Lentis/電子投票

Lentis 的這一章討論了電子投票和網際網路投票。電子投票機在 2000 年選舉出現困難後迅速流行起來，但由於驗證、安全性和可靠性問題，其支援率逐漸下降。本章特別分析了直接記錄電子投票機在美國的興衰，重點關注社會因素。

投票機概述

直接記錄電子投票機

主頁面： DRE 投票機

最常見的電子投票機是數字記錄電子投票機 (DRE)。這些機器直接將使用者輸入儲存在電子記憶體中。輸入通常透過觸控式螢幕實現。每個 DRE 機器都統計自己的投票，但選區必須透過物理運輸機器本身或安全加密的智慧卡到中央統計系統來統計和驗證總投票。

“	[我們] 通知公眾依賴電子投票機來記錄和統計我們投票的弊端，沒有可由選民驗證的審計跟蹤。	”
—VerifiedVoting.org [強調新增]

DRE 投票機往往存在弱點，受到廣泛批評。軟體和硬體缺乏透明度、缺乏可審計的紙質跟蹤和物理安全弱點都是許多 DRE 機器中發現的問題。

紙質電子投票

另一種常用的電子投票方法使用紙質選票，但電子統計這些選票。這種方法不會詳細介紹，但很重要，因為它是在社會向電子投票過渡過程中的過渡狀態。它們不太容易受到攻擊，因為有保證的物理證據可以重新統計。

電子投票機的歷史

美國的第一臺 DRE 是 1975 年伊利諾伊州兩個縣使用的 Video Voter 機器。 它在 1980 年之前被眾多縣使用。現代電子投票始於 1988 年左右，採用 Electrovote 2000 和 Microvote 等系統。

電子投票的動機

截至 2000 年，只有 12.4% 的選民使用 DRE。 當時的投票方法是簡單的紙質選票、穿孔卡片機型別、機械槓桿機和光學掃描技術。簡單的紙質選票是選民在姓名上打勾，然後由投票工作人員手工統計。穿孔卡片由機器讀取並統計，選民在上面打出自己的選擇。機械槓桿機透過為每個候選人增加一個計數器來工作，然後由投票工作人員記錄。最後，光學掃描投票機也自動讀取紙質選票，但與穿孔卡片機不同，光學掃描讀取選票上用氣泡、打勾或打叉標記的標記。這些投票型別仍在 2000 年總統選舉中使用，這突出了它們中的許多問題。

有關投票型別的更詳細的背景資訊：維基百科關於投票機的頁面

2000 年總統選舉

主頁面： 2000 年總統選舉

2000 年德克薩斯州州長布什和副總統戈爾之間的總統選舉是美國曆史上最接近、最具爭議的選舉之一。在投票日結束時，佛羅里達州尚未宣佈該州的獲勝者。沒有佛羅里達州，任何一位候選人都沒有獲得 270 張選舉人票所需的票數來宣佈當選總統。接下來的一個月裡，進行了多次重新計票，每次計票的結果都不相同。最終，選舉在最高法院的布什訴戈爾案中決定，該裁決稱重新計票已經完成，因此布什根據最近一次重新計票結果以 537 票的優勢贏得了選舉。許多人選舉後問的問題是：'為什麼重新計票花了這麼長時間？' 以及 '為什麼它們會產生不同的結果？'

佛羅里達州選舉中的問題

主頁面： 2000 年佛羅里達州美國總統選舉

蝴蝶選票

2000 年大選期間，佛羅里達州出現了兩個主要問題：懸掛的紙屑和蝴蝶選票。在使用打孔式投票的方式時，如果選民在選擇時沒有完全撕下選票標籤，就會出現懸掛的紙屑。剩餘的標籤有時會導致機器在統計選票時無法識別該票。另一個報道的問題是蝴蝶選票，這是一種打孔式選票設計，候選人的名字出現在打孔孔的兩側。問題是，當選民試圖投票給左側第二位的候選人時，他們卻投給了右側第一位的候選人。這些問題以及其他問題導致選票無效，原因包括“不投票”（未選任何候選人）和“多投票”（選擇了多個候選人）。在 2000 年大選中，僅因“多投票”而導致佛羅里達州有 111,000 張選票沒有被統計。 這些問題引起了選民的沮喪，其中大部分針對的是現有的投票系統。這種公眾意見導致了選舉改革法案的出臺，以及電子投票機 (DRE) 在未來幾年中的廣泛使用。

“	[這些問題] 剝奪了一些社群選民的投票權，這種被剝奪投票權的感覺導致一些人質疑民主的承諾是否真的適用於他們。	”
——傑布·布什，佛羅里達州州長

電子投票機的使用越來越多

2000 年大選後，公眾對紙質投票系統的意見導致了全美範圍內的選舉改革。兩個具體的例子是 2001 年的佛羅里達州選舉改革法案 ，該法案在只有 2 名佛羅里達州立法委員反對的情況下透過 ，以及全國範圍內的 2002 年幫助美國人投票法案。 為了滿足這些法案的要求，許多投票站選擇使用電子投票機作為他們的新投票系統。2002 年，22% 的選民使用了電子投票機，到 2004 年，這一數字上升到 29%。

問題

選民驗證

為了緩解對電子投票機透明度的許多擔憂，人們一直在努力實施額外的措施，讓選民能夠驗證他們的投票是否被正確記錄。幫助美國人投票法案要求所有投票系統允許選民在投票前獨立驗證他們的選票是否包含他們正確的選擇，並且能夠在發現不一致時糾正選票。 這些系統通常被稱為 選民驗證紙質審計跟蹤。為了在電子投票機上實現選民驗證紙質審計跟蹤，需要將一臺印表機連線到投票機，以便打印出選民的選擇，然後選民進行驗證。這張紙質選票將儲存在投票機中，以便在必要時對電子投票機的結果進行審計或用於重新計票。許多組織，如驗證投票基金會 和共同事業 ，以及專家，如麗貝卡·墨丘裡博士 ；彼得·G·諾伊曼博士 ；以及丹·S·沃拉赫博士 ，都支援選民驗證紙質審計跟蹤系統，因為他們認為它可以解決對電子投票機可能錯誤記錄投票的擔憂。儘管有如此廣泛的支援，但仍然存在一些問題。研究 表明，許多選民不檢視他們的選票，或者不認識到他們的選擇被更改了。美國殘疾人協會 和邁克爾·沙莫斯博士，法學博士 等人反對選民驗證紙質審計跟蹤系統的一個理由是，紙質選票不能被殘疾選民輕鬆讀取。這意味著殘疾選民要麼放棄驗證他們的選票，並冒著選票不反映他們意願的風險，要麼尋求選舉工作人員的幫助來驗證他們的選票，這將剝奪他們選票的秘密性。

無障礙性

由於電子投票機是特殊用途的計算機，因此現有的用於為計算機系統提供無障礙性的技術，可以很容易地適應這些投票系統。這些輔助裝置可以包括用於視障人士的耳機和盲文輸入，以及用於行動不便人士的吸管式“棒”。（有關更完整的列表，請參閱維基百科上關於 輔助技術 的條目。）如果投票機能夠完全無障礙，那麼殘疾人將能夠完全獨立地投票，而無需任何幫助，從而確保他們能夠獲得秘密投票的權利。由於這些潛在的益處，許多組織和個人，例如 AAPD 的政府事務副總裁吉姆·迪克森 ，已經表達了他們對在所有投票站採用無障礙投票系統的支援，正如幫助美國人投票法案要求的那樣。 儘管對無障礙電子投票機做出了這種回應，但支援並非一致。一些組織，如矽谷盲人理事會，對這些投票系統的無障礙程度表示失望。 一些人，如殘疾選民阿萊達·戴維斯，認為為提供無障礙性做的還不夠，並且反對只提供有限無障礙功能的投票機。

“	對殘疾人口中的一些成員提供便利，而期望我們其他人繼續“照常營業”是不可接受的。這是歧視，這是非法的。為不同殘疾的人提供便利需要投票系統具有極大的靈活性。對盲人和視障社群中某些成員有效且他們喜歡的方案，不能為行動不便或運動障礙的人提供便利。	”
——阿萊達·戴維斯

安全性

電子投票最令人擔憂的問題之一是安全性。有許多廣為人知的事件突出了DRE（直接記錄電子投票機）的安全性問題，這些問題幫助形成了公眾對電子投票的負面看法。2006年，普林斯頓大學的一個研究小組釋出了一項研究結果，描述了他們在Diebold AccuVote-TS投票系統中發現的許多安全漏洞。該研究還指出，惡意程式可以多麼快速和容易地安裝到這些機器上。同樣在2006年，HBO紀錄片“駭客入侵民主”上映。這部紀錄片追蹤了2000年和2004年美國選舉期間選民在電子投票系統中遇到的許多問題，並強調了投票機的許多安全問題。為了減少對DRE的安全性擔憂，許多團體支援讓投票機制造商向公眾釋出其原始碼的努力。透過開源（見開源運動）程式碼，專家和其他第三方可以審查投票系統，以發現和修復他們發現的任何安全問題。一些反對開源的人，例如選舉技術委員會，認為這樣做會為罪犯提供更多資訊，他們可以用這些資訊來設計更陰險和有效的攻擊投票系統的方法。另一大群體堅持封閉原始碼的是電子投票系統製造商。這些公司投入了大量資金和時間來開發他們的智慧財產權，他們不願意免費將其釋出給公眾。

在有適當的物理訪問許可權的情況下，DRE投票機顯然存在重大弱點；防止篡改者獲得投票機的物理訪問許可權是確保投票安全的主要方法之一。這在很大程度上是一個社會問題，沒有明確的技術解決方案。官員受賄是一個嚴重的問題，正如1998年北卡羅來納州的Microvote醜聞所表明的那樣，這威脅著投票過程的安全性。如果沒有確保選舉工作人員和官員合法性的全面的社會政治解決方案，技術解決方案很難充分發揮作用。

DRE存在的問題

如上所述，21世紀初DRE的使用量有所增加；這種實施也存在問題。一個例子是在2006年選舉中，佛羅里達州薩拉索塔縣的iVotronic投票機丟失了超過18,000張選票，這可能影響了一些比賽的結果（一個獲勝率僅為400票）。Diebold投票系統的安全問題最終導致加州禁止使用DRE。DRE的使用量從2006年的37.6%下降到2008年的32.6%

“	我們正在將我們民主的命運託付給尚未成熟的技術。	”
—Tadayoshi Kohno，加州聖地亞哥大學計算機安全專家

DRE教給我們的教訓

在不到10年的時間裡，DRE的使用量從迅速增加到急劇減少。投票機制造商和政府實施不力，表明該技術本身尚未成熟。DRE可以教會我們的是，在技術準備就緒之前就應用它，會導致其垮臺。

對於面臨類似問題的技術，請閱讀有關航空旅行安全和玉米乙醇的資訊

網路投票

網路投票是指允許公民使用聯網裝置在家投票的概念。與DRE（如上所述）或選票標記裝置（使用電子輸入，例如觸控式螢幕，完成紙質選票）等傳統的電子投票不同，網路投票可以在現有的消費電子產品（如手機）上實施。

本節將討論網路投票的挑戰、優勢和實施，特別是以愛沙尼亞為例。

投票安全

無論投票系統如何設計和實施，它必須具備以下屬性才能安全。

• 機密性 - 沒有人能發現任何人的投票方式。
• 完整性 - 投票計數準確。投票完整性要求每個人只能投票一次。那些選擇不投票或沒有投票資格的人不得計票。任何人不得代表他人投票。計票完整性要求每一票必須正確計票，且只計票一次。
• 可用性 - 投票系統必須在選舉期間對所有人可用。
• 可驗證性 - 任何人都必須能夠驗證上述三個屬性是否成立。一個人不應該對任何機構抱有信心才能相信投票系統的機密性、完整性或可用性。

安全性要求存在的問題

雖然可用性在很大程度上取決於系統實施，但其他三個要求卻具有高度對抗性。一般來說，當用戶投下密封選票時，可以在不違反投票人機密性的情況下驗證投票完整性。一旦選票被拆封並刪除個人身份資訊，也可以在不違反機密性的情況下驗證計票完整性。但是，為了確保端到端可驗證性（在各個步驟中都可驗證），拆封選票的過程也必須經過驗證。

當前實踐中的系統

本節將重點介紹弗吉尼亞州郵寄投票系統所採用的設計，以滿足投票要求。雖然細節有所不同，但弗吉尼亞州的郵寄投票模式是其他郵寄投票模式的典型代表。

在弗吉尼亞州的模式中，選民會收到一張選票和一個信封來密封它。選民然後填寫選票，將其密封在信封中，並在信封上填寫他們的資訊。密封的信封和選票本身都具有防偽措施。下面是一個這樣的信封示例。

當收到投票時，投票完整性透過將選票的密封容器與投票人進行關聯來強制執行。與已經投票的人匹配的信封或具有無效或不完整身份資訊的信封將被拒絕。在這一點上，由於投票本身仍然是密封的，因此投票人的機密性得以保持。

接下來，拆封選票，並丟棄投票人的個人資訊。由於選票本身具有防偽保護，因此拆封過程被認為是安全的（即，用於計票的拆封選票是投票人密封信封內的選票）。

然後對拆封的選票進行計票。由於不再有任何與拆封選票相關的個人身份資訊，因此任何人都可以檢查這些選票並驗證它們是否確實被正確計票，從而確保計票完整性的可驗證性。

網路投票的複雜性

在上述示例系統中，任何擁有時間和可以訪問所有紙質選票、它們的密封以及州選舉人登記資料庫的團體都可以驗證選舉結果。對於網路投票系統，很難驗證投票記錄資料庫的記錄是否正確，並且需要更多技術知識。

即使在理論上完美的系統中，選舉完整性也可能受到損害：惡意行為者可能會破壞投票人的裝置，並在投票提交之前更改投票。沒有完美的系統，但有缺陷的數字系統比模擬系統更容易被利用。

儘管做出了各種努力，但消費電子產品仍然相對容易跟蹤。例如，網路服務通常可以“指紋”裝置，以透過使用者的瀏覽器設定等方式識別和跟蹤跨站點的使用者。另見裝置指紋識別。此網站展示了您的活動的不同部分如何與您相關聯。由於投票伺服器或任何中間伺服器都可以記錄指紋，因此在數字系統中驗證機密性並非易事。

網路投票的具體問題

我們之前已經討論過投票系統的一般問題，我們還將討論更具體地針對網路投票的問題。

隱私

網路投票解決方案可能由私人機構開發。例如，Voatz 由一家公司開發，並且仍在某些美國司法管轄區使用。這要求向私人機構授予至少臨時的訪問許可權，以訪問選民身份證明（例如駕駛執照、社會安全號碼、地址、照片、出生日期），以便應用程式能夠驗證選民的身份。如果私人實體保留這些資訊，則使用者的隱私可能會受到損害。

驗證使用者裝置沒有被入侵需要對裝置進行特殊訪問，可能包括訪問使用者的作業系統和個人檔案。這也對使用者的隱私構成威脅。

一致性

在美國，憲法第一條第四款 將舉行和管理選舉的責任委託給各個州。這有可能導致網路投票在美國成為一個拼湊的系統，極大地複雜化了選舉安全審計，並且可能讓選民感到困惑。如果選舉系統是聯邦政府的主要責任，那麼由於聯邦政府相較於任何州擁有更多的資源和專業知識，因此建立一致、安全的網路投票系統將變得更容易。其他具有類似聯邦憲法的政府可能會遇到類似的問題。

無障礙性

並非所有使用者裝置都符合網路投票的資格。網路投票應用程式可能需要使用專門的安全硬體（例如生物識別身份驗證），這可能會導致沒有更新裝置的選民被剝奪投票權。網路訪問也不對所有註冊選民平等地開放。皮尤研究中心 報告說，只有大約四分之三的美國人在家中擁有寬頻網際網路接入。

信任

由於網路投票系統無法像紙質選票那樣被普通個人驗證，因此公眾必須相信該系統是可信的。這個問題甚至可以在 2020 年美國總統大選中傳統的電子投票中看到。例如，多米諾系統 儘管擁有可用的紙質審計跟蹤，但仍然遭受了無數關於完整性問題的指控。這個問題在需要多箇中間伺服器以及電子儲存和投票記錄的網際網路系統中只會變得更糟。

愛沙尼亞的網路投票

愛沙尼亞的網路投票，即 i-voting，只關注投票、計票和公佈選舉結果。愛沙尼亞目前的網路投票系統於 2017 年採用。它基於他們的電子投票通用框架，該框架定義了 i-voting 系統的設計要求

• 確保選民透過某些合法數字簽名進行註冊。
• 允許選民多次投票。這樣，如果選民被迫為特定候選人投票，他們可以在稍後重新投票。
• 允許選民透過多種不同的裝置驗證自己的投票是否已正確提交；第二個裝置減少了裝置可能被入侵的威脅。
• 設計為能夠讓最廣泛的專家稽核該系統。

愛沙尼亞的實施

愛沙尼亞的 i-voting 系統基於“信封方案”，該方案複製了使用內信封和外信封的郵件投票程式。使用者的投票被加密（內信封）並使用使用者的個人資訊進行數字簽名（外信封）。這個兩層系統允許投票官員透過外信封驗證使用者是否已註冊投票，丟棄任何個人資訊，然後訪問選票。這是為了確保選民的保密性。

i-voting 選民必須使用政府釋出的軟體，該軟體的原始碼已線上釋出。系統使用者和外部調查人員可以確保程式碼的安全。

愛沙尼亞使用他們的國家身份證，該身份證同時作為智慧卡 或移動裝置上的官方數字身份。由於擁有一個身份證是強制性的，因此它對公民使用非常實用。雖然為沒有自己的裝置的選民提供了公共電腦，但建議不要使用它們，因為之前的使用者可能具有惡意意圖。

在投票結束之前，投票不會立即剝奪其外信封。如果選民投了不止一張票，則識別並替換最後一張票。

為了確保選民的投票已正確提交，他們可以在投票結束之前使用移動裝置檢視他們投票給誰。

愛沙尼亞網路投票的使用情況

愛沙尼亞於 2005 年釋出了網路投票。他們是第一個為地方選舉提供網路投票的國家，2007 年，他們成為第一個為大選提供網路投票的國家。愛沙尼亞的 i-voting 已經得到其公民的廣泛認可，如 2019 年大選中近 44% 的選民透過網路投票。

檔案：I-voting-participation.png

每次選舉中使用網路投票的選民比例

網路投票的進入門檻之一是技術的使用。老一代人往往難以適應新的系統。儘管如此，愛沙尼亞的老年人還是開始使用網路投票。在 2019 年歐洲議會選舉中，55 歲以上的 i-voting 選民佔 i-voting 總數的近 35%，25-34 歲和 55-64 歲年齡組分別佔 18.3% 和 17.3%。

檔案：I-voting-by-age.png

每次選舉中按年齡組劃分的 i-voting 選民比例

愛沙尼亞網路投票的影響

愛沙尼亞的成功很大程度上得益於其文化和緊密的社群。網路投票在學校中教授，以確保新選民瞭解系統。

2017 年，影響數字身份的安全性漏洞導致 760,000 張卡被召回。數字服務被迫暫停，安全問題的潛在威脅變得顯而易見。

儘管存在這個問題，隨後的選舉中網路投票的比例大幅增加。這種繁榮的部分原因可以歸因於 2019 年啟動的一項安全調查。各種政客、大學和公民參與了為期六個月的審計，旨在增強對選舉系統的信任，並擴大參與者的聲音。

雖然網路投票可能使投票更容易，但一項2017 年的研究 發現網路投票的增加與投票率的提高之間沒有相關性。選民確實轉向網路投票，但這些選民主要由原本就會投票的選民組成，而不是新選民。