← Todos los artículos

Una máquina de votación es una computadora. "Certificada" no significa que puedas confiar en ella

En 2004, Irlanda gastó millones en máquinas de votación que nunca utilizó, porque una comisión independiente no pudo demostrar que funcionaban. Lo que "certificado" realmente significa debería aterrorizarte.

Es la primavera de 2004, y en algún lugar de un almacén en Dublín, 7.500 máquinas de votación están en sus cajas, nuevas, pagadas, nunca serán utilizadas.

El gobierno irlandés había gastado aproximadamente 54 millones de euros en la adquisición del sistema Nedap/Powervote de votación y conteo electrónico. Había sido probado. Había sido aprobado por las autoridades competentes. Por toda medida convencional, estaba listo.

Luego una Comisión Independiente de Votación Electrónica lo examinó cuidadosamente y dijo que no podía recomendar el sistema para su uso.

No porque hubiera encontrado prueba de que las máquinas fallarían. No porque hubiera descubierto fraude o sabotaje. La conclusión de la Comisión fue más condenatoria que cualquiera de las dos: encontró que no podía satisfacerse respecto de la exactitud y el secreto del sistema tal como se presentó. Las máquinas no habían sido probadas, para la satisfacción de un examinador independiente, que funcionarían correctamente. Y así la posición por defecto de un gobierno democrático —la correcta— fue: no las utilicen.

Las máquinas permanecieron en almacenes durante cinco años y fueron formalmente desguazadas en 2009, con un costo adicional para el público. Irlanda volvió al papel.

Esa es la historia que la certificación se supone que debe prevenir. No lo hizo.

Lo que "certificado" realmente significa

Aquí es lo que sucede cuando una máquina de votación se certifica en Estados Unidos.

Un fabricante presenta su sistema a un laboratorio de prueba acreditado —una de un pequeño número de empresas privadas aprobadas por la Comisión de Asistencia Electoral de EE.UU. El laboratorio prueba el sistema contra un conjunto de estándares federales (las Directrices Voluntarias del Sistema de Votación, o VVSG). Si aprueba, la EAC lo agrega a una lista de sistemas certificados. Los estados pueden entonces aprobarlo para su uso.

Las pruebas son reales. Los laboratorios están acreditados. Los estándares tienen sustancia.

Pero hay una trampa tan grande que podrías estacionar esas máquinas de votación irlandesas dentro de ella.

La certificación es una instantánea. Refleja lo que el software estaba haciendo el día que el laboratorio lo probó. No puede —no puede— garantizar que el software en ejecución el día de las elecciones sea el mismo software que examinó el laboratorio. No sigue a la máquina fuera de la puerta, a través de la cadena de suministro, al almacén, en el camión, y a la casilla de votación. Prueba una versión. No certifica un sistema vivo, desplegado.

La Oficina de Responsabilidad del Gobierno de EE.UU. hizo este punto en lenguaje claro hace ya en 2005: los esfuerzos federales para mejorar la seguridad y confiabilidad del sistema de votación electrónica estaban en marcha, pero las actividades clave permanecían incompletas. Años después de la crisis que desencadenó la reforma federal, la maquinaria para garantizar la seguridad aún se estaba construyendo. Los estándares y la certificación solo importan una vez que existen y se hacen cumplir —hasta entonces, "usamos sistemas certificados" es una afirmación sin una verificación plenamente operativa detrás de ella.

Esa brecha entre la afirmación y la realidad es el modelo de amenaza del que trata este artículo.

El experimento de Princeton: un minuto, indetectable

En 2006, tres investigadores de Princeton —Ariel Feldman, J. Alex Halderman y Edward Felten— obtuvieron una verdadera máquina de votación táctil Diebold AccuVote-TS. Era una máquina certificada, una de las más ampliamente desplegadas en Estados Unidos en ese momento.

No necesitaban meses. No necesitaban un presupuesto de estado-nación. Necesitaban aproximadamente sesenta segundos de acceso físico.

En ese tiempo, un atacante podría instalar código malicioso en la máquina —código que robaría votos mientras alteraba todos los registros, registros y contadores para mantener coherencia interna. La máquina reportaría limpieza. Los registros reportarían limpieza. Los totales sumarían. Y los votos serían incorrectos.

Más alarmante aún: construyeron un virus de máquina de votación en funcionamiento. Código que se propaga automáticamente de máquina a máquina durante la actividad electoral ordinaria —el intercambio rutinario de tarjetas de memoria que sucede en cada jurisdicción en cada día de elecciones. Una máquina infectada. Una tarjeta. Una cadena.

El AccuVote-TS había pasado la certificación. Había sido evaluado por un laboratorio de prueba. Había sido aprobado para su uso en elecciones afectando a millones de estadounidenses.

Nada de eso detuvo lo que Princeton demostró. Porque la certificación probó lo que el software se suponía que debería hacer —no si un atacante podría reemplazarlo con otra cosa.

Esta es la distinción que importa. Un laboratorio examina un sistema para el cumplimiento de requisitos funcionales. No está preparando un ataque adversarial. No está preguntando: ¿qué puede hacer un atacante motivado con sesenta segundos en esta máquina antes de que llegue a la casilla de votación? Estas son preguntas diferentes, y el proceso de certificación no fue —y en gran medida aún no es— diseñado para responderlas.

El secreto en "código fuente secreto"

Ahora agrega otra capa.

El software dentro de esas máquinas es de propiedad exclusiva. Un secreto comercial de un proveedor. No puedes leerlo. El laboratorio de pruebas puede leerlo —bajo un acuerdo de confidencialidad. La EAC puede recibir una copia para su repositorio. Pero el público, los candidatos, los partidos, los investigadores de seguridad independientes que podrían detectar lo que el laboratorio pasó por alto: ninguno de ellos puede ver lo que realmente está ejecutándose en la máquina contando sus votos.

Esto no es paranoia hipotética. Es un problema documentado con una consecuencia documentada.

En enero de 2021, una empresa de informática forense entró en la oficina de elecciones del Condado de Coffee, Georgia y copió todo el sistema de votación —el servidor del Sistema de Gestión Electoral, pad de votación, dispositivos de marcado de boletas, software del escáner, el sistema Dominion de toda Georgia. Todo. La oficina del Secretario de Estado de Georgia luego lo describió como acceso no autorizado que antiguos funcionarios del condado permitieron, en violación de la ley estatal. El episodio está documentado en declaraciones en la corte federal en Curling v. Raffensperger y figura en una acusación del Condado de Fulton; varios individuos conectados posteriormente se declararon culpables.

Aquí está el punto que el episodio del Condado de Coffee hace sobre el código fuente secreto como estrategia de seguridad: fracasó en el momento en que un pequeño grupo de personas tuvo acceso físico a la sala.

El software de propiedad exclusiva no está protegido por su complejidad o su excelencia. Está protegido por seguridad física y acuerdos legales. Cuando estos fallan —y en Coffee County, fallaron completamente— el código se escapa. La superficie de ataque se expone a quien lo recibió, dondequiera que lo llevó.

El secreto como seguridad y la verificabilidad como seguridad no son lo mismo. Son, de hecho, opuestos. Un sistema diseñado para el secreto se vuelve más peligroso cuando el secreto se filtra. Un sistema diseñado para la verificabilidad se vuelve más confiable cuanta más gente lo inspecciona.

El estándar constitucional alemán —y por qué importa para ti

En 2009, la Corte Constitucional Federal de Alemania hizo algo notable. No esperó a una prueba. Falló sobre principios: las máquinas de votación electrónica cuya operación no puede ser verificada independientemente por un ciudadano ordinario —sin conocimiento especializado— violan el principio constitucional de la naturaleza pública de las elecciones.

La Corte encontró que este requisito fluye de la garantía de la Ley Fundamental de legitimidad democrática. Las elecciones deben ser verificables públicamente. No verificables por expertos bajo NDA. No verificables por un laboratorio en un día específico. Verificables por ciudadanos.

Las máquinas Nedap que Alemania había usado registraban votos solo en memoria electrónica, sin registro verificable independientemente que un votante pudiera inspeccionar. Fallaron. La ordenanza que las autorizaba fue encontrada inconstitucional. Alemania volvió al papel.

La Corte no requirió prueba de que las máquinas hubieran sido alteradas. Sostuvo que un sistema cuya corrección descansa en confiar en software oculto falla la prueba de verificabilidad pública independientemente de si la alteración es jamás probada.

Lee eso de nuevo. No "encontramos fraude". No "encontramos un error". El sistema fracasó porque no podía ser verificado independientemente. Eso solo fue inconstitucional.

Este es un estándar más alto que cualquier proceso de certificación estadounidense actualmente cumple. Y es el estándar correcto.

Lo que la comisión irlandesa entendió

Regresa a Dublín por un momento. La conclusión de la Comisión Irlandesa de Votación Electrónica no fue dramática. Fue cuidadosa, precisa y devastadora.

La Comisión enfatizó que su conclusión no era un hallazgo de que el sistema no funcionaría —fue un hallazgo de que no había sido probado, para la satisfacción de la Comisión, que funcionara. No podía satisfacerse respecto de la exactitud y el secreto del sistema tal como se presentó.

Esa redacción es importante. La carga de la prueba, sostuvo la Comisión, recae en quienes despliegan el sistema. No es suficiente que un proveedor diga "funciona". No es suficiente que un laboratorio de pruebas diga "pasó". Un examinador independiente debe ser capaz de confirmar, mediante inspección, que es exacto y que protege el secreto de la boleta.

Ese examinador no pudo. Así que las máquinas nunca funcionaron en una elección real.

El por defecto irlandés —cuando no puedes verificar independientemente, no despliegas— es el por defecto correcto. Es lo opuesto al por defecto de teatro de certificación, que es: si pasó el laboratorio, está certificado, y si está certificado, puede ser confiado.

La certificación es una afirmación. La verificabilidad es evidencia. Estas no son la misma cosa.

La solución: lo que "verificable independientemente" realmente requiere

Entonces, ¿cómo se vería un sistema de votación genuinamente verificable? Tres cosas, ninguna de las cuales requiere que el público confíe en una sola autoridad.

Código fuente público. El software que cuenta votos debe ser legible por cualquiera. No legible por un laboratorio bajo NDA. Legible por criptógrafos independientes, investigadores de seguridad y periodistas. El sistema VSAP de Los Ángeles, certificado en 2018, fue el primer sistema de recuento de votos de código abierto certificado de California —significando que el código que cuenta votos podría, en principio, ser inspeccionado por cualquiera. Eso es una línea de base, no una meta final.

Compilaciones reproducibles. El código fuente público solo no es suficiente. También necesitas poder confirmar que el binario en ejecución en la máquina —el código ejecutable real, la cosa haciendo el conteo— fue producido desde la fuente publicada y nada más. Esto es lo que los criptógrafos llaman una compilación reproducible: dada la misma fuente, siempre deberías obtener el mismo binario, así que cualquiera puede verificar que lo desplegado coincide con lo publicado. Sin esto, un proveedor podría publicar código fuente limpio y compilar algo diferente.

Atestación criptográfica. La máquina en ejecución el día de las elecciones debería producir un registro verificable —firmado, con marca de tiempo, resistente a la manipulación— que vincula el software en ejecución a la versión publicada, inspectable. No un registro en papel que pueda ser silenciosamente reimpreso. Una cadena criptográfica que una parte independiente pueda verificar después de los hechos sin necesidad de confiar en el proveedor, la jurisdicción, o el laboratorio de pruebas.

Estas tres propiedades juntas convierten "confía en nosotros" en "verifica por ti mismo". No son exóticas. Es cómo el software crítico para la seguridad se maneja en otros dominios de alto riesgo. El caso suizo hace el punto desde la otra dirección: en 2019, cuando Swiss Post publicó el código fuente de su sistema de votación por internet para escrutinio público, investigadores independientes inmediatamente encontraron una puerta trasera criptográfica —un defecto que permitiría a un iniciado generar una transcripción de prueba de barajamiento que pasa la verificación mientras realmente haya alterado votos. El sistema fue suspendido pendiente de remediación. El defecto era invisible en una caja negra certificada. Se volvió encontrable en el momento en que el código fue público.

Ese es todo el argumento. La apertura atrapó lo que la certificación perdió.

La pregunta que permanece abierta

Aquí está lo que ninguna declaración oficial, ninguna certificación de laboratorio, y ningún comunicado de prensa "la auditoría confirmó el resultado" puede actualmente responder para las máquinas en la mayoría de jurisdicciones estadounidenses:

¿Es el software en ejecución en la máquina en la casilla de votación el mismo software que examinó el laboratorio de pruebas?

No hay cadena criptográfica de custodia que permita a una parte independiente responder esa pregunta. No hay proceso de compilación reproducible que te permitiera verificar. La cadena de confianza corre a través del proveedor, el estado, y el laboratorio de pruebas —y no es visible para ninguno de ellos una vez que la máquina sale del almacén.

La declaración conjunta de CISA después de la elección de 2020 afirmó que había "ninguna evidencia de que ningún sistema de votación eliminó o perdió votos, alteró votos, o fue de ninguna manera comprometido." Esa declaración también descansó, explícitamente, en la existencia de registros en papel permitiendo recuentos e auditorías independientes. Lee eso cuidadosamente: la propia garantía de los funcionarios deriva su fuerza de la verificabilidad que el papel proporciona —no de la certificación que la precedió.

Incluso la afirmación oficial más fuerte "fue seguro" implícitamente admite que la confianza fluye de evidencia verificable.

La Comisión Irlandesa entendió esto en 2004. La Corte Constitucional Alemana lo consagró en 2009. Suiza lo aprendió de sus propios criptógrafos en 2019.

La pregunta para cada jurisdicción aún en ejecución de software de votación de propiedad exclusiva, cerrado, certificado y desplegado no es si pasó el laboratorio. Es si cualquiera fuera de los muros del proveedor puede confirmar independientemente qué está realmente ejecutándose, ahora mismo, en las máquinas que contarán tu voto.

Hasta que la respuesta sea sí —verificable, criptográficamente, por cualquier parte independiente calificada, no por una garantía oficial— "certificado" es una instantánea, no una garantía.

Eso es lo que TrustVoting está construido para cambiar.

Ver cómo la brecha de código fuente secreto se ve en diferentes jurisdicciones →

Lee la versión de dos minutos del problema de verificabilidad →

Explora el mapa global de transparencia del sistema de votación →

Fuentes

Ver todos los artículosExplora las brechas