Qstamp / 选举

选举完整性

无法伪造的选举记录，且不泄露任何一张选票。

政府必须能够证明，每一份经核证的结果报表、每一次计票和每一项公布的结果均与所记录的内容完全一致，且没有任何记录遭到篡改、插入或倒签日期。QBallot 是 Qstamp 系列的选举完整性 SDK，可为选举主管机构、观察员和法院提供整个选举记录的后量子证据，同时绝对保障投票秘密。

Live flow

How QBallot runs inside an election.

Each step lights in turn as a record moves through it. Steps inside your systems never send content out. Only the anchor reaches the Quantova network, and only chain facts are public on QVMScan.

Live flowQBallot, from polling station to the explorer

Your systemsElection management systemSoftware builds and the mandates of officials registered
Your systemsPolling stationReturn signed by the presiding officer and witnesses
Your systemsCount centreBallot records fingerprinted with fresh salts, no voter identified
Your systemsTabulationEvery action sealed in a hash chained log
Quantova networkAnchorOne salted 32 byte commitment per batch, sent under record kind 1106 in a transaction signed with ML DSA 65
PublicQVMScanFinal in about 0.2 seconds and indexed on the explorer under QBallot, with no record content
PublicObservers and courtsProve the declared result equals the certified returns

Inside your systemsQuantova networkPublic and verifiable

面临的挑战

公众信任取决于可供核查的记录。

全国选举、地区选举和领导人选举、全民公决以及议会和政党内的表决，都会产生一条从投票站结果报表到公布结果的记录链。目前，这条记录链依靠纸质程序加以保护；即使已经数字化，所依赖的也是量子计算机将能够伪造的经典签名。一旦结果出现争议，就只能依赖对行为本身受到质疑的那个机构的系统的信任。

被篡改的结果报表

投票站结果报表如果在计票与全国汇总之间被更改，而唯一的副本又由更改它的系统保存，就可能难以发现。

伪造的授权

以从未核证该结果的官员名义提交的结果，或由从未获批准的软件提交的结果，会损害整个结果公布的公信力。

未来的伪造

选举记录需保存多年，可能在投票日很久之后仍受到质疑。一旦大型量子计算机出现，使用 RSA 或椭圆曲线密钥签名的记录将可被伪造。

框架

六个阶段，逐一封存并相互关联。

QBallot 遵循既定的选举结构，并在每个阶段加入密码学封印。每个封印均依据 FIPS 204 使用 ML DSA 签名，并在 Quantova 网络上固定时间，因此记录的完整性可以独立于生成该记录的机构进行验证。

第 1 阶段 · 投票日之前

软件与授权登记

选举主管机构为每个经认证的计票汇总软件和选举管理软件版本登记指纹，并为每位选举主任、投票站主任和计票主管签署授权委托，写明其负责的投票站或计票工作。任何未经事先登记的软件或官员都会在计票时被发现。

第 2 阶段 · 在投票站

记录在生成之处即被封存

投票结束时，投票站主任和指定见证人使用各自登记的密钥，签署包括选票核算和结果在内的投票站结果报表。结果报表在离开投票站之前即计算指纹并锚定，因此其内容在核证之时即已固定。

第 3 阶段 · 计票时

每条选票记录均计算指纹，不识别任何选民

每张扫描选票图像或每条投票记录，都在计票中心使用全新的随机盐值计算指纹，并分批锚定。离开计票中心的只有加盐承诺值。选民身份、与选民关联的选票编号以及选票内容均不会被公布。

第 4 阶段 · 传输过程中

传输途中无法篡改的结果

结果以签名记录的形式，从投票站传至选区，再传至全国汇总。汇总系统只接受带有该投票站登记官员有效签名的结果，因此在传输中被篡改或插入的结果将被拒绝。

第 5 阶段 · 汇总期间

每项操作均有篡改可察觉的记录

选举管理系统中的每项操作，包括对争议选票的裁定、更正或重新计票，都会写入以已锚定检查点封存的哈希链式日志。任何操作一经删除、重新排序或倒签日期都会被发现，且每项裁定均可显示其遵循所记录的理由。

第 6 阶段 · 结果公布之后

由观察员和法院独立验证

候选人、政党、观察员和法院无需信任选举主管机构自身的系统，即可确认公布的结果是经核证的各投票站结果报表之和，每份结果报表自签署以来未被更改，且每条已锚定的记录均在其所述时间已经存在。

QBallot

Qstamp 系列的选举完整性 SDK。

QBallot 将该系列中经过验证的组件整合用于选举。Qstamp 为每条记录固定时间。QSign 承载投票站主任和选举主任的签名。QMandate 证明哪位官员获授权负责哪个投票站和哪项计票。QLog 为汇总过程中的每项操作保存篡改可察觉的记录。QBallot 在此基础上增加选举专用规则、投票站结果报表的结构以及供观察员和法院使用的验证程序。

QBallot is being built for release as part of QGov, the government branch of the Qstamp family, and will be published only after rounds of security review and live testing on the Quantova network. Election authorities can begin pilots today with the live SDKs, which provide each of the protections described on this page.

QBallot 可发现的问题

核证后被更改的投票站结果报表
以未登记官员名义插入的结果
由未登记软件生成的结果
计算指纹后被更改的选票记录
被删除、重新排序或倒签日期的裁定或更正
与经核证结果报表不一致的公布总数

投票秘密

记录的完整性，投票的秘密。

QBallot 从不记录谁投了票、任何人如何投票，或选民与选票之间的任何关联。选票记录使用全新的随机盐值计算指纹，仅锚定加盐承诺值，因此任何公布的内容都无法追溯到选民，也无法用于证实对某张选票的猜测。选民名册和身份数据完全保留在选举主管机构的系统内。

集成

选举主管机构如何采用该框架。

1. 法律与程序依据

选举主管机构依照国家选举法并在选举委员会的监督下，在其选举规则中规定哪些记录需要封存、由谁签署以及观察员和法院如何进行验证。

2. 密钥仪式

选举主管机构、选举主任和投票站主任的密钥在有见证人在场的仪式中生成，并保存在受硬件保护的存储中。每位官员的授权委托写明其可核证的投票站和计票工作以及其授权期限。

3. 软件登记

每个经认证的计票汇总软件和选举管理软件版本，在经国家认证程序批准后，于投票日之前登记其指纹并锚定。

4. 投票与计票

投票站结果报表、选票记录和汇总操作在产生时即按上述六个阶段予以封存。凡法律要求使用纸质选票之处，纸质选票仍是体现选民意愿的记录。

5. 审计与重新计票

选后审计（包括风险限制审计）将纸质选票样本与已封存的选票记录进行比对。每次重新计票和更正本身也会被封存，因此审计追踪无法被改写。

6. 争议与留存

出现异议时，选举主管机构出示相关记录和凭证，任何当事方或法院均可独立验证。该证据在选举记录的整个留存期内始终可供验证。

范围

该框架能做什么，不能做什么。

QBallot 证明选举记录自封存以来未被更改、系由登记的官员和软件封存，以及封存的时间。它不能取代经认证的投票设备、纸质选票或选举委员会的程序，不能确定选票反映了选民的意愿，其本身也不能防止胁迫投票或贿选，这些仍属于选举法及其执行的范畴。它旨在支持各司法辖区所适用的标准，例如欧洲委员会关于电子投票标准的第 CM/Rec(2017)5 号建议，以及美国选举援助委员会（Election Assistance Commission）的《自愿投票系统指南》（Voluntary Voting System Guidelines），各机构仍须对遵守本国法律负责。

Qstamp SDK 的当前版本在投入生产使用之前，锚定于 Quantova 测试网络。