Nada asegura el software antes del día de las elecciones
Aunque el software de votación fue revisado hace semanas, en la mayoría de lugares nada obliga a la máquina a demostrar —el día de las elecciones— que sigue ejecutando exactamente esa misma versión revisada. Así que podría ser reemplazado silenciosamente en el último momento.
Video explicativo próximamente
Un recorrido de 60 segundos en lenguaje accesible sobre esta brecha.
Qué sucedió realmente
Cuando Washington, D.C. realizó una prueba pública de un sistema de votación por internet en 2010, el equipo de J. Alex Halderman de la Universidad de Michigan tomó control casi total del servidor en 36 horas — pudiendo cambiar votos — y el programa piloto fue suspendido. Es un recordatorio vivido de que un sistema "revisado" en un momento puede comportarse muy diferente una vez que está realmente funcionando.
Dónde estamos hoy
Este programa piloto de votación por internet de 2010 es una demostración del principio, no un sistema en uso ahora. Lo que es actual es la brecha en sí: la mayoría de jurisdicciones hoy aún no exigen que una máquina demuestre, el día de las elecciones, que está ejecutando exactamente el software que fue revisado — lo cual es lo que la figura anterior mide en la ley actual.
Revisado una vez no significa revisado el día de las elecciones
Imagina un chef cuya cocina pasa una inspección el lunes. Luego nadie vuelve a mirar antes de que cocine tu cena el sábado. La inspección fue real, pero no te dice qué sucedió entre medias.
El software de votación es a menudo así. Puede ser examinado y aprobado antes de una elección. Pero en la mayoría de lugares, nada obliga a la máquina a demostrar, el día de las elecciones, que sigue ejecutando exactamente esa versión aprobada. La ventana entre "revisado" y "en funcionamiento" se deja sin vigilancia.
Por qué importa
Esa brecha es donde un cambio de último momento podría ocultarse. La solución es un compromiso previo a la elección: una huella digital criptográfica del software aprobado, publicada con anticipación, que la máquina debe coincidir cuando se inicia.
Cómo TrustVoting lo cierra
Cada máquina demuestra al arrancar que está ejecutando exactamente la compilación aprobada y con huella digital — y esa demostración es pública, para que cualquiera pueda confirmar que el software del día es el software que fue revisado.
Cómo TrustVoting la cierra
TrustVoting crea una huella digital criptográfica del software aprobado y exige que la máquina demuestre, al arrancar el día de las elecciones, que está ejecutando exactamente esa versión — un compromiso previo a la elección público que cualquiera puede verificar.