一位市长被罢免：震撼伦敦的邮寄投票案件
英国一位法官因邮寄投票欺诈、贿赂和冒充投票人而罢免了一位在职市长——这个案件清楚地表明了为什么在投票站外投票是选举安全中最棘手的问题。
2015年4月23日上午，在伦敦的一间法庭里，一位法官正在宣读一份英国政治中前所未有的判决。卢夫图尔·拉赫曼（Lutfur Rahman）——伦敦塔哈姆雷茨自治市的执行市长，在2014年5月由超过18,000名选民选出——被罢免了。不是通过选举。不是通过议会投票。而是通过法院。
Erlam & Ors v Rahman & Anor [2015] EWHC 1215 (QB)案的判决书长达数百段。根据《人民代表法》1983年版担任选举法院的理查德·莫瑞QC专员发现，该次选举因市长本人及其代理人所犯的腐败和非法行为而被玷污。其列举的罪行令人瞩目：冒充投票人、邮寄投票欺诈、贿赂、贿选、虚假陈述和不当的精神影响——以及普遍存在的贪污腐败，足以合理推断其影响了选举结果。
拉赫曼被罢免了。选举被宣布无效。随后举行了新的投票。
而buried在判决书的深处，如果你仔细阅读，会发现一个与东伦敦某个自治市无关的教训——却与任何民主国家如何处理通过邮件传递的选票息息相关。
投票站的建立就是为了解决这个问题
从基本原则开始有助于理解。
秘密投票——信封、私密投票间、未做标记的纸张——不是作为一种优雅而发明的。它是一个安全系统。当维多利亚女王登上王位时，英国的投票是公开的：你的选择会被大声喊出来，写在一本书里，书会被公布。地主们看着。雇主们看着。债权人们看着。如果你投错了票，你知道接下来会发生什么。《1872年秘密投票法》(Ballot Act 1872)结束了这一切。它用密封的票箱和私密的投票间取代了公开投票——不是为了保护你的感受，而是为了摧毁胁迫者验证交易的能力。
这个机制是精确的。一个无法被观察或证明的投票是无法被购买或胁迫的，因为购买者无法确认交付。当验证失败时，整个市场就会崩溃。
在监督的投票站进行的人员投票保持了这种保证。陌生人不能站在你身后观察你标记选票。党派工作人员不能收集你的纸张并在它被放入票箱前检查它。监管链——空白选票进入、密封票箱输出、在计票时公开打开——使冒充投票人变得困难，操纵变得可审计。
现在把选票从这个受控环境中取出。把它邮寄到一个家庭地址。让它在厨房餐桌上放置。立即这种保证在两个独立的地方破裂了：谁实际标记了它，以及谁在它到达之前处理了它。
这不是假设性的担忧。塔哈姆雷茨就是案例研究。
选举法院实际上发现了什么
塔哈姆雷茨的判决书值得完整阅读——不是为了政治戏剧，而是为了操作的具体性。法院没有发现计算机被黑客入侵或计票被误算。它发现选举在投票前和投票期间被破坏了，通过远程投票独有的机制。
冒充投票人——投出他人的选票——在监督的投票站极其困难。但当选票纸已被邮寄到某个地址，而标记人的身份仅由信封上的签名和出生日期验证时，这就容易得多了。
邮寄投票欺诈，如塔哈姆雷茨案中发现的那样，是对这个漏洞的利用。投票间的密封环境被私人住所（或任何选票可能经过的地方）取代，而秘密投票法建立的监管链——空白纸张、私密投票间、密封票箱、公开计票——被替换为通过法院看不见且不是为了观察而设计的手中的纸张路线。
远程投票的攻击面不是计票。是监管。
北卡罗来纳州：同样的机制，不同的大陆
塔哈姆雷茨不是孤立的奇事。考虑一下2018年发生在北卡罗来纳州第9国会选区的情况。
选举后，州选举委员会拒绝认证表面上的结果。它调查了邮寄缺席选票的异常情况。2019年2月21日，委员会一致命令举行新的选举，发现了它所谓的在布莱登县和罗伯逊县的"协调的、非法的且资源充足的缺席选票计划"。处于中心的操作者麦克瑞·道莱斯（McCrae Dowless）随后被控重罪。
机制与塔哈姆雷茨相同，跨越了大洋和不同的法律体系翻译而来：第三方收集、处理，有时还改变他人的邮寄选票。选票已经离开了投票地点的受控环境，没有健全的监管链检查，就可能在选民的手和密封票箱之间对其进行干预。
在两种情况下，唯一的补救是宣布选举无效并重新进行。没有办法"除去"已经被篡改并计数的腐败选票。你无法从结果中减去欺诈；你只能重新开始。
奥地利：监管链在实践中的含义
这是同样问题的一个版本，其中根本没有发现欺诈——选举仍然被宣布无效。
2016年春天，奥地利举行了亚历山大·范德贝伦和诺伯特·霍费尔之间的总统决选。范德贝伦以大约30,000票的优势赢得，共有近460万张选票投出。霍费尔的政党对结果提出质疑。2016年7月1日，奥地利宪法法院宣布整个选举无效——不是因为欺诈被证明，而是因为邮寄选票处理规则被破坏了。
法律要求缺席选票仅在选举后第二天上午9点之后由地区选举当局打开并计数，并由所需的委员会成员和证人在场。在多个地区，这没有发生。信封被提前打开，由未授权的人员打开，没有证人。大约77,000张选票受到影响——一个超过大约30,000票的获胜优势。
法院的逻辑是精确的：关于谁可以处理选票以及何时处理的规则不是官僚形式上的繁琐程序。它们是使结果可以独立验证的机制。 当它们被违反时，即使诚实地违反，监管链就被破坏了。你无法证明在缺席防护措施的时间和空间中没有发生操纵。2016年12月举行了重新的决选投票。
这个教训令人不适，因为即使每个人都在诚实地行动时，它也适用。奥地利官员没有被控欺诈。他们被控使结果无法验证。在一次势均力敌的选举中，这是足够的。
为什么邮寄投票在结构上是不同的
具体想一下在投票站发生了什么。你走进去。你的名字被核对反对登记。你收到一张选票——一张选票，为你。你把它拿到一个私密的投票间。你标记它，折叠它，并把它放入一个密封的票箱。没有人看到你写的东西。没有人递给你一张预先标记的纸张。没有人看着你离开。
现在想一下邮寄选票发生了什么。一张纸通过邮件到达，地址上有一个名字。家里的任何人都可以打开信封。没有人监督谁标记它。一个党派代理人可以坐在桌子旁。一个家庭成员可以站在肩膀上。一个社区领导者可以收集表格。身份检查——通常是签名和出生日期——仅在信封返回后进行检查，并针对在选举前编译的记录进行检查。
身份检查是回溯性的。影响的机会是同时发生的。
这不是反对邮寄投票本身的论证。它是关于理解邮寄投票需要轮询地点投票所没有的东西的论证：在申请时进行健全的身份验证，从选票离开选民手中的那一刻起进行防篡改密封监管，以及对其间的每一步进行可审计的记录。
没有这些东西，秘密投票法的保护就会蒸发。投票可以被观察。投票可以被胁迫。投票可以被替换。
更深层的问题：当验证不再可能时
塔哈姆雷茨和北卡罗来纳州的案件被发现了。一个法院进行了调查，听取了证据，并宣布结果无效。这是系统在工作——缓慢地、昂贵地，并且仅在造成伤害之后。
但检测的机制取决于欺诈的规模足够大以产生证据：证人、数据中的模式、看到发生了什么的人的证词。小规模邮寄投票欺诈，在大量选票中谨慎进行，可能不会留下这样的签名。
这是对选举廉洁性广泛存在的问题的差距。不是以法庭结束的戏剧性案件，而是从不到达法庭的安静操纵。
再次考虑奥地利案件。法院发现了程序违规并宣布选举无效。但法院也没有发现实际欺诈的证据。问题是它不能排除欺诈，因为使欺诈可被检测的条件——完整的、见证的、带时间戳的监管链——已经被破坏了。严格的监管链不仅检测操纵。它使操纵无法隐藏，这就是为什么监管链存在。
同样的逻辑适用于任何远程投票系统。问题不仅仅是"欺诈被实施了吗？"问题是"系统是否被设计为欺诈，如果被实施，会留下可检测的、可独立验证的痕迹？"
如果答案是否定的——如果唯一可以确认邮寄选票完整性的人是处理选票的官员本身——那么"没有发现欺诈"是一种保证，而不是证明。在建立在信任而非可验证性基础上的系统中，操纵的激励从未真正被消除。它只是希望不被采取行动。
什么是"可验证的监管"在实际中看起来像
这是论证从诊断转向架构的地方。
邮寄选票的监管链问题有一个已知的形状。解决方案也有一个已知的形状——它只需要故意建设，而不是假设它存在。
可验证的远程选票监管需要目前仅以片段形式存在的三件事：
首先，在选票接收点而不仅仅是申请时进行身份验证。根据数据库回溯检查签名是一个薄弱的控制。与选票者持有的唯一凭证绑定的密码验证——在选举前颁发并可使用一次——会使冒充投票人在结构上变得困难，而不仅仅是非法。
其次，从选票被投票者标记到被计数时的防篡改链。这意味着在每个转移点密封、记录的监管，以及任何独立方都可以根据计票检查的可审计记录——而不是只有官员才能访问的记录。
第三，任何人都可以验证而无需信任声明它的官员的结果。德国宪法法院在[当它在2009年罢免了电子投票计算机时用宪法条款表达了这个原则：投票和结果确定中的基本步骤必须可被公民可靠地和不需要专业知识地审查。该标准同样尖锐地适用于邮寄投票。一个只有官员才能重建其监管链的结果违反了它。
这些都不需要放弃远程投票。它需要构建远程投票默认所缺乏的基础设施——投票站在物理和程序上提供的相同基础设施。
官员无法为你回答的问题
2015年4月23日，在塔哈姆雷茨判决之后，一位市长被罢免。一次新的选举被命令进行。观察者说系统已经工作。
在某种狭隘的意义上，它确实工作了。欺诈被发现了。结果被宣布无效。民主纠正了自己。
但这是官方叙述无法告诉你的：有多少邮寄投票欺诈没有被发现？ 法院发现了其面前的证据所支持的东西。它发现腐败足够广泛以至于宣布选举无效。它没有——也不能——重建每一张被篡改的选票、每一次冒充投票、每一个被收集的信封。法院使用他们所得到的。
到达法院的案件是产生足够证据来提出的案件。从未到达法院的案件根据定义是无形的。
这是在选举之前将可验证性建设到系统中的论证，而不是依靠诉讼在之后重建它。一张邮寄选票，其监管是用密码记录的，其身份检查是独立可审计的，任何公民都可以验证其在计票中的位置而无需联系律师——那张选票不需要你信任处理它的选举官员、回溯性地审查该过程的法院或说一切都很好的州务卿。
它要求你检查记录。而记录就在那里。
那是我们建立的。查看监管差距在世界各地有多普遍——或阅读这个问题的两分钟版本。