← Todos los artículos

Por qué votar en línea es mucho más difícil que hacer banca en línea

Tu banco te permite verificar cada transacción. Tu voto desaparece por diseño — y en el momento en que alguien intenta arreglarlo, le entrega a los compradores de votos el recibo que siempre han querido.

Es marzo de 2019, y en algún lugar de las oficinas de Swiss Post en Berna, se está tomando una decisión que parece ser un triunfo de la transparencia democrática. La autoridad postal federal de Suiza y su proveedor español, Scytl, están a punto de publicar el código fuente completo de su sistema de votación por internet — el que está programado para referéndums nacionales vinculantes. Cualquiera puede leerlo. El público puede verificarlo. Los ingenieros están orgullosos.

Seis semanas después, tres investigadores independientes — Sarah Jamie Lewis, Olivier Pereira y Vanessa Teague — publican un artículo con un título tomado de Magritte: Ceci n'est pas une preuve. "Esto no es una prueba."

Habían encontrado una puerta trasera enterrada en la mezcla criptográfica del sistema. Las matemáticas generaban una "prueba" de que todos los votos habían sido contados correctamente. La prueba se verificaba. Pasaba cada verificación. Y era una mentira — porque cualquiera que conociera los valores de la puerta trasera podría generar una prueba válida que pasara la verificación mientras reorganizaba silenciosamente los votos debajo de ella. El punto completo de la afirmación de "verificabilidad universal" del sistema era que no tenías que confiar en nadie. Esa afirmación era falsa.

Swiss Post y Scytl reconocieron el hallazgo. El sistema fue suspendido.

Esta es la versión más clara del problema. Pero no es la única. Y ni siquiera es la más difícil. El problema más profundo con la votación por internet no tiene nada que ver con criptografía. Tiene que ver con una restricción de diseño que predatea las computadoras por 170 años.

Por qué tu banco y tu urna están construidos de manera diferente

Cuando verificas el saldo de tu cuenta bancaria, estás leyendo un número que tu banco es feliz de que veas. Cuando disputas una transacción, tu banco produce un registro — con marca de tiempo, atribuible a ti — y puedes verificar que coincida. Puedes llamar a tu banco. Puedes mostrar el registro a un abogado. El sistema completo está diseñado alrededor de una suposición: la transacción es rastreable hasta ti.

Eso es precisamente lo que una papeleta no puede ser.

El voto secreto — inventado en Australia en los años 1850 y adoptado en las democracias durante el siglo siguiente — no fue una cortesía de privacidad. Era un sistema de seguridad. La Comisión Electoral Australiana registra la lógica claramente: porque la gente votaba públicamente, eran vulnerables a la intimidación y coerción. La solución era una papeleta uniforme impresa por el estado marcada en privado, sin ningún vínculo entre el papel y la persona que la marcó. Gran Bretaña formalizó el mismo principio en la Ballot Act de 1872, terminando la era de la votación abierta específicamente para colapsar el mercado de compradores de votos. Una corte federal estadounidense lo expresó en lenguaje moderno claro en Rideout v. Gardner (2016): las reformas de voto secreto se adoptaron para "combatir la compra de votos y la intimidación de votantes generalizadas" — porque un comprador no puede hacer cumplir una compra que no puede verificar.

Aquí está la colisión estructural: un recibo bancario hace una transacción comprobable; un recibo de voto hace un voto comprable.

Si pudieras fotografiar tu papeleta marcada y enviarla a alguien para probar cómo votaste, habrías entregado a cada empleador, jefe político, autoridad religiosa u operativo de sobre con efectivo exactamente el mecanismo de ejecución que necesitan. La corte en Rideout anuló una prohibición de "selfis" de papeletas por razones de la Primera Enmienda — pero reconoció el mecanismo explícitamente. La fotografía restaura la prueba de compra.

Entonces cuando alguien propone votación por internet y dice "le daremos a los votantes un recibo para verificar que su voto fue contado," están proponiendo, en el mismo aliento, una infraestructura de compra de votos. Y cuando dicen "lo haremos anónimo para que nadie pueda probar su voto a un tercero," están proponiendo un sistema donde el votante no puede confirmar independientemente que su elección fue registrada en absoluto. No puedes tener ambos. La física no lo permite.

Esta es la tensión fundamental. Todo lo demás es una variación sobre este tema.

El experimento de 48 horas que mató un programa piloto

En septiembre de 2010, la Junta Electoral del Distrito de Columbia decidió ejecutar un sistema de devolución de papeletas por internet para votantes en el extranjero y militares. Antes de desplegarlo para papeletas reales, lo abrieron a pruebas públicas. Buen instinto.

Un equipo de la Universidad de Michigan dirigido por J. Alex Halderman encontró una vulnerabilidad de software y obtuvo control casi completo del servidor piloto en aproximadamente 48 horas. Podrían cambiar cada papeleta que había sido emitida. Podrían ver papeletas secretas. Como demostración, programaron el sistema para tocar la canción de lucha de la Universidad de Michigan después de cada voto simulado. La intrusión pasó desapercibida por los funcionarios durante días.

D.C. abandonó el plan. El artículo revisado por pares fue publicado en Financial Cryptography 2012.

La lección que los funcionarios sacaron fue: la votación por internet falló una prueba de seguridad. La lección más profunda es lo que esa prueba demostró era posible: cuando la seguridad de un sistema descansa en software oculto a la revisión adversaria, la única forma de saber si se mantiene es dejar que los adversarios intenten romperlo. Washington hizo lo correcto al abrir el programa piloto. El resultado fue un defecto detectado en lugar de una elección robada.

La mayoría de los despliegues no son probados de esta manera. La mayoría simplemente se ponen en vivo.

280,000 votos ya emitidos antes de que alguien notara el agujero

Marzo de 2015. Nueva Gales del Sur está en medio de las elecciones. El sistema iVote en línea del estado ya ha recolectado aproximadamente 280,000 votos cuando J. Alex Halderman y Vanessa Teague se sientan a analizar el sistema en funcionamiento desde afuera.

Encuentran que iVote carga código desde un servidor de análisis externo sobre una conexión vulnerable a debilidades de TLS entonces conocidas — el tipo de defectos siendo explotados activamente ese año bajo nombres como FREAK y Logjam. Un atacante de red posicionado entre un votante y el servidor podría haber manipulado votos y comprometido la privacidad de la papeleta. También encuentran que el servicio de verificación de voto telefónico de iVote — la característica diseñada para permitir que los votantes confirmen su papeleta — es en sí mismo susceptible a manipulación.

La revisión de seguridad previa a las elecciones de las autoridades había aprobado el sistema. Los investigadores encontraron estos problemas durante una elección en vivo, después de que un cuarto de millón de votos ya estaban dentro. Se desplegó una corrección mientras la votación aún estaba en curso.

El análisis revisado por pares fue publicado en E-Vote-ID 2015. La Comisión Electoral de NSW disputó el alcance del riesgo, como las autoridades tienden a hacer.

Nota qué fue realmente el mecanismo de verificación: un servicio telefónico que en sí mismo podría ser manipulado. Este es el problema del recibo en su forma más concreta. No puedes verificar que tu voto fue registrado correctamente consultando el mismo sistema que podría haberlo alterado. Cualquier recibo generado por un sistema comprometido es un recibo de la mentira, no de la verdad. La única verificación significativa es la conducida por una parte independiente que puede inspeccionar el mecanismo — no la salida del mecanismo en sí.

La puerta trasera en la prueba

Vuelve a Suiza en 2019. Lo que hace ese caso tan esclarecedor no es que el sistema estuviera roto de una manera obvia. Estaba roto de una manera que era matemáticamente indistinguible de lo correcto.

Los investigadores — Lewis, Pereira y Teague — encontraron que la red de mezcla del sistema usaba un esquema de compromiso de puerta trasera para su prueba de mezcla. Una red de mezcla es cómo los sistemas de votación por internet intentan preservar el anonimato: los votos se mezclan a través de múltiples etapas para que la entrada y salida no puedan ser vinculadas. El sistema entonces genera una prueba criptográfica de que la mezcla fue realizada honestamente y ningún voto fue alterado.

La prueba se verificaba. Las matemáticas se comprobaban. Y la puerta trasera significaba que un iniciado que conociera los valores de la puerta trasera podría generar una prueba perfectamente válida para una mezcla que había cambiado votos.

Esta no es una debilidad teórica. Esto es lo que "verificabilidad universal" se veía en un sistema programado para referéndums nacionales vinculantes. El análisis publicado forzó a Swiss Post y Scytl a reconocer el defecto y suspender el sistema.

El episodio te da la versión más difícil del problema del recibo. Porque incluso si dejamos de lado la compra de votos — incluso si imaginamos un mundo donde un recibo no sería usado para coaccionar a nadie — el recibo en sí podría ser una prueba de un conteo que nunca sucedió, y no hay forma para que el votante sepa la diferencia. La "prueba criptográfica que puedes verificar tú mismo" resultó requerir un doctorado en matemáticas para ser reconocida como falsa.

La Corte Constitucional Federal de Alemania articuló el estándar en 2009 cuando prohibió computadoras de votación electrónica cuyos funcionamientos internos solo expertos podían evaluar: los pasos esenciales de votación y determinación del resultado deben ser examinables por ciudadanos ordinarios, sin conocimiento especializado. Una prueba criptográfica que pasa la verificación mientras oculta votos alterados es precisamente lo que ese estándar está diseñado para excluir.

Estonia: el sistema en el que una nación confía, y lo que los investigadores realmente encontraron

Estonia es el país más citado como prueba de que la votación por internet funciona. Ha ejecutado un sistema de i-voting nacional desde 2005. Millones de estonianos lo han usado. Es genuinamente pionero.

En 2014, un equipo de investigación independiente — Springall, Finkbeiner, Durumeric, Kitcat, Hursti, MacAlpine e Halderman — observó la operación del sistema durante las elecciones municipales de octubre de 2013 y examinó su software cliente publicado y configuración del servidor. Encontraron debilidades serias operacionales y de procedimiento de seguridad: prácticas laxas capturadas en videos oficiales, brechas en la arquitectura del software, y una conclusión de que un atacante bien dotado de recursos — o un iniciado deshonesto — podría plausiblemente comprometer la integridad de los votos o la privacidad del votante sin ser detectado.

Su artículo ACM CCS 2014 recomendó que Estonia discontinuara el sistema. Las autoridades electorales de Estonia disputaron las conclusiones. El sistema aún está en funcionamiento.

Esa disputa es en sí misma el punto. Dos partes acreditadas con acceso al mismo sistema llegaron a conclusiones opuestas sobre si era seguro. En sistemas de papeletas de papel, este argumento puede ser resuelto: abre las cajas selladas, cuenta de nuevo las papeletas, compara. En un sistema de votación por internet con fuertes propiedades de anonimato, el paso "cuéntalas de nuevo" no existe. No hay una pila de papeletas que recontar. Solo hay la salida del software, y la pregunta de si confías en ella.

Noruega intentó votación por internet en 2011 y 2013. Los ensayos fueron discontinuados en 2014 después de encontrar que la participación no aumentó y que la confianza de que los votos no sean alterados no podría ser asegurada. El argumento de conveniencia — la razón principal por la que alguien propone votación por internet — no se sostuvo empíricamente. Y el argumento de verificabilidad colapsó por la misma razón que siempre: no puedes auditar independientemente lo que no existe.

La asimetría real

Tu banco mantiene un libro mayor. El libro mayor es rastreable hasta ti. Si algo sale mal, puedes comparar tus registros con los registros del banco con los registros de un árbitro. La cadena de custodia corre directa desde la transacción hasta tu nombre.

Un sistema de conteo de votos corre en dirección exactamente opuesta. La papeleta debe ser permanentemente separada de la identidad del votante antes de ser contada. La cadena de custodia corre desde la caja sellada hasta el total, con el nombre del votante en ningún lugar de la sala de conteo.

Esos dos requisitos — verificación independiente de lo que fue contado y falta de trazabilidad permanente de quién votó qué — se empujan mutuamente con una fuerza que ninguna arquitectura de software ha disuelto aún.

Los sistemas basados en papel manejan una tregua imperfecta: la papeleta física es el registro verificado por el votante, marcada en privado, depositada anónimamente, almacenada en una caja sellada, y contable por cualquiera que pueda mirar un pedazo de papel. La Comisión Korthals Altes del gobierno holandés de 2007 llamó a esto "votación con confianza" — y luego recomendó volver a ella, desde sistemas electrónicos, porque el papel es lo que la transparencia y verificabilidad realmente parecen en la práctica. Los Países Bajos han usado papel contado a mano desde entonces.

Los sistemas de votación por internet no han encontrado la tregua. El recibo que prueba que tu voto fue contado es también el recibo que prueba cómo votaste. La prueba de que ningún voto fue alterado ya sea se basa en criptografía que la mayoría de los votantes no pueden evaluar — o, como Suiza descubrió, puede ser falsificada por un iniciado con conocimiento matemático que el votante nunca tendrá.

El villano aquí no es un proveedor, un partido, o un gobierno. El villano es la demanda imposible: prueba el conteo sin probar el votante. Ese es el problema que ningún software ha resuelto, y es por qué la analogía bancaria falla en los fundamentos.

Lo que realmente haría esto verificable

Este no es un argumento de que la votación por internet nunca pueda ser mejorada. Es un argumento sobre lo que "mejorado" tendría que significar.

El caso suizo muestra que publicar código fuente es necesario pero no suficiente — el código era público, y el defecto aun así requería tres criptógrafos para encontrar. El caso NSW muestra que la certificación previa a las elecciones no es suficiente — el defecto fue encontrado durante la elección por personas ajenas a la que el proceso de certificación no había incluido. El caso D.C. muestra que la prueba adversaria abierta funciona, pero solo si la prueba es ejecutada antes de que votos reales estén en juego, y solo si las jurisdicciones están dispuestas a matar un sistema cuando la prueba falla.

El caso Estonia muestra que incluso la opinión de expertos impugnada no puede ser resuelta de la manera que un recuento de papeles puede. Y el caso Suiza muestra que una prueba "verificable" puede ser una prueba de una ficción.

Lo que haría la votación por internet verificable — genuinamente verificable por alguien distinto del proveedor, la autoridad, o un criptógrafo en nómina — requeriría como mínimo: código fuente publicado sujeto a revisión adversaria continua; recibos criptográficos que prueben inclusión sin probar elección, verificados contra un tablón de anuncios público que cualquier votante puede consultar; y un mecanismo de auditoría independiente que no dependa del mismo sistema que está auditando. Los investigadores están trabajando en estas propiedades. Ninguna de ellas existe en un sistema nacional desplegado hoy que haya sobrevivido el escrutinio adversario sin encontrar un defecto crítico.

Hasta que lo hagan, la comparación bancaria es instructiva por exactamente la razón equivocada. Tu banco puede darte un recibo porque tu transacción nunca fue pensada para ser secreta. Tu voto fue. Esa es una característica, no un defecto — y es la razón por la que la votación en línea es mucho más difícil de lo que parece.

Lo que aún no es independientemente verificable: si algún sistema de votación por internet en vivo en producción hoy puede resistir un ataque de iniciado bien dotado de recursos sin ser detectado. Los sistemas que han sido analizados por investigadores independientes — Estonia, NSW, D.C., Suiza — cada uno produjo hallazgos que las autoridades disputaron o parchearon. Ningún sistema de votación por internet nacional ha sido sometido al tipo de prueba continua, abierta y adversaria que permitiría a un ciudadano ordinario — no un criptógrafo, no un funcionario de gobierno — confirmar que el conteo fue correcto.

Lo que lo haría verificable: publicación de código fuente obligatoria pública, tablones de anuncios públicos operados independientemente, acceso adversario de equipo rojo continuo, y procedimientos de auditoría que no pasen a través del sistema siendo auditado. Esos son los estándares que vale la pena exigir.

Ver cómo aparecen brechas de verificabilidad en diferentes sistemas y países →

Lee la versión de dos minutos del problema de votación por internet →

Fuentes

Ver todos los artículosExplora las brechas