← 所有文章

买票其实是一个身份验证问题的伪装

买票不是犯罪问题——它是市场问题。而每个市场都需要交付证明。消除证明，你就消除了交易。

2021年4月26日上午，在阿尔巴尼亚的某个地方，一笔交易正在完成，这与投票箱毫无关系。

金钱或人情交换了手。约定很清楚：按照指示投票，然后带着证明回来。证明可以是一张照片。一个签名。一个见证的行为。一个党的工作人员站得足够近以便看清楚。

那天，全国各地，欧安组织民主制度和人权办公室的选举观察团在做记录。其最终报告将记录政治党派"广泛"的买票指控、一系列已开启的调查、对选民的压力以及国家资源的滥用。在其建议中：保证真正自由和秘密的投票、防止任何形式的压力要求选民披露他们如何投票，以及加强识别、调查和起诉买票行为的努力。

最后那个建议是听起来对的那个，也是几乎总是失败的。

问题不是犯罪分子。是市场结构。

想想买票在机制上真正需要什么。

你有一个有钱和需要选票的候选人。你有一个愿意出售的选民。但你面临的正是任何市场中任何买家都有的问题：你怎么知道你得到了你付费的东西？

承诺投票是毫无价值的。你需要交付确认。你需要证明。

整个买票装置——投票所的监视者、拍摄的选票、见证的标记、送你到投票站的工作人员——都是证明的供应链。 取走证明，市场就会崩溃。不是因为买家或卖家突然变得有道德。而是因为交易变成了无法执行的赌注。

这不是新观察。英国在1872年达成了这一认识。1872年《无记名投票法》用在私人隔间内标记的秘密投票取代了公开、公共的投票，并将其放入密封的投票箱。理由是明确的：当地主能够监视租户投票、雇主能够监视工人时，一个真实的有执行力的选票市场存在。秘密投票没有通过道德劝说结束腐败。它通过摧毁证明机制来结束腐败。

澳大利亚选举委员会直言：秘密投票在1850年代实施是因为人们"公开投票，这使他们容易受到恐吓和强迫。"设计创新是结构性的，而不是检控性的。

坏人不是反派。反派是一个让任何人都能证明其他人如何投票的系统。

阿尔巴尼亚2021：一个寻求证明机制的市场

欧安组织在2021年在阿尔巴尼亚发现的是一个试图适应不完全保密的市场。

在秘密投票有效的地方——在没有人能证明你如何投票的地方——市场没有可销售的产品。在保密性可能受到威胁的地方，市场就填补空隙。党的工作人员在投票所附近。拍摄选票的要求。之后"确认"投票的压力。这些都是试图重建秘密投票摧毁的证明。

阿尔巴尼亚的选举机制并不是唯一被破坏的。买票是"广泛的"并触发了"多项调查"。但起诉很少成功。民主制度和人权办公室关于"加强"检控努力的建议并不新——它以几乎相同的形式出现在来自三大洲各国的报告中。

原因是结构性的。大规模买票涉及数千笔小交易，每一笔都可以否认，每一笔都需要本身非法要求和难以保存的证明。 刑事法律是为案件设计的，不是为市场清算机制设计的。它能打倒头目，但无法可靠地将市场逼出存在。

只有一件事可靠地做到这一点：一张秘密性真正无法打破的选票。

吉尔吉斯斯坦2017：相同的机制，不同的背景

在阿尔巴尼亚2021年选举的六个月前，2017年10月15日，吉尔吉斯斯坦各地的投票所为一场欧安组织/民主制度和人权办公室评估为竞争性的总统选举而开放。十一位候选人。包括前总理的领域。

该团的最终报告是谨慎和公正的：选举大致上是竞争性的。但它记录了对选民的压力案例、买票和公共资源滥用——更关键的是，它敦促当局"保障自由和秘密选择的权利，防止任何形式的压力要求选民披露他们如何投票。"

那个短语——"披露他们如何投票"——是告诉人。它直接命名了证明机制。

有人在要求选民在事实之后证明他们的选择。这样的要求只有在交易已经完成、买家需要交付确认的情况下才有意义。披露的压力不是买票的附属品。它是买票的执行臂。

你无法成功购买你无法验证已交付的东西。

菲律宾1997：当证明留下纸质线索

菲律宾案件是证明交付实际如何运作的最清晰插图——因为证据最后出现在法庭上。

1997年7月21日，菲律宾最高法院判决诺拉斯科诉COMELEC案，确认Florentino Blanco被取消资格，他是1995年布拉干省梅卡瓦安市市长选举的表面获胜者。证据：装有金钱、标有候选人名字、分发给选民的信封。来自承认收到现金以投票支持他的收件人的宣誓声明。

法院判决仅仅提供或承诺某物以换取选票的行为根据《全能选举法》第261(a)条构成买票。Blanco被取消资格。副市长而非竞争对手接任。

这是一个真正的胜利。但看看它需要什么：物理信封。具名收件人。宣誓证词。一个足够可追踪的纸质线索，能够在最高法院审查中幸存。

现在想想你看不到的东西：数以万计没有留下信封、没有宣誓声明、根本没有线索的交易。刑事起诉是一把手术刀。问题是一个市场。 在梅卡瓦安，信封碰巧是可追踪的。在大多数选举中，它们不是。

法院的裁决回答了事后发生了什么。它不回答在买票者足够谨慎以避免纸质线索的选举中，或在法院缺乏菲律宾最高法院独立性的司法管辖区中发生了什么。

建筑防御——使证明有人如何投票在结构上是不可能的——是在第一个信封准备之前摧毁市场的东西。

为什么保密是安全属性，而不是礼仪

美国第一巡回上诉法院在审查新罕布什尔州禁止为自己标记的选票拍照的禁令时，在Rideout v. Gardner案（2016年）中以异常清晰的方式说明了这一点。

该州对禁令的辩护很直率：选票照片让选民能够向第三方证明他们如何投票，这重新开启了购买选票的市场。法院直接追溯历史——秘密投票改革是为了"打击广泛的买票和选民恐吓"而采取的，这些做法取决于买家或强制者是否能够验证选票。

法院以第一修正案理由驳回了禁令。但它完全接受了该州的前提：标记选票的照片是证明交付机制。 保密通过使销售无法验证而不是通过道德劝说来击败买票。任何让选民能够向其他人证明其具体选择的特征——手机摄像头、收据、可追踪的电子记录——都重新开启了市场。

这就是为什么选票保密是安全特征，而不是对害羞选民的礼仪。秘密是承重的。

市场利用的间隙

这是从阿尔巴尼亚、吉尔吉斯斯坦和菲律宾一起绘制的运作中的买票市场的架构：

  1. 在投票前进行交易 ——现金、工作、人情。
  2. 建立证明机制 ——照片、证人、披露要求。
  3. 交付得到确认 ——工作人员检查，选民展示。
  4. 市场出清 ——选票大规模被购买。

摧毁链中的任何一个环节，市场都会恶化。

秘密投票摧毁了第2个环节。当真的没有办法证明你如何投票时——当投票间是私人的、选票没有任何标识符标记、投票箱被密封、没人能强迫你之后披露时——证明机制不存在。交易变成了无法执行的承诺。对某人的荣誉的赌注。

但当选票保密在物理上失败时，它在实践中失败。在格鲁吉亚（国家），欧安组织/民主制度和人权办公室的2024年选举报告发现在30%以上的观察中选票保密的潜在危害——通过选票如何标记、如何插入投票箱以及投票所如何物理布局。当投票间面向错误的方向、当选票表面对监视者可见时、当投票箱存放被观察时，市场可以看到其产品。

在保加利亚，2023年议会选举国际监察员记录了"关于买票和控制投票的长期关注"，这些"存在并被报告"，并发现在7%的观察中选票保密被破坏。执法告诉该团获取买票证据仍然困难，大多数案件从未通过审前阶段。

最后一句话可能逐字出现在阿尔巴尼亚、吉尔吉斯斯坦和菲律宾的报告中。检控方法不是因为缺乏努力而失败。它失败是因为它是市场问题的错误工具。

消除可证明性，你就消除了市场

最强形式的选票保密不仅是法律的——它是设计的。

一张密码学匿名的选票，以没有标识符连接选票和选民的过程投出，以至于任何一方都永远无法将特定选择与特定人员联系起来，是一张无法被购买的选票。不是因为法律禁止它。因为交易没有执行机制。买家无法验证交付。强制者无法验证遵守。市场没有产品。

这是以匿名为中心设计的端到端可验证投票系统的肯定案例——不是作为隐私姿态的匿名，而是作为结构性市场杀手的匿名。

注意"可验证"在这里的含义，仔细。它不意味着"买家可以验证"。它意味着选民可以验证他们自己的选票被计算了——而没有人其他人可以验证那个选民如何选择。选民的可验证性、买票者的不透明性，是相同设计要求指向相反方向。 一个同时实现两者的系统解决了阿尔巴尼亚、吉尔吉斯斯坦和菲律宾都共享的问题。

反面也是真实的。任何创造选民和选择之间可追踪链接的投票系统——编码选民身份的二维码、证明特定选择的收据、照片、可观察的存放——都是为买票市场创造产品的系统。设计师是否打算这样并不重要。市场是机会主义的。

什么保持无法验证——以及什么会改变它

这是诚实的清算。欧安组织向阿尔巴尼亚、吉尔吉斯斯坦、北马其顿、保加利亚和格鲁吉亚派遣观察员。他们记录买票。他们推荐起诉。四年后的下一份报告记录买票。他们推荐起诉。

刑事执法无法扩展到市场。国际监察员报告——无论多么细致——都是关于观察员能看到什么的声明。交易内部、买票者账本内部、工作人员联系人名单内部发生了什么，不在报告中。

没有人能独立验证的东西，在所有这三个国家研究中，是有多少交易成功清算了市场。 不是因为调查员没有尝试。因为秘密投票——在它有效的地方——通过设计摧毁了证据。而在它没有有效的地方，证据存在但很少达到定罪。

会使这对任何人都可检查的东西不是神秘的。物理保证私人标记和存放的投票所布局，独立观察。不携带选民关联标识符的选票设计。具有密码学匿名证明、无需信任供应商或当局就能独立验证的电子系统。机器可读形式的结果即时、分所级发布，以便与协调买票一致的模式可以统计检测，而不仅仅是轶事报告。

这些修复中没有一个要求相信官员的保证一切都很好。它们用结构取代信任。

2021年阿尔巴尼亚的买票市场、2017年吉尔吉斯斯坦的买票市场以及1995年梅卡瓦安的买票市场不是个人美德的失败。它是建筑失败。修复建筑，你就修复了市场。

在我们的全球选举完整性地图上看这个问题如何在不同国家出现——以及哪些系统最容易受到攻击。关于可验证选举实际需要什么的两分钟版本，从/simple开始。要探索当前系统中的具体间隙，/gaps按类别绘制它们。

来源

查看所有文章探索漏洞