← Todos los artículos

Cuando una empresa construye, opera y respalda el voto

El 2 de agosto de 2017, la empresa que construyó las máquinas de votación de Venezuela le dijo al mundo —públicamente, en inglés claro— que la cifra oficial de participación era una mentira. Ningún partido de oposición lo dijo. Lo dijo el proveedor.

Es la noche del 30 de julio de 2017, y el Consejo Nacional Electoral de Venezuela acaba de anunciar un número: 7,5 millones de personas votaron en la elección de la Asamblea Nacional Constituyente. El anuncio estaba diseñado para conferir legitimidad. Un órgano colegiado electo reescribiría la constitución. El gobierno necesitaba que la participación se viera decisiva.

Cuarenta y ocho horas después, Smartmatic —la empresa registrada en Londres que había construido y operado la infraestructura de votación automatizada de Venezuela desde 2004— emitió un comunicado público. Su director ejecutivo dijo que la empresa sabía "sin lugar a dudas" que la cifra de participación anunciada había sido manipulada, y estimó la brecha entre la participación real y la anunciada en "al menos un millón de votos". Smartmatic dijo que no podía respaldar los números oficiales.

Luego Smartmatic se fue. Se retiró de las posteriores elecciones regionales y municipales de Venezuela en 2017 y cesó todos los negocios en el país para 2018.

Léelo de nuevo lentamente: el proveedor que construyó el sistema, operó el sistema y certificó el resultado del sistema declaró que el resultado del sistema era incorrecto.

El momento en que la cadena de confianza se consumió a sí misma

Aquí es por qué esa escena es tan estructuralmente importante, y por qué va mucho más allá de Venezuela.

En la mayoría de los países, la cadena de confianza en una elección electrónica funciona así: los votantes confían en las máquinas; los funcionarios confían en la certificación del proveedor; los observadores confían en los funcionarios; se le pide al público que confíe en todos los anteriores. La arquitectura es una torre, y cada piedra descansa en la que está debajo.

En Venezuela en 2017, cada piedra era la misma piedra. El Consejo Nacional Electoral no poseía un registro de auditoría independiente. No había un registro criptográfico que un tercero pudiera verificar. No había papeletas que Smartmatic pudiera señalar como contradiciendo el total oficial. La única parte posicionada para saber si la cifra de participación era precisa era la parte que la había producido: el proveedor. Y ese proveedor, habiendo llegado al final de cualquier cálculo contractual o de reputación que estuviera haciendo, dijo: no.

Cuando el proveedor es simultáneamente el constructor, el operador y el único verificador, no existe tal cosa como una verificación independiente—solo hay un único punto de confianza que puede fallar todo a la vez.

El público, la oposición, los observadores internacionales—ninguno de ellos tenía acceso a datos que les permitiera confirmar o refutar ninguna de las dos afirmaciones. El número oficial. La contra-afirmación del proveedor. Ambas eran aserciones. Ninguna era comprobable desde afuera.

Ese es el problema del que trata este post.

La concentración de confianza es una decisión de diseño, no un accidente

El caso de Venezuela es extremo. Pero la estructura subyacente—un proveedor que posee el conocimiento crítico sobre cómo funciona el conteo—aparece en formas más leves en democracias funcionando.

Considera lo que un tribunal federal de EE.UU. encontró sobre el sistema de votación de Georgia en octubre de 2020. En Curling v. Raffensperger, el Distrito Norte de Georgia revisó testimonios de expertos sobre los dispositivos de marcación de papeletas de Dominion del estado y llegó a una conclusión que no ha recibido casi la atención suficiente: el sistema "no proporciona un registro de papeleta verificable y auditable porque depende del código QR para la tabulación de votos y ese código en sí no puede ser leído y verificado por el votante."

El tribunal también citó la conclusión de 2018 de las Academias Nacionales de que no existe ningún mecanismo técnico actual para garantizar que una aplicación de conteo de votos produce resultados precisos, y que las pruebas por sí solas no pueden garantizar que los sistemas no hayan sido comprometidos.

Una votante se para frente a la máquina. Hace sus selecciones. Se imprime una hoja de papel. Ve los nombres de sus candidatos en texto legible por humanos. Piensa que ha verificado su papeleta. Pero lo que el escáner realmente cuenta es un código de barras bidimensional—y ella no tiene manera de leerlo. Tampoco lo tiene el trabajador electoral. Tampoco lo tiene el observador del partido parado a cinco pies de distancia.

El tribunal comprendió el problema y se negó a ordenar medidas de último minuto, dada la proximidad de la elección. Ese es un juicio judicial defendible sobre la disrupción. Pero nota lo que no hizo: no encontró que el problema no existiera. El código QR ilegible es una característica permanente de una arquitectura de sistema en la que la lógica de tabulación es, para todos los propósitos prácticos, invisible para todos excepto el proveedor.

Esta es concentración de confianza de un tipo diferente al de Venezuela—pero es concentración de confianza.

Lo que "certificación" realmente certifica

Ambos casos comparten una historia de origen común: la idea de que un sistema de un proveedor, una vez certificado, puede confiarse para ejecutar el conteo.

La Oficina de Contabilidad General del Gobierno de EE.UU. examinó cuidadosamente esa suposición en su informe de 2005 (GAO-05-956). Encontró que los problemas documentados con sistemas de votación electrónica habían planteado preguntas sobre su seguridad y confiabilidad, y que los esfuerzos federales para mejorar esos sistemas estaban en marcha—pero que actividades clave permanecían incompletas. La certificación todavía estaba siendo construida como un proceso mientras las elecciones se ejecutaban en los sistemas que se suponía debía validar.

Irlanda descubrió la misma brecha antes. Una Comisión independiente sobre Votación Electrónica, examinando el sistema Nedap/Powervote que el gobierno había adquirido, concluyó que estaba "no en posición de recomendar con el grado de confianza requerido el uso del sistema elegido." De manera crítica, la conclusión de la Comisión no fue que el sistema fracasaría—fue que no había sido probado para la satisfacción de la Comisión que funcionaría. La incapacidad de verificar era en sí misma la condición descalificante. Irlanda gastó €52 millones en máquinas que fueron formalmente desechadas en 2009.

Nota lo que vincula estos casos: la carga de la prueba estaba en el partido equivocado. Se le pidió a funcionarios y proveedores que demostraran confiabilidad a un órgano independiente—y la conclusión del órgano independiente importaba. Esa es la estructura correcta. El problema es que es la excepción, no la regla. En la mayoría de las jurisdicciones, la certificación es una prueba única realizada antes del despliegue. El sistema pasa o falla una vez. Luego se ejecuta en elecciones reales—a veces durante una década—sin otra verificación independiente de igual rigor.

En esa brecha entre la prueba de certificación y el día de las elecciones, mucho puede cambiar. El software se actualiza. Las configuraciones cambian. El personal se renueva. Y la única parte que sabe, en tiempo real, lo que el sistema realmente está haciendo es el proveedor.

El episodio forense de Georgia: cómo se ve el acceso de iniciados

El caso de Venezuela involucró a un proveedor denunciante desde afuera. El episodio de Coffee County, Georgia en enero de 2021 ilustra una versión diferente de la misma vulnerabilidad estructural: lo que sucede cuando alguien con acceso de iniciado decide tomar, en lugar de revelar.

El 7 de enero de 2021, una empresa de informática forense fue admitida en la oficina de elecciones de Coffee County e hizo copias del software del sistema de votación—el servidor del Sistema de Gestión Electoral, dispositivos de notificación de encuestas, dispositivos de marcación de papeletas, escáneres, y el software de votación Dominion de toda Georgia. La oficina del Secretario de Estado de Georgia describió posteriormente esto como acceso no autorizado que antiguos funcionarios del condado permitieron en violación de la ley estatal. Varias personas conectadas al episodio posteriormente se declararon culpables de cargos. El evento está documentado en declaraciones juradas en Curling v. Raffensperger.

Aquí está la lección arquitectónica: todo el software de votación de la jurisdicción era propietario. Su modelo de seguridad dependía del secreto—del código permaneciendo oculto. En el momento en que alguien con acceso físico decidió compartirlo, el secreto se fue. Todo lo que reposaba en él—el modelo de seguridad, la cadena de confianza, la promesa implícita de la certificación—se fue con él.

El secreto no es seguridad. Un sistema construido para ser verificado solo por iniciados es un sistema construido para fallar en el momento en que un iniciado es comprometido, coaccionado, o simplemente cooperador con alguien con quien no debería estarlo.

El código abierto e independientemente inspectable no resuelve cada problema. La certificación, la cadena de custodia, y la auditoría robusta post-elección siguen importando enormemente. Pero el código abierto al menos elimina la capa de opacidad que hace que el proveedor o el funcionario sean el árbitro único de lo que el software está haciendo. El sistema VSAP de Los Angeles County—el primer sistema de conteo electoral de propiedad pública y código abierto certificado bajo los estándares de sistemas de votación de California, certificado en agosto de 2018—es una prueba de concepto de que esto es alcanzable. Si el código abierto realmente se está ejecutando el día de las elecciones requiere verificación adicional (un punto que el episodio de la puerta trasera de Swiss Post/Scytl demuestra vívidamente). Pero la opacidad garantiza que nadie fuera del proveedor puede verificar.

El problema más profundo: "lo verificamos" no es lo mismo que "puedes verificarlo"

Después de la elección de EE.UU. de 2020, el 12 de noviembre de 2020, un grupo de altos funcionarios de seguridad electoral publicó una declaración conjunta declarando la elección "la más segura en la historia estadounidense." La declaración fue firmada por funcionarios del Consejo de Coordinación de Gobierno de Infraestructura Electoral y sus socios del Consejo de Coordinación del Sector, y publicada por la Agencia de Seguridad de Infraestructura y Ciberseguridad.

Léela cuidadosamente, y encuentras algo interesante. El razonamiento propio de la declaración para por qué estaba confiada descansa sustancialmente en la existencia de registros de papel que permiten recuentos y auditorías. Es decir: los funcionarios estaban diciendo, implícitamente, que su confianza provenía de los mecanismos de auditoría que permitían a alguien verificar el resultado de las máquinas—no de confiar en las máquinas por fe.

Ese es en realidad el argumento correcto. Pero solo se sostiene donde los registros de papel son independientemente legibles y las auditorías son robustas. En Georgia en 2020, un conteo manual a nivel estatal de aproximadamente 5 millones de papeletas—41,881 lotes examinados en 159 condados en menos de seis días—confirmó el resultado tabulado por máquina dentro de aproximadamente una décima de uno por ciento. Ese es el tipo de verificación independiente que hace defendible la confianza.

El problema es que el conteo manual de Georgia funcionó porque Georgia tenía papeletas marcadas por votantes desde los sistemas de 2019 y anteriores que las personas podían leer con sus ojos. Un recuento manual de un sistema de dispositivo de marcación de papeletas con código QR audita el resultado del código de barras—no la intención del votante. El tribunal de Curling dijo exactamente esto: el código QR no puede ser leído y verificado por el votante. Si una máquina codifica al candidato equivocado en el código de barras mientras imprime el nombre correcto en texto legible por humanos, la auditoría confirmará la codificación de la máquina, no la elección del votante.

Un recuento es solo tan confiable como el registro que está contando. Un "confirmado por recuento manual" en una papeleta que nadie pudo leer en primer lugar es una seguridad, no una prueba.

Lo que la verificabilidad independiente realmente requiere

El Tribunal Constitucional Federal Alemán trazó la línea en 2009, en una sentencia sobre máquinas de votación Nedap utilizadas en la elección Bundestag de 2005. El Tribunal sostuvó que el uso de máquinas de votación electrónica requiere que "los pasos esenciales de la votación y de la determinación del resultado puedan ser examinados por el ciudadano de manera confiable y sin ningún conocimiento especializado del tema." Las máquinas almacenaban votos solo en memoria electrónica, sin registro alguno que los votantes pudieran verificar. Fracasaron en este estándar.

"Sin ningún conocimiento especializado." Esa es la frase operativa. La verificabilidad no se satisface diciéndole al público que expertos revisaron el sistema. No se satisface por pruebas internas de un proveedor. No se satisface por una declaración oficial de que todo salió bien. Se satisface cuando el registro producido es uno que cualquier ciudadano interesado—no solo un científico de computación, no solo un auditor certificado, no solo el proveedor—puede examinar y confirmar que coincide con lo que se pretendía.

Ese es un estándar alto. Pero es el estándar correcto. Y los casos anteriores muestran lo que sucede cuando no se cumple.

En Venezuela, el proveedor era la única parte con el conocimiento para comparar la participación anunciada a lo que las máquinas registraron—y cuando el proveedor y el gobierno no estaban de acuerdo, no había nada que un ciudadano pudiera verificar para resolverlo.

En Georgia, el tribunal encontró un sistema en el que el artefacto de tabulación no puede ser leído por el votante que lo produjo.

En Coffee County, el secreto que se sustituyó por apertura resultó frágil en el momento en que un iniciado eligió lo contrario.

El hilo conductor es el mismo en cada caso. La elección no es entre un proveedor confiable y uno no confiable. La elección es entre una arquitectura de sistema que requiere confianza en una sola parte y una que hace innecesaria la confianza porque cualquiera puede verificar.

¿Qué haría que cualquiera de esto fuera verificable?

Así que aquí está la pregunta para cerrar—y no es retórica.

Después de Venezuela 2017: Smartmatic dijo que la participación fue inflada por al menos un millón de votos. El gobierno dijo que fue precisa. No hay, hasta la fecha, ningún registro de auditoría independiente que un tercero pudiera usar para resolver esa disputa. Ningún registro criptográfico verificable públicamente. Ninguna papeleta de papel. Ningún dato a nivel de recinto que pudiera reconciliarse contra una cadena de custodia. Si quisieras verificar una de las dos afirmaciones desde afuera de ambas partes, no podrías. Esa brecha—la ausencia específica y técnica de un registro verificable—es lo que un sistema bien diseñado llenaría.

Después de Curling v. Raffensperger: el tribunal encontró el código QR ilegible por el votante. Georgia desde entonces se ha movido hacia un uso más pleno de papeletas marcadas a mano en algunos contextos. Pero la pregunta de si el software de tabulación de alguna jurisdicción traduce correctamente las marcas de papeleta legibles por humanos en recuentos—y si esa traducción puede ser verificada independientemente por alguien que no sea el proveedor—permanece abierta en la mayoría de los lugares.

La respuesta no es "confía más en los funcionarios" o "confía menos en los proveedores." La respuesta es sistemas diseñados de modo que ni los funcionarios ni los proveedores necesiten ser confiados, porque el registro que producen puede ser verificado por cualquiera dispuesto a hacer la aritmética.

Eso significa registros de auditoría verificables criptográficamente. Resultados a nivel de recinto publicados en forma legible por máquinas en el momento en que son finales. Código abierto y reproduciblemente construible. Pruebas independientes adversariales—no como una certificación única sino como una práctica continua. Y registros de papeleta que un votante puede verificar y un ciudadano puede auditar sin necesidad de saber quién construyó la máquina o cuáles eran los incentivos del proveedor.

Venezuela en 2017 es la ilustración más clara posible de por qué la concentración de confianza en un proveedor es un error de categoría. La pregunta que deja abierta—la pregunta que se aplica en todas partes—es si el sistema de tu jurisdicción permitiría que alguien averiguara si lo mismo sucedió allí.

Ver cómo aparece esta brecha en diferentes países y sistemas · Lee la versión de 2 minutos de lo que requiere la verificabilidad independiente · Explora casos documentados donde el recuento no pudo ser verificado

Fuentes

Ver todos los artículosExplora las brechas