← Todos los artículos

Abrieron el piloto de votación por internet al público. Se derrumbó en 48 horas.

Un equipo universitario irrumpió en el piloto de votación por internet de Washington D.C., cambió cada voto y hizo que el servidor tocara una canción de lucha — y los funcionarios no lo notaron durante días.

Es septiembre de 2010, y en algún lugar de un servidor en Washington D.C., suena una canción de lucha de la Universidad de Michigan.

No porque alguien la haya programado. Porque un equipo de investigadores acaba de tomar el control de un sistema de votación por internet en vivo — cambió cada voto dentro de él, leyó cada voto secreto, y luego, como firma personal, programó el servidor para tocar "The Victors" después de cada envío simulado. Lo hicieron en aproximadamente 48 horas. Y durante varios días, nadie en la Junta Electoral del Distrito de Columbia notó nada.

Aquí es donde comienza esta historia. No con una conspiración, no con un adversario extranjero, no con una carrera reñida. Con un equipo de investigación universitaria, una invitación pública, y una vulnerabilidad que se cerró en dos días.

El piloto que casi no fue una prueba

En 2010, D.C. estaba intentando hacer algo genuinamente progresista. Los votantes en el extranjero y militares enfrentaban obstáculos reales para devolver sus papeletas a tiempo. La ciudad construyó un sistema de devolución de papeletas por internet para resolver eso — y antes de implementarlo en elecciones reales, los funcionarios hicieron algo casi sin precedentes: lo abrieron al público para pruebas adversariales.

Lo llamaron una prueba abierta. Publicaron el servidor. Le dijeron al mundo: vengan a encontrar qué está mal.

Un equipo dirigido por J. Alex Halderman — Scott Wolchok, Eric Wustrow, Halderman y Deepak Prasad — se presentó. Dentro de aproximadamente 48 horas, habían explotado una vulnerabilidad de software y obtenido control casi completo del servidor piloto. Podían cambiar papeletas que ya habían sido emitidas. Podían leer votos que se suponía eran secretos. Lo demostraron reprogramando el sistema para tocar la canción de lucha de la Universidad de Michigan después de cada voto. La intrusión pasó desapercibida por los funcionarios durante días. Los hallazgos fueron publicados posteriormente como un artículo revisado por pares, "Attacking the Washington, D.C. Internet Voting System," en Financial Cryptography 2012.

D.C. abandonó los planes de usar el sistema para votos en vivo vinculantes.

Las vulnerabilidades fueron detectadas precisamente porque la ciudad abrió el sistema a ataques públicos antes de que votos reales estuvieran en juego. Las pruebas adversariales públicas convirtieron un desastre potencial en un defecto detectado.

Esa es toda la lección de esta historia — pero requiere desmenuzarla para entender por qué es tan difícil actuar sobre ella.

Qué realmente prueba la "certificación"

Aquí está lo que sorprende a la mayoría de las personas cuando se encuentran por primera vez con este caso: ¿no fue revisado el sistema antes de ser abierto para pruebas públicas? Casi con seguridad, sí — de alguna forma. Los sistemas electorales rutinariamente se someten a revisiones de seguridad, pruebas de proveedores y procesos de certificación. Y un equipo de investigadores a nivel de posgrado aún así entró por la puerta principal en 48 horas.

Esto no es una crítica a los funcionarios que construyeron el sistema de D.C. Es una crítica al concepto de certificación de caja cerrada como sustituto de la revisión adversarial abierta.

La Oficina de Contabilidad del Gobierno de Estados Unidos documentó ya en 2005 que los esfuerzos federales para mejorar la seguridad y confiabilidad de la votación electrónica estaban "en marcha pero que las actividades clave permanecían incompletas" — años después de que la Ley Help America Vote mandatara la creación de infraestructura de certificación. Los marcos de certificación ayudan. Pero una certificación es una evaluación realizada en un momento en el tiempo, por un conjunto definido de revisores, contra un modelo de amenaza definido. Internet no respeta ese modelo. Envía cada atacante en el mundo — simultáneamente, continuamente — contra tu sistema desde el momento en que es accesible.

El caso de D.C. es prueba de la brecha. No porque D.C. fue irresponsable, sino porque el equipo que irrumpió no era un servicio de inteligencia extranjero. Eran académicos con algunos días y un presupuesto de investigación. Si un equipo universitario puede tomar el control e intercambiar cada voto en 48 horas, un atacante a nivel estatal con meses de preparación y personal dedicado no necesitaría una canción de lucha para anunciar su presencia. No dejaría rastros.

La lección de Nueva Gales del Sur: autorizado no significa limpio

La gracia salvadora de D.C. fue que la prueba ocurrió antes de que votos reales estuvieran dentro del sistema. No todas las jurisdicciones han tenido esa suerte.

En marzo de 2015, Nueva Gales del Sur ejecutó su sistema de votación en línea iVote durante una elección estatal en vivo. Para cuando los investigadores independientes J. Alex Halderman y Vanessa Teague publicaron su análisis, aproximadamente 280,000 votos ya habían sido emitidos. Sus hallazgos: iVote cargaba código desde un servidor de análisis externo a través de una conexión vulnerable a debilidades TLS entonces conocidas, lo que significaba que un atacante de red podría haber manipulado votos y comprometido la privacidad de las papeletas. El servicio de verificación basado en teléfono que los votantes podían usar para confirmar su voto era en sí susceptible a manipulación — derrotando su propósito como verificación. Una revisión de seguridad cerrada anterior había autorizado el sistema. Los investigadores encontraron los problemas de todas formas, desde el exterior, durante una elección en vivo. Se implementaron correcciones mientras la votación aún estaba en curso. Pero 280,000 personas ya habían votado en un sistema cuya integridad no podía ser confirmada independientemente en el momento en que votaron.

Lee el análisis de los investigadores aquí.

Esa es la diferencia entre el modelo de D.C. y la alternativa. Un sistema fue quebrantado y detectado antes de que importara. Uno fue quebrantado y descubierto en medio del vuelo.

El problema criptográfico: incluso lo "verificable" puede ser falso

Tal vez estés pensando: la solución es criptografía verificable de extremo a extremo. Construye un sistema donde los votantes puedan verificar sus propias papeletas, y matemáticos independientes puedan confirmar el resultado sin ver el voto de nadie. Esa es la dirección correcta — pero la criptografía tiene que ser correcta.

En 2019, antes del uso planeado en votos suizos vinculantes, Swiss Post y su proveedor Scytl publicaron el código fuente de su sistema de votación por internet para escrutinio público. Los investigadores independientes Sarah Jamie Lewis, Olivier Pereira y Vanessa Teague encontraron algo extraordinario: la prueba de mezcla del mixnet se basaba en un esquema de compromiso de puerta trasera. Una autoridad que conociera los valores de la puerta trasera podría generar una prueba que parecería matemáticamente correcta — que pasaría la verificación — mientras en realidad había intercambiado votos debajo de ella. Los investigadores llamaron su informe "Ceci n'est pas une preuve." (Esto no es una prueba.) Swiss Post y Scytl reconocieron el hallazgo. Suiza suspendió el sistema pendiente de remediación.

Lee los hallazgos de los investigadores aquí.

El defecto era invisible en una caja negra certificada. Se volvió detectable desde el momento en que el código fuente y las pruebas criptográficas fueron publicadas para revisión independiente. Una afirmación de verificabilidad solo tiene sentido cuando expertos externos pueden inspeccionarla y confirmarla — o refutarla. En el momento en que se elimina la inspeccionalidad, la afirmación se convierte en un artículo de fe.

Por eso D.C. hacer una prueba pública abierta fue el instinto correcto, aunque el resultado fue doloroso. Es por eso que Suiza publicar su código fuente fue el instinto correcto, aunque el resultado fue una puerta trasera detectada. El modelo correcto duele cuando funciona — porque encuentra lo que los modelos cerrados pierden.

Lo que Estonia nos enseñó sobre "nadie encontró nada"

Estonia ha ejecutado votación por internet vinculante nacional desde 2005. Su sistema es frecuentemente citado como el estándar de oro de la votación por internet: alta participación, sofisticación técnica, disponible para todos los ciudadanos con una tarjeta de identificación electrónica. La autoridad electoral estonia consistentemente lo ha defendido.

En 2014, un equipo de investigación independiente — Springall, Finkbeiner, Durumeric, Kitcat, Hursti, MacAlpine y Halderman — observó la operación del sistema durante las elecciones municipales de octubre de 2013 y examinó el software cliente publicado y la configuración del servidor. Encontraron graves debilidades operacionales y de procedimiento, incluyendo prácticas de seguridad laxas capturadas en videos oficiales de la propia autoridad. Su conclusión revisada por pares, publicada en ACM CCS 2014: un atacante bien dotado de recursos — o un interno deshonesto — podría plausiblemente comprometer la integridad de votos sin detección. Recomendaron que Estonia descontinuara el sistema. Las autoridades estonias disputaron las conclusiones.

Lee el análisis completo aquí.

Aquí está el punto crítico: los investigadores solo podían hacer este análisis porque el código y procedimientos del sistema eran al menos parcialmente públicos. Si el sistema hubiera sido una caja de propiedad completamente cerrada, no habría habido nada que analizar. La ausencia de un hallazgo en ese caso habría significado: no pudimos mirar, no no hay nada aquí.

"Nadie encontró nada" y "prevenimos que alguien mirara" no son la misma declaración. Producen comunicados de prensa oficiales idénticos.

Por qué Noruega se alejó sin un escándalo

Noruega ejecutó pilotos de votación por internet en 2011 y 2013, en diez y luego doce municipios, como suplemento a la votación en papel. Los ensayos no condujeron a mayor participación. En 2014, el Ministerio de Gobierno Local y Modernización decidió discontinuar pilotos adicionales. El gobierno concluyó que, en ausencia de amplio apoyo político para votación por internet completa, gastar más tiempo y dinero en pilotos no era apropiado — y citó preocupaciones de confianza no resueltas junto con los datos de participación.

La declaración oficial del ministerio está aquí.

La decisión de Noruega atrae menos atención que la canción de lucha de D.C. o la puerta trasera de Suiza. No hubo una brecha dramática. Solo fue una evaluación honesta: no pudimos asegurar confianza en que los votos no fueron alterados, la participación no mejoró, y el costo de continuar sin resolver la cuestión de confianza no valía la pena.

Esa es una respuesta institucional madura. También es una plantilla que casi nunca es seguida, porque los políticos que promovieron una tecnología rara vez quieren ser quienes la cierren.

El modelo de prueba adversarial: qué Brasil hizo bien

Hay un modelo mejor que la certificación cerrada, y Brasil lo ha estado ejecutando desde 2009.

La Corte Electoral Superior de Brasil (Tribunal Superior Eleitoral) ejecuta una Prueba Pública de Seguridad oficial — la Teste Público de Segurança dos Sistemas Eleitorais — regulada por la Resolución TSE 23.444/2015 y realizada el año anterior a las elecciones generales. Cualquier ciudadano elegible cuyo plan de prueba sea aprobado puede investigar la máquina de votación electrónica y sistemas relacionados para encontrar debilidades. Los sistemas abiertos a prueba abarcan todo el ciclo electoral: generación de medios de voto, votación, tabulación, transmisión de archivos y sistemas de auditoría. Los hallazgos se utilizan para mejorar los sistemas, y las correcciones se verifican nuevamente antes de la elección.

La página oficial del programa de TSE está aquí.

Brasil no reclama que sus máquinas sean impenetrables. Reclama algo más creíble: vengan a intentar romperlas, y arreglaremos lo que encuentren. Esa es una versión institucionalizada de exactamente lo que D.C. hizo una vez, excepto que D.C. lo hizo una vez y Brasil lo hace como práctica estándar antes de cada ciclo electoral.

La Corte Constitucional Federal Alemana articuló el principio subyacente en 2009 cuando prohibió el uso de computadoras de votación cuya operación no pudiera ser examinada "por el ciudadano de manera confiable y sin ningún conocimiento especializado." El estándar de la corte no fue "un experto lo certificó." Fue: un ciudadano ordinario debe poder verificar los pasos esenciales. Lee el fallo aquí. Ese es un estándar más alto que cualquier certificación única puede cumplir — y un estándar más bajo que la votación por internet actualmente cumple.

Qué no era verificable en D.C. — y aún no lo es en la mayoría de lugares

La prueba abierta de Washington D.C. hizo todo correctamente y aún así casi produjo un quebrantamiento catastrófico de una elección en vivo. La canción de lucha la salvó — no porque probara que el sistema falló, sino porque fue lo suficientemente ruidosa como para que los funcionarios finalmente lo notaran. Un atacante real cambia papeletas silenciosamente. Un atacante real no se anuncia a sí mismo.

El caso de D.C. no es un consuelo. "Lo probamos públicamente y encontramos un defecto crítico antes de que se ejecutara" es el mejor resultado posible de pruebas adversariales públicas — y ese mejor resultado posible aún es: el sistema estaba quebrantado. La lección no es que las pruebas abiertas garanticen un sistema seguro. La lección es que sin pruebas abiertas, no puedes saber si el sistema está quebrantado hasta que una elección real ya haya sido ejecutada en él.

El problema más profundo permanece abierto en todas partes donde la votación por internet es implementada o propuesta: ¿quién verificó el código? ¿Quién intentó romper el servidor? ¿Quién verificó las pruebas criptográficas? ¿Y puedes tú — no un proveedor, no un funcionario, no un laboratorio certificado — verificar cualquiera de esto independientemente?

Cuando la respuesta es no, "el sistema pasó su revisión de seguridad" y "el Secretario de Estado dice que está bien" son el mismo consuelo en diferentes fuentes.

Un resultado electoral no debería depender de confiar en el proveedor, los funcionarios o el organismo certificador. Debería depender de una cadena de evidencia publicada e independientemente verificable que cualquiera con las habilidades correctas puede verificar — y que cualquiera que encuentre un defecto puede probar públicamente, como lo hizo el equipo de Halderman en 2010, como lo hicieron Lewis, Pereira y Teague en 2019, como cada prueba adversarial abierta está diseñada para permitir.

Ese no es un estándar imposiblemente alto. Es el estándar que D.C. accidentalmente estableció cuando invitó al público. La canción de lucha fue el sonido de ese estándar funcionando.

Una vulnerabilidad detectada en pruebas públicas es un defecto reparado. Una vulnerabilidad nunca probada es una silenciosa — y el silencio no es lo mismo que la seguridad.

Ve cuán común es esta brecha de transparencia en diferentes sistemas y países →

Lee la versión de 2 minutos de qué hace que una elección sea verificable →

Explora las brechas documentadas en verificabilidad electoral →

Fuentes

Ver todos los artículosExplora las brechas