摘要

  • RIPE NCC 现行说明称，2026 年 10 月大会的合格登记选民会收到 Assembly Voting 发来的两封邮件：一封含有预填“投票代码 1”的唯一链接，另一封含有与大会登记号相同的“投票代码 2”。
  • 2022 年上线新平台时，公开说明写的是 RIPE NCC 发送登记号、Assembly Voting 另发链接与第二个代码。公开叙述已经变化，但现有材料没有解释相应的控制边界是否以及如何变化。
  • 这不是平台不安全、选票被篡改或匿名性失效的证据。它只表明“两封邮件、两个名称”不足以让会员审计因素独立性、补发权限和身份脱钩位置。
  • 一张按届次留存的凭证图谱，可以公开签发者、用途、通道、启用、撤销、恢复、匿名化与观察员范围，同时继续保护代码值、个人数据和可被利用的内部细节。

“一”和“二”只是名称

RIPE NCC 为 10 月 28 日至 30 日会员大会发布的投票页，已经回答了选民最直接的问题。大会使用第三方平台 Assembly Voting。登记且合格的选民会收到两封邮件；“投票代码 2”与大会登记号相同；另一封邮件给出唯一投票链接，并预填“投票代码 1”。链接只有在投票开放后才生效。页面说明，两封邮件由同一个 Assembly Voting 发件地址发送。

页面还写出了现实世界中的故障边界：收件服务器要支持 TLS 1.2；Safari 可能没有正确显示预填代码；收不到邮件可以联系大会团队。这些细节值得肯定。它们把“安全投票”从一句口号变成了选民能够执行的步骤。

然而，编号没有天然的安全含义。代码 1 可能是唯一链接中的不透明标识，也可能代表平台内部的一项状态；代码 2 可能是单独的秘密，也可能只是被重新命名的登记记录。本文没有足够公开证据判断是哪一种。真正需要回答的是：谁生成每个值，谁能读取或重建它，两个值是否依赖同一个源记录，补发后旧值怎样失效，选民的实名资格在哪一步与票面选择分离。

这组问题不会因为页面使用“两个代码”而自动获得答案。公开材料没有给出答案，也不等于内部没有控制。准确的结论只是：会员目前无法从公开记录重建控制的依赖关系。

2022 年的说明提供了一个对照面

RIPE NCC 在 2022 年介绍 Assembly Voting 时，讲述得更像一张安全架构草图。官方文章列出了端到端可验证性、加密选票、数字公告板，以及由 Assembly Voting、RIPE NCC 和独立观察员共同参与的开启与关闭密钥仪式。它还把“双因素”写成一条投递路径：RIPE NCC 发出含会员登记号的邮件，Assembly Voting 再用另一封邮件发送平台链接和第二个登录代码。

同届投票指南也写明，登记号来自 RIPE NCC，个人自动登录链接来自 Assembly Voting；投票后可以保存收据，并在公告板上检查选票是否被系统记录。

不能据此断言旧安排更安全。两个机构的邮件很可能仍然进入同一邮箱；转发规则也能把不同路径汇合；仅凭发件人不同，无法证明秘密存储、授权人员或基础设施真正独立。相反地，两封邮件改由同一平台发送，也不能证明控制已经合并或减弱。

真正可验证的变化，是公开叙述变了。到 2026 年，选民看到的是两封 Assembly Voting 邮件。5 月投票流程幻灯片给出了同一个发件地址；最终报告把登录称为由代码 1 和代码 2组成的“2 factor”，并记录第一封邮件含代码 1 与链接、第二封含代码 2。报告没有说明登记号怎样从 RIPE NCC 进入投票系统，是否经过变换，是否存放在独立控制域，也没有说明为什么当前两个输入应被视为两个独立因素。

历史标签可以保持不变，运行架构却可能改变；运行架构也可能不变，而用户说明被简化。只有带版本的凭证图谱才能区分这两种情况。

登记账户的 2FA 不能替代投票链说明

10 月登记页补上了另一项重要事实。选民先登录 LIR Portal，选择自己代表的机构，选择是否投票，然后收到含大会登记号的确认邮件。RIPE NCC Access 账户必须启用双因素认证。每个满足条件的会员机构由一名适格人员登记投票，会员期限、暂停状态、缴费与联系人权限都会影响资格。

这是当前流程最有力的防线之一。登记号并非凭空发给任意邮箱，它处在会员记录、账户登录和授权关系之后。

但账户 2FA 与投票平台登录是两个控制时刻。前者证明某个通过 RIPE NCC Access 验证的人完成了登记动作；后者证明投票窗口内有人持有唯一链接和登记号关联代码。现有公开材料没有说明 LIR Portal 的原始第二因素会在投票时再次被验证，也没有说明它与投票会话存在密码学绑定，或在改换邮箱时再次成为必要条件。

这未必是缺陷。若每次投票都强制依赖 LIR Portal，平台故障就可能在最敏感时刻重新成为唯一入口。独立运行的投票平台可以提高可用性。问题在于，系统一旦解耦，就应说明交接点：哪一种证明从 RIPE NCC 移交给供应商，哪一个控制承担可用性，哪一个控制承担身份，恢复程序又能改变其中什么。

补发程序暴露了真正的权力边界

2026 年 5 月投票报告记录了 27 项协助请求。报告还说明：工作人员收到替代邮箱地址后，通过投票系统把投票邮件重新发送到新地址。

这句话并不意味着 27 次安全事件。企业邮箱可能过滤邮件，服务器可能不兼容，联系人可能失去原邮箱权限，选民也可能需要合法更正。能够恢复资格，是电子投票必须具备的服务能力。RIPE NCC 公布请求数量和补发事实，是比沉默更好的治理做法。

但补发正是制度权力最清楚的地方。谁可以提出新地址？工作人员用哪个会员记录验证？是否需要第二名审批者？补发会不会自动撤销旧链接与旧代码？旧、新地址是否会同时有效？投票系统是否保存原因、审批者和时间？观察员能否查看异常台账？支持案件能否在不接触票面选择的前提下，与成功登录状态完成核对？

这些问题不要求公开个人地址、身份文件或工单。大会完全可以发布一张隐私安全的汇总收据：收到多少投递问题，多少案件更改地址，使用哪类授权规则，多少旧凭证被作废，投票关闭时是否仍有合格选民案件未解决，观察员抽查了哪些控制。如果存在例外，就按类型记录例外。

正常登录往往不是最强的权力点。能够在正常登录失败时改写登录路径的人，才握有恢复权。在选举环境中，恢复权就是进入选民队列的权力。它既要足够灵活，避免合法会员因邮件故障失去选票，也要足够狭窄，避免便利性的人工处理悄悄改变选民边界。

图谱必须走完整条链

一张可用的图谱不能从代码 1 开始。它应从会员名册和获授权的自然人开始，依次记录 LIR Portal 会话、选择投票、大会登记号、向供应商的交接、唯一链接生成、邮件投递、启用、失败尝试、支持介入、凭证替换、投票登录和最终关闭。

每一项都应有明确类型。它是秘密、标识符、一次性令牌、预填参数，还是指向受保护状态的不透明引用？它由谁签发？有效期多长？与另一项凭证的独立性是技术事实、流程事实，还是仅仅分两封邮件发送？本文不替系统回答；图谱应由责任方回答。

图谱还必须标出匿名边界。资格验证需要知道选民是谁；秘密投票要求任何人不能从最终票面追溯选择；端到端验证又需要选民确认自己的选票被正确纳入，而收据不能成为向第三方证明投票选择的工具。三者可以兼容，但交接必须可审计：身份在这里核验，投票权在这里签发，凭证在这里兑换，身份关联在这里被盲化或隔离，密文选票在这里进入公告板，观察员在这里验证。

2022 年材料已经展示了公告板、收据、密钥仪式和外部观察员。2026 年指南专注于会员该点击什么，也很合理。缺少的是两者之间的桥：使用说明不是威胁模型，四年前的威胁模型也不是今年的运行收据。

可以公开的不是秘密，而是控制元数据

安全披露不需要代码长度、熵值、数据库结构、内部主机名、个人证据或绕过路径。它可以只记录：

环节 可公开字段
资格 责任机构、规则版本、基准时间、例外数量
登记 源系统、认证类别、成功交接总数
凭证签发 签发者、用途、独立性声明、版本
投递 发件方类别、通道、窗口、失败汇总
启用 开启条件、失效时间、时钟责任方
恢复 审批角色、验证规则、补发数、旧凭证处置
匿名化 身份与选票分离位置、证明范围
验证 收据或公告板功能、选民验证方式
关闭 密钥仪式、观察员、例外与最终核对

每届大会保留一个版本。如果发件路径改变，新版本说明依赖变化；如果只是页面措辞变了而后台控制未变，也明确写出“控制未变”。这比让会员从“代码 1”和“代码 2”推测架构更节制，也更可信。

有边界的授权，值得有边界的证据

会员大会投票不是整个 RIPE NCC 服务区公众的公投。它是会员协会内部的正式行为。章程赋予合格会员相应投票权，也把电子投票技术程序与要求的规制责任交给执行理事会。这个授权有边界，但是真实存在。

正因为它是真实的内部授权，运行路径才不能被礼仪替代。正式投票比模糊的“社区共识”更可审查，因为它指明了选民、规则与结果。两个代码是这项制度行为背后的运行代码。若只有名称而没有依赖关系，制度就开始把仪式当作执行。

合理标准不需要扩大 RIPE NCC 权力，也不需要让全世界审查秘密。共同层只保留必要内容：资格、可达性、恢复、审计、匿名与可靠记录。RIPE NCC 已经公开了大部分零件。下一步不是再增加一个“安全”标签，而是画出它要求会员信任的那条控制链。

来源