在 2023 年议会选举中，爱沙尼亚有 51.1% 的选民（共 313,514 人）通过互联网投下了自己的选票，成为全球首个网络投票选民正式过半的国家。国家选举办公室随后将现行投票系统 IVXV 的源代码完整挂在 GitHub 仓库（valimised/ivxv）上供外界查验。
许多技术乐观主义者立刻将此视作民主数字化的终极范本：既然系统长期承载数十万人投票，代码又直接公开，安全性自然毋庸置疑。但我更在意的是被开源光环掩盖的技术缝隙。代码推上公共仓库，不仅没能平息安全争议，反而让外界看清了这套运转多年的数字大厦究竟由多少妥协与盲区支撑。
观赏性开源与单向交付的代码库
爱沙尼亚从 2005 年开始试行网络投票，并在 2013 年 7 月首次对外公开投票软件源码，现行的 IVXV 框架则自 2017 年选举正式启用。从历年官方数据看，选民对线上投票的依赖肉眼可见地攀升：2017 年地方选举网投占比为 31.7%（186,034 人），2019 年议会选举升至 43.8%（247,232 人），到 2023 年首次破半，2024 年欧洲议会选举虽略有回调，但也维持在 41.7% 的高位。
翻开 GitHub 仓库的详情，很多人的认知落差就出现了。valimised/ivxv 采用的并不是标准的开源协议，而是 CC BY-NC-ND 3.0。这意味着它禁止商业化，甚至禁止任何修改衍生。
更重要的是，官方在仓库说明中坦承，这个 GitHub 地址只是一扇对外展示的橱窗，用来承载单向的代码归档与公示；真正的开发工作完全由国家选举办公室监管，在封闭的私有环境中推进。这里没有外部 Pull Request 的合并空间，也谈不上社区协同开发。
严格来说，它不是开源软件，只是一份供公众阅读的单向公示代码。把代码公开视作安全无虞，本身就是对现代软件工程的一种误读。
审计缝隙与内部人操纵隐患
真正的密码学质询很快打破了完美叙事。国际选举观察机构 OSCE/ODIHR 在 2023 年 8 月发布的爱沙尼亚议会选举最终报告直指痛处：IVXV 在审计覆盖上存在严重缺失，尤其是选民反复投票或到场投票时，系统对那些被覆盖、被废弃的电子选票的处理流程，缺乏独立的外部审计。同时，编译发布的代码与服务器实际部署环境之间，也缺乏清晰的对照文档。
来自学术界的两篇研究更直接切中了系统深层缺陷。2023 年，学者 Sutopo 等人的密码学分析指出，IVXV 的移动端验证机制根本没有完整校验加密选票本身，一旦在特定攻击条件下出现密钥泄露或候选人编码被截获，系统就可能向选民反馈虚假的验证成功提示。
到了 2024 年底，密码学者 Treier 与 Düüna 发表论文证实了一个更严峻的问题：IVXV 在计票处理过程中存在漏洞，恶意内部人员可以在选票处理的缝隙里替换选票，而现有的检测机制无法察觉。官方实际上在 2024 年 5 月 30 日发布的代码中紧急合并了增强审计工具来修堵这一后门，但这种修补更像事后救火。
正因如此，OSCE/ODIHR 在 2025 年 6 月关于爱沙尼亚网络投票监管的意见中，用词显得极其克制且严厉。他们敦促爱沙尼亚必须通过法律强制推行独立监督与事后审计机制，并明确声明：机构不对继续使用该系统的绝对安全性做任何担保。
防胁迫妥协与不可兼得的数学悖论
网络投票面对的最大难题从来不是黑客，而是胁迫与选票买卖。当你在投票站的隔板后打勾，物理隔离能阻断所有窥视；但当投票挪到家庭客厅或办公室电脑前，雇主或施暴者完全可以站在你背后盯着你选。
纯粹的端到端密码学验证，与现实社会中的反胁迫机制天然互斥。
爱沙尼亚给出了一套精密的制度设计：允许选民在投票期内无限次重复网络投票，系统永远只保留最后一次提交；甚至只要你在选举日走进实体投票站投下纸质票，之前的电子票就会全部作废。
这套机制在现实中有效化解了强迫买票，但在密码学上却打烂了“端到端可验证性（E2E-V）”。为了确保最后一张选票有效且旧票被销毁，系统必须在解密前剥离身份、核实有效性并静默清除多余选票。这个复杂的预处理阶段无法对外完全透明，否则就会暴露选民究竟有没有在事后偷偷改票。
换句话说，普通公众无法独立证明自己的选票有没有在清理过程中被误删或掉包，这套闭环不得不依赖少数受信任的特许审计员来背书。
《论语》讲“民无信不立”。爱沙尼亚能把 IVXV 跑通二十年，本质上不是因为这套软件在密码学上无可挑剔，而是靠这个仅有 130 万人口的国家深厚的小国信任资本在托底。从全民普及的数字身份证（e-ID）到高度透明的政务环境，选民选择相信国家选举办公室这套繁杂的行政与审计流程。
- 提醒.如果剥离爱沙尼亚独特的高信任社会环境，单把 IVXV 这套架构照搬到任何一个面临激烈党派极化或地缘对抗的大国，缺乏完全端到端数学证明的审计死角，都足以撕裂整场大选的合法性。
公开源码只是程序正义的最低门槛。IVXV 的现实给全球电子政务上了一堂极清醒的技术课：当密码学向现实妥协、把安全压在内部审计人身上时，代码写得再干净，也无法单靠技术本身创造信任。