Qstamp / 選挙

選挙の完全性

1票も明らかにすることなく、偽造できない選挙記録を。

政府は、認証されたすべての結果報告書、すべての開票結果及び公表されたすべての選挙結果が記録されたとおりのものであり、いかなる記録も改変、挿入又は日付の遡及がなされていないことを示すことができなければなりません。Qstamp ファミリーの選挙の完全性 SDK である QBallot は、投票の秘密を完全に保ちつつ、選挙管理機関、選挙監視員及び裁判所に対し、選挙記録全体についての耐量子の証跡を提供します。

Live flow

How QBallot runs inside an election.

Each step lights in turn as a record moves through it. Steps inside your systems never send content out. Only the anchor reaches the Quantova network, and only chain facts are public on QVMScan.

Live flowQBallot, from polling station to the explorer

Your systemsElection management systemSoftware builds and the mandates of officials registered
Your systemsPolling stationReturn signed by the presiding officer and witnesses
Your systemsCount centreBallot records fingerprinted with fresh salts, no voter identified
Your systemsTabulationEvery action sealed in a hash chained log
Quantova networkAnchorOne salted 32 byte commitment per batch, sent under record kind 1106 in a transaction signed with ML DSA 65
PublicQVMScanFinal in about 0.2 seconds and indexed on the explorer under QBallot, with no record content
PublicObservers and courtsProve the declared result equals the certified returns

Inside your systemsQuantova networkPublic and verifiable

課題

国民の信頼は、検証可能な記録にかかっています。

国政選挙、地方選挙及び党首選挙、国民投票並びに議会及び政党における採決は、いずれも投票所の結果報告書から公表される選挙結果に至る一連の記録を生み出します。現在、この一連の記録は紙の手続によって保護されており、デジタル化されている場合でも、量子コンピュータが将来偽造できるようになる古典的な署名によって保護されているにすぎません。そのため、結果が争われた場合には、その行為が問われている当の機関のシステムに対する信頼に依拠せざるを得ません。

改変された結果報告書

開票から全国集計までの間に変更された投票所の結果報告書は、唯一の写しをそれを変更したシステムが保持している場合、検知が困難となり得ます。

権限の偽装

一度も認証していない職員の名義で、又は一度も承認されていないソフトウェアによって提出された結果は、結果の公表全体の信頼性を損ないます。

将来の偽造

選挙記録は長年にわたり保存され、投票日から長い期間を経た後に異議を申し立てられることがあります。RSA 又は楕円曲線の鍵で署名された記録は、大規模な量子コンピュータが実現した時点で偽造可能となります。

フレームワーク

6つの段階。それぞれが封印され、相互にリンクされます。

QBallot は確立された選挙の構造に従い、各段階に暗号学的な封印を加えます。各封印は FIPS 204 に基づく ML DSA で署名され、Quantova ネットワーク上で時刻が確定されるため、記録の完全性は、それを作成した機関から独立して検証することができます。

第1段階 · 投票日前

ソフトウェア及び権限の登録

選挙管理機関は、認証された集計ソフトウェア及び選挙管理ソフトウェアのすべてのビルドのフィンガープリントを登録し、各選挙長、投票管理者及び開票管理者について、その者が責任を負う投票所又は開票を明記した委任に署名します。事前に登録されていないソフトウェア又は職員は、開票の段階で検知されます。

第2段階 · 投票所において

作成された場所で封印される記録

投票が締め切られると、投票管理者及び選任された立会人は、投票用紙の受払い及び結果を含む投票所の結果報告書に、登録された各自の鍵で署名します。結果報告書は投票所を離れる前にフィンガープリントが計算されてアンカーされるため、その内容は認証された時点で確定します。

第3段階 · 開票時

すべての投票記録をフィンガープリント化し、有権者は特定しない

スキャンされた各投票用紙の画像又は投じられた各票の記録は、開票所において新たな無作為のソルトを用いてフィンガープリントが計算され、バッチ単位でアンカーされます。開票所の外に出るのはソルト付きのコミットメントのみです。有権者の身元、有権者に結び付けられた投票用紙の番号及び投票の内容が公開されることは一切ありません。

第4段階 · 伝送中

伝送の途中で改変できない結果

結果は、署名された記録として、投票所から選挙区へ、さらに全国集計へと伝送されます。集計システムは、当該投票所について登録された職員の有効な署名が付された結果のみを受け付けるため、伝送中に改変又は挿入された結果は拒否されます。

第5段階 · 集計中

すべての操作についての改ざん検知可能な記録

選挙管理システムにおける各操作は、疑問票の判定、訂正又は再集計を含め、アンカーされたチェックポイントによって封印されるハッシュチェーン型のログに書き込まれます。いかなる操作も、検知されることなく削除、並べ替え又は日付の遡及を行うことはできず、各判定が記録された理由に従って行われたことが示されます。

第6段階 · 結果の公表後

選挙監視員及び裁判所による独立検証

候補者、政党、選挙監視員及び裁判所は、選挙管理機関自身のシステムを信頼することなく、公表された結果が認証された投票所の結果報告書の合計であること、各結果報告書が署名後に変更されていないこと、及びアンカーされたすべての記録が記載された時刻に存在していたことを確認することができます。

QBallot

Qstamp ファミリーの選挙の完全性 SDK。

QBallot は、ファミリーの実績ある構成要素を選挙のために統合します。Qstamp はすべての記録の時刻を確定します。QSign は投票管理者及び選挙長の署名を担います。QMandate は、どの職員がどの投票所及び開票について権限を付与されていたかを証明します。QLog は、集計におけるすべての操作の改ざん検知可能な記録を保持します。QBallot は、選挙に固有の規則、投票所の結果報告書の構造、並びに選挙監視員及び裁判所のための検証手順を加えます。

QBallot is being built for release as part of QGov, the government branch of the Qstamp family, and will be published only after rounds of security review and live testing on the Quantova network. Election authorities can begin pilots today with the live SDKs, which provide each of the protections described on this page.

QBallot が検知するもの

認証後に改変された投票所の結果報告書
登録されていない職員の名義で挿入された結果
登録されていないソフトウェアによって作成された結果
フィンガープリントの計算後に変更された投票記録
削除、並べ替え又は日付の遡及がなされた判定又は訂正
認証された結果報告書と一致しない公表された合計

投票の秘密

記録の完全性と、投票の秘密。

QBallot は、誰が投票したか、いずれかの者がどのように投票したか、又は有権者と投票用紙との結び付きを一切記録しません。投票記録は新たな無作為のソルトを用いてフィンガープリントが計算され、ソルト付きのコミットメントのみがアンカーされるため、公開されたいかなる情報も、有権者まで遡って追跡することや、投票の内容に関する推測を確かめるために用いることはできません。選挙人名簿及び本人確認データは、すべて選挙管理機関のシステム内にとどまります。

統合

選挙管理機関がこのフレームワークを導入する方法。

1. 法的及び手続的根拠

選挙管理機関は、国の選挙法及び選挙管理委員会による監督に沿って、どの記録を封印するか、誰がそれに署名するか、並びに選挙監視員及び裁判所がどのようにそれを検証できるかを、自らの選挙規則に定めます。

2. 鍵生成式

選挙管理機関、選挙長及び投票管理者の鍵は、立会人の立会いの下で行われる式において生成され、ハードウェアで保護された保管環境に保持されます。各職員の委任には、その者が認証することができる投票所及び開票並びにその権限の有効期間が明記されます。

3. ソフトウェアの登録

集計ソフトウェア及び選挙管理ソフトウェアの認証されたすべてのビルドのフィンガープリントは、国の認証手続による承認を経た後、投票日前に登録され、アンカーされます。

4. 投票及び開票

投票所の結果報告書、投票記録及び集計操作は、上記の6つの段階に定めるとおり、作成された時点で封印されます。法令が求める場合には、紙の投票用紙が引き続き有権者の意思を示す記録となります。

5. 監査及び再集計

リスク限定監査を含む選挙後監査では、紙の投票用紙の標本を封印された投票記録と照合します。すべての再集計及び訂正もそれ自体が封印されるため、監査証跡を書き換えることはできません。

6. 争訟及び保存

異議が申し立てられた場合、選挙管理機関は関連する記録及びレシートを提出し、いずれの当事者又は裁判所もそれらを独立して検証します。この証跡は、選挙記録の保存期間全体にわたり検証可能であり続けます。

対象範囲

このフレームワークが行うことと行わないこと。

QBallot は、選挙記録が封印された後に変更されていないこと、登録された職員及びソフトウェアによって封印されたこと、並びにその時点を証明します。QBallot は、認証された投票機器、紙の投票用紙又は選挙管理委員会の手続に代わるものではなく、投票用紙が有権者の意思を反映していることを立証するものでもなく、また、それ自体で強要や買収を防止するものでもありません。これらは引き続き選挙法及びその執行に委ねられる事項です。QBallot は、電子投票の基準に関する欧州評議会勧告 CM/Rec(2017)5 や米国選挙支援委員会（Election Assistance Commission）の任意投票システムガイドライン（Voluntary Voting System Guidelines）など、各法域を規律する基準を支援するよう設計されており、自らの法令の遵守については各機関が引き続き責任を負います。

Qstamp SDK の現行リリースは、本番運用に先立ち、Quantova テストネットワーク上でアンカーを行います。