La votación por internet no es segura y no debe usarse en elecciones públicas

• La votación por internet es un sistema que técnicamente no puede implementarse de forma segura, y tras décadas de investigación no se ha encontrado una solución
• La manipulación de votos es posible por malware en smartphones y computadoras, hackeo de servidores e intrusión en servidores de administración electoral, y un solo atacante puede realizar manipulaciones a gran escala
• Incluso E2E-VIV (votación por internet verificable de extremo a extremo) presenta vulnerabilidades fundamentales debido a la confiabilidad de la app de verificación, la falta de prevención de recibos y la ausencia de resolución de disputas
• VoteSecure de la Mobile Voting Foundation arrastra todos estos problemas, y hasta sus propios desarrolladores reconocen que no existe seguridad total ni un protocolo de resolución de disputas
• Los científicos enfatizan que la confiabilidad de la votación por internet debe evaluarse solo mediante investigación revisada por pares, no a través de cobertura mediática o materiales promocionales

---

La inestabilidad fundamental de la votación por internet

• La votación por internet tiene un riesgo de manipulación mucho mayor que la votación en papel
  • El malware puede alterar el contenido del voto seleccionado en el dispositivo del votante
  • También es posible la manipulación por parte de insiders en servidores o sistemas de administración electoral
  • Los ataques a través de internet pueden ejecutarse a gran escala desde cualquier parte del mundo
• La votación en papel no es perfecta, pero es más probable que un fraude masivo sea detectado y castigado
  • En cambio, en la votación por internet un solo ataque puede cambiar una enorme cantidad de votos

Límites de E2E-VIV (votación por internet verificable de extremo a extremo)

• E2E-VIV fue diseñado para que el votante pueda verificar si su voto fue contabilizado correctamente, pero tiene los siguientes problemas estructurales
  • Si la app de verificación está infectada con malware, puede mostrar información falsa
  • Si no existe una función de prevención de recibos (receipt-free), se posibilita la compra masiva de votos
  • Diseñar una app que satisfaga al mismo tiempo confiabilidad y prevención de recibos es extremadamente difícil
  • La app de verificación debe ejecutarse por separado, pero en la práctica muy pocos votantes lo hacen
  • Incluso si algunos votantes detectan manipulación, no tienen forma de demostrarlo, por lo que no se puede invalidar la elección
• Por lo tanto, la función de “verificación” de E2E-VIV no produce un efecto real de mejora en la seguridad
  • En la comunidad científica estas limitaciones ya se reconocen desde hace años como una visión compartida

Análisis del caso VoteSecure

• La Mobile Voting Foundation de Bradley Tusk anunció que desarrolló junto con Free and Fair un SDK de votación por internet llamado VoteSecure
  • En el comunicado de prensa se afirmó que “ahora es posible una votación móvil segura y verificable”
• Sin embargo, varios expertos en seguridad señalaron graves vulnerabilidades de VoteSecure
  • Investigadores de la propia desarrolladora Free and Fair también reconocieron que “los problemas señalados son reales y no sabemos un método mejor”
  • VoteSecure no tiene función de prevención de recibos, carece de un protocolo adecuado de resolución de disputas y si hay infección por malware, la verificación pierde sentido
  • Además, existe la posibilidad de ataques automatizados de compra masiva de votos y de robo de votos (clash attack)
• Free and Fair explicó que “VoteSecure no es un sistema de votación completo, sino un núcleo criptográfico”

Consenso científico y recomendaciones

• Tras décadas de investigación, no existe una tecnología capaz de hacer segura la votación por internet
  • La investigación sobre E2E-VIV tampoco ha resuelto los problemas fundamentales
• Las autoridades electorales y los medios deben tener cuidado con la ‘ciencia basada en comunicados de prensa’
  • La verificación de confiabilidad solo es posible mediante investigación académica revisada por pares
  • Los comunicados de prensa o la promoción corporativa no pueden servir como base para juzgar la confiabilidad de un sistema electoral

Grupo de expertos firmantes

• Esta declaración fue firmada conjuntamente por 21 científicos de la computación del área de seguridad electoral
  • Entre los firmantes se incluyen investigadores destacados como Andrew Appel (Universidad de Princeton), Ronald Rivest (MIT) y Bruce Schneier (Universidad de Harvard)
  • Las firmas se realizaron a título personal y no representan la postura oficial de sus instituciones

[bbulbum]

¿¿Si se usara blockchain??

[bbulbum]

Ah, como es un problema de confianza de extremo a extremo, supongo que no tiene mucha relación.

[GN⁺]

Opiniones en Hacker News

• Vivo en Australia. Aquí votamos con papel y lápiz, en cabinas de cartón. El costo crece de forma lineal, pero en términos de confianza comunitaria sigo pensando que el voto en papel es muy superior a las máquinas.
  En el Reino Unido alguna vez me propusieron votar a distancia, y creo que habría aceptado si fuera un voto en línea seguro basado en cifrado homomórfico. Ya entregué mi KYC al gobierno, así que no veo problema con la verificación de identidad.
  En Australia, todas las boletas las revisan personas, y los partidos tienen derecho a supervisar. Casi no hay dudas sobre la integridad electoral, y se verifica regularmente. En el caso de EE. UU., creo que la pregunta clave es: “¿Cuánto mejor puede ser que el sistema actual?”

  • Yo también voto por correo con pluma. Se cuenta con escáneres ópticos y queda un registro legible por humanos. Es muy económico y difícil de manipular a gran escala. Nunca confiaría en el voto por internet. Con pluma y papel basta.
  • El problema es que, si el votante puede demostrar que su voto fue contado correctamente, también puede demostrárselo a quien lo esté coaccionando. Es decir, existe el riesgo de romper el principio del voto secreto.
  • Una de las mayores razones por las que “simplemente funciona” es que la Comisión Electoral Australiana (AEC) es independiente del gobierno. A eso se suman el voto obligatorio y el voto preferencial, lo que ayuda a mantener sana la democracia.
  • He oído que la Comisión Electoral de India también se toma esto muy en serio. El sistema de administración electoral de India es bastante impresionante.
  • Los sistemas en papel fallan de forma local y ruidosa, mientras que los sistemas por internet fallan en silencio y a gran escala.

• Las formas de fraude en el voto en papel se conocen desde hace siglos. Por eso también están muy establecidos los procedimientos para contrarrestarlas. Urnas selladas, observadores neutrales, conteo público, etc., generan confianza.
  En cambio, los métodos de fraude en el voto por internet no son bien conocidos por la gente común. Incluso si fuera perfectamente seguro, la confianza inevitablemente sería menor. Mientras el voto secreto siga siendo indispensable, el voto en papel sigue siendo la mejor opción.

  • Como referencia, el caso de la Batalla de Athens (Battle of Athens) de 1946 en Tennessee, EE. UU., muestra qué puede pasar cuando el conteo fraudulento se hace en espacios cerrados. Enlace de Wikipedia
  • Si una elección está tan polarizada que ni siquiera hay observadores neutrales, entonces se puede poner a observadores de cada partido y grabar el conteo con cámaras.
  • Otro caso es el escándalo de Box 13. Enlace de Wikipedia. Hay sospechas de manipulación del voto en papel cuando LBJ obtuvo un escaño en el Senado.
  • El voto en papel es simple, así que cualquiera puede verificarlo. El voto electrónico es opaco, el voto remoto dificulta garantizar la libertad de decisión, y solo el voto secreto permite evitar la compra de votos. Al final, la confianza nace de que “cualquiera puede comprobarlo directamente”.
  • Yo pienso lo contrario. Si un sistema es lo bastante transparente y verificable, se puede confiar en él. Pero preservar la privacidad es el reto central.

• El elemento más importante de una elección es la confianza; la eficiencia es secundaria. Al pasar al voto electrónico, la confianza se dañó y se volvió más fácil para actores hostiles manipular el sistema. El voto por internet empeoraría esto. Hay que volver al voto en papel.

  • En EE. UU. ya se usa mayormente el modelo de voto en papel + conteo electrónico. No hace falta volver atrás.
  • Ya se vota en papel. Volver a algo totalmente manual, de hecho, aumentaría los errores y los votos nulos. Es irónico que quienes sembraron desconfianza hacia las máquinas de votación antes hayan tratado de impedir los recuentos.
  • Más del 95% de los votantes en EE. UU. votan con sistemas basados en papel. Estadísticas de Verified Voting
  • En Georgia, si votas por computadora, se imprime un recibo en papel y luego se mete en un escáner para el conteo. Las antiguas máquinas Diebold sí eran vulnerables a hackeos.
  • En California, la verificación de identidad en el voto por correo se basa solo en la similitud de la firma. En la práctica, es un sistema de honor. Disposición legal relacionada

• La observación de que un malware puede alterar el voto en el dispositivo del votante es válida. Pero los smartphones ya se usan para la mayoría de las transacciones seguras cotidianas.
  También existe el riesgo de hackeo del servidor, pero al final la razón por la que los gobiernos almacenan datos personales también responde a un análisis de riesgo contra beneficio.
  Hoy el beneficio del voto en línea es menor que el riesgo, pero si imaginamos un modelo de democracia participativa en tiempo real, la conversación podría cambiar. Aun así, el mayor problema sigue siendo la apatía y la baja participación.

• El voto por internet facilita la manipulación a gran escala. Pero la banca por internet también tiene riesgos similares. Al final, la clave está en equilibrar ventajas y desventajas. ¿Podrían los beneficios del voto por internet compensar sus problemas?

  • Hackear bancos es casi imposible. Con sistemas como SWIFT, las transacciones pueden rastrearse y revertirse. En una elección no existe ese margen para tolerar fallas. Hackear una elección equivale al colapso de la democracia.
  • El fraude bancario puede recuperarse con seguros, pero la confianza electoral no se puede restaurar.
  • La banca por internet no es anónima, pero el voto sí debe ser anónimo.

• El costo y la ineficiencia del voto en papel son, de hecho, una ventaja. Hace más difícil la manipulación y hace que la ciudadanía participe directamente en el proceso electoral, aumentando el peso de la decisión.

• El voto se compone de tres etapas: emitir el voto, contar y resguardar. Las tres deben ser transparentes y auditables para generar confianza.
  El caso de México es un buen ejemplo.

  1. Todo el mundo vota en papel en su casilla local
  2. Voluntarios y observadores de partido cuentan los votos en el lugar
  3. Los resultados se transmiten electrónicamente y los resultados en papel se exhiben durante una semana
     El sistema central solo suma los totales, y cualquiera puede comparar los resultados de la casilla con los resultados en línea.
     Gracias a esta estructura distribuida, los resultados son rápidos y también muy confiables. Aun así, siguen existiendo formas coercitivas como el “voto carrusel”.
  • No entiendo por qué solo en EE. UU. el procedimiento de votación resulta tan polémico. Si exiges voto en papel te dicen racista, y si limitas el plazo del conteo te dicen xenófobo. Europa lo maneja de forma mucho más razonable.
  • En Idaho, se vota en papel y luego se hace conteo electrónico, con posibilidad de recuento manual si hace falta. Es una combinación ideal: rápida, auditable y sin conexión a internet.
  • Si renuncias al voto secreto, gran parte del problema de transparencia desaparece. Pero esa sería una decisión que sacude los cimientos de la democracia.
  • El voto electrónico también podría alcanzar un nivel similar de confianza si se le añaden varias capas de verificación (layers).
  • Francia funciona casi exactamente del mismo modo.

• El video de Tom Scott “por qué el voto electrónico es malo” es material obligatorio
  Parte 1 / Parte 2

• El problema no es la tecnología, sino los actores no confiables. Como votar no genera dinero, es difícil justificar inversiones en seguridad al nivel de la banca.
  Además, la manipulación informativa y la actividad de bots ya están distorsionando la opinión pública. El voto en papel es mejor, pero la realidad ya está en un estado de confusión digital.

  • Mi predicción es que en 2026 el gobierno de Trump intentará permitir solo voto electrónico con el pretexto de la “seguridad electoral”. Una empresa favorecida políticamente proveería el sistema, vendrían demandas y la confusión duraría mucho tiempo. Al final, existe un gran riesgo de que ambos partidos terminen desconfiando del resultado.

• Soy coautor de este texto y profesor en Georgia Tech. Investigo seguridad, privacidad y políticas públicas. Puedes revisar mi CV. Si tienen preguntas, responderé.

  • Me gustaría saber si han revisado el método de verificación del sistema de voto electrónico de Swiss Post.
  • El voto debe ser verificable directamente por todos los votantes. Cualquier sistema más complejo que contar a mano terminará perdiendo la confianza.

[brilliant08]

Creo que los sistemas de voto electrónico no pueden resolver el problema de la verificación aleatoria de confiabilidad por parte del público en general.
La verificación del código del sistema solo es posible para una capa especial seleccionada, y tampoco se puede confiar en que el código verificado sea realmente el mismo que se usó en el lugar.
Si vemos qué controversias surgieron y qué tipo de confusión social se generó en Corea del Sur, donde solo se informatizó el proceso de recopilar en un sistema electrónico los resultados de votos en papel, parece posible inferir más o menos qué clase de confusión social podría producirse si se introdujera un sistema de voto completamente electrónico.