Los sistemas auditables de extremo a extremo o verificables por el votante de extremo a extremo ( E2E ) son sistemas de votación con estrictas propiedades de integridad y fuerte resistencia a la manipulación . Los sistemas E2E utilizan técnicas criptográficas para proporcionar a los votantes recibos que les permiten verificar que sus votos fueron contados como emitidos, sin revelar a un tercero a qué candidatos apoyó el votante . Por ello, a estos sistemas a veces se los denomina sistemas basados en recibos . [1]
Los sistemas de votación electrónica llegan a sus totales de votos finales mediante una serie de pasos:
Los enfoques clásicos de la integridad electoral se centran en garantizar la seguridad de cada paso individualmente, desde la intención del votante hasta el total final. Estos enfoques generalmente han caído en desuso entre los diseñadores de sistemas distribuidos , ya que este enfoque local puede pasar por alto algunas vulnerabilidades mientras que sobreprotege otras. La alternativa es utilizar medidas de extremo a extremo diseñadas para demostrar la integridad de toda la cadena. [2]
La cobertura integral de la integridad electoral con frecuencia implica múltiples etapas. Se espera que los votantes verifiquen que han marcado sus boletas como corresponde, se utilizan recuentos o auditorías para proteger el paso desde las boletas marcadas hasta los totales en las urnas, y la publicación de todos los subtotales permite la verificación pública de que los totales generales suman correctamente los totales en las urnas. [3] Los sistemas de votación convencionales no cumplen con este estándar y, como resultado, no pueden probar de manera concluyente que no se han manipulado los votos en ningún momento; los votantes y los auditores deben, en cambio, verificar que cada paso individual sea completamente seguro, lo que puede ser difícil e introduce muchos puntos de falla . [4]
Si bien las medidas como los registros de auditoría en papel verificados por los votantes y los recuentos manuales miden la eficacia de algunos pasos, ofrecen solo una medición débil de la integridad de las urnas físicas o electrónicas. Las papeletas se pueden retirar, reemplazar o se les pueden agregar marcas sin que se detecte (es decir, para completar las contiendas con votos insuficientes con votos para un candidato deseado o para votar en exceso y anular los votos de candidatos no deseados). Esta deficiencia motivó el desarrollo de los sistemas de votación auditables de extremo a extremo que se analizan aquí, a veces denominados sistemas de votación E2E . Estos intentan cubrir todo el camino desde el intento del votante hasta los totales de la elección con solo dos medidas:
Debido a la importancia del derecho al voto secreto , la mayoría de los esquemas de votación E2E también intentan cumplir un tercer requisito llamado ausencia de recibo :
En un principio se creía que sería imposible combinar ambas propiedades. [5] Sin embargo, investigaciones posteriores han demostrado que estas propiedades pueden coexistir. [6] Ambas se combinan en las Directrices del Sistema de Votación Voluntaria de 2005 promulgadas por la Comisión de Asistencia Electoral . [7] Esta definición también es predominante en la literatura académica. [8] [9] [10] [11]
Para abordar el problema del fraude electoral se pueden adoptar las siguientes medidas:
Como alternativa, las afirmaciones sobre manipulación de las papeletas se pueden verificar externamente comparando el número de papeletas disponibles con el número de votantes registrados que votaron, y auditando otros aspectos del sistema de registro y entrega de papeletas.
Muchos expertos también consideran que el apoyo a la auditabilidad E2E, basado en la experiencia previa en su uso en elecciones presenciales, es un requisito para la votación remota a través de Internet . [12]
En 2004, David Chaum propuso una solución que permite a cada votante verificar que sus votos se emitieron de manera apropiada y que los votos se contaron con precisión utilizando criptografía visual . [13] Después de que el votante selecciona a sus candidatos, una máquina de votación imprime una versión especialmente formateada de la boleta en dos transparencias. Cuando las capas se apilan, muestran el voto legible para humanos. Sin embargo, cada transparencia está cifrada con una forma de criptografía visual para que por sí sola no revele ninguna información a menos que se descifre. El votante selecciona una capa para destruir en la votación. La máquina de votación retiene una copia electrónica de la otra capa y entrega la copia física como recibo para permitir que el votante confirme que la boleta electrónica no se modificó posteriormente. El sistema detecta cambios en la boleta del votante y utiliza un procedimiento de descifrado de red mixta [14] para verificar si cada voto se cuenta con precisión. Sastry, Karloff y Wagner señalaron que existen problemas con las soluciones criptográficas de Chaum y VoteHere. [15]
Posteriormente, el equipo de Chaum desarrolló Punchscan , que tiene propiedades de seguridad más fuertes y utiliza papeletas de votación más simples. [16] Se vota sobre las papeletas de votación y luego una parte de la papeleta que preserva la privacidad es escaneada por un escáner óptico.
El sistema Prêt à Voter , inventado por Peter Ryan, utiliza un orden aleatorio de candidatos y una red mixta tradicional . Al igual que en Punchscan, los votos se realizan en papeletas de votación y se escanea una parte de la papeleta.
El sistema Scratch and Vote, inventado por Ben Adida, utiliza una superficie que se puede raspar para ocultar información criptográfica que puede utilizarse para verificar la impresión correcta de la papeleta. [17]
El protocolo de votación ThreeBallot , inventado por Ron Rivest , fue diseñado para proporcionar algunos de los beneficios de un sistema de votación criptográfico sin utilizar criptografía. En principio, se puede implementar en papel, aunque la versión presentada requiere un verificador electrónico.
Los sistemas Scantegrity y Scantegrity II ofrecen propiedades E2E. En lugar de reemplazar todo el sistema de votación, como es el caso en todos los ejemplos anteriores, funciona como un complemento para los sistemas de votación con escaneo óptico existentes, lo que produce papeletas de votación convencionales verificables por los votantes, adecuadas para auditorías que limitan los riesgos . Scantegrity II utiliza tinta invisible y fue desarrollado por un equipo que incluía a Chaum, Rivest y Ryan.
El sistema STAR-Vote [18] se definió para el condado de Travis, el quinto condado más poblado de Texas y sede de la capital del estado, Austin. [19] Ilustró otra forma de combinar un sistema E2E con papeletas de votación auditables de manera convencional, producidas en este caso por un dispositivo de marcado de papeletas . [20] El proyecto produjo una especificación detallada y una solicitud de propuestas en 2016, y se recibieron ofertas para todos los componentes, pero ningún contratista existente con una votación certificada por EAC estaba dispuesto a adaptar su sistema para que funcionara con los nuevos componentes criptográficos de código abierto, como lo requiere la RFP. [21] [22]
Basándose en la experiencia de STAR-Vote, Josh Benaloh de Microsoft dirigió el diseño y desarrollo de ElectionGuard, un kit de desarrollo de software que se puede combinar con sistemas de votación existentes para añadir compatibilidad E2E. El sistema de votación interpreta las opciones del votante, las almacena para su posterior procesamiento y luego llama a ElectionGuard, que encripta estas interpretaciones e imprime un recibo para el votante. El recibo tiene un número que corresponde a la interpretación encriptada. El votante puede entonces desautorizar la papeleta ( anularla ) y votar de nuevo. Más tarde, fuentes independientes, como partidos políticos, pueden obtener el archivo de papeletas encriptadas numeradas y sumar las diferentes contiendas en el archivo encriptado para ver si coinciden con los totales de la elección. El votante puede preguntar a esas fuentes independientes si el número o los números en el recibo o los recibos del votante aparecen en el archivo. Si suficientes votantes comprueban que sus números están en el archivo, descubrirán si se han omitido papeletas. Los votantes pueden obtener el contenido desencriptado de sus papeletas anuladas, para determinar si coinciden exactamente con lo que el votante recuerda que había en esas papeletas. El votante no puede obtener copias descifradas de las papeletas votadas, para evitar la venta de votos. Si suficientes votantes comprueban las papeletas nulas, mostrarán errores en las encriptaciones. [23] [24] ElectionGuard no detecta el fraude electoral, que debe detectarse mediante registros tradicionales. No detecta a las personas que falsifican recibos, alegando que su papeleta falta o fue interpretada por error. Los funcionarios electorales deberán decidir cómo rastrear los errores reclamados, cuántos se necesitan para iniciar una investigación, cómo investigar y cómo recuperarse de los errores. La ley estatal puede no otorgar al personal autoridad para tomar medidas. [24] ElectionGuard no cuenta los votos por escrito, excepto como un total indiferenciado. Es incompatible con los votos por encima de los permitidos . [23] [24] [25]
La ciudad de Takoma Park, Maryland, utilizó Scantegrity II para sus elecciones municipales de 2009 y 2011. [26] [27]
Helios ha sido utilizado desde 2009 por varias organizaciones y universidades para elecciones generales, elecciones de juntas directivas y elecciones de consejos estudiantiles. [28] [29]
El sistema de votación wombat se utilizó en las elecciones del consejo estudiantil del centro de investigación privado Interdisciplinary Center Herzliya en 2011 y 2012, [30] [31] así como en las elecciones primarias del partido político israelí Meretz en 2012. [32]
En las elecciones estatales de Victoria de 2014 en Australia se utilizó una versión modificada de Prêt à Voter como parte del sistema de votación electrónica en el lugar de votación vVote. [33]
ElectionGuard se combinó con un sistema de votación de VotingWorks y se utilizó para las elecciones primarias de primavera de Fulton, Wisconsin , el 18 de febrero de 2020. [34]
El sistema DRE-ip se probó en un centro de votación en Gateshead el 2 de mayo de 2019 como parte de las elecciones locales de 2019 en el Reino Unido . [35] [36]