[论文解读] On the security of ballot marking devices
本文提出了一种实用的审计框架，用于检测电子标记选票设备（BMD）中的恶意软件，确保打印的选票真实反映选民的意图。通过结合早期投票地点的废票现场审计与统计抽样，该方法即使在恶意软件出现率为1%的情况下，也能实现超过99%的检测概率，从而在保障安全、可访问投票的同时，维持基于纸质的可审计性。
A recent debate among election experts has considered whether electronic ballot marking devices (BMDs) have adequate security against the risks of malware. A malicious BMD might produce a printed ballot that disagrees with a voter's actual intent, with the hope that voters would be unlikely to detect this subterfuge. This essay considers how an election administrator can create reasonable auditing procedures to gain confidence that their fleet of BMDs is operating correctly, allowing voters to benefit from the usability and accessibility features of BMDs while the overall election still benefits from the same security and reliability properties we expect from hand-marked paper ballots.
研究动机与目标
- 解决恶意BMD可能在未被检测到的情况下打印与选民意图不符的选票的风险。
- 设计在维护手写纸质选票安全性的同时，仍能保持BMD可用性和可访问性的审计程序。
- 量化在高选民投票率的实际选举环境中，现场审计的可行性和有效性。
- 评估以用户为中心的设计与审计是否能缓解BMD中的恶意软件风险，尤其是在计票结果接近的选举中。
- 探索现有选举基础设施在不进行重大软硬件变更的前提下，如何适应对BMD进行强大且可扩展的审计。
提出的方法
- 该方法在早期投票期间对废票实施现场审计，由受过培训的审计员在每个早期投票中心进行随机检查。
- 审计工作在早期投票中心和选举日地点之间分布，每支团队每天的审计工作量估计不足一次。
- 采用统计抽样模型，根据审计频率和胜选差距估算检测BMD恶意软件的概率。
- 该方法假设采用2018年德克萨斯州哈里斯县选举的选票分布（63%早期投票，29%选举日投票，8%邮寄投票），以模拟实际部署情况。
- 审计脚本具有自适应性，若初步结果表明可能存在异常，审计员可提高抽样强度。
- 该方法依赖于跟踪废票并将其与官方记录进行比对，以检测可能表明BMD被篡改的差异。
实验结果
研究问题
- RQ1在真实选举条件下，对废票的现场审计能否以高概率检测到BMD中的恶意行为？
- RQ2在典型的早期投票和选举日票数分布下，为实现高概率检测BMD恶意软件，所需的审计工作量是多少？
- RQ3在可用性、错误减少和可访问性方面，BMD与手写纸质选票相比如何，特别是对残障选民而言？
- RQ4当胜选差距较小且恶意软件出现率较低时，审计程序在多大程度上能维持选举的完整性？
- RQ5现有选举基础设施在不进行重大软硬件变更的前提下，能否支持对BMD进行可扩展、以用户为中心的审计？
主要发现
- 在每个早期投票中心配备一名审计员，且选票分布与2018年哈里斯县选举相似的情况下，约104名审计员可在选举期间完成约500次现场审计。
- 该审计方法即使在胜选差距较小的情况下，也能实现99.34%的检测概率，针对具有1%作弊概率的BMD。
- 审计工作量对普通选举工作人员而言是可行的，仅需极少额外培训，每支团队平均每天完成不足一次审计。
- BMD显著减少了常见选民错误，如多投、漏投和模糊标记，尤其在复杂或长篇选票上效果更明显。
- BMD中使用的热敏打印机比激光打印机更省电，因此在断电情况下更具韧性，这对投票中心至关重要。
- 现场审计与废票追踪相结合，可降低恶意软件未被检测到的可用有效差距，从而增强选举安全性。
更好的研究，从现在开始
从阅读论文到最终审阅，大幅缩短您的研究时间。
无需绑定信用卡
本解读由 AI 生成，并经人工编辑审核。