← すべての記事

変更できない監査は儀式である

アメリカの選挙史上最も称賛された監査の2つは、単一の結果も変えることができませんでした。それは機能ではなく、告白です。

2007年12月8日の朝、オハイオ州務長官ジェニファー・ブルナーの机にレポートが届きました。ペンシルベニア州立大学、ペンシルベニア大学、WebWise Security, Inc.のチームによる9週間の仕事 — オハイオ州全体で使用されている投票システムの実際のソースコードと機器を渡されたチームです。彼らが研究したすべてのシステムに適用された結論は曖昧ではありません。

研究されたすべてのシステムは、信頼できる選挙を保証するのに十分な技術的管理を不可能にする重大なセキュリティ欠陥を持っていました。

一部ではなく。すべてです。EVEREST報告書 — 選挙関連機器、基準およびテスト評価および検証 — は共通の欠陥を記録しました：ソフトウェアが防止できないインサイダー攻撃、不正に適用された暗号化、それを監視するはずだった人々によって偽造または消去される可能性のある監査ログ。ES&Sシステムの場合、報告書はそれが以前に詳細なソースコードとレッドチームセキュリティレビューを受けたことがないことを指摘しました。

オハイオの選挙はこれらのマシンで実行されていました。そしてそれらのマシンの問題を捕捉することになっていた監査は？州全体のすべての郡で、それらはバインディングされていませんでした。彼らが何を見つけたかに関わらず、投票数は同じでした。

これがこの投稿のテーマである隙間です。

「バインディングされていない監査」が実際に意味すること

結果を変えることができない監査は保障ではありません。それは儀式です。

「監査」という言葉は多大な重みを持っています。それは精査、説明責任、改正の可能性を意味します。金融で使用するのは、失敗した監査が何かを停止するからです — それはアカウントセットを無効にし、再計算をトリガーし、キャリアを終わらせることができます。選挙担当官が「選挙後監査を実施しました」と言う場合、ほとんどの人は同じことを意味していると仮定します。通常、彼らはそうしていません。

バインディングされていない監査は、歯がない計数の観察です。 矛盾を見つけるかもしれません。報告書を提出します。認定された結果は認定されたままです。

米国のほとんどの司法管轄区 — および世界中の多くの民主主義 — では、監査の矛盾が修正をトリガーする、ましてや再実行をトリガーする自動的で事前に定義されたしきい値はありません。その発見はドキュメントに入ります。ドキュメントはファイルに入ります。勝者が就任します。

これは仮定の問題ではありません。オハイオEVEREST審査 — 独立した、ソースコードレベルの、敵対的なセキュリティ分析 — は、それが検査したすべてのシステム全体で重大な欠陥を発見しました。それはオハイオ公開記録法の下で一般に公開されました。オハイオはそれらのシステムの使用を継続しました。EVEREST最終報告書は、ログが「それを監視するはずだった人々によって一般的に偽造可能または消去可能」であるため、信頼できる監査自体が損なわれていることを明確にしています。偽造可能なログの上に構築された監査は監査ではありません。それは文書作業です。

管轄区全体でこのカテゴリの構造的隙間を追跡する場所です — /gaps/non-binding-audit。

並べて研究する価値がある2つの監査

実際の監査が異なることで何をするかを理解したい場合は、2つのアメリカの例から始めてください — 選挙が盗まれることを証明するためではなく、「監査」という言葉が歯を持つときに何を意味できるかを正確に示し、それ自体何を証明することができないかを示しているため、本当に価値があります。

コロラド州、2017年。 11月の選挙に続いて、コロラド州は州全体のリスク制限監査（RLA）を完了する最初の米国になりました。設計は数学的に具体的です：投票用紙の固定パーセンテージをチェックする代わりに、RLAはサンプルを競争の接近度にサイズします。1パーセントで決定された競争は、統計的確信に達するために手でチェックされた投票用紙をはるかに多く必要としますが、20で決定されたものではありません。コロラドは9パーセントのリスク制限で開始し、後でそれを3パーセントに厳しくしました。つまり、監査が間違った勝者を認定する可能性は最大3パーセントでした。コロラド州務長官は2017年11月22日の完了を発表しました。それは再計算ではありませんでした。手でチェックされた紙の投票用紙に基づいた、定義された信頼水準を持つ統計的テストでした。

ジョージア州、2020年。 ジョージア州での大統領選挙戦のマージンがほぼ500万人の投じられた投票のうち約11,000票で入ってきたとき、州の最初の州全体RLAはより大きなものになる必要がありました。マージンが非常に狭かったため、統計的な要件は本質的にすべての投票用紙を監査することを意味していました。だからジョージアは正確にそれを行いました：159郡、41,881バッチ、6日未満で人間の目によって手作業で計算された約500万大統領投票用紙。結果は機械計数と約0.1パーセント異なりました — 人間計数の変動範囲内です。ジョージア州公営放送は2020年11月19日の確認を報告しました。

これらは両方とも、あらゆる尺度で、抽出調査より深刻です。尋ねる価値のある質問は、彼らが何ができないか、そして両者をしないダースの州で何が起こるかです。

「チェックしました」と「検証できます」の間のギャップ

コロラドとジョージアの監査がすべての他の選挙後監査と共有するものはここにあります：それらは選挙を実施した同じ担当官によって実施されています。 外部のオブザーバーは見ることができます。候補者は代理人を送ることができます。しかし、基本的な行為 — 投票用紙を引く、数を実行する、合計を報告する — は、政府職員によって制御される政府プロセス内で発生し、政府記録によって文書化されます。

これは陰謀ではありません。信頼がどのように流れるかに関する構造的な観察です。

ドイツ連邦憲法裁判所は2009年に、電子投票機が民主的正当性の標準に失敗したと判断したときに、明確に述べました：投票と結果決定の本質的なステップは、市民が専門知識なしで検査できる必要があります。2 BvC 3/07および2 BvC 4/07の事件でのBundesverfassungsgericht's判決はコンピュータについてのものです — しかしその論理は直接監査に拡張します。独立して検証することができないプロセスは、それが呼ばれるものが何であれ、検証可能なプロセスではありません。

オランダは2007年に同様の場所に来ました。政府の独自の諮問委員会がStemmen met vertrouwen（「信頼を持って投票」）を公開し、透明性と検査可能性 — controleerbaarheid — が信頼できる選挙の譲歩できない基盤であると結論付けました。委員会の答えは、より良いマシンや担当官による監査ではありませんでした。それは、すべてのオブザーバーが確認できる人間が読める紙の記録でした。オランダはそれの投票コンピュータを完全に削除しました。Kiesraadは完全なレポートを保持しています。

担当官によって実施された監査、担当官によって確認された、担当官に報告された、そして公式記録に提出される監査は何もないより良いです。独立した検証可能性と同じではありません。

「確認」が開いたままのもの

ジョージア州2020に戻る瞬間、手作業計数監査の最強のケースであり — それでもそれはその価値がある注意を運びます。

機械計数と5000万投票用紙全体の手作業計数の間の0.1パーセント変動は、ノイズのように聞こえます。おそらくそうです。しかし、5000万の0.1パーセントは5000票です。勝利のマージンは約11,000票でした。つまり、2つの方法の変動は勝利のマージンのおよそ半分でした — 敗者が再計数を要求し、結果が全国で激しく争われた競争で。

「手作業計数が機械計数を確認した」と「手作業計数が機械計数と同一でした」は異なるステートメントです。 ジョージアの手作業計数は結果を確認しました — 同じ候補者が変動を生き残るのに十分な大きさのマージンで勝ちました。それは正確にRLAが設計されたことです：統計的確信を持つ勝者を確認し、ゼロエラー精度を達成しません。コロラドのRLAも同じことをしています。

しかし今、問題を縮小してください。アントリム郡、ミシガン州、2020年：人的エラーが明らかに間違った非公式の結果を生み出した小さな郡。修正され、手で監査されたとき、最終的な手作業の集計は約15,700票の投じられた投票のうち機械の集計と約1ダース票異なりました。12票。ほんの少数の投票で決定された競争では、それ自体が12票は正確性の証明ではなく、手作業計数は記録です。それは誤差の余裕を持つ測定です — そして誤差の余裕は、メソッドが何かを「確認」できる前に勝利のマージンより小さくなければなりません。

正直な教訓は、手作業計数が信頼できないか、すべてが詐欺的であるかではありません。正直な教訓は、手作業再計数の金の標準でさえ削減不可能な人的エラーを運ぶ — そして体系的で独立したチェックなしのエラーは、我々が受け入れることに同意したエラーです。

ペーパーレスシステムの非バインディング監査は、この誠実な不確実性のレベルにさえ達することができません。それは単に電子を数えて報告書を提出しています。

実際に何かを変えた監査 — なぜなら敵対的だったからです

オハイオEVEREST審査は何かを変えました。バインディングな結果ではなかったからではなく — ですが — 本当に独立していて敵対的だったからです。実際のソースコードと機器にアクセスしており、既存のシステムを守ることに興味を持っていなかった研究者によって実行されました。

カリフォルニアは2007年に同様のことをしました。州務長官デブラ・ボーエンは、州で認定された投票システムのソースコードを与えられた、カリフォルニア大学のコンピュータ科学者による徹底的なレビューに委託しました。ディーボルド報告書は、技術的な管理が「信頼できる選挙を保証するのに十分なセキュリティを提供しなかった」こと、そしてマシン間に広がる可能性があるウイルスへの脆弱性を特定しました。シークイア報告書は「システム全体で重大なセキュリティ上の弱点」を発見しました。ハート・インターシビック報告書は「主に互いに信頼する」コンポーネントが無効なネットワークインターフェースを見つけました。

これらの調査結果は実行可能な条件を生成しました — 2007年8月3日に発表されたセキュリティ要件の強化 — レビューが独立していて、結果が公開され、州務長官が公開精査が生み出したものに公開で対応する必要があったからです。

これは、選挙当局が独自のカウントを見直して確認を宣言することから構造的に異なります。そして、それはすぐに機能するモデルを指します：インサイダーによる監査ではなく、アウトサイダーによる検査可能性 — 暗号化、公開、機械が読める、および進行中。

ブラジルは、すべての一般選挙の前に正式な公開敵対的なセキュリティテストを実行し、urna eletrônicaを破ろうとするために任意の有資格研究者に招待し、配備する前にシステムを改善するために使用される調査結果を実行します。Tribunal Superior Eleitoral's programは、オハイオとカリフォルニアが1回限りのレビューとして委託したものの制度的バージョンです — 定期的、予想され、選挙サイクルに組み込まれていることを除いて。

監査が答えることができない設計の質問

ここに、バインディング対ではなく、選挙後の監査が答えることができないものがあります：マークした投票用紙は、カウントされた投票用紙でしたか？

Curling v. Raffenspergerでは、2020年10月11日に決定され、ジョージア州の最北部地区の米国地区裁判所がジョージア州のドミニオン投票用紙マーク機器に関する専門家の証言を記録し、これを鮮やかにしています。裁判所は、システムが「投票集計にQRコードに依存しているため、検証可能で監査可能な投票用紙レコードを提供していないこと、およびそのコード自体が有権者によって読み取られ検証されることができない」ことを発見しました。裁判所の意見も、投票集計アプリケーションが正確な結果を生成すること、および単なるテストがシステムが損なわれていないことを保証することができないという国立アカデミーの結論を引用しました。

ジョージア州での2020年の手作業再計数は、それらの投票用紙マーク装置出力シートの印刷されたテキストをカウントしました。しかし、マシンはQRコードから集計しました。マシンが「候補者A」と印刷されたテキストを言っている場合、バーコードに「候補者B」への投票をエンコードしています — 裁判所が理論的に実行可能と扱ったシナリオ — 人間が読める手作業のテキストの再計数は操作を確認し、キャッチしません。

これは、このことが起こったという疑いではありません。バインディング監査が完全に解決することはできない建築上の問題の説明です。監査されているアーティファクトが集計されたアーティファクトと同一ではない場合。 ウィンダム、ニューハンプシャー法医監査は2021年、スキャナーが折りたたまれた投票用紙を読み間違えたことを示しました。折り目亀裂が間違った場所にあり、センサーにマークされたオーバルのように見えたからです。SB 43法医監査報告書は詐欺、マルウェアを見つけなかったことはありません — ただ物理学。そしてエラーは耐久性のある紙が存在し、手作業計数が有権者の意思を回復することができたからこそ発見可能でした。紙なしで、回復するものは何もありませんでした。

有権者が読むことができないコードから集計するシステムで、有権者が複製することはできないプロセスによって監査され、有権者が信頼する必要がある担当官によって確認される — それは検証可能な選挙ではありません。それは検証のパフォーマンスです。

実際の監査に必要なもの

バインディング監査は結果を変えることができるものです。 つまり、選挙が開始される前に、法定に定義します：矛盾のしきい値が手作業再計数をトリガーする；手作業再計数のしきい値が調査をトリガーする；調査の発見が新しい選挙をトリガーする。「調べます」ではなく。特定の、自動的で、事前に委託された段階的なパス。

有意義な監査にはまた必要とします：

監査に対して信頼できるアーティファクト — 有権者が読むことができないバーコードではなく有権者が物理的に確認した有権者検証済みの紙のレコード、彼らが検査することはできないマシンによって生成されます。

監査されている担当官からの独立 — 見ることができるオブザーバーではなく、アクセスを強制し、独自のカウントを実行し、独自の調査結果を公開することができる監査人です。

郡別レベルの公開、機械が読める結果 — すべての市民がスプレッドシートで、政府の中介者がカウントが正しかったと言ってくれる必要がなく、最上位の合計を複製できるように。

そして、最終的には、暗号化エンドツーエンドの検証可能性 — 有権者が公開データだけを使用して、誰かの他の投票を学ぶことなく、彼らの投票が最終的な集計に含まれていることを確認できるシステムの種類。スイスのiVote失敗2019年 — 研究者サラ・ジェイミー・ルイス、オリビエ・ペレイラ、バネッサ・ティーグが暗号化トラップドアを発見した場所、変更された投票が合格検証証明を生じることができました — これがこれを正しく取得するのがどれほど難しいかを示しています。しかし、それはソースコード検査可能性が独立した暗号化者によるのが、検証可能性の主張が本当であるかどうかを知るためのただ一つの方法であることを示しています。

結果を変えることができない監査は儀式です。 それは、隠すものがない誠実な担当官によって実施された良い意思の儀式かもしれません。それは検証をしません。検証は、カウントが間違っていた場合、答えが異なるように見えるときに起こります — そして、結果を認定した人だけではなく、誰でも確認を実行できます。

今日何が検証可能ではなく、何がそれをチェック可能にするか

米国のほとんどの司法管轄区では、ここに独立した一般の市民ができないことです：

  • マシンを信頼することなく、マークした投票用紙が集計されたものと一致することを確認します。
  • 結果がリリースされた同じ夜の郡別の合計を事前に定義された郡別の機械が読める公開データから複製します。
  • 監査サンプルがランダムに描画され、選別されなかったことを確認します。
  • 選挙の前に、矛盾レベルが自動的にバインディング修正をトリガーすることを知ります。

これらそれぞれを検査可能にするもの：人間が読める標識を持つ有権者検証済みの紙のレコード；結果の即座の、郡別レベルの機械が読めるリリース；暗号的に検証可能な監査サンプル選択；そして、すべての選挙が始まる前に法律に書き込まれた法定段階的なしきい値 — 驚くべき結果の後に交渉されていません。

コロラド州のRLAは2番目と4番目に向けた一歩です。ジョージア州の2020年の手作業計数は2番目に向けた一歩です。どちらも完全な検証ではありません。どちらも儀式ではありません。彼らと両者をしていない州の間のギャップは私たちのギャップトラッカーに文書化されています。

目標は、すべての選挙担当官を不信頼することではありません。それが回答を検査可能にすることは、彼らの誠実さが問題であるので、システムを構築することです — 誰でも。

管轄区全体でこのギャップがどのように表示されるかを見てください →

選挙整合性ギャップの完全な景観を見てください →

2分の要約 →

ソース

すべての記事を表示ギャップを探索