← Todos los artículos

Noruega probó la votación por internet durante años, luego se retiró en silencio

Noruega construyó un sistema de votación por internet a nivel nacional, lo ejecutó durante dos elecciones, observó que la participación se mantuvo plana — y luego desconectó silenciosamente el programa porque nadie podía probar que los votos no hubieran sido alterados.

Es otoño de 2013, y en doce municipios noruegos, los votantes están haciendo algo que parece casi milagroso: emitir sus votos desde una mesa de cocina, un asiento de tren, una sala de hospital. Sin colas. Sin viajes. Solo una ventana del navegador y unos pocos clics, y —promete el gobierno— tu voto se cuenta exactamente como lo emitiste.

Dos años después, esa promesa se retira. Sin fanfarria. Una declaración ministerial, una línea sobre "preocupaciones de confianza sin resolver", y el programa terminó.

El experimento de votación por internet de Noruega es uno de los fracasos más instructivos en la historia electoral moderna — no porque algo haya salido visiblemente mal, sino porque nada podría probarse que haya ido bien.

La promesa: la conveniencia como un valor democrático

El argumento para la votación por internet siempre es el mismo, y siempre es sincero. La baja participación es un problema real. Los colegios electorales son inaccesibles para los ancianos, los discapacitados, los soldados en el extranjero, las personas que trabajan doble turno. Si votar fuera tan fácil como comprar un boleto de tren en línea, seguramente más personas lo harían.

Noruega tomó esto en serio. Los ensayos funcionaron como complemento de la votación en papel durante el período de votación anticipada — diez municipios en las elecciones locales de 2011, doce en las elecciones parlamentarias de 2013. Los votantes que querían votar en línea podían hacerlo. Los votantes que preferían papel todavía podían usar papel. El piloto fue cuidadoso, limitado, y dirigido por un gobierno con intenciones genuinas.

La participación no se movió.

Según el Ministerio de Gobierno Local y Modernización de Noruega, los ensayos no llevaron a un aumento de la participación. Las personas que votaron en línea eran, en su mayoría, personas que hubieran votado de todas formas — solo a través de un canal diferente. El grupo más difícil de alcanzar — las personas desconectadas de la política — no fue alcanzado.

Eso solo hubiera podido ser suficiente para cerrarlo. Pero el gobierno noruego dijo algo más importante cuando descontinuó más proyectos piloto de votación por internet en 2014: no se podía asegurar la confianza de que los votos no fueran alterados.

Lee esa frase de nuevo. No: "encontramos evidencia de manipulación". No: "el sistema fue hackeado". Sino: no pudimos probar a satisfacción de nadie que los votos hubieran llegado como fueron emitidos.

Ese es un tipo diferente de fracaso — y uno más difícil de arreglar.

Lo que "confianza de que los votos no sean alterados" realmente significa

Cuando depositas una papeleta de papel en una urna sellada en un colegio electoral público, comienza una cadena de custodia. La urna es vigilada. Es sellada frente a testigos. Viaja a un recuento, donde escrutadores de cada partido pueden observar cada papeleta mientras se ordena. El proceso es lento, laborioso, e imperfecto — pero es observable. Cualquiera con derecho puede observar.

Cuando haces clic en "enviar" en una ventana del navegador, algo muy diferente sucede. Tu voto viaja a través de redes que no controlas, ingresa a servidores que no puedes inspeccionar, es procesado por software cuyo código fuente puede ser propietario, y emerge al otro lado como un número en una base de datos. En ningún momento puedes confirmar que lo que llegó era lo que enviaste. En ningún momento un observador independiente puede ver el viaje.

Esto no es paranoia. Es física y matemáticas. La comunicación por internet pasa a través de infraestructura que puede ser interceptada, redirigida, o modificada silenciosamente. El cifrado de extremo a extremo ayuda, pero solo si el software en tu dispositivo es honesto — y tampoco puedes verificar eso.

Los investigadores que examinaron de cerca sistemas reales desplegados encontraron exactamente los problemas que la teoría predecía. Un equipo dirigido por J. Alex Halderman observó el sistema de i-voting de Estonia durante las elecciones de 2013 y concluyó que un atacante de un estado-nación o un iniciado deshonesto podría comprometer la integridad de los votos sin detección. Las autoridades estonias no estuvieron de acuerdo — pero la capacidad de los investigadores para hacer el argumento en absoluto se basó en el hecho de que parte del código del sistema era accesible públicamente. Donde el código está cerrado, ni siquiera ese escrutinio es posible.

Y en Washington, D.C. en 2010, la pregunta fue respondida de manera aún más tajante.

D.C. probó su sistema de votación por internet públicamente — y perdió en 48 horas

Antes de desplegar un piloto de devolución de papeleta de internet para votantes en el extranjero, la Junta Electoral del Distrito de Columbia hizo algo encomiable: ejecutó un ensayo público abierto e invitó a cualquiera a probar el sistema.

Un equipo de la Universidad de Michigan dirigido por Halderman — Scott Wolchok, Eric Wustrow, Dawn Isabel, y Halderman — aceptó la invitación. En aproximadamente 48 horas, habían ganado control casi completo del servidor piloto. Podrían cambiar cada papeleta que había sido emitida. Podrían ver papeletas que supostamente eran secretas. Como demostración, programaron el servidor para reproducir la canción de lucha de la Universidad de Michigan después de cada voto simulado.

Los funcionarios no se dieron cuenta durante días.

D.C. abandonó el sistema. La gracia salvadora del piloto fue que fue una prueba — votos reales no estaban en juego. La lección no es que la votación por internet sea siempre derrotada en 48 horas; la lección es que la única cosa que se interpuso entre el sistema de D.C. y un ataque real fue la decisión de la ciudad de probarlo en público primero. La certificación privada no había capturado lo que un equipo universitario encontró en dos días.

Un sistema cuya seguridad depende de no ser probado no es un sistema seguro.

El problema de Nueva Gales del Sur: defectos encontrados durante una elección en vivo

El ensayo de D.C. al menos fracasó con seguridad, en una caja de arena. Nueva Gales del Sur no tuvo tanta suerte.

Durante la elección estatal de marzo de 2015, el sistema de votación en línea iVote fue utilizado para emitir aproximadamente 280,000 votos — papeletas reales y vinculantes en una elección en vivo. Halderman y Vanessa Teague analizaron el sistema en funcionamiento y encontraron que iVote cargaba código de un servidor de análisis externo a través de una conexión vulnerable a debilidades TLS conocidas, como FREAK y Logjam, que podrían haber permitido a un atacante de red manipular votos y comprometer la privacidad de la papeleta.

Los investigadores también encontraron que el servicio de verificación telefónica separado — el mecanismo que se suponía que los votantes usaban para confirmar que su voto había sido contado correctamente — era en sí mismo vulnerable a manipulación. La herramienta destinada a proporcionar confianza podía ser manipulada para mostrarle a un votante un resultado tranquilizador mientras su voto real había sido alterado.

Una revisión de seguridad previa a las elecciones había aprobado el sistema. El análisis externo independiente, ejecutado mientras se emitían papeletas reales, encontró lo que la revisión interna había pasado por alto.

Los problemas fueron corregidos mientras la votación estaba en progreso. Pero para cualquier número de los 280,000 votos que ya habían sido emitidos antes de que se desplegara la corrección, no hay forma de confirmar que fueron contados como se presentaron. Los votantes que utilizaron el servicio de verificación antes del parche no pueden saber si la confirmación que recibieron reflejaba su papeleta real.

Esa es la versión difícil del problema noruego. Noruega al menos eligió parar antes de llegar aquí.

Por qué la solución criptográfica de Suiza no la arregló realmente

Quizás estés pensando: ¿seguramente la criptografía puede resolver esto? Si una papeleta se cifra de extremo a extremo con un esquema que permite a cualquier observador independiente verificar matemáticamente el conteo sin aprender cómo votó alguien — eso cierra la brecha, ¿no?

Suiza probó exactamente ese enfoque. En 2019, Swiss Post publicó el código fuente de un sistema avanzado de votación por internet criptográfico para escrutinio público — el tipo de transparencia radical que otros sistemas han rechazado. Los investigadores independientes Sarah Jamie Lewis, Olivier Pereira, y Vanessa Teague leyeron el código.

Encontraron una puerta trasera.

La mixnet del sistema — el componente que mezcla votos para que no puedan vincularse a votantes individuales — se basaba en un esquema de compromiso con una estructura secreta. Una autoridad que tuviera ciertos valores de puerta trasera podría generar una prueba matemática que se viera válida y pasara verificación independiente mientras había alterado votos. El sistema afirmaba "verificabilidad universal". La puerta trasera significaba que un iniciado con las claves correctas podría derrotar esa afirmación mientras dejaba la verificación luciendo limpia.

Swiss Post y Scytl reconocieron el hallazgo. Las autoridades suizas suspendieron el sistema. La única razón por la que la falla fue atrapada fue porque el código fue publicado — y que criptógrafos independientes calificados eligieron leerlo.

La mayoría de los sistemas de votación por internet no publican su código. La mayoría no invitan a criptógrafos independientes a probarlos. La mayoría ofrecen "pasó la certificación" como respuesta a "¿puedo verificar?"

La certificación es un proceso. No es lo mismo que verificabilidad.

El estándar que todo esto queda corto de alcanzar

En 2009, la Corte Constitucional Federal de Alemania estableció un principio que cada defensor de la votación por internet debería tener que responder. La Corte rechazó el uso de máquinas de votación electrónica porque almacenaban votos solo en memoria electrónica sin registro independientemente verificable — pero el principio que anunció fue más amplio: los pasos esenciales de la votación y de la determinación del resultado deben ser examinables por el ciudadano de manera confiable y sin conocimiento especializado.

No examinable por criptógrafos. No examinable por auditores gubernamentales. Examinable por ciudadanos. Sin conocimiento especializado.

Esa es una prueba que la votación por internet en cualquier forma actual falla de manera integral. No puedes entregarle a una abuela un registro de tráfico de red y pedirle que confirme que su voto fue registrado correctamente. No puedes darle a un trabajador de fábrica una transcripción de prueba criptográfica y esperar que la verifique sin un doctorado. Ni siquiera los sistemas que afirman verificabilidad de extremo a extremo requieren confiar en un cliente de software que no puedes leer, o leer matemáticas que la mayoría de personas nunca han encontrado, o confiar en un canal de verificación que (como Nueva Gales del Sur mostró) podría estar comprometido.

Finlandia comprendió una versión adyacente de esta lección incluso para votación electrónica en persona. En 2008, un piloto de e-voting en tres municipios tenía un defecto de usabilidad: los votantes que no esperaban un paso de confirmación final tenían sus votos silenciosamente abandonados. 232 votos nunca fueron registrados, contra la voluntad de los votantes. La Corte Suprema Administrativa anuló las elecciones en esos municipios y ordenó nuevas elecciones. Los votantes no tenían forma de saber que su papeleta no había sido capturada. El sistema no dio advertencia.

Cuando un votante no tiene forma independiente de confirmar que su voto fue contado, un defecto — mecánico, procedural, o adversarial — puede ser completamente invisible hasta que alguien observe los números agregados y note que algo no está bien. Y "notar que algo no está bien" solo funciona cuando el error es lo suficientemente grande para ser implausible.

Lo que Noruega realmente eligió — y lo que nos dice

Lee la declaración del gobierno noruego cuidadosamente y verás algo que la mayoría de anuncios oficiales oscurecen. El ministerio no dijo que el sistema hubiera sido comprometido. No afirmó que los votos fueran alterados. Dijo que la confianza de que los votos no fueran alterados no podía asegurarse.

Esa es una admisión honesta de que la ausencia de evidencia de un ataque no es lo mismo que seguridad. Es el predeterminado responsable: si no puedes probar que el proceso es digno de confianza para las personas cuyos votos dependen de él, no les pides que confíen de todas formas.

El hallazgo de participación también importa — no porque la conveniencia sea irrelevante, sino porque elimina la justificación utilitaria para aceptar el déficit de confianza. Si la votación por internet aumentara de manera confiable y sustancial la participación, una comunidad democrática podría tener que pesar un difícil compromiso. Los datos de Noruega hicieron que ese compromiso fuera innecesario: el beneficio de conveniencia no estaba ahí.

Esta no es una veredicto de que la votación por internet nunca, en principio, pudiera hacerse digna de confianza. Es una veredicto de que ningún sistema desplegado ha logrado aún el estándar que las elecciones dignas de confianza requieren: verificabilidad de extremo a extremo que un ciudadano ordinario pueda verificar, independientemente, sin confiar en ningún servidor, ningún proveedor, ningún oficial, o la palabra de ningún matemático.

La comisión holandesa que recomendó descartar máquinas de votación en 2007 lo expresó claramente: no hay secretos en el proceso electoral, y las respuestas deben ser verificables y comprobables. Ese requisito no se vuelve menos importante porque el canal sea un navegador en lugar de una pantalla táctil.

La cosa que sigue siendo no verificable — y lo que la haría verificable

Aquí está lo que el cierre del programa de Noruega no resolvió: si, durante las dos elecciones en las que operaba la votación por internet, algún voto fue alterado en tránsito o en el servidor.

La respuesta es: no lo sabemos. Y ahora no podemos determinarlo. Los registros, si existen, no son públicos. El código fuente, si alguna vez fue revisado independientemente, no produjo ningún hallazgo publicado. El mecanismo de verificación disponible para los votantes en ese momento — si lo había — no puede ser ejecutado ahora contra papeletas ya emitidas.

Ese es el registro del ensayo noruego: conocimiento y experiencia valiosos, según las propias palabras del ministerio, pero sin pista de auditoría pública que permitiera a alguien confirmar independientemente qué sucedió con esos votos. La seguridad es la decisión de parar, no ninguna evidencia de que todo estuviera bien mientras se ejecutaba.

Lo que haría esto verificable — para Noruega, o para cualquier jurisdicción considerando votación en línea — es un sistema diseñado de modo que su verificabilidad no dependa de la honestidad de ningún oficial o proveedor:

  • Código fuente publicado, revisable por cualquier criptógrafo en cualquier momento, no solo antes del despliegue
  • Criptografía verificable de extremo a extremo en la que los votantes pueden confirmar que su papeleta específica fue incluida en el conteo final usando un recibo que no revela nada sobre cómo votaron — y en el que cualquiera pueda verificar que el conteo se construye enteramente a partir de papeletas válidas e incluidas
  • Pruebas públicas adversariales independientes antes de cualquier voto vinculante, en el modelo de lo que D.C. hizo (y lo que la autoridad electoral de Brasil hace rutinariamente con sus máquinas)
  • Publicación instantánea a nivel de colegio electoral en formato legible por máquina de resultados el momento en que son finales, de modo que observadores independientes puedan reconstruir y verificar el conteo sin esperar un resumen oficial

Ninguno de estos es ciencia ficción. Algunos existen en piezas en sistemas académicos y experimentales. Ninguno existe junto en un sistema de votación por internet nacional desplegado que ha sido verificado independientemente para funcionar.

Hasta que lo hagan, "confianza de que los votos no sean alterados" no es algo que ningún sistema de votación por internet pueda proporcionar honestamente — y Noruega tuvo razón al dejar de pedirle a sus votantes que lo hicieran.

La versión compartible: Noruega abandonó la votación por internet no porque algo saliera mal, sino porque nada podría probarse que haya salido bien. La conveniencia sin verificabilidad no es democracia — es votación basada en fe.

Ver cuán común es esta brecha de verificabilidad en todo el mundo →

Lee la versión de dos minutos sobre por qué la verificabilidad importa →

Fuentes

Ver todos los artículosExplora las brechas