爱沙尼亚在线投票系统的源代码

代码仓库与爱沙尼亚系统细节

• 这个 GitHub 仓库明确用于发布每次选举中实际使用的准确源代码，而不是用于持续开发。
• 更新似乎与真实选举（全国议会、地方选举、欧盟选举）同步，因此出现多年空档是可以预期的。
• 开发由爱沙尼亚国家选举办公室监督；当代码用于具有法律约束力的选举时，会在此同步。
• 爱沙尼亚采用两阶段架构：一个认证器负责验证并匿名化选票，然后由另一个独立系统通过单向通信进行计票。
• 另有一个独立的验证工具允许选民确认服务器是否登记了他们投出的票；国际观察员（例如 OSCE）会监督选举。

可验证性 vs. 秘密投票

• 核心张力在于：选民如何在不破坏投票保密性的前提下，确认自己的票被正确计入？
• 许多人认为，完全的个人可验证性与强保密性在根本上是相互冲突的，尤其是当你必须能够证明自己如何投票时。
• 也有人反驳说，现代密码学（零知识证明、混洗网络、端到端可验证方案）在理论上可以调和保密性与可验证性，并引用了现有的学术和开源系统。
• 怀疑者则回应说，即使在数学上无懈可击，这些系统也很难被公众理解和信任。

密码学、区块链与身份证卡

• 提案包括：使用国家身份证卡作为签名密钥，发布所有选票的哈希/签名，允许之后进行验证或重新投票，并使用类似区块链的仅追加日志。
• 反驳意见：
  • 信任根问题（谁生成并保护密钥、硬件、固件、供应链）。
  • 设备被攻破以及“信任信任（trusting trust）”问题。
  • 如果选民可以向他人展示自己的投票内容，则存在胁迫和卖票风险。
  • 密钥丢失或运行故障（例如无法解密）可能迫使重选并削弱合法性。

纸质选票 vs. 电子投票

• 强烈支持手工标记纸质选票，加上扫描仪和及时、随机的人工审计：
  • 具有可见、直观的保管链，并有本地监督。
  • 虽然仍可能出现舞弊，但很难在多个投票站大规模扩展。
• 批评者指出纸质方式也并非完美：选票短缺、错送、长队、“墓地投票”和计票错误。
• 有些人认为电子投票主要有利于邮寄投票、海外选民和残障选民，不过反对者说，接入问题也可以通过更好的纸质投票物流来解决。

信任、合法性与背景

• 一些评论强调，选举的目标是产生广泛接受的同意，而不是数学上完美无误的计票。
• 数字系统被视为不透明的“黑箱”，而纸质流程则可以被普通公民直接见证。
• 爱沙尼亚被描述为一个高信任社会，电子投票如今已被广泛接受，但有人担心，如果在一个完全数字化的系统中信任一旦丧失，要恢复信任会更加困难。
• 来自巴西、瑞士、法国、澳大利亚和美国的例子说明，纸质与电子两种方式都存在显著的、取决于具体情境的权衡。