← Todos los artículos

Los auditores federales advirtieron que las salvaguardas de seguridad electoral no estaban terminadas. En 2005.

En 2005, los auditores federales le dijeron al Congreso que las salvaguardas destinadas a asegurar tu voto electrónico aún no existían completamente — y "usamos sistemas certificados" era una promesa sin un control funcional detrás.

Es 21 de septiembre de 2005, y en algún lugar de Washington se acaba de transmitir un informe de 107 páginas a comités del Congreso. No lleva firma partidista alguna. Fue escrito por auditores de carrera de la Oficina de Contabilidad del Gobierno de EE.UU. — la misma agencia que el Congreso envía cuando quiere saber si el gobierno realmente está haciendo lo que dijo que haría.

El informe se titula Elections: Federal Efforts to Improve Security and Reliability of Electronic Voting Systems Are Under Way, but Key Activities Need to Be Completed.

Lee ese título de nuevo. No "los esfuerzos han tenido éxito." No "las actividades clave han sido completadas." Necesitan ser completadas.

El año es 2005. Cinco años después de que un chad pendiente casi detiene la democracia estadounidense durante un recuento en Florida. Tres años después de que el Congreso aprobara la Ley Help America Vote y creara la Comisión de Asistencia Electoral específicamente para arreglarlo. Y los auditores federales le están diciendo al Congreso: la maquinaria para asegurar que los sistemas de votación electrónica sean seguros y confiables aún se está construyendo en este momento.

Esa palabra — incompleto — es el tema de este artículo.

El control que se suponía que existía

Aquí está lo que "usamos sistemas certificados" se supone que te asegura.

Se supone que significa: antes de que tu jurisdicción desplegara esa pantalla táctil o escáner óptico, un organismo independiente la examinó contra estándares técnicos publicados, verificó que el software y el hardware cumplieran con esos estándares, e emitió una certificación. Cuando la máquina cuenta tu voto, no es solo la promesa de un proveedor en la que confías — es un hallazgo documentado y auditado.

Esa es la teoría.

En 2005, la GAO examinó la realidad. Encontró que actividades clave permanecían incompletas. Específicamente, recomendó que la Comisión de Asistencia Electoral actuara para:

  • Mejorar los estándares de sistemas de votación — porque los que estaban en vigor no eran completamente adecuados para los desafíos de seguridad planteados por los sistemas electrónicos.
  • Establecer procedimientos de certificación — porque esos procedimientos aún no estaban terminados.
  • Crear repositorios de software certificado — para que jurisdicciones, auditores e investigadores pudieran verificar independientemente que lo que se ejecutaba en una máquina era realmente lo que había sido certificado.
  • Compartir información sobre vulnerabilidades del sistema — porque cuando se encontraban problemas, no había un canal confiable para conseguir esa información para la gente que manejaba las máquinas.
  • Difundir prácticas de seguridad recomendadas — porque las mejores prácticas existían, pero conseguirlas a los funcionarios electorales locales no era un sistema funcional.

Lee el informe completo de la GAO aquí.

Cada elemento en esa lista es un bloque de construcción de la afirmación "nuestros sistemas están certificados." Cada elemento incompleto es un agujero en esa afirmación. No una afirmación partidista. No una conspiración. Un hallazgo de los propios auditores independientes del gobierno federal, dirigido al Congreso, en lenguaje claro.

Por qué el control importaba — y qué pasó sin él

Para entender por qué los hallazgos de la GAO fueron tan contundentes, necesitas entender qué se estaba desplegando en las casillas de votación estadounidenses en ese momento.

En 2006 — un año después del informe de la GAO — investigadores de la Universidad de Princeton adquirieron una máquina de votación táctil Diebold AccuVote-TS real. Ariel Feldman, J. Alex Halderman y Edward Felten demostraron que un atacante con alrededor de un minuto de acceso físico podría instalar código malicioso que robaría votos mientras alteraba todos los registros internos, registros y contadores para mantenerse consistentes. Construyeron un virus funcional de máquina de votación que podría propagarse de máquina a máquina durante la actividad electoral normal. Las máquinas de la familia AccuVote-TS estaban, en ese momento, entre las más ampliamente utilizadas en los Estados Unidos.

Estas máquinas habían sido certificadas.

La certificación existía. Los estándares contra los que se midió — esos eran los que la GAO encontró que aún necesitaban mejora. Los repositorios de software que permitirían a cualquiera verificar que el código certificado coincidía con el código en ejecución — esos eran los que la GAO encontró que aún necesitaban ser construidos. Los canales de intercambio de vulnerabilidades que empujarían un descubrimiento como el de Princeton a cada jurisdicción que usa esas máquinas — esos eran los que la GAO encontró que aún necesitaban ser creados.

La certificación sin un marco completo, ejecutado y públicamente verificable no es una garantía. Es una etiqueta.

Los votos desaparecidos — y nada para verificarlos

El mismo año en que los investigadores de Princeton estaban realizando sus pruebas, algo salió mal en el Condado de Sarasota, Florida.

En noviembre de 2006, los votantes emitieron votos en una de las carreras congresionales más cerradas del país — el Distrito 13 de Florida, finalmente decidida por 369 votos. En el Condado de Sarasota, aproximadamente 18,000 boletas no mostraban ninguna opción registrada en esa carrera. El trece por ciento de todas las boletas emitidas en el condado. Las máquinas eran máquinas de votación de registro directo electrónico (DRE) iVotronic de ES&S — sin papel, sin dejar ningún registro verificado por votante independiente.

La GAO fue llamada. Sus pruebas no encontraron un mal funcionamiento de máquina que causara el voto en blanco. Pero — y esto es importante — el propio informe de la GAO sobre la investigación señaló que un registro de papel verificado por votante podría haber proporcionado confirmación independiente de que los pantallas táctiles registraron votos correctamente.

En otras palabras: la única forma de saber si 18,000 votos desaparecieron en un error de máquina, un defecto de software, o una peculiaridad de diseño era verificar las máquinas contra un registro independiente. No había registro independiente. El proceso de certificación que se suponía que debía detectar problemas como este era el que la GAO acababa de decirle al Congreso que estaba incompleto.

La carrera fue certificada. Los 18,000 votos en blanco nunca fueron explicados.

Informe de pruebas de la GAO sobre los votos en blanco de Sarasota.

En qué se basaba realmente "certificado"

La Ley Help America Vote de 2002 — aprobada en la urgencia posterior a Bush v. Gore — creó la Comisión de Asistencia Electoral y ordenó estándares mínimos para los sistemas de votación. El estatuto es real. El dinero fue asignado. La intención fue genuina.

Pero HAVA creó la arquitectura para un régimen de certificación. No construyó uno por sí mismo. La CAE tenía que escribir los estándares. Contratar los laboratorios de prueba. Establecer los procedimientos. Construir los repositorios de software. Crear los canales de intercambio de vulnerabilidades. Diseñar la diseminación de prácticas de seguridad.

Para septiembre de 2005 — tres años después de HAVA — la GAO encontró esas tareas aún incompletas. Y mientras tanto, los estados estaban comprando e implementando sistemas bajo un marco de certificación cuyos fundamentos aún se estaban vertiendo.

Esto no es un escándalo en el sentido dramático. Las burocracias se mueven lentamente. Los organismos de estándares discuten sobre detalles técnicos. Los laboratorios tardan tiempo en acreditarse. Nada de eso es evidencia de mala fe.

Pero es devastador para la seguridad específica que los funcionarios les estaban dando al público: nuestros sistemas están certificados. Un proceso de certificación que es en sí incompleto no puede certificar completamente nada.

El problema más profundo que la GAO estaba diagnosticando

Aquí está la oración que vale la pena capturar en pantalla: "Usamos sistemas certificados" es una afirmación. Si significa algo depende completamente de si el control detrás de ella realmente existe.

El papel de la GAO es la verificación institucional — un organismo que no confía en declaraciones oficiales sino que va y mira. Cuando va y mira la seguridad del sistema electoral y vuelve diciendo que las actividades clave necesarias para respaldar la confiabilidad de esos sistemas aún están incompletas, eso no es una anomalía en el sistema. Es el sistema funcionando como se pretende, exponiendo una brecha que de otro modo permanecería invisible.

Lo que la GAO encontró en 2005 es estructuralmente el mismo problema que tribunales e investigadores independientes han encontrado en todas partes donde la votación electrónica ha sido examinada sin deference a las aseguraciones oficiales.

En Alemania en 2009, la Corte Constitucional Federal falló que el uso de máquinas de votación electrónicas requiere que los pasos esenciales de votación y recuento puedan ser examinados por ciudadanos ordinarios sin conocimiento especializado — un estándar que las máquinas en uso no cumplieron. La corte no dijo que fraude había ocurrido. Dijo que el diseño del sistema hacía imposible la verificación, y que una democracia no puede dirigir elecciones cuya corrección solo puede aceptarse por fe. (Bundesverfassungsgericht, 3 de marzo de 2009.)

En Irlanda, una comisión independiente examinó el sistema Nedap/Powervote que el gobierno había comprado, encontró que no podía satisfacerse en cuanto a la precisión y el secreto del sistema, y declinó recomendar su uso. Las máquinas nunca fueron desplegadas y finalmente fueron desechadas. (Informe interim de la Comisión de Votación Electrónica.) La conclusión de la comisión no fue "el sistema fallará." Fue: el sistema no ha sido probado para funcionar a nuestra satisfacción. Ese es el estándar epistémico correcto — y el estándar que la GAO también estaba aplicando.

En los Países Bajos, una comisión gubernamental concluyó en 2007 que la transparencia y la verificabilidad eran fundaciones innegociables de un recuento confiable, y que la votación electrónica era aceptable solo si producía un registro de papel que el votante pudiera verificar. El país abandonó los ordenadores de votación. (Adviescommissie inrichting verkiezingsproces, 'Stemmen met vertrouwen.')

Cada uno de esos juicios estaba diciendo, en un lenguaje legal y cultural diferente, exactamente lo que la GAO dijo en inglés estadounidense claro en 2005: el marco para verificar independientemente estos sistemas no está completo, y hasta que lo esté, las aseguraciones oficiales son afirmaciones sin un control funcional detrás.

Lo que se parece a la finalización

Es posible construir un régimen de certificación y verificación que signifique algo. Las propias recomendaciones de la GAO son un plano: terminar los estándares, establecer los procedimientos, construir los repositorios, compartir las vulnerabilidades, diseminar las prácticas. Cada paso es lograble.

Más allá de eso, un puñado de jurisdicciones han mostrado lo que la verificabilidad genuina se parece en la práctica.

Colorado en 2017 se convirtió en el primer estado en completar una auditoría de limitación de riesgo en todo el estado — un método estadístico que dimensiona la muestra de verificación manual a la cercanía de la carrera, entregando un nivel de confianza definido en lugar de la falsa comodidad de una verificación de porcentaje fijo. Colorado Secretary of State, noviembre de 2017. Georgia en 2020 contó manualmente aproximadamente 5 millones de boletas como parte de una auditoría en todo el estado y encontró que los totales de máquinas coincidían dentro de una décima de un por ciento — no porque funcionarios lo dijeron, sino porque cualquier observador podría ver el recuento. Georgia Public Broadcasting, noviembre de 2020. Los Ángeles Condado construyó un sistema de conteo de votos de propiedad pública y código abierto — el primero certificado en California — para que el código que cuenta votos pueda ser leído e inspeccionado por cualquiera, no solo el proveedor. California Secretary of State, agosto de 2018.

Estas no son soluciones teóricas. Existen. Han sido ejecutadas. Producen resultados que cualquiera puede verificar independientemente, en lugar de resultados cuya corrección depende de confiar en que un proceso de certificación — en algún lugar, en algún momento — fue completo.

Esa es la diferencia entre un consuelo y una prueba.

Lo que aún no es verificable

El informe de la GAO ahora tiene casi dos décadas. La CAE ha continuado su trabajo. Se han desarrollado y actualizado estándares. Algunos estados ejecutan auditorías rigurosas posteriores a la elección. Algunos no lo hacen.

Pero el desafío central de la GAO nunca ha sido completamente resuelto a nivel nacional, y el problema estructural que identificó — que la maquinaria para la verificación es lo que importa, no la presencia de una etiqueta de certificación — permanece vigente.

Aquí está lo que aún no es verificable independientemente en la mayoría de las jurisdicciones estadounidenses:

Si el software que se ejecuta en una máquina certificada es el mismo software que fue certificado. Sin un repositorio de software funcional y público vinculado a cada versión certificada, una jurisdicción y sus votantes no pueden verificar esto independientemente. La certificación de la versión X es insignificante si la versión X+1 es lo que se ejecutó en el Día de la Elección.

Si una máquina que pasó las pruebas previas a la elección se comportó de manera idéntica el Día de la Elección. La certificación prueba una máquina en un punto en el tiempo. Sin registros de auditoría continuos y verificables independientemente vinculados a boletas físicas, el comportamiento del día de elección es atestiguado por la máquina misma.

Si un voto en blanco como el de Sarasota 2006 fue una preferencia del votante o un fallo de máquina. Solo un registro de papel verificado por votante, auditado contra los totales electrónicos por alguien independiente del proveedor y la jurisdicción, puede responder esa pregunta. En una carrera cerrada, la respuesta es la carrera.

El arreglo no es un mejor comunicado de prensa de una autoridad electoral. No es una declaración de que la elección fue la más segura en la historia. El arreglo es un sistema cuyos resultados — a nivel de recinto, legible por máquina, vinculados a papel verificado por votante — pueden ser descargados, verificados y reconciliados por cualquier miembro del público, en cualquier momento, sin pedirle permiso a nadie.

Eso es lo que la GAO estaba pidiendo en 2005. Sigue siendo la pregunta correcta.

Ve cómo esta brecha aparece en diferentes países y sistemas →

Lee el resumen de dos minutos de lo que las elecciones verificables realmente requieren →

Fuentes

Ver todos los artículosExplora las brechas