💻 computer science

Audit-or-Cast: Enforcing Honest Elections with Privacy-Preserving Public Verification

本文提出了 ACE 投票协议，该协议通过结合公开可验证的计票隐藏聚合机制与“审计或投票”挑战，在无需可信客户端且假设至少存在一个诚实计票方的前提下，同时实现了端到端可验证性、公开计票隐私保护以及信息论级别的可拒收性。

原作者： Aman Rojjha, Gaurang Tandon, Varul Srivastava, Kannan Srinathan

发布于 2026-04-22

📖 1 分钟阅读☕ 轻松阅读

原作者： Aman Rojjha, Gaurang Tandon, Varul Srivastava, Kannan Srinathan

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一种名为 ACE (Audit-or-Cast Election) 的新型电子投票系统。它的核心目标是解决一个困扰投票界多年的“不可能三角”：既要让所有人都能信任选举结果（公开可验证），又要保护投票人的隐私（没人知道谁投了谁），还要防止有人被胁迫或收买（无收据性）。

为了让你轻松理解，我们可以把选举想象成一场**“超级保密的盲盒派对”**。

1. 核心难题：为什么以前的方案都不完美？

在传统的电子投票中，通常面临两难：

为了透明，牺牲隐私： 就像把所有人的投票都写在玻璃板上，大家都能看见谁投了谁。
为了隐私，牺牲信任： 就像把票投进一个黑箱，虽然没人知道谁投了谁，但大家会怀疑：“箱子里是不是被偷偷换了票？”或者“计票的人是不是作弊了？”
为了防胁迫，牺牲真实性： 以前的系统允许你拿一张“收据”证明你投了谁。这听起来很好，但坏人会说：“给我看收据，证明你投了我，否则我揍你。”这就导致了胁迫。

ACE 方案的目标是： 既要像玻璃板一样透明（可验证），又要像黑箱一样保密（隐私），还要让你无法拿出任何证据证明你投了谁（防胁迫）。

2. ACE 是如何工作的？（三个关键魔法）

ACE 用了三个巧妙的“魔法”步骤来实现上述目标：

魔法一：切蛋糕分给陌生人（秘密共享）

想象你要投一票（比如投给候选人 A）。

传统做法： 你把整张票直接给计票员。
ACE 做法： 你把这张票切成了 N 块碎片（比如 5 块），分别发给 5 个互不信任的计票员（Talliers）。
- 每个计票员只看到一块碎片，完全不知道整张票是谁投的，也不知道投给了谁。
- 只有把这 5 块碎片拼起来，才能还原出你的投票。
- 比喻： 就像你把一个秘密密码拆成 5 段，分别寄给 5 个陌生人。没人能单独破解，但合起来就能解开。

魔法二：涂改液与“审计或投票”游戏（核心创新）

这是 ACE 最精彩的部分，叫做 "Audit-or-Cast"（审计或投票）。

涂改（重随机化）： 当你把碎片发给计票员后，计票员会在你的碎片上涂上一层“魔法涂改液”（重随机化）。这层涂改液会让碎片看起来完全变了样，但内容其实没变。
- 比喻： 计票员把你的纸条放进一个不透明的信封，然后在这个信封外面再套上一个全新的、印着不同花纹的信封。
二选一游戏： 此时，你（投票人）面临一个选择：
- 选项 A：审计（Audit）。你大喊一声：“我要检查！”计票员必须把那个“魔法涂改液”的配方（随机数）交给你。你检查发现，虽然信封花纹变了，但里面的纸条确实是你刚才写的那张。
  - 结果： 这次投票作废，你重新投一次。这就像你在玩“找茬”游戏，如果计票员敢作弊（比如偷偷换掉你的纸条），你一定能抓到他。
- 选项 B：投票（Cast）。如果你满意，或者你懒得检查，你就说：“好，就这张了！”
  - 结果： 这张被涂改过的纸条被永久锁定在公共账本上，成为最终计票的一部分。

为什么这能防作弊？
因为计票员不知道你会选 A 还是 B。如果他们想作弊（比如把你的票改成投给坏人），你有 50% 的概率会选“审计”，一旦被抓到，他们就会身败名裂。为了安全，他们不敢作弊。

魔法三：完美的“隐身斗篷”（防胁迫/无收据）

这是 ACE 最厉害的地方：你无法向别人证明你投了谁。

场景： 坏人（比如黑帮老大）威胁你：“投给我，否则我杀你。投完后，把收据给我看。”
ACE 的反击：
- 你投完票后，公共账本上只有一张被“涂改液”处理过的纸条（那个新信封）。
- 坏人问你：“你投给谁了？给我看证据。”
- 你拿出一张纸条说：“我投给了 A。”
- 坏人问：“怎么证明？”
- 你回答：“你看，那个信封里的内容确实能对应上 A，但是，那个‘涂改液’是计票员加的，只有计票员知道怎么解开。既然计票员是诚实的（至少有一个是），他们就不会把解开的钥匙给你。”
- 关键点： 即使你手里有原始碎片，你也无法证明那个被涂改过的信封里装的是 A 还是 B。因为那个“涂改液”是随机的，理论上，同一个信封既可以解释成投给了 A，也可以解释成投给了 B。
- 比喻： 就像你戴上了一顶隐身斗篷。坏人虽然看到了你，但他无法确定你到底是“投了 A 的张三”还是“投了 B 的李四”。因为那个“涂改液”让一切变得模棱两可。坏人无法拿到确凿证据去威胁你，因为你完全可以撒谎说“我投了 B"，而没有任何人能证明你在撒谎。

3. 总结：ACE 解决了什么？

传统痛点	ACE 的解决方案	简单比喻
不透明	公开可验证	所有人都能看到计票过程，就像在玻璃房子里投票。
隐私泄露	计票员不知道谁投了谁	票被切碎了，没人能拼出完整的“谁投了谁”。
防不住胁迫	无收据性	你无法向坏人证明你投了谁，因为“涂改液”让证据变得模棱两可。
依赖信任	不依赖信任	不需要相信计票员是好人，只要他们中有一个人是诚实的，系统就安全。

4. 结论

这篇论文提出的 ACE 协议，就像是为选举设计了一套**“既透明又隐身”的魔法系统**。

它通过**“切分碎片”保证隐私，通过“审计或投票”的随机挑战防止计票员作弊，最后通过“涂改液”机制**让投票人无法向任何人证明自己的选择，从而彻底杜绝了胁迫和收买。

一句话总结：
ACE 让选举变得像一场**“大家都能看见过程，但没人知道谁投了谁，且没人能逼你承认投了谁”**的完美游戏。

论文技术总结：Audit-or-Cast (ACE) 协议

1. 研究背景与问题陈述 (Problem Statement)

电子投票系统面临的核心挑战在于如何在公开可验证性 (Public Verifiability)、选民隐私 (Voter Privacy) 和 抗胁迫性 (Coercion Resistance) 之间取得平衡。现有的加密投票协议通常存在以下缺陷：

隐私泄露：为了验证计票结果，往往需要公开详细的选票分布或中间计票数据，破坏了“计票隐藏 (Tally-Hiding)"。
依赖可信客户端：许多系统假设选民的投票设备是可信的，这在现实世界中难以保证。
可转移收据 (Transferable Receipts)：部分协议允许选民生成可证明其投票内容的收据，导致选票买卖和胁迫成为可能，破坏了“收据无记名性 (Receipt-Freeness)"。
信任缺口：在国家级别的大规模选举中，缺乏独立第三方在不泄露选票秘密的情况下验证选举完整性的机制，导致公众对选举结果的不信任。

目标：设计一种能够同时实现端到端可验证性 (E2E-V)、公开计票隐藏 (Publicly Tally-Hiding) 和强收据无记名性 (Strong Receipt-Freeness)，且不依赖可信客户端的投票协议。

2. 方法论与核心机制 (Methodology)

本文提出了 ACE (Audit-or-Cast Election) 协议，通过结合密码学原语和博弈论机制来解决上述问题。

2.1 核心组件

Pedersen 向量承诺 (Pedersen Vector Commitments)：
- 用于对选民的选票份额进行承诺。
- 利用其完美隐藏 (Perfect Hiding) 特性，即使所有计票员 (Talliers) 合谋，也无法从承诺中推断出选票内容。
计票员侧重随机化 (Tallier-side Re-randomization)：
- 计票员收到选民的承诺后，使用随机因子对其进行重随机化，生成新的承诺并发布在公共公告板 (PBB) 上。
- 这一过程切断了选民原始承诺与公共记录之间的持久链接，是实现信息论级别收据无记名性的关键。
Audit-or-Cast (审计或投票) 挑战机制：
- 借鉴 Benaloh 的随机挑战思想，但进行了改进。
- 在提交选票后，选民必须随机选择执行 AUDIT (审计) 或 CAST (投票) 之一。
- AUDIT：选民要求计票员揭示重随机化因子，以验证承诺未被篡改。如果验证失败，选民可公开证明计票员作恶，该次投票作废并重新提交。
- CAST：选民确认无误后，正式提交解密信息（选票份额和随机数），完成投票。
- 这种机制迫使计票员在“诚实”和“被检测”之间做出选择，确保了“按意愿投票 (Cast-as-Intended)"，即使客户端不可信。

2.2 协议流程

选票生成与分片：选民将选票分割为 $n_t$ 个份额，分别发送给 $n_t$ 个互不信任的计票员，并生成零知识证明 (NIZKP) 证明选票格式正确。
盲提交与重随机化：计票员对收到的承诺进行重随机化并发布到 PBB。
Audit-or-Cast 阶段：
- 选民随机选择审计或投票。
- 若选审计，计票员必须提供重随机化因子，选民验证一致性。若不一致，生成“错误打开证明 (PoIO)"并驱逐恶意计票员。
- 若选投票，锁定该次提交。
解密与聚合：选民向计票员发送解密信息。计票员验证后，聚合所有有效选票份额。
结果重建：指定计票员 (Tdes) 聚合所有份额，计算最终计票结果 $T$ ，并生成零知识证明，证明 $T$ 与 PBB 上的承诺一致，同时不泄露中间计票数据。

3. 关键贡献 (Key Contributions)

实现了“神圣三位一体” (The Holy Trinity)：
ACE 是首个在单一框架下同时实现以下三个属性的协议：
- 公开计票隐藏 (Publicly Tally-Hiding)：除指定计票员外，无人能获知具体票数分布或中间结果。
- 强收据无记名性 (Strong Receipt-Freeness)：选民无法生成可转移的投票证明，有效防止胁迫和选票买卖。
- 端到端可验证性 (End-to-End Verifiability)：任何第三方均可验证选举结果的准确性，无需信任客户端。
无需可信客户端 (No Trusted Clients)：
通过 Audit-or-Cast 机制，协议在客户端不可信（可能被恶意软件控制）的情况下，仍能确保选票被按意愿记录。
信息论级别的隐私保障：
利用 Pedersen 承诺的完美隐藏特性和计票员侧的重随机化，协议在至少有一个诚实计票员的假设下，提供了信息论级别的隐私保护，无需依赖计算假设来防止计票员合谋。
形式化安全证明：
论文在标准计算模型下形式化了协议的安全性，证明了其满足：
- S1-S5：防重复投票、不可篡改、按意愿投票、按意愿计票、端到端可验证。
- P1-P3：公开隐私、公开计票隐藏、收据无记名性。

4. 结果与性能 (Results & Performance)

安全性对比：如表 II 所示，与 Helios, Prêt à Voter, Ordinos, Kryvos 等现有协议相比，ACE 是唯一一个同时满足所有隐私 (P1-P3) 和安全 (S1-S5) 属性的协议。
- Helios 泄露完整计票 (P2 失败)。
- Ordinos 和 Kryvos 允许可转移收据 (P3 失败)。
- ACE 填补了这一空白。
通信开销：
- 选民端开销： $O(k \cdot n_t)$ ，其中 $k$ 是审计轮次参数， $n_t$ 是计票员数量。
- 计票员端开销： $O(n_t)$ 。
- 虽然引入了审计轮次，但开销在可接受范围内，且换来了更强的安全属性。
抗胁迫性：由于重随机化因子的存在，即使胁迫者获得了选民的私钥和原始承诺，也无法验证 PBB 上的公开承诺是否对应选民的“真实”投票，从而无法确认选民是否服从了胁迫。

5. 意义与影响 (Significance)

解决信任危机：ACE 为大规模国家选举提供了一种技术解决方案，能够在不牺牲隐私的前提下，让公众独立验证选举的公正性，消除对“伪造选举”的无端猜测。
重新定义信任模型：该协议证明了在电子投票中，可以通过密码学机制（如 Audit-or-Cast）替代对“可信客户端”的假设，降低了系统部署的门槛和信任成本。
隐私与透明的平衡：它展示了如何在“完全透明”和“完全保密”之间找到精确的平衡点，即公开验证计票逻辑的正确性，但隐藏具体的计票数据，这对于保护候选人声誉和维持社会稳定具有重要意义。
未来方向：该工作为后续研究提供了基础，如优化批量零知识证明以降低选民成本、支持更复杂的投票规则以及进行大规模可用性评估。

总结：ACE 协议通过创新的 Audit-or-Cast 机制和巧妙的密码学设计，成功解决了电子投票中长期存在的隐私、可验证性和抗胁迫性之间的权衡难题，为构建高安全、高信任的民主选举基础设施提供了重要的理论和技术支撑。