Votación electrónica en Chile ¿cuándo?

Por Alejandro Hevia, director CLCERT, profesor del Depto. de Ciencias de la Computación, FCFM, Universidad de Chile.

Estamos ad portas de las elecciones, con los candidatos en campaña y los medios ávidos de noticias sabrosas. Y en este ambiente, como todos los años, la pregunta si Chile debe implementar votación electrónica seguro reaparecerá. En mi opinión, antes de responder es necesario entender en qué consistiría una votación electrónica así como sus beneficios y desventajas.

En una votación o elección esperamos que cada voto de cada ciudadano sea secreto, anónimo, emitido libremente (sin coerción de ningún tipo), correcto (que el cómputo final sea consistente con el conjunto de votos emitidos) y robusto (que el sistema no falle demasiado ante el actuar malicioso de un subconjunto razonable de votantes, vocales o incluso autoridades), entre otras propiedades. Ya es notable que un sistema tan rudimentario como el existente nos entregue algunas de estas garantías al menos de manera parcial.

A primera vista podríamos mejorar el actual sistema de votación haciéndolo “electrónico”. Es decir, reemplazamos la cámara secreta y la urna por un computador (similar a un “cajero automático”) en cada lugar de votación. Luego, el ciudadano emite su voto seleccionando su preferencia en la pantalla y listo. Al concluir la elección, los votos son contados automáticamente ya sea en el mismo lugar de votación o en forma centralizada. ¿Beneficios? Emitir los votos desde cualquier recinto incluso fuera del país, facilitar la participación de ciudadanos discapacitados (por ejemplo, con audífonos y un software adecuado para que ciegos voten sin ayuda), poder incluir más o nuevas preguntas en cada elección (como de consultas comunales o regionales), y contar con un conteo de votos posiblemente más rápido que el actual. Y quizás con un menor costo amortizado por elección, aunque esto es debatible. Las principales desventajas son un potencial fraude masivo (indetectable) y la introducción de nuevas fuentes de complicaciones durante la elección (fallas de hardware y conectividad) así como la injusticia del “digital divide” (la desventaja intrínseca que tienen los ciudadanos no acostumbrados a operar con computadores vs aquellos que si lo están). Pero la posibilidad de fraude masivo es lo más complicado de eliminar, pues requiere poder auditar o verificar públicamente los equipos usados en la elección como el mismo proceso de conteo durante ésta.

Una mala implementación de la idea de votación electrónica como “cajeros automáticos” fue la de los sistemas basados en maquinas DRE (Direct Recording Electronic) muy comunes en varios condados de EE.UU. Fueron computadores que almacenaban el voto de forma local, posiblemente de manera no volátil, tipo tarjeta flash. Las primeras implementaciones de estos sistemas fueron increíblemente mal hechas e inseguras. Basta googlear “diebold hopkins report”, para encontrar un reporte de 2004 donde investigadores de John Hopkins University y Rice Univeristy analizaron el software usado en estas máquinas, encontrando errores y fallas impresentables. Incluso luego se mostró que algunas podrían ser fácilmente hackeadas y los votos cambiados. Este fiasco gatilló que mucha gente dudara de la estrategia de “recontar” los votos para saber si el total es correcto: obviamente, si los bits de mi voto digital fueron cambiados o no almacenados de manera correcta en la máquina, no importa cuantas veces los recuenten. Siempre el total será el mismo. Así se comenzó a exigir copias de respaldo en papel de cada voto emitido, las cuales son primero aprobadas por el votante y luego almacenadas físicamente en una urna como respaldo ante potenciales recuentos (enfoque denominado “voter-verified paper trail”). Sin embargo, aun si los computadores usados fueran programados correctamente y las máquinas más seguras para evitar hackeos, estos sistemas todavía adolecerían de una falla severa: no son transparentes. A menos que siempre se cuenten todas las copias en papel, el votante no tiene cómo saber que el software central de conteo realmente considera su voto (en vez de descartarlo de forma arbitraria). Este objetivo suena imposible: ¿cómo saber que el total es correcto sin violar la privacidad y anonimato de los votos?

Tales sistemas se denominan “públicamente verificables” o “públicamente auditables” (end-to-end verification, o open-audit voting) y existen debido a la magia de las matemáticas, en particular de la criptografía. La investigación científica en esta área ha sido extensa, pero se puede resumir en lo siguiente: es posible diseñar sistemas donde no sólo los votos están ocultos (encriptados: todos los ven pero sólo el votante sabe su contenido), sino que sólo la autoridad, quien debe contar los votos, puede desencriptar el total, es decir, la suma de los votos. Nunca desencriptar un voto aislado. Más aun, la autoridad puede “demostrar públicamente” que está haciendo los cálculos adecuados sin necesidad de revelar las claves, sólo emitiendo un tipo especial de checksum criptográfico (una joya de la teoría de la computación llamada “Zero-Knowledge Proof”). La magia radica en que estos checksums pueden ser verificables por cualquiera, aun por quienes sólo observan y no participan en la elección. Si los checksums verifican correctamente, cualquiera puede tener la certeza que el conteo final es matemáticamente consistente con todos los votos emitidos.

¿Pero cuán factible es implementar y utilizar estos sistemas en la práctica? ¡Bastante factible! En el Departamento de Ciencias de la Computación de la Universidad de Chile ya lo hacemos desde 2008, cuando las autoridades del Departamento y de nuestro Centro de Alumnos fueron elegidas con un sistema públicamente verificable que además contaba con voter-verified paper trail. Y aunque hay muchos detalles prácticos pendientes antes que sea factible extrapolar este mismo sistema a una elección de mayor escala, es esperanzador ver que elecciones “públicamente verificables” empiecen a ser valoradas por nuestra comunidad. Ganar confianza y experiencia con estos sistemas es crucial para evitar un “Transantiago” en un futuro sistema de votación electrónica.

Artículo original