Lentis/电子投票

Lentis 的这一章讨论了电子投票和互联网投票。电子投票机在 2000 年选举出现困难后迅速流行起来，但由于验证、安全性和可靠性问题，其支持率逐渐下降。本章特别分析了直接记录电子投票机在美国的兴衰，重点关注社会因素。

投票机概述

直接记录电子投票机

主页面： DRE 投票机

最常见的电子投票机是数字记录电子投票机 (DRE)。这些机器直接将用户输入存储在电子内存中。输入通常通过触摸屏实现。每个 DRE 机器都统计自己的投票，但选区必须通过物理运输机器本身或安全加密的智能卡到中央统计系统来统计和验证总投票。

“	[我们] 通知公众依赖电子投票机来记录和统计我们投票的弊端，没有可由选民验证的审计跟踪。	”
—VerifiedVoting.org [强调添加]

DRE 投票机往往存在弱点，受到广泛批评。软件和硬件缺乏透明度、缺乏可审计的纸质跟踪和物理安全弱点都是许多 DRE 机器中发现的问题。

纸质电子投票

另一种常用的电子投票方法使用纸质选票，但电子统计这些选票。这种方法不会详细介绍，但很重要，因为它是在社会向电子投票过渡过程中的过渡状态。它们不太容易受到攻击，因为有保证的物理证据可以重新统计。

电子投票机的历史

美国的第一台 DRE 是 1975 年伊利诺伊州两个县使用的 Video Voter 机器。 它在 1980 年之前被众多县使用。现代电子投票始于 1988 年左右，采用 Electrovote 2000 和 Microvote 等系统。

电子投票的动机

截至 2000 年，只有 12.4% 的选民使用 DRE。 当时的投票方法是简单的纸质选票、穿孔卡片机类型、机械杠杆机和光学扫描技术。简单的纸质选票是选民在姓名上打勾，然后由投票工作人员手工统计。穿孔卡片由机器读取并统计，选民在上面打出自己的选择。机械杠杆机通过为每个候选人增加一个计数器来工作，然后由投票工作人员记录。最后，光学扫描投票机也自动读取纸质选票，但与穿孔卡片机不同，光学扫描读取选票上用气泡、打勾或打叉标记的标记。这些投票类型仍在 2000 年总统选举中使用，这突出了它们中的许多问题。

有关投票类型的更详细的背景信息：维基百科关于投票机的页面

2000 年总统选举

主页面： 2000 年总统选举

2000 年德克萨斯州州长布什和副总统戈尔之间的总统选举是美国历史上最接近、最具争议的选举之一。在投票日结束时，佛罗里达州尚未宣布该州的获胜者。没有佛罗里达州，任何一位候选人都没有获得 270 张选举人票所需的票数来宣布当选总统。接下来的一个月里，进行了多次重新计票，每次计票的结果都不相同。最终，选举在最高法院的布什诉戈尔案中决定，该裁决称重新计票已经完成，因此布什根据最近一次重新计票结果以 537 票的优势赢得了选举。许多人选举后问的问题是：'为什么重新计票花了这么长时间？' 以及 '为什么它们会产生不同的结果？'

佛罗里达州选举中的问题

主页面： 2000 年佛罗里达州美国总统选举

蝴蝶选票

2000 年大选期间，佛罗里达州出现了两个主要问题：悬挂的纸屑和蝴蝶选票。在使用打孔式投票的方式时，如果选民在选择时没有完全撕下选票标签，就会出现悬挂的纸屑。剩余的标签有时会导致机器在统计选票时无法识别该票。另一个报道的问题是蝴蝶选票，这是一种打孔式选票设计，候选人的名字出现在打孔孔的两侧。问题是，当选民试图投票给左侧第二位的候选人时，他们却投给了右侧第一位的候选人。这些问题以及其他问题导致选票无效，原因包括“不投票”（未选任何候选人）和“多投票”（选择了多个候选人）。在 2000 年大选中，仅因“多投票”而导致佛罗里达州有 111,000 张选票没有被统计。 这些问题引起了选民的沮丧，其中大部分针对的是现有的投票系统。这种公众意见导致了选举改革法案的出台，以及电子投票机 (DRE) 在未来几年中的广泛使用。

“	[这些问题] 剥夺了一些社区选民的投票权，这种被剥夺投票权的感觉导致一些人质疑民主的承诺是否真的适用于他们。	”
——杰布·布什，佛罗里达州州长

电子投票机的使用越来越多

2000 年大选后，公众对纸质投票系统的意见导致了全美范围内的选举改革。两个具体的例子是 2001 年的佛罗里达州选举改革法案 ，该法案在只有 2 名佛罗里达州立法委员反对的情况下通过 ，以及全国范围内的 2002 年帮助美国人投票法案。 为了满足这些法案的要求，许多投票站选择使用电子投票机作为他们的新投票系统。2002 年，22% 的选民使用了电子投票机，到 2004 年，这一数字上升到 29%。

问题

选民验证

为了缓解对电子投票机透明度的许多担忧，人们一直在努力实施额外的措施，让选民能够验证他们的投票是否被正确记录。帮助美国人投票法案要求所有投票系统允许选民在投票前独立验证他们的选票是否包含他们正确的选择，并且能够在发现不一致时纠正选票。 这些系统通常被称为 选民验证纸质审计跟踪。为了在电子投票机上实现选民验证纸质审计跟踪，需要将一台打印机连接到投票机，以便打印出选民的选择，然后选民进行验证。这张纸质选票将保存在投票机中，以便在必要时对电子投票机的结果进行审计或用于重新计票。许多组织，如验证投票基金会 和共同事业 ，以及专家，如丽贝卡·墨丘里博士 ；彼得·G·诺伊曼博士 ；以及丹·S·沃拉赫博士 ，都支持选民验证纸质审计跟踪系统，因为他们认为它可以解决对电子投票机可能错误记录投票的担忧。尽管有如此广泛的支持，但仍然存在一些问题。研究 表明，许多选民不查看他们的选票，或者不认识到他们的选择被更改了。美国残疾人协会 和迈克尔·沙莫斯博士，法学博士 等人反对选民验证纸质审计跟踪系统的一个理由是，纸质选票不能被残疾选民轻松读取。这意味着残疾选民要么放弃验证他们的选票，并冒着选票不反映他们意愿的风险，要么寻求选举工作人员的帮助来验证他们的选票，这将剥夺他们选票的秘密性。

无障碍性

由于电子投票机是特殊用途的计算机，因此现有的用于为计算机系统提供无障碍性的技术，可以很容易地适应这些投票系统。这些辅助设备可以包括用于视障人士的耳机和盲文输入，以及用于行动不便人士的吸管式“棒”。（有关更完整的列表，请参阅维基百科上关于 辅助技术 的条目。）如果投票机能够完全无障碍，那么残疾人将能够完全独立地投票，而无需任何帮助，从而确保他们能够获得秘密投票的权利。由于这些潜在的益处，许多组织和个人，例如 AAPD 的政府事务副总裁吉姆·迪克森 ，已经表达了他们对在所有投票站采用无障碍投票系统的支持，正如帮助美国人投票法案要求的那样。 尽管对无障碍电子投票机做出了这种回应，但支持并非一致。一些组织，如硅谷盲人理事会，对这些投票系统的无障碍程度表示失望。 一些人，如残疾选民阿莱达·戴维斯，认为为提供无障碍性做的还不够，并且反对只提供有限无障碍功能的投票机。

“	对残疾人口中的一些成员提供便利，而期望我们其他人继续“照常营业”是不可接受的。这是歧视，这是非法的。为不同残疾的人提供便利需要投票系统具有极大的灵活性。对盲人和视障社区中某些成员有效且他们喜欢的方案，不能为行动不便或运动障碍的人提供便利。	”
——阿莱达·戴维斯

安全性

电子投票最令人担忧的问题之一是安全性。有许多广为人知的事件突出了DRE（直接记录电子投票机）的安全性问题，这些问题帮助形成了公众对电子投票的负面看法。2006年，普林斯顿大学的一个研究小组发布了一项研究结果，描述了他们在Diebold AccuVote-TS投票系统中发现的许多安全漏洞。该研究还指出，恶意程序可以多么快速和容易地安装到这些机器上。同样在2006年，HBO纪录片“黑客入侵民主”上映。这部纪录片追踪了2000年和2004年美国选举期间选民在电子投票系统中遇到的许多问题，并强调了投票机的许多安全问题。为了减少对DRE的安全性担忧，许多团体支持让投票机制造商向公众发布其源代码的努力。通过开源（见开源运动）代码，专家和其他第三方可以审查投票系统，以发现和修复他们发现的任何安全问题。一些反对开源的人，例如选举技术委员会，认为这样做会为罪犯提供更多信息，他们可以用这些信息来设计更阴险和有效的攻击投票系统的方法。另一大群体坚持封闭源代码的是电子投票系统制造商。这些公司投入了大量资金和时间来开发他们的知识产权，他们不愿意免费将其发布给公众。

在有适当的物理访问权限的情况下，DRE投票机显然存在重大弱点；防止篡改者获得投票机的物理访问权限是确保投票安全的主要方法之一。这在很大程度上是一个社会问题，没有明确的技术解决方案。官员受贿是一个严重的问题，正如1998年北卡罗来纳州的Microvote丑闻所表明的那样，这威胁着投票过程的安全性。如果没有确保选举工作人员和官员合法性的全面的社会政治解决方案，技术解决方案很难充分发挥作用。

DRE存在的问题

如上所述，21世纪初DRE的使用量有所增加；这种实施也存在问题。一个例子是在2006年选举中，佛罗里达州萨拉索塔县的iVotronic投票机丢失了超过18,000张选票，这可能影响了一些比赛的结果（一个获胜率仅为400票）。Diebold投票系统的安全问题最终导致加州禁止使用DRE。DRE的使用量从2006年的37.6%下降到2008年的32.6%

“	我们正在将我们民主的命运托付给尚未成熟的技术。	”
—Tadayoshi Kohno，加州圣地亚哥大学计算机安全专家

DRE教给我们的教训

在不到10年的时间里，DRE的使用量从迅速增加到急剧减少。投票机制造商和政府实施不力，表明该技术本身尚未成熟。DRE可以教会我们的是，在技术准备就绪之前就应用它，会导致其垮台。

对于面临类似问题的技术，请阅读有关航空旅行安全和玉米乙醇的信息

网络投票

网络投票是指允许公民使用联网设备在家投票的概念。与DRE（如上所述）或选票标记设备（使用电子输入，例如触摸屏，完成纸质选票）等传统的电子投票不同，网络投票可以在现有的消费电子产品（如手机）上实施。

本节将讨论网络投票的挑战、优势和实施，特别是以爱沙尼亚为例。

投票安全

无论投票系统如何设计和实施，它必须具备以下属性才能安全。

• 机密性 - 没有人能发现任何人的投票方式。
• 完整性 - 投票计数准确。投票完整性要求每个人只能投票一次。那些选择不投票或没有投票资格的人不得计票。任何人不得代表他人投票。计票完整性要求每一票必须正确计票，且只计票一次。
• 可用性 - 投票系统必须在选举期间对所有人可用。
• 可验证性 - 任何人都必须能够验证上述三个属性是否成立。一个人不应该对任何机构抱有信心才能相信投票系统的机密性、完整性或可用性。

安全性要求存在的问题

虽然可用性在很大程度上取决于系统实施，但其他三个要求却具有高度对抗性。一般来说，当用户投下密封选票时，可以在不违反投票人机密性的情况下验证投票完整性。一旦选票被拆封并删除个人身份信息，也可以在不违反机密性的情况下验证计票完整性。但是，为了确保端到端可验证性（在各个步骤中都可验证），拆封选票的过程也必须经过验证。

当前实践中的系统

本节将重点介绍弗吉尼亚州邮寄投票系统所采用的设计，以满足投票要求。虽然细节有所不同，但弗吉尼亚州的邮寄投票模式是其他邮寄投票模式的典型代表。

在弗吉尼亚州的模式中，选民会收到一张选票和一个信封来密封它。选民然后填写选票，将其密封在信封中，并在信封上填写他们的信息。密封的信封和选票本身都具有防伪措施。下面是一个这样的信封示例。

当收到投票时，投票完整性通过将选票的密封容器与投票人进行关联来强制执行。与已经投票的人匹配的信封或具有无效或不完整身份信息的信封将被拒绝。在这一点上，由于投票本身仍然是密封的，因此投票人的机密性得以保持。

接下来，拆封选票，并丢弃投票人的个人信息。由于选票本身具有防伪保护，因此拆封过程被认为是安全的（即，用于计票的拆封选票是投票人密封信封内的选票）。

然后对拆封的选票进行计票。由于不再有任何与拆封选票相关的个人身份信息，因此任何人都可以检查这些选票并验证它们是否确实被正确计票，从而确保计票完整性的可验证性。

网络投票的复杂性

在上述示例系统中，任何拥有时间和可以访问所有纸质选票、它们的密封以及州选举人登记数据库的团体都可以验证选举结果。对于网络投票系统，很难验证投票记录数据库的记录是否正确，并且需要更多技术知识。

即使在理论上完美的系统中，选举完整性也可能受到损害：恶意行为者可能会破坏投票人的设备，并在投票提交之前更改投票。没有完美的系统，但有缺陷的数字系统比模拟系统更容易被利用。

尽管做出了各种努力，但消费电子产品仍然相对容易跟踪。例如，网络服务通常可以“指纹”设备，以通过用户的浏览器设置等方式识别和跟踪跨站点的用户。另见设备指纹识别。此网站展示了您的活动的不同部分如何与您相关联。由于投票服务器或任何中间服务器都可以记录指纹，因此在数字系统中验证机密性并非易事。

网络投票的具体问题

我们之前已经讨论过投票系统的一般问题，我们还将讨论更具体地针对网络投票的问题。

隐私

网络投票解决方案可能由私人机构开发。例如，Voatz 由一家公司开发，并且仍在某些美国司法管辖区使用。这要求向私人机构授予至少临时的访问权限，以访问选民身份证明（例如驾驶执照、社会安全号码、地址、照片、出生日期），以便应用程序能够验证选民的身份。如果私人实体保留这些信息，则用户的隐私可能会受到损害。

验证用户设备没有被入侵需要对设备进行特殊访问，可能包括访问用户的操作系统和个人文件。这也对用户的隐私构成威胁。

一致性

在美国，宪法第一条第四款 将举行和管理选举的责任委托给各个州。这有可能导致网络投票在美国成为一个拼凑的系统，极大地复杂化了选举安全审计，并且可能让选民感到困惑。如果选举系统是联邦政府的主要责任，那么由于联邦政府相较于任何州拥有更多的资源和专业知识，因此创建一致、安全的网络投票系统将变得更容易。其他具有类似联邦宪法的政府可能会遇到类似的问题。

无障碍性

并非所有用户设备都符合网络投票的资格。网络投票应用程序可能需要使用专门的安全硬件（例如生物识别身份验证），这可能会导致没有更新设备的选民被剥夺投票权。网络访问也不对所有注册选民平等地开放。皮尤研究中心 报告说，只有大约四分之三的美国人在家中拥有宽带互联网接入。

信任

由于网络投票系统无法像纸质选票那样被普通个人验证，因此公众必须相信该系统是可信的。这个问题甚至可以在 2020 年美国总统大选中传统的电子投票中看到。例如，多米诺系统 尽管拥有可用的纸质审计跟踪，但仍然遭受了无数关于完整性问题的指控。这个问题在需要多个中间服务器以及电子存储和投票记录的互联网系统中只会变得更糟。

爱沙尼亚的网络投票

爱沙尼亚的网络投票，即 i-voting，只关注投票、计票和公布选举结果。爱沙尼亚目前的网络投票系统于 2017 年采用。它基于他们的电子投票通用框架，该框架定义了 i-voting 系统的设计要求

• 确保选民通过某些合法数字签名进行注册。
• 允许选民多次投票。这样，如果选民被迫为特定候选人投票，他们可以在稍后重新投票。
• 允许选民通过多种不同的设备验证自己的投票是否已正确提交；第二个设备减少了设备可能被入侵的威胁。
• 设计为能够让最广泛的专家审核该系统。

爱沙尼亚的实施

爱沙尼亚的 i-voting 系统基于“信封方案”，该方案复制了使用内信封和外信封的邮件投票程序。用户的投票被加密（内信封）并使用用户的个人信息进行数字签名（外信封）。这个两层系统允许投票官员通过外信封验证用户是否已注册投票，丢弃任何个人信息，然后访问选票。这是为了确保选民的保密性。

i-voting 选民必须使用政府发布的软件，该软件的源代码已在线发布。系统用户和外部调查人员可以确保代码的安全。

爱沙尼亚使用他们的国家身份证，该身份证同时作为智能卡 或移动设备上的官方数字身份。由于拥有一个身份证是强制性的，因此它对公民使用非常实用。虽然为没有自己的设备的选民提供了公共电脑，但建议不要使用它们，因为之前的用户可能具有恶意意图。

在投票结束之前，投票不会立即剥夺其外信封。如果选民投了不止一张票，则识别并替换最后一张票。

为了确保选民的投票已正确提交，他们可以在投票结束之前使用移动设备查看他们投票给谁。

爱沙尼亚网络投票的使用情况

爱沙尼亚于 2005 年发布了网络投票。他们是第一个为地方选举提供网络投票的国家，2007 年，他们成为第一个为大选提供网络投票的国家。爱沙尼亚的 i-voting 已经得到其公民的广泛认可，如 2019 年大选中近 44% 的选民通过网络投票。

文件：I-voting-participation.png

每次选举中使用网络投票的选民比例

网络投票的进入门槛之一是技术的使用。老一代人往往难以适应新的系统。尽管如此，爱沙尼亚的老年人还是开始使用网络投票。在 2019 年欧洲议会选举中，55 岁以上的 i-voting 选民占 i-voting 总数的近 35%，25-34 岁和 55-64 岁年龄组分别占 18.3% 和 17.3%。

文件：I-voting-by-age.png

每次选举中按年龄组划分的 i-voting 选民比例

爱沙尼亚网络投票的影响

爱沙尼亚的成功很大程度上得益于其文化和紧密的社区。网络投票在学校中教授，以确保新选民了解系统。

2017 年，影响数字身份的安全性漏洞导致 760,000 张卡被召回。数字服务被迫暂停，安全问题的潜在威胁变得显而易见。

尽管存在这个问题，随后的选举中网络投票的比例大幅增加。这种繁荣的部分原因可以归因于 2019 年启动的一项安全调查。各种政客、大学和公民参与了为期六个月的审计，旨在增强对选举系统的信任，并扩大参与者的声音。

虽然网络投票可能使投票更容易，但一项2017 年的研究 发现网络投票的增加与投票率的提高之间没有相关性。选民确实转向网络投票，但这些选民主要由原本就会投票的选民组成，而不是新选民。