约6亿印度公民预计将在为期39天的时间里投票，参加正在举行的本国议会选举，选举将于5月19日结束。符合投票资格的选民约有9亿人，而该国通常约有三分之二的选民前往投票站投票。
我从事电子投票系统安全工作已有15年多，我和其他同事一直希望了解，一个国家如何统计如此漫长的投票期内投出的这么多选票。印度使用的是一款由本国设计和制造的电子投票机，数量多达400万台，分布在100万个投票站，其中至少有一些位于极其 偏远的地区。
印度电子投票机的首个版本于1982年在喀拉拉邦的邦级选举中首次亮相。如今，全国各地的选举都在使用这类设备，不同地区会在不同日期举行选举。
它是如何运作的？
选民抵达投票站时，会出示带照片的身份证件，投票站工作人员会核实她是否在选民名册上。轮到她投票时，投票站工作人员会使用电子投票机的控制单元解锁投票单元，使其准备好接收她的选票。
投票单元的用户界面非常简单：一排按钮上标有候选人姓名和标志。投票时，选民只需按下自己选择的候选人旁边的按钮。
每按下一次按钮，打印机就会将选民的选择打印在纸上，并显示几秒钟，让选民核实选票是否被正确记录。随后，纸票会被投入上锁的存储箱。
整套系统由电池供电，因此无需插电。
投票日结束、投票站即将关闭时，每台电子投票机和纸质记录存储箱都会用蜡封和胶带封好，封条上有该场选举各候选人代表的签名，并由武装人员看守存放。
选举期结束、开始统计选票时，工作人员会取出电子投票机，拆开封条，并从每个控制单元的显示屏上读取票数。选举工作人员会手工汇总各台机器的票数，以得出各选区的选举结果。
安全保护措施与隐忧
印度的电子投票机主要依靠专用硬件和固件运行，这与美国使用的、主要依靠软件的投票机不同。它专为投票这一单一用途设计，而不依赖于Windows等标准操作系统；这类操作系统需要定期更新，以修补已发现的安全漏洞。
每台机器只需连接投票单元和控制单元；电子投票机没有连接计算机网络的接口，更不用说连接互联网，包括无线连接。
这种设计确实提供了一些保护，可防止选票记录和统计过程遭到潜在篡改。印度选举委员会曾多次声称，电子投票机无法被篡改。然而，一项学术研究表明，操纵这些机器确有办法。特别是，设计简单也使一些简单攻击成为可能，例如截取并修改信号，而信号是通过机器的电缆传输的。
选举委员会没有公开任何独立的安全评估结果，因此究竟哪些操作可行、哪些不可行并不明确。在选举中失利的政党往往怀疑存在舞弊，并质疑设备。
投票机的制造
正如我和其他人所观察到的，在机器制造过程中，有不少机会可以对电子投票机进行实体篡改，而这些篡改可能无法通过选前设备测试发现。机器的软件由印度政府所有的两家电子公司设计、编写和测试：Bharat Electronics Limited和Electronics Corporation of India Limited。机器所用芯片在印度境外制造。早期版本的机器由芯片制造商将机器代码写入芯片；如今则由这两家电子公司自行完成。
在制造、测试和维护的任何阶段，都可能有人植入假冒芯片，或替换其他组件，从而让黑客得以篡改结果。
印度选举委员会认为，任何操纵或错误都会被发现，因为电子投票机经常接受测试，候选人代表也有机会参加模拟选举，而且就在机器投入真实选举使用之前。然而，有些改动可能无法被发现。测试只能揭示部分问题，测试期间未发现问题并不意味着问题不存在。
审计投票机的结果
不过，有一种机制可以发现攻击：将记录选票的打印纸与电子设备一起妥善保存。2013年，最高法院的一项指令要求选举委员会建立这一流程，以维护投票过程的完整性。
每个选区将抽取五台电子投票机，通过人工清点打印票并与电子统计结果对比来审计其结果。（这意味着每个选区约有1%或2%的机器会接受测试。）反对党已请求最高法院下令对半数电子投票机进行审计，但这可能不会在今年的选举中实现。
电子投票机系统虽然实用且有效，但官员和观察人士不应以为结果绝无被篡改的可能。选举委员会当然应继续改进测试，并公开独立测试报告。然而，由于任何技术都无法做到绝对防篡改，每次选举结果都应通过人工审计加以核实，以确保结果准确，无论结果如何。
