インターネット投票は安全ではないため、公選では使用すべきではありません

選挙セキュリティの専門家であるコンピューター科学者 21 人のグループが署名

エグゼクティブサマリー

科学者たちは長年にわたり、インターネット投票は安全ではなく、それを安全にする既知の技術や予測可能な技術は存在しないことを理解していました。それでも、インターネット投票のベンダーは、どういうわけか新しいシステムは違う、あるいはセキュリティの不安は問題ではないと主張し続けている。ブラッドリー・タスクと彼のモバイル投票財団は、インターネット投票をジャーナリストや選挙管理者に宣伝し続けている。この取り組み全体が誤解を招き、危険です。

パート I。 すべてのインターネット投票システムは安全ではありません。非常に少数の人々が、システムを通過する任意の（またはすべての）投票を検出されずに変更する権限を持っている可能性があるため、セキュリティの不安は、うまく運営されている従来の紙の投票システムよりも悪化します。この不安は何年も前から知られていました。現在提案されているすべてのインターネット投票システムは、既存のテクノロジーでは解決できない基本的な理由から、この問題に悩まされています。

パート II。 「エンドツーエンド検証可能なインターネット投票」として知られるインターネット投票システムも、特有の点で安全ではありません。

パートⅢ。 最近、Tusk は「VoteSecure」と呼ばれる E2E-VIV システムを発表しました。それはすべて同じ不安に苦しんでいます。開発者さえも開発ドキュメントでそれを認めています。さらに、VoteSecure は完全な使用可能な製品ではなく、いつか誰かが使用可能な製品に組み込む可能性のある「暗号コア」にすぎません。

結論。 Bradley Tusks 氏の Mobile Voting Foundation による最近の発表では、VoteSecure の開発によりインターネット投票が安全かつ公選での使用に適したものになることが示唆されています。これは真実ではなく、危険です。導入されているすべてのインターネット投票システムは安全ではありません。VoteSecure も安全ではなく、導入された投票システムですらなく、インターネット投票を安全にする既知の (または予測可能な) テクノロジーはありません。

パート I. すべてのインターネット投票システムは安全ではありません

インターネット投票システム (スマートフォンによる投票を含む) には、3 つの非常に重大な弱点があります。

1. 有権者の携帯電話 (またはコンピュータ) 上のマルウェアは、有権者が選択および検討したものとは異なる投票を送信する可能性があります。有権者はさまざまなデバイス (Android、iPhone、Windows、Mac) を使用しており、常にマルウェアによる攻撃を受けています。
2. サーバー上のマルウェア (または内部関係者) によって投票が変更される可能性があります。インターネット サーバーは世界中から絶えずハッキングされており、多くの場合深刻な結果をもたらします。
3. 郡選挙事務所のマルウェアによって投票が変更される可能性があります (インターネット投票用紙がスキャンのために郡事務所で印刷されるシステムの場合)。郡選挙用コンピューターは、定期的にハッキングされて悲惨な結果を招く他の政府サーバーや商用サーバーと比べて安全性が高いわけではありません。

従来の投票用紙（紙にペンで印を付けたもの）も完全に安全というわけではありませんが、インターネット投票の問題は、（世界中のどこからでも）1 人の攻撃者が 1 回の大規模な攻撃で非常に多くの投票用紙を改ざんできることです。手書きの印が付いている紙の投票用紙では、これを行うのははるかに困難です。時々、大規模な不在者投票詐欺を試みる人々がいますが、その結果、通常は逮捕され、起訴され、有罪判決を受けます。

パート II。 E2E-VIV インターネット投票システムも安全ではない

数年前、「エンドツーエンド検証可能なインターネット投票」（E2E-VIV）の概念が提案されました。これは、有権者が自分の投票が正しく記録され、集計されたことを確認できるようにすることで、これらの弱点の一部を解決するものと考えられていました。残念ながら、すべての E2E-VIV システムには、次の 1 つ以上の弱点があります。

1. 有権者はチェックを行うためにコンピューターのアプリに依存する必要があり、そのチェックアプリが（マルウェアに感染している場合）嘘をつく可能性がある。
2. 有権者は自分がどのように投票したかを他人に証明できるべきではありません。専門用語では「領収書不要」です。そうしないと、攻撃者がインターネット経由で大量の投票を購入する自動システムを構築する可能性があります。しかし、レシート不要の E2E-VIV システムは複雑で、人々が使用するのは直感に反しています。
3. 信頼でき、レシートのない E2E-VIV チェック アプリを作成するのは困難です。既知の最良の解決策では、破棄される票のみをチェックし、チェックされていない票を投じることができます。これはほとんどの有権者にとって非常に直観に反するものです。
4. チェック アプリは投票アプリとは別にする必要があります。そうしないと、マルウェア耐性がまったく追加されません。しかし、人間の性質上、チェックプロトコルを実行するために追加の手順を実行するのは有権者のほんの一部だけです。チェッカーを使用する人がほとんどいない場合、チェッカーはほとんど効果がありません。
5. たとえ一部の有権者がチェックアプリを実行していたとしても、その有権者がシステムが不正行為を行っていることを発見した場合（それがチェックアプリの目的である）、有権者がそれを選挙管理者に証明する方法はない。つまり、効果的に機能する「紛争解決」プロトコルは存在しないのです。

したがって、現在までに提案されているすべての既知の E2E-VIV システムの問題は、「検証」部分が有用なセキュリティを追加していないことです。投票者の数パーセントがチェック プロトコルを使用していて、システムが時々不正行為を行っていることがわかったとしても、システムは依然としてチェック プロトコルを使用していないすべての有権者の投票を盗む可能性があります。そして、「何人かの有権者がシステムの不正行為を発見したら、選挙管理者は適切な措置を講じることができるだろう」と思うかもしれませんが、適切な措置は不可能です。少数の有権者が（証拠なしに）システムが不正であると主張したからといって、選挙管理者は選挙を取り消すことはできません。それが紛争解決プロトコルがないということの意味です。

これらすべては科学的なコンセンサスとしてよく理解されています。非 E2E-VIV システムの安全性の低さは、数十年にわたって文書化されてきました。それらの結果に関する調査については、「インターネット投票は信頼できるか?科学と政策の戦いE2E-VIV システムにおける紛争解決の欠如は、 も長年知られています。

パートⅢ。 VoteSecure は安全ではありません

ブラッドリー・タスクの モバイル投票財団 研究開発会社と契約 自由かつ公正 インターネット投票ソフトの開発。彼らの 2025年11月14日のプレスリリース のリリースを発表しました オープンソースの「ソフトウェア開発キット」 そして「このテクノロジーのマイルストーンは、安全で検証可能なモバイル投票が手の届くところにあることを意味する」と主張した。

後 何人かのコンピュータ科学者が調べた オープンソースの VoteSecure と セキュリティ上の重大な欠陥について説明した、Free and Fairのジョー・キニリー博士とダニエル・ジマーマン博士が回答しました。彼らは、事実上、すべての批判は正確だが、それ以上の改善方法を知らないと言っているのです。」私たちは多くのことを共有します [the critique’s] 有権者の信頼、選挙の誠実さ、強制への抵抗などの中核となる目標。私たちの相違点は、価値観というよりも、監視されていない投票環境において何が達成可能であり、何が意味があるのかについての仮定にあります。」

特に、

VoteSecure プロトコルの前述の欠陥に加えて、その投票チェック システムが大規模な自動投票買収攻撃の影響を受けやすいことに注意します。¹;そして投票を盗むことを可能にする VoteSecure プロトコルの新たな欠陥を発見しました²。 [click for details]

[1] この結論はテクニカル分析に基づいています。 VoteSecure プロトコルでは、投票された投票に対してチェック アプリを実行できます。チェック アプリは投票アプリとは別のデバイスで実行可能である必要があります。代替デバイスは、ユーザーがインストールされたソフトウェアを制御できる PC である可能性があります。ユーザーがインストールしたソフトウェアは、復号化されたランダマイザーを抽出できます。これにより、有権者は大量の票購入計画に参加することができます。 [2] 「VoteSecure の投票および検証プロセスに対するクラッシュ攻撃」、ヴァネッサ・ティーグとオリヴィエ・ペレイラ、2026年1月13日。

当社独自の専門知識テストに基づき、特にフリー＆フェアからの回答を考慮して、当社は独自の分析を支持します。 モバイル投票プロジェクトのスマートフォンによる投票には重大なセキュリティ上の欠陥がある。

結論

インターネット投票は既知のテクノロジーによっては保護できないというのが、何十年にもわたって科学的なコンセンサスでした。将来の技術に関する研究は確かに行う価値があります。しかし、E2E-VIV システムに関する数十年にわたる研究では、根本的な問題に対する解決策、あるいは解決の希望さえもまだ生み出されていません。

したがって、インターネット投票システムに関しては、選挙管理者やジャーナリストは「プレスリリースによる科学」に特に注意する必要があります。おそらくいつか、科学的調査に耐えられるインターネット投票ソリューションが提案されるでしょう。それを評価するための最も信頼できる場所は、査読済みの科学論文です。評判の高いサイバーセキュリティ会議やジャーナルは、この分野に関する多くの優れた科学を発表しています。プレスリリースは、選挙システムの信頼性を評価する信頼できる方法ではありません。

署名済み

(所属は識別のみを目的としており、機関の承認を示すものではありません)

アンドリュー・W・アペル、 ユージン・ヒギンズ プリンストン大学コンピュータサイエンス名誉教授

スティーブン・M・ベロビン、 パーシー K. およびヴィダ LW ハドソン コロンビア大学コンピュータ サイエンス名誉教授

ダンカン・ビューエル、 名誉議長 — サウスカロライナ大学、コンピューターサイエンスおよびエンジニアリングの NCR 議長

ブレーデン・L・クリミンズ、 大学博士課程学生ミシガン大学工学部博士号、スタンフォード法律大学ナイトヘネシー奨学生

リチャード・デミロ、 ジョージア工科大学コンピューティング部門のシャーロット B ウォーレン氏とロジャー C ウォーレン氏

デビッド・L・ディル、 ドナルド・E・クヌース スタンフォード大学工学部名誉教授

ジェレミー・エプスタイン 国立科学財団（退職）およびジョージア工科大学

フアン・E・ギルバート、 アンドリュー・バンクス・ファミリー卓越寄附教授、コンピュータおよび情報科学、フロリダ大学

J・アレックス・ハルダーマン、 ブレッド・ファミリー ミシガン大学コンピュータサイエンス＆エンジニアリング教授

デビッド・ジェファーソン、 ローレンス・リバモア国立研究所（退職）

ダグラス・W・ジョーンズ、 アイオワ大学コンピュータサイエンス名誉准教授

ダニエル・ロプレスティ、 リーハイ大学コンピュータサイエンスおよびエンジニアリング教授

ロナルド・L・リベスト、 MIT研究所教授

ブルース・シュナイアー、 ハーバード大学ケネディスクールおよびトロント大学マンクスクールのフェロー兼講師

ケビン・スコグランド、 Citizens for Better Elections 会長兼主任技術者

バーバラ・シモンズ、 IBMリサーチ（退職）

マイケル・A・スペクター、 ジョージア工科大学助教授

フィリップ・B・スターク、 カリフォルニア大学統計学部特別教授

ゲイリー・タン、 ペンシルバニア州立大学コンピュータサイエンス＆エンジニアリング教授

ヴァネッサ・ティーグ、 Thinking Cybersecurity Pty Ltd とオーストラリア国立大学y

プールヴィ L. ヴォラ、 ジョージ・ワシントン大学コンピュータサイエンス教授