一枚の投票用紙。 最初から最後まで検証可能。
一票が有権者の手を離れ、世界中の誰でも再確認できる結果になるまでを追ってみましょう。四つのゾーン、一つの原則：投票用紙が唯一の真実であり、データは人が手で運ぶ封印・署名済みのメディアでのみ投票機の外に出ます。ネットワークを経由することは一切ありません。
意図した通りに投票される
投票用紙が箱に入る前に、印刷された内容をご自身で確認できます。
投票した通りに記録される
投票用紙そのものが記録です。機械はそれを読み取り、集計するだけです。
記録した通りに集計される
すべての集計結果はデジタル署名され、誰でも紙と照合して再確認できます。
投票用紙の旅
左から右へ読み進めてください。注目してほしいのは「ないもの」です。投票機に逆流する経路は一切なく、最後の最後までインターネットにはつながりません。
この図の見方
誰でも確認できるソフトウェア
選挙の前に、専門家が実際に票を集計するコードを確認できるよう、ソフトウェアを公開の場で作成します。
- 1公開・再現可能なビルド — 誰でも同じソフトウェアを作り直し、まったく同じフィンガープリントが得られることを確認できます。
- 2各リリースは複数の責任者によってデジタル署名されます（ソフトウェア保証証明書）。
◆ 署名済みソフトウェアリリース＋ビルドフィンガープリント
✓ ソースから再ビルドし、フィンガープリントが一致することを確認する
投票所
実際に投票する場所です。ここにあるすべての機器は封印・改ざん防止処理が施され、完全にオフラインです。
- 1受付：選挙管理員が資格を確認し、一度だけ使える投票トークンを発行します。
- 2記入：投票記載機が、ご自身で読んで確認できる紙の投票用紙を印刷します。
- 3確認・投函：紙の内容を確かめたうえで、投票箱に入れます。
- 4集計：スキャナーが紙を読み取り、署名付きの改ざん防止機能を持つ累積集計を保持します。
◆ 投票箱内の紙の投票用紙＋署名済み機器別集計
✓ すべての投票用紙が紙で存在し、機械とは独立しています
郡／州の選挙管理本部
封印された結果が手持ちでここに運ばれ、確認・集計・認定されます。
- 1搬入：各投票所から封印された記録媒体が、記録された引き継ぎ記録とともに届きます。
- 2検証：1票も集計する前に、すべての機器署名と証明書を確認します。
- 3集計・認定：各投票所の合計を合算し、公式結果に署名します。
- 4公開：全世界向けに公開検証パッケージを準備します。
◆ 署名済み郡集計＋公開検証パッケージ
✓ 署名済みの投票区別集計を自分で足し合わせて確認する
公開検証
インターネットに接続する唯一の部分です。公開するだけで、何かを操作することは一切できません。
- 1結果、証明書、監査報告書が公開されます。
- 2一度公開された数字は、追記専用の透明性ログにより、こっそり書き換えることができません。
- 3無料のオープンソース検証ツールで、誰でも署名と集計を確認できます。
◆ 公開結果＋透明性ログによる証明
✓ オープンな検証ツールを実行する — 担当者ではなく、数学を信頼してください
Voting center
投票端末とは何か
センター内のすべてのマシンは、同じ堅牢な専用コンピューターです。改ざんされていないことを証明できるよう設計されています。
常にネットワーク未接続
Wi-Fi・Bluetooth・イーサネットはすべて使用しません。データは担当者が持ち運ぶ封印済みの記録媒体でのみ移動します。
ハードウェアによる改ざん検知
筐体・ポート・封印をセンサーが監視します。不正な開封が検知されると、不可逆的なフラグが立ち、その端末は使用停止になります。
封印された鍵（TPM）
ソフトウェアが改変されておらず、改ざんも検知されていない場合にのみ、マシンの鍵が解除されます。
紙が記録の原本
端末はあなたが目で確認できる投票用紙を印刷します。集計されるのは画面ではなく、その紙です。
ハッシュ連鎖による監査ログ
すべての操作は追記専用のログに記録され、後から書き換えることはできません。
投票終了時に署名
投票終了時、端末は署名・封印されたエクスポートパッケージを一つ生成します。端末から外に出るのはこれだけです。
三つの役割、一つの堅牢な基盤
受付端末 — 投票資格を確認し、使い捨ての投票トークンを発行します。
投票記入端末 — あなたが確認して投票する紙の投票用紙を印刷します。
スキャナー／集計端末 — 紙を読み取り、署名付きの集計結果を保持します。
私たちを信頼しなくても、結果を検証する方法
検証可能とは、誰の言葉も鵜呑みにしなくていいということです。市民・報道機関・政党が独自に確認できる内容を紹介します。
ソフトウェアを確認する
公開されているソースコードをビルドし、そのフィンガープリントが実際にマシンで動いた署名済みリリースと一致するか確認します。
紙と集計を照合する
紙の投票用紙が真実の記録です。リスク限定監査により、紙のランダムサンプルと報告された集計を比較します。
署名を確認する
公開検証パッケージをダウンロードし、無料のオープンソース検証ツールを実行して、すべての集計が正しく署名されているか確認します。
改ざんできないことを確かめる
追記専用の透明性ログにより、一度公開された数字は、誰にも気づかれずに変更することができません。
流れを言葉で説明する
上の図をわかりやすい言葉とスクリーンリーダー対応で説明するウォークスルーです。
- 1
選挙前に、投票ソフトウェアが公開の場でビルドされ、デジタル署名されます。これにより専門家は実際に動作するものを正確に確認できます。
- 2
完全にオフラインの投票センターで受付を行い、使い捨ての投票トークンを受け取ります。
- 3
機械が投票用紙を印刷します。内容を確認し、正しければ投票箱に入れてください。
- 4
スキャナーが用紙を集計し、改ざんを検知できる署名付きの累計記録を保持します。
- 5
投票終了時、各機械は署名・封印されたデータを1件出力します。これはネットワークを使わず、手で本部に運ばれます。
- 6
本部はすべての署名を検証し、集計を合算して結果を認証したうえで、公開検証パッケージを公表します。
- 7
誰でも、どこからでも結果をダウンロードして無料の検証ツールで確認できます。また、紙の投票用紙は照合のための監査用として保管されます。