← Todos los artículos

Dos democracias, respuestas opuestas sobre máquinas de votación

Alemania miró una máquina de votación y preguntó: ¿puede cada ciudadano verificar esto? Estonia preguntó: ¿podemos hacer la votación más fácil? Solo una de esas preguntas conduce a una democracia que realmente puedes verificar.

Es la mañana del 3 de marzo de 2009, y ocho jueces en Karlsruhe están leyendo una sentencia que, en cuestión de meses, sacará todas las máquinas de votación de todas las mesas electorales alemanas. No porque se haya probado fraude. No porque se haya demostrado que un solo voto fue alterado. Sino por una pregunta que las máquinas no podían responder.

¿Puede un ciudadano ordinario, sin conocimientos especializados, verificar que el recuento es correcto?

Las máquinas no podían responder que sí. Eso fue suficiente.

Mientras tanto, en Tallin, una respuesta diferente se estaba construyendo silenciosamente en la infraestructura nacional. El sistema de votación por internet de Estonia —i-voting— crecía elección tras elección, año tras año. Los votantes emitían sus votos desde las mesas de la cocina. La participación aumentaba. El sistema era elogiado internacionalmente. Y luego, en 2014, un equipo de investigadores de seguridad independientes se sentó con el código del cliente publicado y los vídeos de operaciones del servidor que los funcionarios estonios habían lanzado.

Lo que encontraron fue la otra respuesta. La que Alemania había rechazado.

Lo que Alemania realmente decidió — y por qué no se trataba de fraude

El caso alemán comenzó con una queja sobre las elecciones federales de 2005. Máquinas de votación Nedap habían sido utilizadas en partes del país. Las máquinas registraban los votos en memoria electrónica. No producían papel que un votante pudiera inspeccionar. No existía ningún registro independiente que pudiera verificarse después.

La Corte Constitucional Federal no necesitaba pruebas de manipulación para fallar en contra de ellas. Su estándar no era "¿ocurrió fraude?" sino "¿podrían los ciudadanos haberlo detectado si hubiera ocurrido?"

La Corte sostuvo que la legitimidad democrática fluye, en parte, de la naturaleza pública de las elecciones — lo que la ley constitucional alemana llama Öffentlichkeit der Wahl. El artículo 38, leído junto con los artículos 20.1 y 20.2 de la Ley Fundamental, requiere que los pasos esenciales de la votación y la determinación del resultado puedan ser examinados por los ciudadanos de manera confiable y sin necesidad de conocimientos especializados.

Software cerrado, votos almacenados solo en memoria, sin registro verificado por el votante: las máquinas fallaron en cada parte de esa prueba. La Ordenanza Federal de Máquinas de Votación era inconstitucional.

Nótese lo que la Corte no hizo. No anuló la elección de 2005 — sopesó el defecto constitucional contra la disrupción de anular un parlamento democráticamente elegido, y no encontró pruebas de mal funcionamiento real. Pero las máquinas habían terminado. Alemania volvió a las papeletas de papel y al conteo manual.

El principio que la Corte articuló no era un juicio técnico. Era uno democrático: un resultado que solo un experto puede verificar no es un resultado que una democracia haya realmente contado.

Los holandeses habían llegado al mismo lugar dos años antes. Su Comisión de Asesoría sobre Procesos Electorales, en su informe de 2007 Stemmen met vertrouwen ('Votación con confianza'), lo expresó claramente: no hay secretos en el proceso electoral — las preguntas deben ser respondibles, y las respuestas verificables e inspeccionables. Los Países Bajos volvieron a las papeletas de papel. Las regulaciones que autorizaban las máquinas de votación fueron retiradas.

Dos democracias europeas prósperas y estables, ninguna de ellas particularmente tecnófoba, miraron la votación electrónica no verificable y dijeron: no es suficiente.

Estonia dijo que sí — y construyó el sistema de votación en línea más escrutado del mundo

El sistema i-voting de Estonia creció a partir de una tradición diferente. Una pequeña nación que había digitalizado toda su infraestructura gubernamental — tarjetas de identidad digital, devoluciones de impuestos en línea, registros de salud electrónicos — vio la votación por internet como una extensión natural de su estado digital. Para el momento de las elecciones municipales de 2013, cientos de miles de estonios estaban emitiendo votos nacionales en línea.

A diferencia de las máquinas Nedap en Alemania, el sistema estonio al menos publicó su código del lado del cliente. Los funcionarios lanzaron vídeos de operaciones del servidor. Había un esfuerzo genuino de transparencia — más de lo que la mayoría de los sistemas de votación en línea intentan.

Y esa transparencia fue precisamente lo que hizo posible el análisis de 2014.

Un equipo independiente — Springall, Finkbeiner, Durumeric, Kitcat, Hursti, MacAlpine, y Halderman — observó el sistema durante las elecciones municipales de octubre de 2013 y examinó el software publicado y la configuración del servidor. Documentaron lo que encontraron en un artículo revisado por pares presentado en ACM CCS 2014.

Los hallazgos fueron serios.

La seguridad operacional durante la preparación del servidor fue visiblemente laxa — capturada en los mismos vídeos que los funcionarios habían lanzado. La arquitectura del software contenía brechas. Más significativamente, los investigadores concluyeron que un atacante bien dotado de recursos — un estado-nación, o un iniciado deshonesto — podría comprometer plausiblemente la integridad de los votos o la privacidad del votante sin detección.

No 'podría ralentizar el sistema'. No 'podría causar un bloqueo visible'. Podría alterar votos. Sin detección.

Las autoridades electorales estonias cuestionaron las conclusiones. La disputa es real y continua, y los hallazgos de los investigadores no han sido adjudicados por ningún tribunal. Pero observe la estructura de ese desacuerdo: es un argumento técnico entre expertos en seguridad, conducido en lugares revisados por pares, precisamente porque el sistema estonio fue lo suficientemente abierto para que investigadores externos tuvieran algo para examinar.

El caso estonio no es una historia de una elección corrupta. Es una historia de un sistema que invitó a la inspección y luego no pudo sobrevivirla completamente.

Dos supuestos, explícitamente expuestos

Alemania y Estonia hicieron apuestas diferentes, y vale la pena articularlas claramente.

La apuesta de Alemania: La legitimidad de una elección democrática depende de que los ciudadanos ordinarios puedan verificar el recuento. Cualquier sistema que falle esa prueba es inconstitucional independientemente de si alguna vez ha funcionado mal.

La apuesta de Estonia: La conveniencia, la participación y la infraestructura digital importan. La revisión experta independiente y el código publicado son suficientes para establecer confiabilidad.

Ambas apuestas son posiciones coherentes. Pero descansan sobre concepciones fundamentalmente diferentes de quién obtiene verificar el resultado — y cómo.

El estándar de Alemania es radical en su simplicidad: el ciudadano. No el experto certificado. No la autoridad electoral. No el proveedor. El ciudadano parado en la mesa electoral, o viendo el conteo desde la galería, debe poder seguir lo que sucede con su voto sin necesitar un título en informática.

El estándar de Estonia es más moderno, más flexible — y más dependiente de la confianza. Asume que si el código se publica, los expertos pueden leerlo; si los expertos pueden leerlo, los problemas saldrán a la superficie; si los problemas salen a la superficie, serán solucionados. Esa cadena requiere que cada eslabón se mantenga. La investigación de 2014 mostró que al menos un eslabón — la capacidad de detectar un ataque sofisticado de iniciado o de nivel estatal — no era demostrablemente sólida.

Lo que la Corte Constitucional Alemana entendió, y lo que la comisión holandesa articuló, es que la revisión experta es necesaria pero no suficiente. Una elección que requiere que confíes en una cadena de expertos es aún una elección construida sobre la confianza, no sobre la verificabilidad. La diferencia importa más cuando los expertos no se ponen de acuerdo — que es exactamente lo que sucedió en el caso de Estonia.

La brecha de verificación que nadie debate lo suficiente

Aquí está el problema que ninguno de los dos países ha resuelto completamente, expresado claramente.

Las papeletas de papel y los conteos manuales de Alemania son verificables en el sentido que la Corte quiso decir: puedes ver una papeleta siendo colocada en una urna, ver la urna siendo sellada, ver el conteo. Un ciudadano sin conocimientos especializados puede seguir los pasos esenciales.

Pero el papel no es la última palabra en verificabilidad. El conteo manual de Georgia en 2020 — cinco millones de papeletas contadas manualmente en 159 condados en menos de seis días — confirmó el recuento de la máquina con una precisión de aproximadamente una décima del uno por ciento. Eso es impresionante. Tampoco es lo mismo que decir que el conteo manual fue sin errores. En el Condado de Antrim, Michigan ese mismo año, una auditoría manual de aproximadamente 15,700 papeletas presidenciales difirió del escrutinio de la máquina por aproximadamente una docena de votos. Doce votos, en un condado pequeño, después de un recuento manual.

Doce votos suena como nada. En una carrera decidida por menos votos que eso — que sucede — un método que es en sí mismo inexacto por un puñado de votos no puede resolver la cuestión. 'El conteo manual lo confirmó' es una tranquilidad, no una prueba. Incluso el estándar de oro de confianza lleva errores humanos irreducibles.

El sistema digital de Estonia, en principio, podría hacer algo que el papel no puede: generar una prueba criptográfica de que cada voto contado fue emitido por un votante elegible y contado correctamente, sin revelar cómo votó ningún individuo. Esa es la promesa de la votación criptográfica verificable de extremo a extremo, y es genuinamente más poderosa que contar papel a mano.

Pero el sistema de Estonia no entregó completamente esa promesa. Los investigadores de 2014 encontraron que la arquitectura criptográfica, tal como fue implementada, dejaba espacio para manipulación indetectable. Publicar el código fue una condición necesaria para encontrar esto. No fue una condición suficiente para solucionarlo.

El sistema de votación por internet federal suizo se enteró de esto por las malas en 2019. Swiss Post y su proveedor Scytl publicaron el código fuente completo para inspección pública. Los investigadores independientes Lewis, Pereira, y Teague encontraron una puerta trasera criptográfica en la prueba de mezcla del mixnet — un defecto que habría permitido a una autoridad que conociera ciertos valores secretos generar una transcripción de verificación que pareciera válida mientras ocultaba votos alterados. El defecto era invisible en una caja negra certificada. Se hizo visible en el momento en que el código fue publicado y criptógrafos reales miraron.

El código abierto encontró el defecto. El código abierto fue necesario. Pero el código abierto solo no hizo el sistema verificable — hizo el sistema auditable, que es un prerrequisito para la verificabilidad, no la cosa en sí.

Lo que realmente significaría resolver esto

El estándar alemán — verificabilidad ciudadana sin conocimientos especializados — y la ambición estonia — prueba criptográfica de corrección — no están realmente en conflicto. Apuntan hacia el mismo destino por caminos diferentes.

El destino es un sistema donde cualquier votante, y cualquier observador independiente, puede verificar que su voto fue incluido en el recuento, que el recuento fue calculado correctamente, y que no ocurrieron adiciones o eliminaciones no autorizadas — sin confiar en la autoridad electoral, el proveedor, o ningún experto individual para decirles.

Las papeletas de papel, escaneadas y leídas ópticamente, auditadas a mano bajo un protocolo de auditoría de riesgo limitado, se acercan al estándar alemán — pero dependen de que la cadena de custodia física sea ininterrumpida. La Corte Constitucional Austriaca anuló una elección presidencial en 2016 no porque se encontrara fraude, sino porque las salvaguardas procedimentales alrededor de las papeletas postales habían sido violadas en números que podrían haber afectado el resultado. Una cadena de custodia rota es un resultado no verificable, incluso con papel en mano.

Los sistemas criptográficos verificables de extremo a extremo, si se implementan correctamente y se verifican de forma independiente, se acercan más a una prueba técnica de corrección — pero dependen de que la implementación sea sólida, el código sea inspeccionable, y la criptografía sea correcta. Suiza encontró que un sistema certificado puede llevar un defecto oculto que pasa cada control oficial.

La lección no es que el papel sea mejor que la criptografía, o viceversa. La lección es que 'confía en nosotros' — en funcionarios, en proveedores, en expertos — es el modo de fallo que cada enfoque eventualmente produce si no es reemplazado por algo que cualquiera pueda verificar de forma independiente.

Ese es un estándar más difícil que el que cualquier país ha cumplido completamente. Alemania cumplió parte de él al insistir en transparencia legible por ciudadanos. Estonia intentó cumplir parte de él a través del código publicado y la revisión experta. Ninguno de los dos enfoques por sí solo te lleva a un resultado que sea verdaderamente, independientemente, públicamente verificable.

El piloto de votación por internet de Noruega, ejecutado hasta 2013 y cerrado en 2014, llegó a una conclusión más simple: la confianza de que los votos no fueran alterados no podía ser asegurada, y la conveniencia no entregó la ganancia promisoria de participación. A veces la respuesta correcta es detenerse y esperar por un sistema que realmente resuelva el problema.

La pregunta que ninguna respuesta ha cerrado

Aquí está lo que permanece sin resolver, expresado con la máxima claridad.

El sistema de papel y conteo manual de Alemania es el método de votación más legible para ciudadanos disponible. Pero no es verificable de forma independiente en un sentido formal: un conteo manual puede estar equivocado por un margen pequeño, una cadena de custodia puede ser rota sin dejar evidencia obvia, y el ciudadano viendo el conteo está confiando en que la bolsa sellada que ven es la que contiene las papeletas correctas.

El sistema i-voting de Estonia es audaz y, en algunos aspectos, más ambicioso que cualquier cosa que Alemania intentó. Pero el equipo de investigadores de 2014 concluyó que un atacante sofisticado podría alterar el voto nacional en línea sin detección. Las autoridades cuestionaron eso. Ni las autoridades ni los investigadores pueden probar que el otro esté equivocado de una manera que un ciudadano no experto pueda verificar de forma independiente — que es, por supuesto, exactamente el problema que la Corte Constitucional Alemana identificó en 2009.

La brecha que ninguno de los dos países ha cerrado es esta: un sistema de votación que produce, para cada elección, un registro público, legible por máquina, verificable criptográficamente que cualquier persona con una laptop y tiempo puede verificar contra el resultado anunciado — sin confiar en el software, el proveedor, los funcionarios, o la seguridad de ningún experto.

Ese sistema existe en la literatura de investigación. Nunca ha sido desplegado a escala nacional en una elección vinculante con esas propiedades completamente intactas.

Hasta que lo sea, la elección entre Alemania y Estonia es una elección entre dos tipos de confianza — confianza en el proceso legible por ciudadanos que puedes ver, y confianza en la prueba legible por expertos que no puedes seguir completamente. Ambas son mejores que nada. Ninguna es el fin del argumento.

La próxima vez que un funcionario te diga que una elección fue verificada, pregunta: ¿verificada por quién, contra qué registro, de una manera que yo pudiera verificar por mí mismo?

Si la respuesta requiere confiar en alguien, el trabajo no está terminado.

Ver cuán común es esta brecha de verificación en todo el mundo — país por país, método por método → Atlas

Lee la versión de dos minutos de por qué la verificabilidad no es lo mismo que la seguridad → Simple

Explora casos documentados donde la brecha entre resultados anunciados y resultados verificables importó → Brechas

Fuentes

Ver todos los artículosExplora las brechas