← 所有文章

当"重新计票"只是重新读取同一条形码时

佐治亚州手工计算了500万张选票并称之为重新计票——但如果扫描仪读取的二维码你无法解码，那么到底有谁在计票呢？

时间是2020年11月，在佐治亚州格威内特县的某个投票站，一位选民刚刚完成了在Dominion投票标记设备上的选择。机器打印出一张纸。她拿着它。纸上有人类可读的文字——她选择的候选人名字，用清晰的英文列出她的选择。角落里还有一个二维码，大约邮票大小。

她无法读取二维码。房间里没有人能用肉眼读取这个二维码。

她把纸张送入扫描仪。扫描仪读取二维码。二维码（而非文字）决定了她的投票如何被计算。

六周后，佐治亚州手工计算这些纸张，这被称为历史性审计——有史以来规模最大的手工重新计票之一。大约500万张选票，由159个县的人类审视。官员宣布计数证实了机器结果。媒体称之为胜利。

这里有个没有人大声问出来的问题：这些人到底看了什么？

提出不适问题的联邦法院

2020年10月11日——距选举日三周——亚特兰大的一位联邦法官正在阅读大多数选民永远不会接触的专家证词。

在Curling诉Raffensperger案中，美国佐治亚州北区地方法院审查了Dominion投票标记设备系统的安全性和可验证性。法院听取了美国领先的选举安全研究员J. Alex Halderman博士的证词，他描述了网络攻击如何可能通过改变用于计票的二维码来交换或删除投票。

更准确地说，也更持久地说，法院认为该系统**"未能提供可验证和可审计的选票记录，因为它依赖二维码进行计票，而该代码本身无法被选民读取和验证。"**

法院还引用了美国国家科学院、工程院和医学院2018年的结论：目前不存在任何技术机制能保证投票计数应用程序产生准确结果，仅凭测试无法确保系统未被破坏。

法官拒绝了发布紧急救济令——在总统大选前几周更换整个州的投票基础设施会造成另一种混乱。在当时的情况下，这是合理的决定。但法律结果并未解决根本问题。法院确认了它，命名了它，并将其保持开放。在这里阅读完整意见。

重新计票实际上计算的是什么

这是最简单的表述机制。

投票标记设备（BMD）的工作方式是这样的：你触摸屏幕，做出选择，机器打印一张选票。该选票包含你的选择的两种表示。一种是人类可读的文字。另一种是机器可读的二维码。当选票进入扫描仪时，扫描仪读取二维码。二维码是计票软件处理的内容。人类可读的文字不是被计数的内容。

现在进行手工重新计票。工作人员拿起每张打印的选票并读取——什么？人类可读的文字。他们根据选票上的文字进行计数。

如果二维码和人类可读的文字一致，手工计数证实了机器计数。很好。但重新计票并未验证二维码。它验证了文字。重新计票无法回答的问题是二维码——实际被计票的东西——是否与选民的选择相符。

一个被破坏的BMD理论上可能打印出说"候选人A"的人类可读文字，同时在二维码中编码对候选人B的投票。选民浏览文字时看到他们的选择被正确表示。扫描仪计算候选人B。随后的手工计票读取文字，也计算候选人A。机器总计和手工计票都说候选人A——如果存在欺诈，它在两者中都是看不见的。

这不是妄想。这是Curling联邦法院所描述的攻击面。

纸质打印件与选民可验证记录不同。如果被计票的东西不是选民能检查的东西，"我们计算了纸张"和"我们验证了投票"是两个不同的句子。

佐治亚州500万选票审计：它证明了什么，又没有证明什么

佐治亚州2020年11月的风险限制审计因票数差距足够狭窄而成为全面手工计票。大约41,881个批次，159个县，大约500万张选票在不到六天内由人工审视。手工计票证实了机器计票的结果，误差约为千分之一。

作为后勤成就，这确实令人印象深刻。这也是一个有意义的发现——它意味着打印选票上的人类可读文字，由人工计数，与机器总计相符。如果存在系统性的大规模差异，它会浮出水面。

但注意"相符"在这里的含义。人类可读的文字与机器总计相符。这与两种解释一致：二维码是准确的并与文字匹配，或者二维码被系统性地破坏的方式也破坏了机器总计，手工计票的文字证实了破坏而不是捕捉到它。

手工审计无法区分这两种情况。它也不是为此而设计的。它检查了文字与总计的对应关系。它没有解码并单独验证每个二维码。

这不是不相信佐治亚州结果的理由。没有证据表明佐治亚州2020年选举中存在大规模二维码篡改。但"没有篡改证据"与"系统会捕捉篡改"不同。Curling法院的要点正是这个：一个审计机制无法完成被计票工件与选民验证意图之间环路的系统是不完全可审计的，无论有多少人接触纸张。

2020年密歇根州Antrim县显示了这种情况的较小规模版本：公布的错误数字仅因为它们荒谬而被捕捉——一个可靠的共和党县显示对立候选人领先数千票。当该县进行手工计票时，它与更正后的机器计数相差约12票，总共约15,700票。12票。在票数差距很小的竞选中，方法本身相差12票无法最终确定由少于12票决定的问题。'审计证实了它'是一种保证；它不是证明。

"仅仅手工计票"中不可减少的错误

有一种浪漫的观点认为手工计票总是黄金标准——人眼是终极检查。这部分正确，部分具有误导性。

手工计票引入它们自己的错误率。计票疲劳。模糊的标记。不同的阅读者对标记较轻的选票做出不同的判断。不同表格间变化的裁定决定。2021年新罕布什尔州温莎法医审计发现，当AccuVote扫描仪误读选票时——因为折痕碰巧经过投票目标——手工计票可以恢复机器丢失的选民意图。在那个案例中，存在直接选民标记的选票，手工计票改进了机器结果。很好。

但温莎也说明了下限，而非上限。错误被发现是因为审计人员有一份耐久的物理选票——选民直接做出的标记——可以回溯。扫描仪对折痕的误读是可检测的，因为根本意图仍然物理存在于纸上。

在BMD系统中，没有选民直接标记的标记可以恢复。选民触摸了一个屏幕。机器打印了该触摸的表示。如果表示是错误的——在二维码中、在软件中、在计票中——没有原始标记与之比较。打印件不是选民的标记。它是机器对选民标记的转录，是唯一存在的记录。

这是Curling法院确认的结构性差距。这也是为什么科罗拉多州的风险限制审计模型——第一个州级RLA，2017年完成——在应用于手工标记的纸质选票时效果更好。RLA给予你一个统计信心水平，即报告的结果是正确的，大小取决于竞选的紧密程度。但它需要一份可信的纸质记录来审计。如果记录本身是机器的输出而不是选民的直接标记，你在审计机器的诚实性，而不是选民的意图。

为什么"选民看到了文字"不够

官员和供应商会指出——正确地——鼓励选民在投递选票前审查打印的选票。如果文字是错误的，选民可以拒绝选票并重新开始。

这是真的。这也是一个不完整的辩护，原因有二。

**首先，行为现实。**大多数选民不会仔细阅读打印选票摘要的每一行，尤其是在繁忙的投票站，队伍排在他们后面时。人类验证行为在安全背景下的研究是一致的：用户经常在不逐字检查的情况下接受自动生成的摘要。一个依赖100%选民仔细审计机器输出的系统是一个已经将大部分验证负担委托给分心、匆忙和未经培训的人的系统。

**其次，更根本地说：即使一个读过并批准了文字的选民也没有验证二维码。**她确认了文字与她的选择相符。她没有确认二维码是否相符。扫描仪不计票文字。选民验证了一件事；系统计数了另一件。那些不是相同的验证。

德国联邦宪法法院在2009年精确地捕捉了这一逻辑，当时它以投票和计票的基本步骤必须可由无需专业知识的普通公民检查为由否决了电子投票机。法院发现，一个正确性依赖于信任隐藏过程的系统未通过公开可验证性测试——无论是否曾经证明过篡改。这个原则同样适用于普通公民无法解码的二维码。

荷兰在2007年得出了同样的结论，当时政府的独立选举委员会声明选举过程中没有秘密，答案必须由任何人可检查和验证——并建议放弃投票计算机，转而使用人类可以直接读取的纸质选票。

真正的差距：什么将真正意味着"可审计"？

一份可审计的选票记录是一份被计票的东西与选民能够验证的东西相同的记录——一份独立检查可以确认两者相同的记录。

对于手工标记的纸质选票，这自然关闭了。选民标记纸张。扫描仪读取纸张。审计人员检查纸张。选民的标记、机器的读取和审计人员的读取都指同一物理对象。机器和审计人员之间的差异表明扫描错误；两者都可以对照同一来源检查。

对于打印二维码的BMD系统，这个环路被打破了。选民验证文字。机器计票条形码。审计人员读取文字。没有人——既不是选民也不是审计人员——独立检查条形码是否与文字相符。

关闭那个环路需要以下两件事之一。要么：二维码以选民和审计人员能独立解码的形式打印（一个人类可读的编码，或一个在实时解码的独立独立显示）。要么：计票软件和二维码编码本身是开放的、独立可检查的，并受到对抗性测试——以便在投票前可以验证编码步骤是诚实的。

洛杉矶县的全民投票解决方案（VSAP）系统，2018年由加州认证为第一个公开拥有的、开源的选票计票系统，是透明设计原则的示例：如果代码是公开的并且独立可审计的，编码步骤可以由局外人检查而不是信任供应商的话。开源代码本身不足够——实现、保管链和独立测试仍然重要——但它消除了核心不透明性。

巴西最高选举法院每年运行一个公众对抗性安全测试：合格公民被邀请尝试破坏投票机，发现被用来改进系统，修复被重新检查。那是对独立验证的结构承诺，不是一次性认证。

替代方案——一个由于不公开而认证一次、之后信任的闭源专有系统——是Curling法院隐含指责的模式，也是2021年Coffee County泄露使具体化的：佐治亚州依赖安全保密的专有软件在一个下午就被复制和分发。

现在仍然不可验证的——以及什么将使其可检查

这是佐治亚州2020年故事今天的立场，老实地讲。

手工计票证实了大约500万张打印选票上的人类可读文字与机器计票相符。这是一个有意义的数据点。它不是一次完整审计。"文字相符"与"二维码准确编码了选民的选择"之间的差距尚未由任何公众过程独立关闭。

Curling案本身在2024年后来因为立场理由被驳回。诉讼程序的结果不涉及技术发现。法院无法提供救济——因为选举太接近或立场太狭隘——并不意味着根本漏洞已经修复。

什么将真正关闭差距？

  • 二维码在投票站的实时、独立解码，在选票投递前向选民显示，使用独立于BMD供应商的硬件或软件。
  • 对编码步骤的开放、公开可检查源代码，受到不受雇于供应商或与供应商签约的研究人员的对抗性审查。
  • 定期、独立的二维码统计抽样，选举后进行，用独立工具解码，与相应的人类可读文字比较，在选区级别以机器可读形式发布供任何人下载和检查。
  • 应用于手工标记纸质选票的RLA，只要有可能——以便被审计的工件是选民的直接标记，而不是机器的转录。

这些都不需要假定任何官员是不诚实的。它们只需要我们停止将"官员检查过它"视为验证链的终点，并开始将独立、公开可检查性视为每个系统必须满足的标准。

重新读取条形码的重新计票不是重新计票。这是复制。

真正的审计回溯到选民实际验证的东西。现在，在大多数使用投票标记设备的司法管辖区，这个标准没有被满足——没有任何官员声明改变这个事实。

查看这个差距如何在全世界投票系统中出现 →

阅读可审计选票问题的两分钟版本 →

来源

查看所有文章探索漏洞