La votación de bingo es un sistema de votación electrónica para elecciones transparentes, seguras y auditables de extremo a extremo . Fue introducido en 2007 por Jens-Matthias Bohli, Jörn Müller-Quade y Stefan Röhrich en el Instituto de Criptografía y Seguridad (IKS) del Instituto Tecnológico de Karlsruhe (KIT). [1] [2] [3]
Se utilizan números aleatorios para registrar los votos. Un elemento central del plan es el uso de dispositivos generadores de números aleatorios confiables en las cabinas de votación junto con las máquinas de votación electrónica . También son cruciales sus recibos en papel que, si bien no revelan cómo se emitió un voto y, por lo tanto, inhiben la compra de votos y la intimidación , aún permiten a los votantes verificar que su voto fue contado correctamente. [4]
El esquema permite demostrar de manera verificable la exactitud de un resultado electoral basándose únicamente en la integridad de los generadores de números aleatorios en las cabinas (por lo tanto, "confiables"); la prueba de corrección no depende, y menos aún es necesario demostrar, la integridad de las propias máquinas de votación electrónica . [5]
No se imponen exigencias particulares a los votantes y no se utilizan papeletas de voto . Sin embargo, un requisito especial para evitar impugnaciones fraudulentas del resultado electoral es el uso de papel irrompible para los recibos. [6]
Antes de las elecciones, se genera un grupo de "votos ficticios", números aleatorios. Se generan tantos números para cada candidato como votantes. Cada voto ficticio se cifra utilizando un esquema de compromiso criptográfico [5] , similar a colocar los votos ficticios en "sobres sellados". Luego se publica una lista de todos los compromisos (votos ficticios cifrados) junto con una prueba de que los votos ficticios se distribuyen equitativamente entre todos los candidatos.
Se pueden definir "candidatos" adicionales para apoyar los votos de protesta , los votos " Ninguno de los anteriores ", etc. [3] [7]
En la cabina de votación, el elector elige su candidato preferido presionando el botón correspondiente de la máquina de votación . Luego, un dispositivo generador de números aleatorios en la cabina genera un nuevo número aleatorio, lo muestra y lo pasa a la máquina de votación, que lo asigna al candidato seleccionado. Para todos los demás candidatos, la máquina de votación selecciona aleatoriamente uno de los votos ficticios del candidato del grupo de votos ficticios. Un voto ficticio se utiliza sólo una vez. Una votación, entonces, consiste en un número aleatorio para cada candidato.
La máquina de votación entrega al votante un recibo impreso que enumera los candidatos y sus números aleatorios asignados. Así, antes de abandonar la cabina, el elector puede comprobar que el voto se registró correctamente comparando el número del candidato elegido que figura en el recibo con el número que muestra el generador de números aleatorios.
El recibo no muestra cómo votó el elector porque el número aleatorio no ficticio emitido en la cabina de votación no se puede distinguir de los votos ficticios extraídos del grupo. Los votos ficticios del grupo permanecen ocultos (en compromisos "no abiertos").
Una vez cerradas las urnas, todas las papeletas se publican en una lista ordenada (podrían publicarse durante la votación, en tiempo real [6] ). Además, todos los votos ficticios no utilizados se revelan (los compromisos se "abren") y se publican.
El resultado de la elección se deriva del número de estos votos ficticios no utilizados: dado que un voto por un candidato da como resultado un voto ficticio no utilizado, el recuento de un candidato debe ser igual al número de sus votos ficticios no utilizados menos el número de no votantes. . El número de no votantes es la diferencia entre el número de votos ficticios generados originalmente para cada candidato y el número de boletas publicadas.
Finalmente, la exactitud de la elección (el hecho de que cada voto emitido contenga exactamente un voto no ficticio y que cada voto ficticio no revelado se haya utilizado en una sola papeleta) se demuestra a través de pruebas de conocimiento cero que aún no revelan quién fue emitido cada voto. para. [5] Las pruebas están publicadas.
Los votantes pueden asegurarse de que su voto fue contado al encontrar su recibo en la lista de boletas publicada. Cualquiera puede ver las listas y pruebas publicadas y verificar el resultado.
El secreto del voto, el hecho de que el recibo impreso no revele cómo se emitió el voto, depende de que los números generados en la cabina de votación sean lo suficientemente aleatorios como para que no puedan ser identificados.
Para garantizar que los votantes tengan confianza en la aleatoriedad de los números generados en la cabina, los autores del método de votación Bingo sugieren que se utilice un generador de números aleatorios simple y transparente, como un generador de números mecánico de " bingo ", de esos con números. bolas dentro de una jaula giratoria (de ahí el nombre del método). Se podrían utilizar sensores para leer el número generado y pasarlo a la máquina de votación. Una solución de este tipo generaría una gran confianza entre los votantes, pero podría resultar poco práctica. [7] En una prueba de la vida real, una elección del parlamento estudiantil, los autores utilizaron lectores de tarjetas inteligentes modificados como generadores de números aleatorios. [3] [7]
Que los números generados no sean predecibles por parte de la autoridad electoral es la condición previa para la prueba de la exactitud de las elecciones: sólo si se puede confiar en los generadores de números aleatorios en las cabinas es válida la prueba de la exactitud. [5] Uno de los autores señala que un generador de números aleatorios separado puede protegerse más eficazmente contra la manipulación que una máquina de votación . [4]
Tenga en cuenta que la aleatoriedad de los números aleatorios se puede investigar después de la elección porque todos se publican: los votos ficticios generados previamente se utilizan, es decir, aparecen en las papeletas, o no se utilizan y se publican después de la encuesta. Todos los números generados en las cabinas durante la votación están en las boletas.
Una tesis doctoral de 2012 [7] de Christian Henrich en el Instituto Tecnológico de Karlsruhe, supervisada por uno de los autores originales, Jörn Müller-Quade, propone una serie de cambios y mejoras en la votación del bingo:
y ofrece un análisis de la seguridad y usabilidad del método mejorado.
Otro artículo de 2012, de Carmen Kempka, también investigadora de KIT, propone una extensión de la votación del Bingo para apoyar a los candidatos por escrito sin perjudicar la verificación de la corrección o la resistencia a la coerción, aunque depende de una autoridad confiable. [8]