← 所有文章

当一家公司构建、运营和担保投票系统时

2017年8月2日，构建委内瑞拉投票机的公司向全世界公开声明——用清晰的英文——官方公布的投票率数字是谎言。没有反对党说这话。是供应商说的。

时间是2017年7月30日晚间，委内瑞拉国家选举委员会刚刚公布了一个数字：750万人参与了制宪大会选举投票。这份声明旨在增强合法性。一个当选的超级权力机构将重新制定宪法。政府需要投票率看起来是压倒性的。

48小时后，Smartmatic——这家伦敦注册的公司自2004年以来一直为委内瑞拉构建和运营自动化投票基础设施——发表了公开声明。其首席执行官表示，该公司"毫无疑问"地知道公布的投票率数字被篡改了，并估计实际投票率与公布数字之间的差距"至少在一百万票"。Smartmatic表示无法认可官方数字。

随后Smartmatic全身而退。它退出了委内瑞拉2017年后来的地方和市政选举，并在2018年前停止了在该国的所有业务。

再读一遍这段话，慢慢读：构建该系统的供应商、运营该系统的供应商和验证系统输出的供应商，声称该系统的输出是错误的。

信任链自我吞噬的时刻

以下是为什么这个场景在结构上如此重要，以及为什么它的影响远远超出委内瑞拉。

在大多数国家，电子选举中的信任链是这样运作的：选民信任机器；官员信任供应商的认证；观察员信任官员；公众被要求相信上述所有人。这种架构就像一座塔，每块石头都搭在下面的石头上。

在2017年的委内瑞拉，每块石头都是同一块石头。国家选举委员会没有拥有独立的审计线索。没有第三方可以检查的密码记录。没有Smartmatic可以指向且与官方总数相矛盾的纸质选票。唯一能够知道投票率数字是否准确的一方，是生成它的一方：供应商。而那个供应商在完成了某些合同或声誉计算后，说道：不。

当供应商同时是构建者、运营者和唯一验证者时，就不存在独立检查这样的东西——只有一个信任点可能会同时全部失败。

公众、反对派、国际观察员——他们都无法获得可以证实或驳斥任何一方主张的数据。官方数字。供应商的反驳。两者都是断言。两者都无法从外部证明。

这就是这篇文章要讨论的问题。

信任集中是设计决策，不是意外

委内瑞拉的案例是极端的。但潜在的结构——一个供应商掌握着关于如何计票的关键知识——在运作正常的民主国家中也以较温和的形式出现。

考虑一下2020年10月美国联邦法院对乔治亚州投票系统的发现。在Curling v. Raffensperger案中，乔治亚州北区法院审查了有关该州Dominion选票标记设备的专家证词，得出了一个未获得足够关注的发现：该系统"不能提供可验证和可审计的选票记录，因为它依赖二维码进行投票统计，而该二维码本身无法被选民读取和验证"。

法院还引用了美国国家科学院2018年的结论，即目前不存在任何技术机制可以确保投票计数应用程序产生准确的结果，仅通过测试无法确保系统未被破坏。

一名选民站在机器前。她做出选择。打印出一张纸。她看到候选人的名字以人类可读的文本形式显示。她认为她已验证了她的选票。但制表器实际计数的是一个二维条形码——而她无法读取它。投票工作人员也不能。站在五英尺远处的党派观察员也不能。

法院理解了这个问题，鉴于选举的临近，没有下令采取临时救济措施。这是关于干扰的合理司法判断。但请注意它没有做的事：它没有认定问题不存在。不可读的二维码是一个系统架构的永久特征，在这个架构中，制表逻辑对于实际目的而言对供应商之外的所有人都是不可见的。

这是一种不同于委内瑞拉的信任集中——但它仍然是信任集中。

"认证"实际上认证的是什么

两种情况都有一个共同的起源故事：一旦供应商的系统获得认证，就可以信任它来运行计票。

美国政府问责办公室在其2005年报告（GAO-05-956）中对这一假设进行了深入研究。它发现电子投票系统存在的已记录问题引发了对其安全性和可靠性的疑问，联邦改进这些系统的努力正在进行中——但关键活动仍未完成。即使选举在这些系统上运行，认证作为一个流程仍在被建立。

爱尔兰更早地发现了同样的漏洞。一个独立的电子投票委员会在审查了政府采购的Nedap/Powervote系统后，得出结论称它"不能以必要的信心程度建议使用所选系统"。关键是，委员会的发现不是该系统会失败——而是尚未向委员会满意地证明它会正常工作。无法验证本身就是取消资格的条件。爱尔兰花费了5200万欧元购买的机器在2009年被正式报废。

请注意是什么联系了这些案例：举证责任在错误的一方。官员和供应商被要求向一个独立机构证明其可信度——而独立机构的结论很重要。这是正确的结构。问题在于它是例外，而不是常态。在大多数司法管辖区，认证是部署前进行的一次性测试。系统一次性通过或失败。然后它在实际选举中运行——有时长达十年——而不进行另一次等量的独立严格检查。

在认证测试和选举日之间的这个间隙中，很多事情可能会改变。软件被更新。配置变化。工作人员更换。而唯一实时了解系统实际在做什么的一方是供应商。

乔治亚州的法证事件：内部访问的样子

委内瑞拉案例涉及一个供应商从外部吹哨。2021年1月的Coffee County乔治亚州事件说明了同一结构漏洞的不同版本：当拥有内部访问权限的人决定获取而非披露时会发生什么。

2021年1月7日，一家计算机取证公司被允许进入Coffee County选举办公室，并复制了投票系统软件——选举管理系统服务器、投票板、选票标记设备、扫描仪和乔治亚州的全州Dominion投票系统软件。乔治亚州国务卿办公室后来将其描述为前县官员允许的未经授权访问，违反了州法。与该事件相关的多人随后对指控认罪。该事件记录在Curling v. Raffensperger中的证词中。

这是架构上的教训：整个司法管辖区的投票软件是专有的。其安全模型依赖于保密——代码保持隐藏。一旦拥有物理访问权限的人决定共享它，保密就消失了。依赖它的一切——安全模型、信任链、认证的隐含承诺——都随之消失。

保密不是安全。一个设计用来仅由内部人员验证的系统，是一个在任何内部人员被破坏、被胁迫或只是与他们不应该配合的人合作时注定失败的系统。

开放、可独立检查的代码不能解决所有问题。认证、监管链和严格的选后审计仍然极其重要。但开放代码至少消除了不透明的层面，这种不透明使供应商或官员成为软件在做什么的唯一仲裁者。洛杉矶县的VSAP系统——首个根据加州投票系统标准认证的公有制、开源选票统计系统，于2018年8月认证——是证明这是可行的概念验证。是否开放代码实际上在选举日运行需要进一步验证（这是Swiss Post/Scytl陷阱事件清楚地演示的一点）。但不透明保证了供应商之外的任何人都无法检查。

更深层的问题："我们验证过了"与"你可以验证它"不是同一回事

在2020年美国选举之后，在2020年11月12日，一群资深选举安全官员发表了联合声明，宣布该选举"美国历史上最安全的"。该声明由选举基础设施政府协调委员会及其部门协调委员会合作伙伴的官员签署，由网络安全和基础设施安全局发布。

仔细阅读，你会发现有趣的东西。声明对其为什么有信心的推理，很大程度上基于存在允许重新计票和审计的纸质记录这一事实。也就是说：官员在隐含地说，他们的信心来自允许某人检查机器输出的审计机制——而不是凭信念信任机器。

这实际上是正确的论点。但它只在纸质记录独立可读和审计健全的情况下成立。在2020年的乔治亚州，对大约500万张选票的全州手工计数——在不到六天内检查了全州159个县的41,881个批次——确认机器计数的结果偏差不超过百分之一。这就是使信心可以被捍卫的独立验证种类。

问题在于乔治亚州的手工计数有效，因为乔治亚州有2019年及更早系统的选民标记纸质选票，人们可以用眼睛读取。对二维码选票标记设备系统的手工重新计数审计条形码的输出——而不是选民的意图。Curling法院对此说得清清楚楚：二维码无法被选民读取和验证。如果机器在条形码中编码了错误的候选人，同时在人类可读的文本中打印了正确的名字，审计将确认机器的编码，而不是选民的选择。

重新计数的可信度只取决于它计数的记录。对无人能在第一时间读取的选票进行的"手工计数确认"是一种保证，而不是证明。

真正的独立可验证性需要什么

德国联邦宪法法院在2009年的一项关于2005年Bundestag选举中使用的Nedap投票机的裁决中划出了界线。法院裁定，使用电子投票机需要"投票和结果确定的基本步骤可以由公民可靠地进行检查，无需对该主题的任何专家知识"。这些机器仅在电子存储器中存储投票，没有选民可以检查的记录。它们未能达到这个标准。

"无需任何专家知识"。这是关键短语。可验证性不是通过告诉公众专家审查了系统来满足的。它不是通过供应商的内部测试来满足的。它不是通过官方声明说一切都没问题来满足的。它在产生的记录是任何感兴趣的公民——不仅仅是计算机科学家，不仅仅是认证审计员，不仅仅是供应商——可以检查和确认符合预期的记录时得到满足。

这是一个很高的标准。但这是正确的标准。上述案例表明不满足这个标准时会发生什么。

在委内瑞拉，供应商是唯一有知识来比较公布的投票率与机器记录的一方——当供应商和政府意见相左时，公民没有办法检查来解决它。

在乔治亚州，法院发现了一个系统，在该系统中制表工件无法被生成它的选民读取。

在Coffee County，代替开放的保密在内部人员选择这样做的那一刻证明了是脆弱的。

贯穿每个案例的线索是相同的。选择不是在值得信赖的供应商和不值得信赖的供应商之间。选择是在需要信任单一方的系统架构和使信任成为不必要的系统架构之间，因为任何人都可以检查。

什么会使所有这些都可检查？

所以这是结束时要提出的问题——这不是修辞。

委内瑞拉2017年后：Smartmatic说投票率被夸大了至少一百万票。政府说这是准确的。迄今为止，还没有第三方可以用来解决这一争议的独立审计线索。没有可公开验证的密码记录。没有纸质选票。没有可对照监管链进行调和的选区级数据。如果你想从两方之外验证任何一方的主张，你做不到。这个差距——缺少可验证记录的具体技术——是精心设计的系统应该填补的。

Curling v. Raffensperger之后：法院发现二维码无法被选民读取。乔治亚州后来在某些背景下更加转向使用充分的选民手写纸质选票。但是关于任何司法管辖区的制表软件是否正确将人类可读的选票标记翻译为计数，以及该翻译是否可以被供应商之外的人独立验证的问题，在大多数地方仍然开放。

答案不是"更信任官员"或"少信任供应商"。答案是系统设计得使官员和供应商都不需要被信任，因为他们生成的记录可以被任何愿意做运算的人检查。

这意味着密码可验证的审计线索。选区级结果在最终确定时立即以机器可读的形式发布。开放、可复制构建的代码。独立对抗性测试——不是作为一次性认证，而是作为一种持续的实践。以及选民可以验证、公民可以审计而不需要知道谁构建了机器或供应商有什么激励的选票记录。

2017年的委内瑞拉是对为什么在供应商中集中信任是一个范畴错误的最清晰的说明。它留下的开放问题——适用于各地的问题——是你的司法管辖区的系统是否会让任何人发现如果相同的事情发生在那里的话。

查看这个差距如何在不同国家和系统中出现 · 阅读关于独立可验证性要求的2分钟版本 · 探索无法验证计票的已记录案例

来源

查看所有文章探索漏洞