← Todos los artículos

Por qué un registro en papel no es suficiente por sí solo

Un profesor de Princeton conectó una máquina de votación real a su banco de laboratorio en 2006 y demostró que podía robar una elección sin dejar ni una sola huella rastreable — y el papel tampoco la habría salvado.

Les tomó a Ariel Feldman, J. Alex Halderman y Edward Felten aproximadamente un minuto.

Un minuto de acceso físico a una máquina de votación real Diebold AccuVote-TS — del tipo que contabilizó millones de votos estadounidenses a mediados de los años 2000 — y los investigadores de Princeton habían instalado código malicioso que podía redistribuir silenciosamente votos entre candidatos. El código alteraba todos los contadores internos, registros y datos para mantener la consistencia interna. No dejaba huella. Incluso podía propagarse de máquina en máquina automáticamente, como un resfriado que se propaga por una oficina, durante las rutinas ordinarias de configuración previa a las elecciones.

Publicaron sus hallazgos en 2006. Las máquinas seguían en uso.

Aquí está la parte que debería detenerte: cuando este tipo de manipulación se planteó como una preocupación, la seguridad estándar era que estas máquinas eventualmente serían reemplazadas por sistemas con un registro en papel. Problema resuelto, caso cerrado.

Excepto que no lo es. Ni por asomo.

La mentira reconfortante que nos contamos sobre el papel

El papel es bueno. Una papeleta física que un votante ha marcado y verificado es genuinamente mejor que una pantalla táctil sin papel. Nadie serio lo discute. La carrera del Condado Sarasota, Florida en 2006 terminó con 18,000 votos faltantes y un margen de 369 — y porque esas pantallas táctiles no produjeron ningún registro en papel, no había literalmente nada independiente para recontar. El papel habría sido mejor que eso. Punto final.

Pero aquí está lo que el marco de "el papel lo arregla" silenciosamente omite: un registro en papel solo protege una elección si alguien está obligado a verificarlo, y si esa verificación puede cambiar realmente el resultado certificado.

Esas dos condiciones — requerida y vinculante — no son la norma en la mayoría de los lugares. Son la excepción. Y sin ambas, el papel que está en esas bolsas selladas después de la noche electoral es un accesorio, no una salvaguarda.

Lo que la máquina de Princeton realmente demostró

Vuelve a esa Diebold AccuVote-TS. Feldman, Halderman y Felten no solo estaban demostrando una vulnerabilidad teórica. Construyeron un virus real de robo de votos en hardware real. El ataque era indetectable por cualquier registro de auditoría interna porque el ataque controlaba los registros de auditoría interna.

Ahora imagina que esa máquina también hubiera impreso un registro en papel de cada voto conforme era emitido — una llamada Pista de Auditoría de Papel Verificada por el Votante, o VVPAT. ¿Habría detenido eso el ataque?

Solo si alguien comparaba el papel con los totales de la máquina. Solo si esa comparación era legalmente requerida, no opcional. Solo si una discrepancia habría desencadenado una investigación vinculante en lugar de un comunicado de prensa. Y solo si la muestra de papeletas examinadas era lo suficientemente grande para tener una real oportunidad estadística de detectar una manipulación de carrera cerrada.

En la mayoría de los estados que desplegaron esas máquinas, ninguna de esas condiciones se cumplía. El papel habría sido impreso, embolsado, sellado y cerrado en una sala de almacenamiento a menos que alguien demandara para abrirlo. Un registro en papel que nadie está obligado a seguir es solo reciclaje costoso.

Esta es la brecha que el estudio de Princeton realmente expuso — no meramente que una máquina podía ser pirateada, sino que toda la arquitectura de verificación que la rodeaba estaba hueca. La máquina era no auditable por diseño, y los sistemas políticos y legales que la rodeaban no estaban exigiendo que fuera auditada en absoluto.

La noche que todo el sistema de votación del Condado Coffee salió por la puerta

El 7 de enero de 2021 — el día después de que el Congreso estaba programado para certificar la elección presidencial — una firma de informática forense fue dejada entrar en la oficina de elecciones del Condado Coffee, Georgia. Lo que copiaron no era solo uno o dos archivos.

Se llevaron el servidor del Sistema de Gestión Electoral. Tablets de votación. Dispositivos marcadores de papeletas. El escáner. Y el software de votación Dominion estatal de Georgia.

Todo. Un condado. Un día.

La oficina del Secretario de Estado de Georgia lo llamó acceso no autorizado que antiguos funcionarios del condado habían permitido en violación de la ley estatal. El episodio está documentado en deposiciones presentadas en el caso federal Curling v. Raffensperger. Varias personas conectadas a él posteriormente se declararon culpables de cargos relacionados con el esfuerzo más amplio para revertir los resultados de 2020 de Georgia.

Aquí está lo que el episodio del Condado Coffee deja visceralmente claro: el modelo de seguridad que decía "el software es propietario y por lo tanto seguro" murió en esa oficina el 7 de enero. El secreto no es una arquitectura de seguridad. Una vez que alguien con las llaves te deja entrar por la puerta, el secreto está fuera — y en este caso, el software luego se propagó más allá del Condado Coffee completamente.

Pero aquí está la parte que se conecta directamente con la pregunta del registro en papel: Georgia sí usa papeletas de papel. Tiene papel. Realizó un enorme recuento manual de casi 5 millones de papeletas presidenciales en 2020. El papel existe.

El incidente del Condado Coffee ocurrió de todas formas — porque el papel protege el recuento, no el entorno de software, y no la cadena de custodia del sistema que genera y marca esas papeletas en primer lugar. Si tu dispositivo marcador de papeletas ha sido comprometido, el papel que imprime puede registrar fielmente lo que el dispositivo comprometido le dijo que imprimiera. El papel es tan confiable como el proceso que lo creó — y ese proceso vivía en servidores que acababan de ser copiados y sacados de una oficina de elecciones en un pequeño condado de Georgia.

Cuando no se permite que la auditoría importe

Concedamos que tienes papeletas de papel, marcadas honestamente por votantes que las verificaron antes de dejar la cabina. Aún no estás protegido a menos que la auditoría sea vinculante.

Aquí es donde la brecha de "auditoría no vinculante" se vuelve concreta. Varios estados y jurisdicciones han aprobado requisitos de auditoría poselectoral que se ven rigurosos en papel — una muestra aleatoria de distritos, un recuento manual, una comparación — pero no incluyen ningún mecanismo para que la auditoría cambie el resultado certificado. La auditoría se reporta. Se notan las discrepancias. Y luego el resultado certificado se mantiene.

Piensa en lo que eso significa en la práctica. Si tu auditoría es legalmente no vinculante, entonces lo que realmente proporciona es una forma para que los funcionarios digan "hicimos la auditoría" mientras la auditoría no puede, bajo ningún escenario, afectar el resultado de la elección. El acto de auditar se convierte en un ejercicio de comunicaciones — un ritual que confiere legitimidad sin proporcionar responsabilidad.

Compáralo con lo que Colorado construyó. A partir de 2017, Colorado se convirtió en el primer estado en completar una auditoría limitada por riesgo estatal — un proceso que dimensiona estadísticamente la verificación manual al margen de la carrera. ¿Carrera cerrada? Examina más papeletas. ¿Carrera unilateral? Se necesitan menos papeletas. La característica clave: si la auditoría no confirma el resultado reportado al nivel de confianza requerido, continúas. Examinas más papel. Las matemáticas no te permitirán parar temprano y llamarlo listo.

Eso es lo que se ve "vinculante". La auditoría tiene dientes porque controla si el resultado se sostiene.

Sin esa estructura, el papel es un objeto de consuelo.

La lección difícil del Condado Antrim y sus doce votos perdidos

En diciembre de 2020, después de que el Condado Antrim, Michigan publicó resultados preliminares salvajemente incorrectos — resultados tan implausibles para un condado confiablemente republicano que fueron detectados casi inmediatamente — se realizó una auditoría manual completa. Cada papeleta presidencial, manualmente. El Departamento de Estado de Michigan certificó el resultado.

Pero aquí está el número que tiende a ser silenciosamente dejado de lado en los titulares celebratorios de "la auditoría lo confirmó": el recuento manual aún difería de la tabulación por máquina por alrededor de una docena de votos de aproximadamente 15,700 emitidos.

Doce votos. En una auditoría manual completa, cuidadosa y legalmente supervisada.

Ahora: en el Condado Antrim en 2020, doce votos no era un problema. El margen presidencial a nivel de condado no estaba cerrado, y ninguna carrera que importara fue decidida por doce votos en Antrim. El error era irrelevante para el resultado.

Pero piensa cuidadosamente sobre lo que "irrelevante para el resultado" está haciendo en esa oración. Está soportando carga. El recuento manual es solo reconfortante porque el margen fue lo suficientemente grande que el propio error del recuento manual no importaba. Si el margen real hubiera sido ocho votos, el recuento manual — el estándar de oro, la cosa que sostenemos como prueba — no podría decirte quién ganó. El mismo método utilizado para verificar el resultado es en sí incierto por aproximadamente el mismo número de votos que la carrera siendo decidida.

La cuenta de FactCheck.org de Antrim correctamente se enfoca en desmentir las teorías de conspiración — no hay evidencia de piratería o manipulación — pero la discrepancia de doce votos susurra algo que el titular reconfortante no dice: incluso los recuentos manuales honestos y bien realizados tienen un error irreducible. Siempre lo tendrán. Las papeletas tienen marcas ambiguas. Los contadores cometen errores. La adjudicación implica decisiones de criterio que dos personas diferentes decidirían de manera diferente.

"La auditoría lo confirmó" es un reconfortamiento. En una carrera decidida por un puñado de votos, usando un método que es en sí mismo incierto por un puñado de votos, no puede ser prueba.

Lo que realmente haría esto verificable

Aquí está la versión honesta de lo que una verdadera arquitectura de verificación requiere. No confianza — verificabilidad.

Primero: papel que los votantes realmente verificaron. No papel impreso por una máquina y nunca examinado por el votante, sino una papeleta o registro en papel que el votante leyó y confirmó antes de ser emitida. Esta es la capa fundacional en la que todo lo demás depende.

Segundo: auditorías que son requeridas por ley, no opcionales. Si la auditoría solo ocurre cuando un candidato la solicita, u solo cuando una carrera está lo suficientemente cerrada para que un candidato pueda permitirse las honorarios legales para exigir una, entonces en la mayoría de las elecciones, en la mayoría de los años, en la mayoría de las jurisdicciones, no hay auditoría. El papel se queda en almacenamiento hasta que se destruye.

Tercero: auditorías que están dimensionadas estadísticamente al margen. Una verificación de porcentaje fijo — "miramos el 3% de los distritos" — proporciona evidencia muy débil en una carrera cerrada. Una auditoría limitada por riesgo, dimensionada al margen, proporciona confianza estadística definida. Hay una diferencia significativa entre "verificamos algunas cosas" y "hay una probabilidad del 97% de que el ganador reportado realmente ganó."

Cuarto: auditorías que pueden cambiar el resultado. Si la auditoría encuentra una discrepancia y la ley dice "anótala y certifica de todas formas," tienes un registro en papel y tienes una auditoría y tienes nada. La cadena es solo tan fuerte como su eslabón más débil, y una auditoría no vinculante es un eslabón roto.

Quinto — y aquí es donde la verificabilidad criptográfica entra en la imagen — la verificación no debería depender completamente de confiar en los humanos que la ejecutan. Los investigadores de Princeton demostraron que una máquina puede manipular sus propios registros. El Condado Coffee mostró que el software propietario puede ser robado, propagado y permanecer oculto dentro de sistemas de caja negra durante meses. El recuento manual en Antrim mostró que los contadores humanos introducen sus propios errores.

La salida de este laberinto no es encontrar un funcionario más confiable. Es construir sistemas donde el público — cualquier miembro del público, sin acceso especial — puede independientemente verificar que su voto fue incluido, sin cambios, en el conteo final. Eso es lo que la votación verificable de extremo a extremo y las pistas de auditoría criptográficas están diseñadas para hacer. No para reemplazar el papel, sino para hacer que la verificación sea genuinamente independiente de las personas que dirigen la elección.

La pregunta que debería mantenerte despierto por la noche

Después de cada elección, los funcionarios publican declaraciones confirmando que se realizaron auditorías y se certificaron los resultados. La mayoría de esas declaraciones probablemente sean precisas. Las personas que dirigen elecciones en la mayoría de los lugares son funcionarios civiles concienzudos haciendo un trabajo difícil y mal pagado.

Pero "el Secretario de Estado dice que se confirmó" es una afirmación. No es verificación. Toda la arquitectura de la legitimidad democrática descansa en la posibilidad de que el funcionario que dirige la elección pueda estar equivocado — o, en el peor de los casos, podría no ser neutral. Esa posibilidad no es paranoia; es la premisa que hace necesarias las verificaciones independientes en primer lugar.

Un registro en papel que nadie está obligado a verificar no puede detectar un ataque de software como el que Princeton demostró. No puede detectar lo que sucedió en el Condado Coffee. No puede resolver una carrera decidida por menos votos que el margen de error del recuento manual en sí.

Lo que no puedes verificar, solo puedes confiar. Y la confianza no es una arquitectura de seguridad.

El papel en esas bolsas selladas después de la noche electoral es necesario. No es suficiente. La brecha entre esas dos palabras es donde viven actualmente la mayoría de las elecciones estadounidenses — y es una brecha que una ley de auditoría más fuerte, rigor estadístico y sistemas verificables criptográficamente podrían cerrar.

La mayoría de los lugares aún no la han cerrado.

Mira cuán común es la brecha de 'auditoría no vinculante' y 'sin papel para recontar' entre jurisdicciones — o lee la versión de dos minutos de por qué el papel solo no es suficiente. Si quieres profundizar sobre lo que una auditoría limitada por riesgo realmente prueba (y no prueba), hemos mapeado las brechas de verificación central aquí.

Fuentes

Ver todos los artículosExplora las brechas