← Todos los artículos

No todos los registros en papel son iguales: el recibo que puedes leer frente al que no puedes

Votaste. La máquina imprimió un recibo con tus opciones—y un código de barras que no puedes leer. Un tribunal federal confirmó: el código de barras, no las palabras, es lo que se cuenta.

Es la mañana del 3 de noviembre de 2020, y en algún lugar de una casilla electoral en el condado de Gwinnett, Georgia, una votante está de pie frente a una máquina de marcación de papeletas Dominion. Toca la pantalla. Hace sus selecciones. La máquina imprime una papeleta de papel—un pedazo real y físico de papel que puede sostener. Puede leer los nombres de los candidatos en él. Lo inserta en el escáner.

Lo que no puede leer es el código QR impreso junto a esos nombres.

Ese código de barras es lo que el escáner realmente cuenta. No el texto legible por humanos. El código de barras. Y si algo entre sus toques en la pantalla y ese código de barras salió mal—si el software, malicioso o simplemente defectuoso, codificó una opción diferente a la que hizo—no tendría forma de saberlo. El papel en su mano, la cosa que acaba de "verificar", no le diría nada que pudiera comprobar.

Eso no es una preocupación hipotética. Un tribunal federal lo dijo, en el registro, en octubre de 2020.

Un Tribunal Lee el Recibo—y Descubre Que Es Ilegible

En Curling v. Raffensperger, la Corte de Distrito de EE.UU. para el Distrito Norte de Georgia revisó el testimonio de expertos sobre el sistema de máquinas de marcación de papeletas Dominion de Georgia. La Opinión y Orden del 11 de octubre de 2020 de la corte fue directa: el sistema "no proporciona un registro de papeleta verificable y auditable porque se basa en el código QR para el escrutinio de votos y ese código en sí no puede ser leído y verificado por el votante."

La corte también citó la conclusión de 2018 de las Academias Nacionales—que no existe actualmente ningún mecanismo técnico que garantice que una aplicación de conteo de votos produzca resultados precisos, y que la prueba por sí sola no puede garantizar que un sistema no haya sido comprometido.

El testimonio de expertos, incluyendo del Dr. J. Alex Halderman, describió la viabilidad práctica de un ciberataque que podría intercambiar o eliminar votos alterando el código QR. Un atacante que ingresara al software de marcación de papeletas—incluso brevemente, incluso remotamente—podría codificar una opción diferente sin cambiar una sola palabra legible por humanos en la página impresa.

La corte no ordenó a Georgia cambiar a papeletas marcadas a mano antes de noviembre de 2020. La elección estaba a pocas semanas de distancia. Los cambios de sistema de último momento conllevan sus propios riesgos, y los tribunales los pesan. Esa es una decisión judicial razonable sobre el momento. No es un certificado de buena salud para el sistema.

El punto más profundo se mantiene intacto: un registro en papel que no puedes leer no es un registro de papeleta verificado por el votante. Es un recibo por una transacción que no puedes auditar.

Mira cómo la brecha del código QR se ajusta a un patrón global de sistemas no verificables

Lo Que "Verificado por el Votante" Realmente Significa—y Lo Que No

La frase "registro de auditoría de papeleta verificado por el votante"—VVPAT—suena tranquilizadora. Implica que los votantes comprueban algo, que existe papel, que ocurren auditorías. En la práctica, esas palabras pueden describir sistemas que están a millas de distancia.

Piensa en lo que la verificación requiere. El votante debe poder leer el registro. El registro debe codificar la intención—las opciones reales que el votante hizo—en una forma que el votante pueda confirmar antes de emitirlo. Y cualquier auditoría de ese registro debe contar la intención legible por humanos, no la traducción de una máquina.

Un código QR falla en las tres pruebas simultáneamente. El votante no puede leerlo. Codifica la salida de la máquina, no la intención directamente visible. Y una auditoría que escanea el código de barras está auditando la codificación de la máquina, no la mente del votante.

Ahora compáralo con una papeleta marcada a mano en papel. Un votante marca un óvalo junto a "Candidato X". El óvalo es el registro. El votante puede verlo. Un auditor puede verlo. Un tribunal puede verlo. No existe capa de traducción entre el acto del votante y el artefacto contado. El recuento manual de Georgia en 2020—en el que 159 condados contaron manualmente aproximadamente 5 millones de papeletas presidenciales en menos de seis días—funcionó porque esas papeletas fueron marcadas a mano y la marca legible por humanos fue el voto. La variación entre el recuento de máquina y el recuento manual fue de aproximadamente una décima de un por ciento, lo cual es valioso saber, y el recuento manual confirmó el resultado con el nivel de confianza que un proceso manual humano pueda entregar.

Pero nota lo que ese recuento manual no podría haber hecho si Georgia hubiera tenido solo papeletas codificadas con QR en la urna: habría tenido que rescanear los códigos de barras. Lo que significa que estaría auditando la máquina con la máquina. El papel en la urna se convierte meramente en un mecanismo de entrega para el código de barras, y el código de barras es el único registro que existe.

"Papeleta de papel" y "papeleta verificada por el votante" no son sinónimos. Uno describe el medio. El otro describe si la intención del votante es independientemente legible por un ser humano.

India Intenta Algo Diferente: El Recibo Que Realmente Ves

Ahora viaja 8,000 millas hacia el este.

India realiza la elección democrática más grande del mundo—cientos de millones de votantes, máquinas de votación electrónicas (EVM) en cada circunscripción, un país donde la logística por sí sola es un desafío asombroso. Durante años, los peticionarios argumentaron que las EVM debían ser abolidas por completo, o que cada voto electrónico debía ser verificado contra papel. En abril de 2024, un tribunal de la Corte Suprema de los Jueces Sanjiv Khanna y Dipankar Datta se pronunció sobre exactamente esas preguntas en Association for Democratic Reforms v. Election Commission of India.

La Corte declinó ordenar un regreso a papeletas de papel o verificación manual del 100% de recibos VVPAT. Pero aquí está el detalle clave del diseño: India's VVPAT produce un recibo que el votante realmente puede leer.

Después de presionar un botón en una EVM india, un recibo de papel se imprime detrás de una pequeña ventana de vidrio. El votante ve el nombre y símbolo del candidato. Puede confirmar que coincida con lo que presionó. El recibo luego cae en un compartimiento sellado—nunca está en las manos del votante, así que no puede ser fotografiado como un recibo de compra de voto—pero el votante ha, en un sentido real y directo, verificado el registro antes de que sea sellado.

Eso es categóricamente diferente de un código QR en una papeleta de Georgia. Uno es una confirmación legible por humanos. El otro es una codificación opaca en la que se pide a un votante que confíe.

La Corte Suprema India apretó las reglas alrededor de ese recibo: ordenó que las unidades de carga de símbolos fueran selladas y aseguradas después del proceso de carga de símbolos, almacenadas por al menos 45 días después del resultado, y disponibles para verificación de microcontrolador en el 5% de las EVM por circunscripción si los candidatos lo solicitan mediante pago. La corte fue, en efecto, construyendo más peldaños en la escalera de auditoría, incluso mientras rechazaba requerir el peldaño superior.

El sistema de India no está sin críticos. Las peticiones de 2024 plantearon preguntas legítimas sobre si cinco casillas electorales seleccionadas al azar por circunscripción es una muestra de VVPAT lo suficientemente grande para detectar un compromiso sistemático. Esas preguntas son reales. Pero la arquitectura del VVPAT—un recibo legible por humanos que el votante ve antes de que sea sellado—está haciendo algo que el código QR de Georgia no: está dándole al votante un momento de verificación genuina e inmediata.

Lee más sobre el VVPAT y los estándares globales de registro en papel en nuestro rastreador de brechas

La Auditoría Que Audita la Cosa Equivocada

Aquí está la pregunta que sigue del problema del código QR, y es más difícil de lo que parece.

Cuando una autoridad electoral audita una elección con máquinas de marcación de papeletas, ¿qué está realmente contando?

Si la auditoría rescanea los códigos QR—incluso alimentando papeletas impresas a través de un escáner diferente—está probando si dos máquinas están de acuerdo. Eso es una verificación útil contra ciertos fallos de hardware. No es una verificación contra software que codificó la opción equivocada desde el principio, porque ambas máquinas están leyendo el mismo código de barras que el software original produjo.

Si la auditoría lee solo el texto legible por humanos e ignora el código QR, está haciendo algo extraño: contar nombres de candidatos que no son el registro operativo. El escáner que se ejecutó en la noche electoral no contó esos nombres. Contó el código de barras. El texto legible por humanos y el código QR pueden, en principio, divergir—y en un sistema comprometido, esa divergencia es precisamente el ataque.

Una auditoría que compruebe la intención del votante—la marca que un ser humano hizo, o el recibo que un ser humano vio—es categóricamente diferente de una auditoría que recuenta la salida de la máquina. La Corte Constitucional de Alemania expresó este principio en términos constitucionales en 2009: los pasos esenciales de la votación y el conteo "pueden ser examinados por el ciudadano de manera confiable y sin ningún conocimiento especializado." Un ciudadano no puede leer un código QR sin conocimiento especializado. Un ciudadano puede leer un nombre en un recibo.

La comisión "Voting with confidence" del gobierno holandés de 2007 concluyó que cualquier método electrónico es aceptable solo si "produce una papeleta de papel que el votante pueda verificar." El énfasis está en la capacidad del votante de verificar—no la del auditor, no la del proveedor, no la del experto designado por la corte.

Ver la sentencia de Alemania 2009 y la comisión holandesa en nuestra biblioteca de casos verificados

El Recibo Que Se Convierte en un Arma: Una Complicación Más

Hay una tensión integrada en cualquier registro verificable por el votante, y el diseño VVPAT de India la navega deliberadamente.

El recibo es legible. Pero nunca está en las manos del votante.

Eso importa porque una papeleta que puedes llevar a casa—o fotografiar—es una papeleta que puedes probar a un tercero. Y una papeleta que puedes probar a un tercero es una papeleta que un comprador de votos puede requerirte que le muestres. Los tribunales han sido explícitos sobre este mecanismo. En Rideout v. Gardner, la Corte de Apelaciones de EE.UU. para el Circuito Primero rastreó la historia: las reformas de papeleta secreta fueron adoptadas específicamente para prevenir la compra de votos al eliminar la capacidad del comprador de verificar la compra. Una fotografía de una papeleta marcada restaura esa verificación y reabre el mercado.

El recibo VVPAT de India es visible para el votante pero sellado antes de que dejen la cabina. Puedes confirmar tu voto. No puedes probárselo a nadie más. Ese es el equilibrio correcto: verificación del votante sin la arquitectura de coerción.

Una máquina de marcación de papeletas que imprime una papeleta de papel completa y legible por humanos—el tipo que un votante alimenta a un escáner separado—es un paso adelante de un sistema solo de código QR. Pero crea una nueva pregunta: ¿puede ser fotografiado ese papel? Si es así, ¿por quién, y en qué momento del proceso? Las propiedades de seguridad de "verificable por el votante" dependen del manejo físico del papel, no solo de lo que está impreso en él.

La verificabilidad es una propiedad del sistema, no una característica. Requiere registros legibles, manejo sellado, auditorías independientes de la intención del votante, y cadena de custodia que prevenga tanto la manipulación como la coerción. Cada pieza importa. Elimina una, y la garantía se desmorona.

El Problema Más Profundo: ¿Quién Verifica al Verificador?

Georgia realizó un recuento manual de 5 millones de papeletas en 2020 y confirmó el resultado de la máquina dentro de una décima de un por ciento. Esa es evidencia real sobre una elección. La pregunta que Curling deja abierta—y que la declaración "elección más segura" de CISA de noviembre de 2020 no responde—es qué sucede en una elección futura donde el papel en la urna son papeletas codificadas con código QR.

La declaración de CISA señaló que los registros en papel "permiten reconteos y auditorías cuando sea necesario". Eso es cierto. Pero lo que la declaración no dice—y lo que importa enormemente—es qué tipo de registro permite una auditoría significativa. Un código QR en un pedazo de papel es un registro en papel. No es un registro verificado por el votante.

Si Georgia, o cualquier estado que ejecute máquinas de marcación de papeletas, realiza una auditoría post-electoral que rescanea códigos QR, ha producido evidencia de que las máquinas fueron consistentes entre sí. Consistencia no es corrección. Los investigadores de Princeton que convirtieron un Diebold AccuVote-TS en un virus de robo de votos en 2006 construyeron código que alteró todos los registros, registros y contadores para mantenerse internamente consistentes. Una auditoría de consistencia interna era exactamente para lo que ese software fue diseñado para sobrevivir.

El episodio de Coffee County en 2021—donde el software de todo un sistema de votación Dominion de una jurisdicción fue copiado y filtrado—mostró cuán frágil es la seguridad de código cerrado en la práctica. El secreto del código fuente no es una propiedad de seguridad. Es una conveniencia que se desvanece en el momento en que alguien con acceso decide compartirlo.

La respuesta no es asumir que alguno de estos ataques ocurrió. Es construir sistemas donde no importaría si lo hicieron—porque el registro legible por el votante en la urna sellada contradecería cualquier salida electrónica comprometida, y una auditoría manual independiente de ese registro surfacería la discrepancia.

Esa es la arquitectura que el sistema de Georgia no puede entregar, e VVPAT indio, imperfectamente, está intentando.

Lo Que Realmente Cerraría la Brecha

La prueba es lo suficientemente simple de exponer, más difícil de implementar, y actualmente no es cumplida por la mayoría de despliegues de máquinas de marcación de papeletas en los Estados Unidos.

Un registro de papel verificable por el votante debe ser:

1. Legible por humanos en el momento de la votación. El votante ve palabras y símbolos—no un código de barras—y puede confirmar que coincidan con su intención antes de que el registro sea sellado.

2. El registro operativo para el conteo. El artefacto que es auditado manualmente debe ser el mismo artefacto que el votante verificó, no una traducción de máquina del mismo. Si el escáner cuenta un código de barras, la auditoría debe contar algo que pruebe que el código de barras coincida con el texto legible por humanos.

3. Sellado antes de que pueda ser probado a un tercero. Un recibo que el votante controla es una herramienta de coerción. Un recibo que el votante ve pero no puede llevar es un mecanismo de verificación.

4. Sujeto a auditorías independientes que cuenten la intención del votante. No auditorías de salida de máquina. No verificaciones de consistencia. Auditorías donde un ser humano lee lo que otro ser humano marcó, y los dos números se comparan contra la salida de la máquina.

Nada de esto requiere abandonar la asistencia electrónica para votantes que la necesiten. El VSAP del condado de Los Ángeles fue construido como un sistema de propiedad pública y código abierto en exactamente la premisa de que el software que hace el conteo debe ser inspeccionable por externos, no blindado como un secreto comercial de un proveedor. Software inspeccionar más un registro sellado legible por humanos más una auditoría independiente de la intención del votante es una arquitectura de seguridad diferente que solo software inspeccionar—y completamente diferente de software cerrado más un código QR.

Lo Que Todavía No Es Verificable—y Lo Que Lo Haría

Aquí está lo que la opinión de Curling de octubre de 2020 no resuelve, y lo que ninguna declaración oficial desde entonces ha respondido:

En cualquier elección ejecutada en máquinas de marcación de papeletas con código QR donde la auditoría post-electoral consistió en rescanear códigos de barras, no existe evidencia públicamente disponible de que los nombres de candidatos legibles por humanos en las papeletas impresas coincidieran con los códigos QR que fueron realmente contados. Esa comparación no fue realizada sistemáticamente. Puede no ser técnicamente factible realizarla después del hecho si las papeletas no se conservan en un formato que permita lectura humana independiente a escala.

La pregunta no es si fraude ocurrió. Es si la arquitectura del sistema hace que esa pregunta sea respondible por cualquiera fuera del proveedor y la autoridad electoral. En este momento, para sistemas BMD con código QR, la respuesta honesta es: no completamente.

¿Qué lo haría verificable? Una lectura manual rutinaria, prespecificada y públicamente observable de una muestra aleatoria estadísticamente significativa de papeletas impresas—no un rescaneo, una lectura humana—comparando nombres de candidatos con los totales reportados por máquina, con el tamaño de muestra y metodología publicados antes de la elección, no elegida después.

Eso no es una demanda partidista. Es el mismo estándar al que llegaron la Corte Constitucional de Alemania, la comisión holandesa "Voting with confidence", y la Corte Suprema India desde diferentes direcciones: el ciudadano debe poder verificar los pasos esenciales, sin conocimiento especializado, usando un registro que verificó a sí mismo.

Un código QR no puede ser ese registro.

Un registro en papel solo te protege si registra lo que quisiste decir—en un idioma que puedes leer.

Ver la brecha global de papeleta verificable por votante entre jurisdicciones | Lee la versión de 2 minutos de este argumento

Fuentes

Ver todos los artículosExplora las brechas