← 所有文章

唯一有效的审计是法庭时，系统已经失败

三个国家举行了总统选举。三个最高法院都不得不宣布选举无效。问题不在于为什么法院要介入——而在于为什么选举一开始就需要被"拯救"。

2017年9月1日上午，内罗毕的六名法官即将创造一段没有人想要创造的历史。

总统选举在22天前举行。乌胡鲁·肯雅塔被宣布为赢家。选票已经清点——或者说某种形式的清点已经进行过。数百万肯尼亚人排队投票、标记选择、然后等待。现在最高法院以四比二的多数做了非洲历史上从未有过的事：彻底宣布选举结果无效。

不是因为发现了大规模舞弊。不是因为选票被明显窃取。

而是因为没有人能证明它们没有被窃取。

肯尼亚法院实际上说了什么

仔细阅读判决书——《2017年总统选举诉讼案第1号》——你会发现一些比贪污故事更令人不安的东西。法院的关切是结构性的。肯尼亚宪法规定选举必须简洁、准确、可验证、安全、负责任且透明。独立选举和边界委员会建立了一个实现这一目标的系统：每个投票站的结果单据（称为第34A表格）应该以电子方式同时传输到国家计票中心，创建一条从每个票箱到最终数字的实时、可追踪的链条。

该系统未能按设计运作。并非所有第34A表格都被传输。最终的国家计票单据没有水印或序列号。独立选举和边界委员会主席在所有基础表格到达之前就宣布了获胜者。当法院寻找能让它——或任何人——独立验证公布总数的证据链时，这条链有缺陷。

两名法官持异议：他们认为撤销选举的证据标准没有达到。这种诚实的分歧本身也是故事的一部分。多数意见和异议不是在争论舞弊。他们在争论证据。争论存在的东西是否足以信任。争论可验证性链条的缺失是否足以推翻数千万人参与的选举。

法院下令在60天内重新举行选举。肯尼亚进行了这次选举。导致撤销的可验证性缺陷——设计问题，而不仅仅是执行失败——之后仍然是政治争议的主题。

法院发现了真实存在的问题。但它以最困难的方式发现了它，事后才发现，在政治压力下，在一个国家在等待的情况下。

马拉维的修正液问题

向南8000公里，在2020年2月，马拉维宪法法院做了同样的事情。

2019年5月的总统选举以微弱多数让彼得·穆塔里卡作为赢家。但当诉讼人挑战该结果，法院检查官方计票单据——这些应该是任何可验证计票基础的物理文件——他们发现了某种在任何严肃的选举制度中都不应该存在的东西。

修正液。涂改液，涂在官方政府结果单据上，覆盖原始数字。

不仅仅在一个地区。不仅仅在一个地方。**普遍存在。**与重复的结果单据、未签署的表格和处理不当的计票一起。上诉法院于2020年5月8日维持了撤销，认定不规范行为意味着公布的结果不能被视为可验证的、合法的投票反映。

想想修正液在这个背景下意味着什么。这不是一次复杂的攻击。这不是网络攻击。这是一瓶花一美元的白色涂料。而它足以使整个总统选举在法律上无法验证。

计票单据应该是一个不能撒谎的防篡改工件。它是在投票站前当众签署、记录计票结果的纸张。一旦你使用涂改液，你就消除了防篡改性。你已经将可验证的记录转变为可更改的记录，而可更改的记录根本算不上记录。

马拉维在2020年6月举行了新的选举。

奥地利的证据链断裂

2016年7月，奥地利宪法法院宣布总统决选无效，该选举以大约3万票的差距决出。法院发现影响约77,000张邮寄选票的程序违规：信封提前打开、由未授权人员开始计票、缺少必需的见证人。获胜者的优势小于以违规方式处理的选票数。

关键是——这是大多数报道遗漏的要点——法院没有发现舞弊证据。没有人被指控改变投票。法院宣布选举无效不是因为发现了操纵，而是因为它无法验证没有发生操纵。使选举独立可检查的程序在可能影响结果的规模上被违反了。

一次重新的决选于2016年12月举行。

关于奥地利的一点是：被违反的程序不是晦涩的技术细节。它们是可验证性的机制。谁可能处理选票、在谁的见证下、在什么时间——这些规则的存在是为了让任何有利益关系的人都可以查看记录并确认没有未授权的人有机会改变这些信封内的内容。当你在允许的时间之前打开信封，没有见证人，你不仅仅是打破了规则。**你摧毁了使结果可检查的证据基础。**你使事后验证成为不可能。

这就是为什么法院没有选择。这不是惩罚错误。这是关于是否存在合法、可验证的结果的基本问题。

三次选举，一个根本问题

肯尼亚。马拉维。奥地利。三个差异很大的国家。三种非常不同的失败模式——数字传输缺陷、一瓶涂改液、过早打开信封。三个最高法院被迫充当最后防线。

但注意什么将它们联系在一起：在每种情况下，验证失败都是在法院之前发生的。问题不在于法院系统失败。问题是选举系统没有产生独立可检查的记录。法院被召唤来检查某个已经变得不可检查的东西。

无法验证结果而宣布选举无效的法院正在做法院应该做的事。但这也是一个信号，表明所有应该防止需要该介入的一切都已经失败了。

法院很慢。法院很昂贵。法院天生就在政治环境中——那两名肯尼亚持异议法官提醒我们，合理的人审查同样的记录可以对证据是否达到标准得出不同的结论。一个法院意见分歧不会强制重新计票；它只是让有争议的结果继续存在。

**法院是最后手段，不是验证机制。**这个区别非常重要，因为一旦法院介入，合法性的损害已经造成。

内置验证实际上是什么样子

德国宪法法院在其2009年关于电子投票机的裁决中清晰地表述了这一原则：投票和确定结果的基本步骤可以由公民可靠地、无需任何专业知识地检查。不是由法官。不是由计算机科学家。由公民。

这个标准听起来比实际要求高。肯尼亚、马拉维和奥地利都未能在任何法院介入之前达到这个标准。

在实践中达到这个标准是什么样子？

在肯尼亚，这意味着每份第34A表格都要被拍照、用防篡改签名传输、并以实时的公共URL发布，任何人都可以检查。蒙巴萨的选民可以查找他们投票站的结果，将其与全国计票进行比较，无需律师或法院命令就能检测到任何差异。

在马拉维，这意味着用笔签署、见证、拍照和哈希的计票单据——这样如果任何人对原件涂上修正液，数字记录会显示涂料涂上之前表格说了什么。

在奥地利，这意味着带有时间戳和见证人的证据链日志本身是公开记录的一部分，而不是只有法院才能传唤的私人行政笔记。

这些不是假设的想法。科罗拉多州自2017年以来一直在进行全州风险限制审计——提供明确的置信度而不是令人安心的空话的统计检查。格鲁吉亚在2020年手工清点了大约500万张选票，产生了任何人都可以与机器总数进行比较的结果。差距约为万分之一。这不是完美，但它是可检查的、公开的、可独立重现的数字。荷兰政府的选举委员会在2007年得出结论，只有当公众能够验证选举时，选举才是值得信任的——该国回到了纸质选票和手工计票。

共同的线索是：可验证性不是你随后添加的功能。它是一个你从一开始要么内置，要么根本没有的属性。

为什么"审计确认了它"不是要吸取的教训

当选举官员指出确认结果的审计时，回应应该总是：确认的方式如何，我能检查吗？

通过粗略审查的涂改液计票单据不是已确认。只有委员会可以访问的电子传输日志不是已确认。四比二分裂的法院不是确认——它是一个差点反向结论的争议性发现。

即使是手工重新计票——所谓的黄金标准——也存在不可消除的人为错误。密歇根州安特里姆县2020年12月对总统选票进行的手工审计与机器制表的差异约为投出的大约15,700张选票中的12张。12票。在一个有舒适优势的小县，那是噪音。在一个优势小于那个数字的竞争中，这就是全部。而且如2021年温莎姆，新罕布什尔州的取证审计所显示的，来自出租折叠机的选票褶皱——没有恶意软件、没有舞弊、没有阴谋——足以导致扫描器将折痕读作标记的椭圆形，数百次。

"手工计票确认了它"是一种安心。"审计确认了它"是一种安心。州务卿说"一切都吻合"是一种安心。

安心是不可验证的。记录才是。

肯尼亚最高法院没有得到它需要的记录。马拉维法院查看了记录并发现它们已被改动。奥地利法院发现谁处理了选票以及何时处理的记录根本不存在。

三个法院。三次撤销。没有内置验证。

保持开放的问题

随后进行的三次新选举中的任何一次——在肯尼亚、马拉维和奥地利——都没有修复导致原始撤销的系统性问题。每个国家都在导致失败的相同结构架构下运行了新的投票。肯尼亚在2017年10月的重新选举被主要反对党抵制，关于如何使数字结果传输独立可验证的根本问题从未被完全解决。马拉维的2020年6月重新运行产生了不同的赢家，但计票单据设计——纸质、用笔签署、容易被涂改液改动——没有被替换。

什么会真正弥补这个缺陷？不是一个新法院。不是事后更激进的审计。不是选举机构更大声的声明。

一个从选票到公布总数的链条是密码学哈希的、带时间戳的、已发布的、任何人都可以独立下载的系统——在第一次法律诉讼提起之前。

不是一个法院必须下令生成记录的系统。一个记录已经是公开的、已经是机器可读的、已经以任何单个官员都无法安静地改动的形式归档的系统。

这就是法院一直在发现其缺失的东西。这是德国宪法法院在原则上要求的。这是肯尼亚宪法要求而独立选举和边界委员会未能交付的。这是马拉维的涂改液计票单据摧毁的。这是奥地利的未授权信封打开者破坏的。

法院总是最后手段。值得问的问题——在任何选举之前，而不是之后——是你的系统是否被建造成使法院永远都不必被召唤。

"一个无法验证结果并宣布选举无效的法院在做法院应该做的事。一个强制法院陷入那个位置的系统已经失败了。"

查看这个验证缺陷在全世界有多普遍 →

阅读两分钟版本了解为什么内置可验证性很重要 →

探索你的选举制度的缺陷在哪里 →

来源

查看所有文章探索漏洞