一张选票。 全程可核验。
跟随一张选票，从选民手中出发，直到全世界任何人都能重新核验的结果。四个环节，一条原则：纸质选票是唯一的真实依据，数据只能由专人手动携带密封、签名的介质带离投票机——绝不经由网络传输。
按意愿投出
选票打印后，您亲眼确认内容无误，再投入票箱。
如实记录
纸质选票本身就是记录。投票机只负责读取和计票。
如实计算
每一项汇总数据均经过数字签名，任何人都可以对照纸质选票重新核验。
一张选票的旅程
从左到右阅读。请注意缺少什么：没有任何数据会反向流回投票机，也没有任何内容在最后阶段之前接触互联网。
如何读懂这张图
任何人都可以审查的软件
选举开始前，软件以公开方式构建，专家可以确认用于计票的代码。
- 1公开、可复现的构建——任何人都能重新编译出完全相同的软件，并得到完全相同的指纹。
- 2每个版本由多位密钥持有人共同进行数字签名（软件保证证书）。
◆ 已签名的软件版本 ＋ 构建指纹
✓ 从源码重新编译；确认指纹一致
投票中心
你投票的地方。这里的每台设备均已封存、防篡改，且完全离线。
- 1登记：工作人员确认你具有投票资格，并发放一次性投票凭证。
- 2填写：投票辅助设备打印出一张纸质选票，你可以亲眼阅读和核对。
- 3核实并投入：确认纸质内容无误后，将选票投入票箱。
- 4计票：扫描仪读取纸质选票，并保存经签名、防篡改的累计结果。
◆ 票箱中的纸质选票 ＋ 设备签名汇总
✓ 每张选票都有纸质凭据，独立于任何机器
县／州选举总部
封存的结果由人工携带至此，经核验、汇总后正式认证。
- 1导入：来自各投票中心的封存介质附有完整的监管链记录。
- 2核验：在计入任何数字之前，逐一检查每台设备的签名和证书。
- 3汇总与认证：合并各分项结果，并对最终结果进行签名。
- 4发布：生成面向全社会的公开核实数据包。
◆ 已签名的县级计票报告 ＋ 公开核实数据包
✓ 自行将各签名选区的票数重新加总
公开核实
唯一接触互联网的环节——只能对外发布信息，无法控制任何事物。
- 1结果、证书及审计报告均公开发布。
- 2仅追加的透明日志，让任何人都无法悄悄篡改已公布的数字。
- 3免费的开源验证工具，任何人都可以自行核实签名和计票结果。
◆ 公开结果 + 透明日志证明
✓ 运行开源验证工具——相信数学，而非相信说话的人
Voting center
一台投票设备究竟是什么
投票中心的每台机器都是同一种经过加固的专用计算机——专为证明自身未被触碰而设计。
永不联网
无 Wi-Fi、无蓝牙、无网线。数据只通过人工携带的密封介质传输。
硬件级防篡改
传感器全程监控机箱、端口和封条。一旦发现入侵，将触发不可撤销的标记，并使该设备停止服务。
密钥封存（TPM）
只有在软件未被修改、且未检测到篡改的情况下，机器的密钥才会解锁。
纸质记录为准
设备会打印一张供您亲眼核对的选票。计票依据是纸张，而非屏幕显示。
哈希链式审计日志
每一项操作都写入仅追加日志，事后无法篡改。
关闭时签名封存
投票结束时，设备生成一份经签名封存的导出包——这是唯一离开设备的东西。
三种角色，同一加固底座
签到设备——确认选民资格，发放一次性选票令牌。
标记选票设备——打印您核对并投出的纸质选票。
扫描／计票设备——读取纸质选票，保存经签名的计票结果。
您如何核实结果——无需信任我们
可验证意味着您不必听信任何人的说法。以下是任何公民、记者或政党可以独立核查的内容。
核查软件
重新编译公开源代码，确认其指纹与在机器上运行的已签名版本一致。
用纸质选票核查计票结果
纸质选票是最终依据。风险限制审计会将随机抽取的纸质选票与公布的计票结果进行比对。
核查签名
下载公开验证包，运行免费的开源验证工具，确认每项计票结果均经过真实签名。
确认结果无法被篡改
仅追加的透明日志意味着，数字一经发布，便无法在无人察觉的情况下被悄悄更改。
用文字讲述同一段旅程
以下是对上方示意图的纯文字、屏幕阅读器友好的逐步说明。
- 1
选举前，投票软件以公开方式构建并经过数字签名，专家可以确认实际运行的内容分毫不差。
- 2
在完全离线的投票中心，您完成签到并领取一次性令牌。
- 3
机器打印出一张纸质选票。您阅读后确认无误，然后将其投入投票箱。
- 4
扫描仪对纸质选票进行计数，并保存一份经过签名、防篡改的实时累计总数。
- 5
投票结束时，每台机器生成一份经签名封存的导出文件，由专人人工送往总部——全程不经过网络传输。
- 6
总部核验所有签名，汇总计票结果，认证最终数据，并公开发布供公众核查的验证包。
- 7
任何人在任何地方都可以下载结果，并使用免费的验证工具进行核查——纸质选票也会保留，供审计比对。