← Todos los artículos

¿Y si el público, no un proveedor, fuera dueño del software que cuenta tu voto?

El Condado de Los Ángeles construyó el primer sistema de recuento de votos de código abierto y propiedad pública certificado en California — y aún así no resuelve el problema más difícil. Aquí está lo que prueba y lo que no.

Es 21 de agosto de 2018, y la oficina de la Secretaría de Estado de California acaba de certificar algo que nunca ha existido antes en la historia del estado: un sistema de recuento de votos que ninguna empresa privada posee.

El software que contará los votos de aproximadamente 5.7 millones de votantes registrados en el Condado de Los Ángeles — la jurisdicción electoral más grande de Estados Unidos — pertenece al público. Su código fuente no es un secreto comercial encerrado en la sala de servidores de un proveedor. En principio, cualquier ingeniero calificado puede leerlo, inspeccionarlo, y decirte qué hace.

Ese es un momento genuinamente significativo. También es el comienzo de una conversación más difícil.

El problema que hizo necesario VSAP

Para entender por qué la propiedad pública del software electoral importa, necesitas entender qué ha producido la propiedad privada.

En 2006, investigadores de Princeton Ariel Feldman, J. Alex Halderman, y Edward Felten obtuvieron una máquina de votación Diebold AccuVote-TS — una de las máquinas de votación con pantalla táctil más ampliamente desplegadas en América — y pasaron aproximadamente un minuto con ella. Eso fue suficiente. Demostraron que un atacante con acceso físico breve podría instalar código malicioso que robara votos mientras alteraba cada registro interno y contador para que se vieran normales. Incluso construyeron una versión que se propagaba automáticamente de máquina a máquina. El software que ejecutaba esa máquina era propietario. Nadie fuera de Diebold podía inspeccionarlo. Cuando los investigadores finalmente obtuvieron uno, los resultados no fueron tranquilizadores.

El modelo propietario crea un problema estructural: no puedes verificar independientemente lo que no puedes ver. La afirmación de un proveedor de que su código es seguro no es evidencia de que sea seguro. Una certificación gubernamental que depende de la propia documentación del proveedor no es una auditoría independiente. Un funcionario que dice "lo probamos" no es lo mismo que el público pueda probarlo.

En 2005, la Oficina de Contabilidad General del Gobierno de Estados Unidos examinó la seguridad y confiabilidad de los sistemas de votación electrónica y encontró que actividades clave seguían siendo incompletas — incluyendo el establecimiento de procedimientos de certificación adecuados y repositorios para software certificado. Esto fue años después de que el Congreso aprobara la Help America Vote Act y financiara una agencia completa para supervisar estos sistemas. El aparato para verificar que las máquinas de votación funcionaran como se afirmaba aún estaba siendo ensamblado.

"Usamos sistemas certificados" es una afirmación. No es una verificación.

Lo que el Condado de LA realmente construyó

El programa Voting Solutions for All People — VSAP — nació de la frustración con exactamente esta dinámica. Las máquinas de votación con pantalla táctil Sequoia AVC Edge del Condado de Los Ángeles se estaban acercando al final de su vida, y el mercado de sistemas de reemplazo estaba dominado por un puñado de proveedores privados cuyo software estaba protegido como propietario. El condado decidió construir el suyo propio.

El resultado, certificado por la Secretaría de Estado de California el 21 de agosto de 2018, fue VSAP Tally Versión 1.0 — el primer sistema electoral certificado de California en usar tecnología de código abierto y, en palabras del estado mismo, "el primer sistema de recuento de votos de código abierto y propiedad pública certificado conforme a los estándares de sistemas electorales de California."

El condado también estableció un grupo de trabajo de código abierto destinado a permitir que otras jurisdicciones se basaran en la base de código de propiedad pública. La visión era un bien común: software electoral que perteneciera al proceso democrático en sí, no a la hoja de balance de ninguna empresa.

Eso es arquitectónicamente diferente de todo lo que vino antes en California. Elimina una capa de opacidad que los sistemas propietarios hacen inevitable. Y importa.

Pero vale la pena ser preciso sobre lo que realmente cambia — y lo que no.

El código abierto elimina un problema. No elimina el problema.

Aquí está lo que el software de votación de código abierto genuinamente logra: significa que el software que cuenta tu voto puede ser leído, analizado, y criticado por cualquiera con las habilidades para hacerlo. Investigadores de seguridad, académicos, proveedores rivales, gobiernos extranjeros, ciudadanos curiosos — todos ellos pueden, en principio, inspeccionar el código y decirte si algo anda mal.

Esto no es algo pequeño. Es exactamente cómo Suiza descubrió una falla devastadora en su sistema de votación electrónica postal en 2019. Cuando Swiss Post publicó el código fuente del sistema de votación por internet construido por Scytl antes del uso planeado en votos vinculantes, investigadores independientes Sarah Jamie Lewis, Olivier Pereira, y Vanessa Teague lo analizaron y encontraron una puerta trasera criptográfica: una falla en la prueba de barajado que permitiría a una autoridad generar una transcripción que se viera matemáticamente válida mientras silenciosamente había alterado votos. El sistema afirmaba ser universalmente verificable. No lo era. Swiss Post retiró el sistema. La falla fue encontrada porque la fuente era pública.

Un sistema cerrado no puede ser atrapado de esta manera. La puerta trasera permanece oculta hasta que alguien con acceso interno decide — o es pagado para — revelarlo.

Pero el código abierto es una condición inicial, no una meta final.

Considera qué aún tiene que ser cierto para que un sistema de votación de código abierto sea confiable:

Primero, el código que se ejecuta el día de las elecciones debe ser realmente el código que fue publicado. El software de código abierto es inspectable. El binario compilado ejecutándose en una máquina específica en una noche específica es un artefacto diferente. Si no puedes verificar que el código fuente publicado y el programa en ejecución son los mismos — a través de hashes criptográficos verificados contra el código publicado, sellados antes del despliegue y verificados después — entonces publicar la fuente es un gesto de transparencia, no una garantía.

Segundo, la cadena de custodia física aún gobierna lo que el software cuenta. Una papeleta que es intercambiada, perdida, o duplicada antes de llegar al escáner no le importa cuán abierto sea el software de recuento. Cuando la Corte Constitucional Austriaca anuló una elección presidencial en 2016, no fue porque el software estuviera mal — fue porque aproximadamente 77,000 votos postales habían sido manipulados antes de lo que la ley permitía, por personas no autorizadas, sin testigos requeridos. Aproximadamente 30,000 votos separaban a los candidatos. El software podría haber sido perfecto y el resultado aún habría sido inverificable, porque la cadena física fue quebrantada. Ninguna cantidad de código de código abierto arregla una bolsa sellada abierta en la sala equivocada a la hora equivocada por las personas equivocadas.

Tercero, auditar el resultado aún requiere un registro físico que el software no puede falsificar. Un sistema de recuento de código abierto que produce solo un número digital — sin rastro de papel verificado por el votante, sin artefacto independientemente verificable — aún te deja confiando en el resultado de la máquina. La Corte Constitucional Federal Alemana capturó esto en su sentencia histórica de 2009: una elección es legítima solo cuando "los pasos esenciales de la votación y de la determinación del resultado pueden ser examinados por el ciudadano de manera confiable y sin ningún conocimiento especializado del tema." Leer código fuente requiere conocimiento especializado. Contar papeletas de papel no.

La auditoría aún tiene que ocurrir — y aún conlleva error

El código abierto hace que el sistema sea inspectable antes de la elección. Las auditorías hacen que el resultado sea verificable después.

Ambos importan. Ninguno por sí solo es suficiente.

El recuento manual completo de Georgia en 2020 de aproximadamente cinco millones de papeletas confirmó el resultado tabulado por máquina dentro de aproximadamente una décima de uno por ciento — una demostración poderosa de lo que el papel marcado por votantes más un proceso de auditoría serio pueden lograr. Colorado se convirtió en el primer estado en completar una auditoría de limitación de riesgo a nivel estatal en 2017, incorporando rigor estadístico que las verificaciones de spot de porcentaje fijo no pueden lograr.

Pero las auditorías tienen límites que rara vez se discuten honestamente.

En el Condado de Antrim, Michigan, en 2020, un recuento manual destinado a verificar resultados corregidos de máquina difirió del total de máquina por aproximadamente una docena de votos de aproximadamente 15,700 emitidos. No por fraude. No por software. Porque contar manualmente lo hacen humanos a las 2 de la mañana bajo luces fluorescentes, leyendo marcas que a veces son ambiguas, aplicando juicios que varían de mesa a mesa. El recuento manual es el estándar de oro — y el estándar de oro aún está fuera por una docena de votos en un condado pequeño.

En una carrera decidida por menos votos que eso, "el recuento manual lo confirmó" es una tranquilidad. No es prueba.

En Windham, Nueva Hampshire, una auditoría forense ordenada por el estado rastreó un recuento significativo a dobleces a través de objetivos de votos de papeleta — una máquina plegadora que creó líneas en papeletas de votación ausente a través de los óvalos de objetivos, que los escáneres ópticos leyeron como votos marcados. Sin malware. Sin fraude. Una interacción mecánica entre una máquina plegadora arrendada y el sistema óptico de un escáner de papeletas, produciendo errores en los cientos. Detectado solo porque el papel existía y un recuento manual podía recuperar la intención del votante.

La lección no es "el papel falla." La lección es que cada método — máquina, recuento manual, o escáner óptico — conlleva error irreducible, y el único sistema honesto es uno donde esos errores puedan ser independientemente atrapados y medidos, no solo tranquilizados por funcionarios.

Lo que "propiedad pública" aún no puede decirte

Aquí está la pregunta que los arquitectos de VSAP no podían responder completamente solo haciendo el código público: ¿quién lo verifica, con qué frecuencia, y con qué independencia?

Publicar código fuente es necesario. No es suficiente a menos que alguien realmente lo lea — adversarialmente, con el objetivo de encontrar qué está mal en lugar de confirmar qué se ve bien. La Corte Electoral Superior de Brasil invita al público a atacar sus máquinas de votación en una prueba de seguridad oficial anual, con probadores externos calificados presentando planes de prueba aprobados y los hallazgos usados para mejorar los sistemas antes de cada elección. Esa es revisión adversarial institucionalizada — no una certificación, un desafío continuo. Es un modelo donde "confía en nosotros" es reemplazado por "intenta romperlo."

Washington D.C. descubrió algo similar, de la manera difícil, en 2010: cuando el Distrito abrió un piloto de retorno de voto por internet a prueba pública antes del despliegue, un equipo de la Universidad de Michigan ganó control casi completo del servidor en aproximadamente 48 horas, cambió todas las papeletas que habían sido emitidas, y pasó desapercibido durante días. Las vulnerabilidades fueron atrapadas porque la prueba fue abierta y real. El sistema nunca fue usado para votación en vivo. La prueba adversarial pública — no la certificación privada — es lo que protegió a los votantes de D.C.

El grupo de trabajo de código abierto de VSAP y el repositorio de código público son pasos en esta dirección. Pero un repositorio de código no es lo mismo que un programa de prueba adversarial institucionalizado con hallazgos públicos, remediación obligatoria, y confirmación independiente.

La pregunta que vale la pena presionar: ¿ha sido la versión en ejecución de VSAP Tally probada independiente y adversarialmente por partes sin relación financiera con el condado o ningún proveedor? ¿Ha sido hecho público cada plan de prueba y sus hallazgos? No el código — el binario específico que ejecutó la última elección, los registros de cadena de custodia para cada tarjeta de memoria, los valores hash publicados antes de que se abrieran las urnas.

Esas no son preguntas retóricas. Son la lista de verificación que separa "código abierto" de "independientemente verificable."

La línea continua de 2000 a hoy

La Help America Vote Act se aprobó en 2002 como respuesta federal a la elección de 2000, en la que la Corte Suprema encontró que papeletas de perforación idénticas estaban siendo evaluadas de manera diferente por diferentes escrutadores en diferentes condados — chads hundidos contados aquí, rechazados allá — sin estándar uniforme y previamente publicado para leer la intención del votante. El problema no era fraude. Era ambigüedad incorporada en el sistema, resuelta por juicio humano aplicado inconsistentemente, produciendo un resultado que dependía de quién estuviera contando en qué sala.

HAVA financió nuevo equipo y creó la Comisión de Asistencia Electoral. Movió los requisitos de sistemas electorales hacia una línea de base federal. Lo que no hizo — y lo que la GAO documentó tres años después — fue construir el aparato completo para verificación independiente. Los estándares y la certificación son solo tan fuertes como la institución que los refuerza, y esa institución aún estaba siendo ensamblada.

VSAP es un enfoque diferente. Dice: en lugar de pedirte que confíes en el proveedor, te pedimos que leas el código. Eso es progreso. No es el destino.

El destino es un sistema cuya corrección cualquier ciudadano puede verificar — no siendo ingeniero de software, sino porque la cadena de evidencia de papeleta a resultado es a prueba de manipulación, legible por máquina, y publicada a nivel de precinto el momento que termina el recuento.

El software de recuento de código abierto es un ladrillo en esa pared. Los registros de papel verificados por votante son otro. Auditorías adversariales rutinarias e independientes — no verificaciones internas — son un tercero. Los compromisos criptográficos que prueban que el código publicado es el código en ejecución son un cuarto. Resultados en tiempo real, a nivel de precinto, legibles por máquina que cualquiera puede descargar y reconciliar independientemente son un quinto.

El Condado de LA construyó algo genuinamente importante. También construyó algo que aún puede ser obscurecido por una sala sellada, una cadena de custodia quebrantada, o un binario compilado que nadie verificó contra la fuente publicada.

El argumento para VSAP es el mismo argumento que siempre ha estado disponible: la transparencia vence al secreto. Lo abierto vence a lo cerrado. Lo inspectable vence a confía-en-mí. Lo que no es es completo. Y 'completo' es el único estándar que permite al público — no a un proveedor, no a una Secretaría de Estado, no a un juez — confirmar que el recuento es correcto.

Lo que aún no puede ser verificado independientemente: si los binarios compilados específicos que se ejecutaron en máquinas VSAP en cualquier noche electoral fueron criptográficamente verificados contra el código de código abierto publicado antes de que se abrieran las urnas, y si esos registros de verificación están disponibles públicamente en forma legible por máquina. Lo que lo haría verificable: un requisito de publicación de hash obligatorio antes de la elección, prueba adversarial pública con hallazgos publicados, y resultados legibles por máquina a nivel de precinto publicados el momento que cada recuento de precinto se completa — para que cualquiera pueda reconciliarlos.

Ve cómo la brecha de código fuente secreto se desarrolla en todo el mundo →

Lee la versión de dos minutos del problema de verificabilidad →

Explora nuestra base de datos de casos completa →

Fuentes

Ver todos los artículosExplora las brechas