生的东西。

而且"国务卿说审计确认了"不是任何东西的证明。这是一个声明。问题总是：你能在不相信做出声明的人的情况下自己检查吗？

第一原则实际上需要什么

退一步，远离个案和具体技术，问一个合法的公开选举如果认真对待德国法院的原则，必须具有什么。

首先：每个投票者必须能用自己的感官确认他们的选择被记录为他们的意图。 不是通过信任机器的显示。不是通过接受厂商的话。通过检查他们自己创建的人类可读的票据——他们在其离开他们手中前可以阅读的标记纸质选票。

其次：投票者标记的票据必须是被计数的同一票据。 不是该票据的机器生成的翻译。不是源自它的条形码。事物本身，或其透明的人类可读副本。

第三：任何人——不需专业知识——必须能观察个别票据聚合成最终总数的过程。 在手工计数中，这在房间里是可见的。在机器计数中，它需要执行聚合的软件被发布并可独立验证，并且机器的输出可对照物理票据检查。

第四：已发布的结果必须足够详细，以便任何观察者都能自己做算术。 选区级别的总数，以机器可读的格式从它们最终确定的时刻起提供。不是因为观察者不信任官员，而是因为独立验证的能力是使信任成为理性而非被迫的原因。

这些不是乌托邦式的要求。纸质选票、开放计数、已公布的选区总数和已发布的风险限制审计已经在选择实施它们的司法管辖区中提供了大部分内容。科罗拉多州在2017年进行了首次全州风险限制审计。该方法并不奇特：它统计抽样选票，在比赛更接近时检查更多选票，直到遗漏错误结果的概率降低到定义的阈值以下。公众可以检查方法。纸张可以被重新检查。

到目前为止，没有任何司法管辖区完全实现的是——一个系统，其中正确计数的密码证明被发布并可由公众任何成员验证，而不需要信任任何官员或厂商。那将是德国法院原则在软件中的完全实现：不是墙上的纸张，而是任何人都可以用开放工具检查的数学记录，不需要亲自参加计数或从当局请求副本。

坏人不是机器。是不透明。

在这里要精确一点很重要，因为德国的裁决以两个方向被误读。

一种误读是它反对电子投票。它不是。法院没有说电子投票是违宪的。它说当普通公民无法检查基本步骤时，电子投票是违宪的。具有选民标记纸张、公众可审计聚合软件和选区级别已发布结果的系统会与手工计数纸张一样好地满足该原则——如果密码可验证性足够严格的话，可能更好。

第二种误读是它支持任何特定的替代方案。它不是那样。从一个无法验证的系统切换到另一个无法验证的系统什么都不会完成。荷兰切换回纸张——但发生在关闭的门后的纸张计数，仅以汇总形式报告结果，没有机器可读的选区数据可用于独立协调，仍会违反原则。形式无关紧要。可检查性无关紧要。

这个存档中每个案例中的坏人——2011年的DRC，欧盟观察团发现结果在没有公众可见性的情况下汇编；2017年的委内瑞拉，即使投票系统厂商也否认已宣布的投票率；2020年的马拉威，计票单被更正液改写——不是特定技术。它是不透明。将计数系统地从任何人独立验证的能力中移除。

而官方保证不会消除不透明。它们在其上添加了一层。

仍然无法检查的是什么——什么会解决它

以下内容仍然是真实的，不管官员说什么，在世界大多数选举中现在都是这样。

将选区结果聚合为县或国家总数的软件在大多数司法管辖区中是专有的，除了厂商和认证实验室外没有人检查过。认证实验室的调查结果在大多数时候都不公开。从单个选票到最终总数的链经过多个步骤——扫描、计数、上传、审议——这些步骤任何公众成员都无法单独验证。

在使用票证标记设备而非手工标记纸张的司法管辖区中，被计数的票据由投票者无法检查的软件生成。

在没有风险限制审计的司法管辖区中，机器计数由一个固定百分比的抽样检查，该检查对接近的比赛提供没有统计保证。

在没有选区级别机器可读结果实时发布的司法管辖区中，公众无法针对官方总数进行独立算术。

德国法院在2009年明确划出了界线。只有专家才能验证的结果不是合法民主的结果。 该界线尚未被大多数现在使用的系统朝着充分公众可验证性方向跨越。

什么会跨越它？选民标记纸质选票，在公众面前计数或扫描，附带立即发布且可下载为任何电子表格可打开的格式的选区级记录。对每个接近比赛的风险限制审计，已发布采样的选票和其手工阅读总数。而且，对于有密码抱负的人：一个端到端可验证的系统，其中每个投票者都可以确认他们的选票被包括在最终计数中，任何观察者都可以验证计数的数学完整性，而不需要信任任何单一权威。

最后一项在技术上是可行的。瑞士试图实施它，在密码中发现了一个活板门——但发现它正是因为独立研究人员可以检查已发布的代码。活板门被修补了。那是正确的结果：公众审查发现了私人认证遗漏的缺陷。对有缺陷的密码可验证性系统的答案不是放弃可验证性。它是使代码保持公众，直到缺陷消失。

德国法院的原则不满足直到每个基本步骤都能被选择查看的每个公民检查。

大多数选举，现在，还没有到那里。

查看这一差距如何在世界各地的选举系统中出现 →

阅读为什么可验证性重要的两分钟版本 →

探索无法验证选举的有文件记录的案例 →

来源

查看所有文章探索漏洞