← 所有文章

两个民主制度，关于投票电脑的相反答案

德国看着投票电脑问道：每个公民都能检查这个吗？爱沙尼亚问道：我们能让投票更简单吗？只有其中一个问题能导向你真正能验证的民主制度。

2009年3月3日早晨，卡尔斯鲁厄的八名法官正在宣读一份裁决，这份裁决将在数月内把每台投票电脑从每个德国投票站撤出。不是因为欺诈被证明了。不是因为有人证明了单张选票被篡改。而是因为这些机器无法回答的一个问题。

一个普通公民，没有专业知识，能验证计票是否正确吗？

这些机器无法肯定回答。这就够了。

与此同时，在塔林，一个不同的答案正在悄悄被融入国家基础设施。爱沙尼亚的互联网投票系统——i-voting——在一次次选举中、一年年地扩展。选民从厨房餐桌上投出选票。投票率上升。该系统获得了国际赞誉。然后在2014年，一支独立安全研究人员团队坐下来，研究爱沙尼亚官员公布的客户端代码和服务器操作视频。

他们发现的是另一个答案。德国拒绝的那个。

德国实际上做了什么决定——以及为什么这与欺诈无关

德国案件始于对2005年联邦选举的投诉。该国部分地区使用过Nedap投票机。这些机器将选票记录在电子存储器中。它们没有产生任何选民可以检查的纸质记录。不存在之后可以检查的独立记录。

联邦宪法法院不需要篡改证据就可以对这些机器做出裁决。其标准不是"欺诈发生了吗？"而是"如果欺诈发生了，公民能抓住它吗？"

法院认为民主合法性在一定程度上源于选举的公开性——德国宪法法律称之为Öffentlichkeit der Wahl。《基本法》第38条与第20.1条和20.2条一起规定，投票和计票的基本步骤必须能够被公民可靠地、无需专业知识地检查。

封闭的软件、仅在内存中存储的选票、没有选民验证的记录：这些机器在这项测试的每个部分都失败了。《联邦投票机条例》是违宪的。

注意法院没有做什么。它没有使2005年选举无效——它权衡了宪法缺陷与推翻民选议会的破坏性，发现没有证据表明实际上发生过故障。但这些机器被淘汰了。德国回到了纸质选票和手工计票。

法院提出的原则不是技术判断。它是民主判断：只有专家才能验证的结果不是民主真正计数的结果。

荷兰人两年前就得出了同样的结论。他们的选举流程咨询委员会在其2007年报告Stemmen met vertrouwen（"信心投票"）中明确指出：选举过程中没有秘密——问题必须能被回答，答案必须能被检查和验证。荷兰回到了纸质选票。授权投票机的法规被撤销。

两个富有、稳定的欧洲民主制度，都不是特别害怕技术，看着无法验证的电子投票说：还不够好。

爱沙尼亚说可以——并建造了世界上最严格审查的在线投票系统

爱沙尼亚的i-voting系统成长于一个不同的传统。一个已将整个政府基础设施数字化的小国——数字身份证、在线税务申报、电子健康记录——看到互联网投票是其数字国家的自然延伸。到2013年市政选举时，数十万爱沙尼亚人已在在线投出国家选票。

与德国的Nedap机器不同，爱沙尼亚系统至少公布了其客户端代码。官员们发布了服务器操作视频。这是真正的开放努力——比大多数在线投票系统的尝试要多。

而这种开放恰恰是使2014年分析成为可能的。

一支独立团队——斯普林莫尔、芬克贝纳、杜鲁美里克、基特卡特、赫尔斯蒂、麦卡尔平和哈尔德曼——在2013年10月市政选举期间观察了该系统，并检查了公布的软件和服务器配置。他们在ACM CCS 2014会议上提交的同行评审论文中记录了他们的发现。

研究结果很严重。

服务器准备期间的运维安全明显松散——被官员们发布的视频清晰地记录了下来。软件架构存在漏洞。最重要的是，研究人员得出结论，一个拥有充足资源的攻击者——民族国家或不诚实的内部人员——可能在不被发现的情况下破坏投票完整性或选民隐私。

不是"可能减缓系统"。不是"可能造成明显崩溃"。是改变选票。无法检测地。

爱沙尼亚选举当局对这些结论提出异议。这种异议是真实的且正在进行中，研究人员的发现还没有被任何法院裁定。但注意这种分歧的结构：它是安全专家之间的技术辩论，在同行评审场所进行，正是因为爱沙尼亚系统足够开放，外部研究人员有东西可以检查。

爱沙尼亚案件不是一个腐败选举的故事。它是一个邀请审查然后无法完全经受审查的系统的故事。

两个假设，明确说明

德国和爱沙尼亚做了不同的赌注，值得明确命名。

德国的赌注：民主选举的合法性取决于普通公民能够验证计票。任何失败这项测试的系统都是违宪的，无论其是否曾经出现故障。

爱沙尼亚的赌注：便利性、参与度和数字基础设施很重要。独立专家审查和公布代码足以确立可信度。

两个赌注都是连贯的立场。但它们基于对谁能检查结果以及如何检查的根本不同理解。

德国的标准在其简洁性上是激进的：公民。不是认证专家。不是选举当局。不是厂商。站在投票站里的，或从观众席观看计票的普通公民，必须能够在不需要计算机科学学位的情况下追踪他们的选票发生了什么。

爱沙尼亚的标准更现代、更灵活——也更依赖于信任。它假设如果代码被公布，专家能读懂它；如果专家能读懂它，问题会浮出水面；如果问题浮出水面，它们会被修复。这条链的每个环节都需要牢固。2014年的研究表明，至少有一个环节——检测复杂内部或国家级攻击的能力——并不是明确可靠的。

德国宪法法院所理解的，以及荷兰委员会所表述的是，专家审查是必要的但不充分的。一个要求你信任专家链的选举仍然是建立在信任基础上的选举，而不是可验证性。这种差异在专家意见不一时最重要——这正是爱沙尼亚案件中发生的情况。

没有人充分讨论过的验证差距

这里是两个国家都没有完全解决的问题，坦率地说。

德国的纸质选票和手工计票在法院所指的意义上是可验证的：你可以看着选票被放进盒子，看着盒子被密封，看着计票。一个没有专业知识的公民可以追踪基本步骤。

但纸张不是关于可验证性的最后一句话。2020年的乔治亚州手工计票——五百万张选票在159个县中在不到六天内由手工点算——确认了机器计票，误差约为百分之零点一。这令人印象深刻。但这不等于说手工计票是无误的。在同年密歇根州安特里姆县，大约15,700张总统选票的手工审计与机器制表相差约十二票。十二票，在一个小县里，经过一次手工重新计票。

十二票听起来微不足道。在以少于这个数字的票数决出的竞选中——这确实会发生——一个本身误差在几票范围内的方法无法解决问题。"手工计票证实了它"是一种保证，不是证明。即使是受信任的黄金标准也有无法消除的人为误差。

爱沙尼亚的数字系统原则上可以做纸张无法做的事：生成密码学证明，证明每一张计数选票都是由符合条件的选民投出的，并且计数正确，而不透露任何个人如何投票。这是端到端可验证密码学投票的承诺，它真正比手工计票纸张更强大。

但爱沙尼亚系统没有完全交付这个承诺。2014年的研究人员发现，密码学架构在实现中留下了无法检测操纵的空间。公布代码是发现这一点的必要条件。它不是修复它的充分条件。

瑞士联邦互联网投票系统在2019年艰难地发现了这一点。瑞士邮政及其厂商Scytl公布了全部源代码供公众审查。独立研究人员刘易斯、佩雷拉和蒂格发现了混合网洗牌证明中的一个密码学陷阱——一个缺陷会让知道某些秘密值的当局生成一份看起来有效的验证记录，同时实际上隐藏了篡改的选票。这个缺陷在认证黑盒中是不可见的。当代码被公布，真正的密码学家查看时，它变得可见。

开放代码发现了缺陷。开放代码是必要的。但开放代码仅仅不足以使系统可验证——它使系统可审计，这是可验证性的先决条件，而不是可验证性本身。

真正解决这个问题意味着什么

德国标准——不需专业知识的公民可验证性——和爱沙尼亚的雄心——正确性的密码学证明——实际上并不冲突。它们通过不同的路通向同一个目的地。

目的地是一个系统，其中任何选民和任何独立观察者都可以检查他们的选票是否包含在计票中、计票是否计算正确、是否没有发生未授权的添加或删除——无需相信选举当局、厂商或任何单一专家的说法。

纸质选票，扫描和光学读取，根据风险限制审计协议进行手工审计，接近德国标准——但依赖于物理保管链不被破坏。奥地利宪法法院在2016年宣布一次总统选举无效，不是因为发现欺诈，而是因为邮寄选票周围的程序保护在可能影响结果的数字上被违反。破裂的保管链是无法验证的结果，即使手中有纸张。

密码学端到端可验证系统，如果正确实施并独立验证，更接近正确性的技术证明——但依赖于实施是否可靠、代码是否可检查、密码学是否正确。瑞士发现认证系统可能存在隐藏的缺陷，通过每次官方检查。

教训不是纸质优于密码学，或反之。教训是"相信我们"——在官员、厂商、专家中——是每种方法如果不被任何人都能独立检查的东西所替代，最终都会产生的失败模式。

这是比任何单一国家到目前为止完全满足的更严格的标准。德国通过坚持公民可理解的透明度满足了其中一部分。爱沙尼亚试图通过公布代码和专家审查满足一部分。仅靠任何一种方法都无法让你得到真正的、独立的、公开可验证的结果。

挪威互联网投票试点，在2013年至2014年期间进行，然后在2014年关闭，得出了更简单的结论：无法确保选票没有被改变的信任，而且便利性也没有带来承诺的投票率收益。有时候正确答案是停下来，等待一个真正解决问题的系统。

两个答案都没有关闭的问题

这里是仍未解决的内容，尽可能坦率地表述。

德国的纸张和手工计票系统是最公民可理解的投票方法。但它在正式意义上不是独立可验证的：手工计票可能有微小误差，保管链可能被破坏而不留下明显证据，观看计票的公民正在相信他们看到的密封袋是包含正确选票的那个。

爱沙尼亚的i-voting系统大胆而且在某些方面比德国尝试的任何东西都更雄心勃勃。但2014年研究团队得出结论，一个复杂的攻击者可以不被发现地改变国家在线投票。当局对此提出异议。都无法以非专家公民能独立检查的方式证明另一方错误——这恰恰是德国宪法法院在2009年发现的问题。

两个国家都没有关闭的差距是这样的：一个投票系统为每次选举产生一份公开的、机器可读的、密码学可验证的记录，任何拥有笔记本电脑和时间的人都可以根据公布的结果检查——无需相信软件、厂商、官员或任何专家的保证。

这个系统存在于研究文献中。它从未在具有这些完整属性的具有约束力的选举中以国家规模部署过。

在它被部署之前，德国和爱沙尼亚之间的选择是一个在两种信任之间选择——相信你能观看的公民可理解过程中的信任，以及相信你无法完全追踪的专家可理解证明中的信任。两者都比什么都没有要好。都不是辩论的终结。

下次官员告诉你一次选举被验证时，问：由谁验证的，针对什么记录，以我自己能检查的方式？

如果答案需要相信某人，工作还没有完成。

看看这个验证差距在全世界有多普遍——逐国、逐方法→ 投票地图

阅读为什么可验证性不等同于安全性的两分钟版本→ 简化版

探索已记录的公布结果和可检查结果之间的差距很重要的案例→ 差距案例

来源

查看所有文章探索漏洞