要約

  • RIPE NCC の2026年10月向け案内では、Assembly Voting から二通のメールが届く。一通は投票コード1が入力済みの固有リンク、もう一通は総会登録番号と同一の投票コード2を含む。
  • 2022年の導入説明では、登録番号は RIPE NCC から、リンクともう一つのコードは Assembly Voting から別々に届くと説明されていた。公開上の配送像は変わったが、現在の依存関係を示す記録は見当たらない。
  • これは脆弱性、なりすまし、匿名性の破綻、結果改変を示すものではない。二つの名称と二通という事実だけでは、独立性、復旧権限、身元と投票内容の分離を検証できないという指摘である。
  • 会合ごとの認証情報マップなら、秘密値や個人情報を伏せたまま、発行者、目的、配送、起動、再送、失効、匿名化、監視者の範囲を記録できる。

投票者が見る画面と、制度が頼る証明

10月28日から30日に予定される RIPE NCC 総会では、登録済みで資格を持つ投票者が Assembly Voting を使う。案内では、二通とも同じ Assembly Voting の送信元アドレスから届くとされる。一通には個別の投票リンクと、あらかじめ入力された投票コード1がある。もう一通には投票コード2があり、その値は総会登録番号と同じである。リンクは投票開始後にだけ有効になる。

RIPE NCC は、メールサーバーに TLS 1.2対応が必要であること、Safari では入力済みコードが表示されない場合があること、メールが来なければ総会担当へ連絡することも明記している。利用者向け説明としては実務的だ。どのメールを探し、いつ開き、どこに問い合わせるかが分かる。

ただし、番号は性質を説明しない。コード1は URL 内の秘密トークンかもしれず、単なる識別子かもしれない。コード2は独立した所持証明かもしれず、登録データの参照値かもしれない。公開資料はどちらとも断定していない。本稿も推測しない。

監査に必要なのは、名称ではなく依存関係である。各値を作る主体は誰か。どの元データから生まれるか。片方を知る主体は他方を導出できるのか。再送すると旧リンクは失効するのか。別のメールアドレスを認めるのは誰か。資格確認に使った本人情報と、秘密にすべき投票内容はどの地点で切り離されるのか。

公開資料が答えていないからといって、内部統制がないとは言えない。正確に言えるのは、投票者が公開記録だけでこの経路を再構成できないということだ。

2022年には異なる境界が描かれていた

Assembly Voting 導入時の RIPE Labs 記事は、単なる操作案内ではなかった。エンドツーエンドの検証可能性、暗号化された投票、デジタル掲示板、開票前後の鍵セレモニーを挙げ、鍵操作には Assembly Voting、RIPE NCC、独立監視者が共同で参加すると説明した。

認証についても、RIPE NCC が会員の登録番号をメールし、Assembly Voting が投票リンクと二つ目のコードを別のメールで送ると記した。同時期の投票案内には、投票後のレシートを保存し、掲示板で自分の票が登録されたことを確認する手順もあった。

この方式が自動的に優れているわけではない。送信者が二組でも、受信先が同じメールボックスなら配送リスクは集中する。転送設定が経路を一本にすることもある。「RIPE NCC から」と「Assembly Voting から」という表示だけでは、秘密の保管場所、運用担当、承認経路の独立性を証明できない。

逆も同じだ。2026年に二通とも Assembly Voting から届くからといって、内部の統制まで一つになったとは限らない。確認できる事実は、公開された説明の形が変わったことだけである。

2026年5月の手順資料も Assembly Voting の送信アドレスを示し、最終報告はログインを投票コード1と投票コード2による「2 factor」と記した。最初のメールにはコード1とリンク、次のメールにはコード2があった。だが、RIPE NCC で作られた登録番号が投票基盤へどう渡り、どの統制領域で扱われるかは書かれていない。

したがって必要なのは、過去のラベルを争うことではなく、現行版を示すことだ。配送を一元化して誤配や時刻ずれを減らしたのであれば、その利点と代替統制を記録すればよい。文章だけを簡略化したのであれば、基盤に変更なしと記せばよい。版管理があれば、どちらも疑念ではなく事実になる。

LIR Portal の2FA は重要だが、別の時点にある

投票資格の入口は LIR Portal である。利用者はログインし、代表する組織を選び、投票する意思を示し、登録番号を含む確認メールを受け取る。RIPE NCC Access では2FA が必須とされる。組織の加入期間、停止状態、料金の状態、担当者の権限も資格に関わる。

これは強い防御材料である。登録番号は、身元確認のない宛先へ無差別に配られるわけではない。会員アカウントと代表権の確認を通った操作の結果として発行される。

しかし、登録時の2FA と投票時のコードは同じ制御ではない。前者は、その時点で RIPE NCC Access の要素を提示したアカウント利用者が登録を行ったことを確かめる。後者は、投票期間中にリンクと登録番号に結び付く値を持つ者がプラットフォームへ入れることを確かめる。公開資料は、元の2FA が投票時に再度要求される、投票セッションへ暗号学的に結合される、または復旧時に必須になるとは述べていない。

分離には可用性上の理由があり得る。投票のたびに LIR Portal へ依存すれば、同ポータルの障害が投票箱を閉じる。外部基盤が独立して動けば継続性は高まる。その場合こそ、受け渡される証明の内容と、障害時に誰がそれを更新できるかを示す必要がある。

再送手続きに権限の輪郭が現れる

2026年5月の署名付き報告は、27件の支援要請があったと記録した。代替メールアドレスが職員へ提供された場合、投票メールは投票システムから新しいアドレスへ再送されたという。

27件を27件のセキュリティ事故と読む根拠はない。企業メールのフィルター、TLS 互換性、担当者交代、アクセス喪失、正当な訂正などがあり得る。復旧経路がなければ、形式的に安全な仕組みが適格会員を排除する。件数と再送を報告したこと自体は、説明責任の前進である。

同時に、再送は権限行使である。代替アドレスを申し出られるのは誰か。会員台帳、Portal アカウント、別の本人確認資料のどれで確認するのか。承認は一人で完結するか。旧リンクとコードは自動で無効になるか。新旧アドレスが同時に有効な時間はあるか。理由、承認者、時刻は残るか。独立監視者は例外台帳を検査するか。

個人情報を出さずに答えられる。総会後の集計には、配送障害、アドレス変更、認証情報の置換、未解決案件を分け、旧認証情報の失効件数と監視者の検査範囲を記せる。誰がどの選択肢へ投票したかに触れる必要はない。

通常経路より、通常経路を変更できる復旧窓口の方が大きな権限を持つことがある。適格会員を救済できる柔軟性と、便宜的な変更で新たな投票者を作らない厳格さを両立させなければならない。

認証情報マップは匿名化地点まで続く

マップの起点はメールではなく会員台帳である。適格な組織と権限を持つ自然人、LIR Portal のセッション、投票選択、登録番号、ベンダーへの引き渡し、固有リンクの生成、配送、起動、失敗、支援、置換、ログイン、投票、締切までを一列にする。

各項目には、発行者、目的、型、元データ、有効期間、依存関係、失効規則を付ける。秘密値そのものは不要だ。コードが「身元」「権限」「所持」「参照」のどれを証明するのかが分かればよい。

さらに、本人と票の分離を明示する必要がある。資格付与には本人を知る必要がある。秘密投票では、最終的な選択を本人へ戻してはならない。エンドツーエンド検証では、投票者が包含や処理を確認できる一方、第三者へ投票内容を証明できる買収可能なレシートを作ってはならない。

この三条件が交わる地点を、統制として記録する。本人確認はここ、投票資格発行はここ、認証情報消費はここ、本人との関連を保護するのはここ、暗号化票を掲示板へ載せるのはここ、監視者が検査するのはここ、と示す。

2022年資料には掲示板、レシート、鍵セレモニー、外部監視者が登場する。2026年案内には投票者の操作がある。その間を現行の統制記録でつなぐべきだ。操作説明は脅威モデルではなく、過去の脅威モデルは現在の運用証明ではない。

薄い公開記録で十分である

公開対象は、コード長、エントロピー、内部ホスト名、データベース構造、本人確認書類、回避手順ではない。資格規則と基準時刻、発行者と用途、配送者の区分と失敗件数、起動条件と失効、復旧の承認区分、旧認証情報の処置、匿名化の宣言地点、監視者の対象、最終例外だけでよい。

会合ごとに版を固定し、次の会合が前版を上書きしないことも重要だ。配送の説明が変わったら、差分を示す。実装に変更がないなら、それも差分として示す。この小さな記録が、名称からの推測を不要にする。

RIPE NCC 総会は地域全体の民意ではない。定款に基づく会員団体の内部行為であり、電子投票の技術手順を定める責任は理事会にある。権限の範囲は限られているが、その範囲内では実際の決定を生む。だからこそ、証拠も同じ範囲で実在しなければならない。

Lu Heng の考え方を適用すれば、制度上の呼称より実行経路を優先することになる。必要なのは新たな中央権限ではない。資格、アクセス、復旧、監査、匿名性、記録という最小限の共通層を見えるようにすることである。RIPE NCC は部品の多くをすでに公開している。残る仕事は、それらを一枚の現在形へ組み立てることだ。

情報源