← Todos los artículos

Brasil desafía al público a atacar sus máquinas de votación — a propósito

La corte electoral de Brasil no solo certifica sus máquinas de votación — publica las reglas e invita al público a romperlas. Aquí te mostramos cómo se ve realmente, y por qué aún no es suficiente.

Es una mañana entre semana en Brasília, y un grupo de personas que no son funcionarios electorales — investigadores, científicos informáticos, un tecnólogo independiente o dos — están sentados frente a las máquinas de votación electrónica de Brasil con un trabajo explícito, sancionado por la corte: encontrar una falla.

No son hackers en el sentido coloquial. Cada uno presentó un plan de prueba. Cada uno fue revisado. Cada uno se registró a través de un portal oficial del gobierno. Y la institución que los invitó — la Corte Electoral Superior de Brasil, el Tribunal Superior Eleitoral — no solo abrió la puerta una vez y la llamó transparencia. Construyó un proceso repetido, regulado, y lo nombró el Teste Público de Segurança dos Sistemas Eleitorais: la Prueba Pública de Seguridad.

Esto es lo que "ven y comprueben ustedes mismos" se ve cuando una autoridad electoral de verdad lo dice.

La mayoría de los países nunca se acercan.

La frase que todas las autoridades electorales aman — y lo que les cuesta nada decirla

"La elección fue segura". "Los sistemas fueron certificados". "Las auditorías confirmaron el resultado".

Toda autoridad electoral en el mundo dice alguna versión de esto después de cada votación. Casi ninguna te da una forma de verificarlo tú mismo.

Esa asimetría es el problema. Una declaración oficial sobre seguridad tiene exactamente tanto peso como las verificaciones independientes detrás de ella — ni más. Cuando la Corte Constitucional de Alemania rechazó las máquinas de votación electrónica en 2009, no encontró evidencia de fraude. Encontró algo más fundamental: que a los ciudadanos se les pedía confiar en un resultado que no tenían forma de examinar de manera independiente. La Corte sostuvo que cada paso esencial, desde la boleta hasta el resultado, debe ser verificable por un ciudadano ordinario sin conocimientos especializados. "Confía-en-mí-fue-bien" no pasó la prueba constitucional.

Irlanda compró 7.500 máquinas Nedap/Powervote y una comisión independiente no pudo recomendar su uso — no porque las máquinas demostraran estar mal, sino porque la precisión y el secreto no podían ser verificados de forma independiente a satisfacción de la comisión. Las máquinas pasaron años en un almacén y fueron desechadas en 2009. El lenguaje de la comisión fue preciso y devastador: no estaba "en posición de recomendar con el grado de confianza requerido" su uso.

Los Países Bajos llegaron a la misma conclusión. Su comisión asesora sobre el proceso electoral, en un informe de 2007 llamado Stemmen met vertrouwen — "Votación con confianza" — estableció lo que la verificabilidad realmente requiere y encontró que las boletas de papel contadas a mano cumplían el estándar mientras que las computadoras de votación no. El país volvió al papel.

Tres democracias diferentes. Tres máquinas diferentes. Una brecha idéntica: nadie fuera del círculo del proveedor podía verificar el recuento.

Brasil está intentando cerrar esa brecha de una forma diferente.

Lo que la Prueba Pública de Seguridad realmente es

Regulada por la Resolución TSE 23.444/2015, la Prueba Pública de Seguridad de Brasil se lleva a cabo el año anterior a una elección general. El formato no es un evento de prensa. Es un ejercicio de confrontación.

Cualquier ciudadano elegible puede presentar un plan de prueba. Los planes que pasan revisión son aprobados. Los investigadores aprobados obtienen acceso estructurado a la urna eletrônica — la máquina de votación electrónica — y a los sistemas que la rodean: generación de medios de votación, votación, tabulación, transmisión y recepción de archivos, y los sistemas de auditoría utilizados para verificar cruzadamente el voto electrónico. Las pruebas abarcan todo el ciclo electoral, no solo la máquina en una cabina de votación.

Lo que encuentran los investigadores importa — y no solo como un comunicado de prensa. Los hallazgos se utilizan para mejorar los sistemas antes de la elección, y las correcciones se verifican posteriormente en pruebas de confirmación. Este es un circuito cerrado: encontrar, corregir, verificar.

Esto es categóricamente diferente de una certificación única. Las certificaciones son una instantánea. Evalúan un sistema en un momento en el tiempo, bajo condiciones controladas, por partes cuyo acceso está limitado por la cooperación del proveedor. También conllevan incentivos institucionales para certificar en lugar de descalificar — porque una certificación fallida significa una elección retrasada y un problema político.

La Prueba Pública de Seguridad es adversarial por diseño. Los investigadores están intentando romper el sistema. El TSE publica las reglas, no los resultados que espera.

Ve cómo la brecha de verificabilidad se desarrolla en docenas de elecciones en todo el mundo

Por qué las pruebas públicas adversariales superan la certificación privada

Considera lo que sucedió en Washington, D.C. en septiembre de 2010. La ciudad estaba a punto de ejecutar un proyecto piloto de retorno de votación por internet para votantes en el extranjero y militares. Antes de hacerlo público, la Junta Electoral de D.C. realizó una prueba pública e invitó al público a analizarla.

Un equipo de la Universidad de Michigan dirigido por J. Alex Halderman obtuvo el control casi completo del servidor piloto en aproximadamente 48 horas al explotar una vulnerabilidad de software. Podrían cambiar cada voto que había sido emitido. Podrían ver boletas secretas. Como demostración, programaron el sistema para reproducir la canción de lucha de la Universidad de Michigan después de cada voto simulado. Los funcionarios no lo notaron durante días.

Aquí está lo que importa: la vulnerabilidad fue atrapada porque la jurisdicción abrió el sistema a pruebas públicas antes de que estuvieran en juego boletas reales. D.C. abandonó el sistema. Eso es prueba adversarial haciendo exactamente lo que se supone que debe hacer.

La certificación privada no lo atrapó. Una prueba pública invitada sí.

Los investigadores de Princeton que analizaron una máquina real Diebold AccuVote-TS en 2006 encontraron que un atacante con tan poco como un minuto de acceso físico podría instalar código que robara votos mientras mantenía todos los registros internos consistentes — y que el código podría propagarse de máquina a máquina durante la actividad electoral normal. El software era cerrado. Ninguna prueba pública lo había detectado. Los investigadores lo encontraron porque obtuvieron el hardware y miraron.

Nueva Gales del Sur ejecutó un sistema de votación por internet en su elección estatal de 2015 que recopiló aproximadamente 280.000 votos. Una revisión de seguridad cerrada previa lo había autorizado. Los investigadores independientes encontraron fallas serias — incluido un mecanismo de verificación que podría ser manipulado a sí mismo — durante la elección en vivo. Los problemas no habían sido detectados antes de que los investigadores los divulgaran.

El patrón es consistente. Los sistemas cerrados, revisados en privado por partes que trabajan bajo presiones de certificación, pierden cosas que las pruebas públicas adversariales abiertas encuentran. Esto no es una sorpresa. Es el resultado esperado de los dos procesos diferentes.

El modelo de Brasil ejecuta la prueba adversarial en la apertura, a propósito, con un circuito de remediación estructurado. Es lo más parecido a "paranoia institucional como característica" que cualquier autoridad electoral ejecuta a escala nacional.

Lo que un modelo de transparencia real soluciona — y lo que no puede

Vale la pena ser preciso sobre lo que la Prueba Pública de Seguridad realmente prueba, porque exagerar sería un tipo diferente de deshonestidad.

La prueba verifica si los investigadores, dada acceso de tiempo limitado estructurado bajo condiciones definidas, pueden encontrar debilidades explotables. Los hallazgos se corrigen y se vuelven a verificar. Eso es genuinamente valioso. Detecta vulnerabilidades reales. Crea responsabilidad por las correcciones. Pone la carga en la autoridad de demostrar seguridad en lugar de afirmarla.

Pero no prueba, por sí sola, que las máquinas contaron correctamente en una elección específica. Probar un sistema antes de una elección y auditar su producción durante una son problemas separados que requieren soluciones separadas. Una máquina puede pasar todas las pruebas previas a la elección y aún producir un resultado incorrecto el día — porque hay un error de software que la prueba no desencadenó, una falla de hardware en una cabina de votación específica, o un vector de ataque que los investigadores no encontraron.

Por eso el enfoque de Brasil es un modelo de transparencia, no una solución completa para verificabilidad. La distinción importa.

Un sistema que publica sus reglas e invita a forasteros a romperlo es más confiable que uno que no lo hace — pero "más confiable" no es lo mismo que "verificable de forma independiente por cualquiera".

La prueba de D.C. atrapó su falla porque la prueba pública sucedió antes de que estuvieran en juego votos reales. Si la misma vulnerabilidad hubiera sido explotada el día de las elecciones contra boletas reales, ninguna cantidad de pruebas previas a la elección habría recuperado el recuento correcto. También necesitas un registro duradero e independientemente verificable de lo que los votantes realmente eligieron — algo que el sistema de D.C. no tenía.

La Corte Suprema de India lidiaba con exactamente esta tensión en abril de 2024, en Association for Democratic Reforms v. Election Commission of India. Las peticiones pidieron a la Corte que volviera a las boletas de papel completamente o requiriera verificación cruzada del 100% de los recuentos de máquinas electrónicas contra resmas de Auditoría de Papel Verificable por Votantes. La Corte se negó a ordenar ninguna de las dos, pero endureció las reglas alrededor de sellado de cadena de custodia y permitió a los candidatos solicitar verificación de la memoria quemada en el 5% de las máquinas en carreras disputadas. Incluso una corte que confirmó un sistema electrónico reconoció que la confianza debe fluir de evidencia verificable, no de las garantías de la autoridad.

Los dos salvaguardias no son alternativas. Trabajan juntos. Las pruebas públicas adversariales encuentran debilidades antes de la elección. Un registro de papel verificable permite que cualquiera verifique el recuento después.

La lección más difícil: lo que "Brasil hace esto" no te dice sobre tu país

Brasil no es un modelo de una elección perfecta. Es un modelo de un mecanismo de transparencia específico que la mayoría de los países no se molestan en ejecutar. Esos son reclamos diferentes, y confundirlos sería exactamente el tipo de deferencia a la autoridad que estamos tratando de evitar.

La Prueba Pública de Seguridad del TSE es real, estructurada y documentada. El hecho de que exista no resuelve si la arquitectura total de la urna eletrônica es verificable en el sentido completo que la Corte Constitucional de Alemania o la comisión Korthals Altes holandesa requerirían. No te dice si un atacante sofisticado podría haber encontrado y explotado algo que los investigadores de la prueba pública perdieron. Y no te dice qué sucede si un interno manipula el sistema antes de que la versión evaluada por prueba llegue a las cabinas de votación.

Venezuela en 2017 ofrece un punto de referencia negativo útil. Smartmatic — la empresa que había proporcionado los sistemas de votación automatizados de Venezuela desde 2004 — emitió una declaración pública diciendo que sabía "sin ninguna duda" que la cifra de participación que el Consejo Nacional Electoral anunció había sido manipulada, y estimó la diferencia entre la participación real y la anunciada en "al menos un millón" de votos. El proveedor públicamente se desligó del resultado oficial producido en su propio equipamiento. Cuando ni siquiera el constructor del sistema puede reconciliar los números y la auditoría independiente no está disponible, no hay camino hacia la verificación.

El modelo de Brasil previene ese modo de falla, al menos en parte, haciendo que el proceso de la autoridad sea cuestionable antes de que ocurra la elección. Pero un proceso cuestionable y un resultado verificable aún no son idénticos. La corrección para la brecha restante es lo que Colorado ha estado construyendo desde 2017 — el primer estado en completar una auditoría de riesgo limitado a nivel estatal — y lo que Georgia demostró en 2020 cuando contó a mano aproximadamente 5 millones de boletas presidenciales en 159 condados en menos de seis días. Una auditoría que da confianza estadística de que el resultado reportado es correcto, ejecutada contra un registro de papel duradero que los votantes produjeron, cierra el círculo que la prueba previa a la elección abre.

La arquitectura completa se ve así: prueba abierta, adversarial, pública antes de la elección + un registro de papel verificado por votantes durante + una auditoría independiente, estadísticamente rigurosa después. Brasil institucionalizó el primer elemento. La mayoría de los países no tienen ninguno de los tres.

La pregunta que aún deberías estar haciendo

Después de que se ejecute la Prueba Pública de Seguridad de Brasil, el TSE publica lo que encontró y lo que corrigió. Eso es mejor que un comunicado de prensa diciendo que todo estuvo bien.

Pero aquí está lo que tú, como ciudadano, aún no puedes verificar de forma independiente: si el software ejecutándose en las cabinas de votación el día de las elecciones es el mismo software que los investigadores probaron. La cadena de custodia entre un sistema probado y un sistema desplegado es un control de seguridad que recibe mucha menos atención pública que la prueba en sí. También es uno de los más difíciles de auditar sin acceso independiente al despliegue final — lo cual no es lo que la Prueba Pública de Seguridad proporciona.

Esto no es una especulación sobre Brasil específicamente. Es una observación estructural sobre cada sistema de votación electrónica en la tierra: la integridad de las pruebas previas a la elección depende completamente de si la versión probada es lo que se ejecuta el día.

Coffee County, Georgia en 2021 ilustró el problema inverso: todo el sistema de votación propietario de una jurisdicción fue copiado y filtrado por insiders, y el código se propagó de formas que ninguna autoridad de certificación había anticipado. La vulnerabilidad no era que el código fuera probado. Era que el código fuera secreto — un sistema cuya seguridad dependía de que nadie obtuviera las manos en él, y entonces alguien lo hizo.

Código abierto, verificación de compilación independiente, verificaciones hash públicas de software desplegado — estas no son lujos teóricos. Son los mecanismos que cierran la brecha entre "probamos esto" y "puedes verificar lo que se ejecutó".

Brasil ejecuta el mejor programa de transparencia adversarial preelectoral en el mundo. Vale la pena decirlo claramente. También vale la pena decir claramente que "mejor programa de transparencia adversarial preelectoral en el mundo" es un umbral que la mayoría de los países no ha alcanzado, no una línea de meta.

La línea de meta es un resultado que cualquier ciudadano puede verificar de forma independiente — no porque un oficial lo dijo, no porque una prueba fue ejecutada, sino porque la evidencia es pública, la cadena de custodia está sellada y es rastreable, y las matemáticas de auditoría funcionan.

Ese sistema aún no existe completamente en ningún lugar.

Ve cómo se ven las brechas de verificabilidad en las elecciones del mundo · Lee la versión de 2 minutos de por qué esto importa · Lo que TrustVoting está construyendo para cerrar estas brechas

Fuentes

Ver todos los artículosExplora las brechas