Propuesta de voto digital verificable
Propuesta Todo lo que hay en esta página es una propuesta de diseño. No conocemos ningún país que use hoy este sistema completo. Al final están las partes que todavía no sabemos resolver.
La regla
Cada ciudadano debe poder comprobar que su papeleta fue registrada. Cualquier persona debe poder comprobar que todas las papeletas válidas se contaron correctamente. Y nadie debe poder descubrir ni demostrar qué opción eligió un ciudadano concreto.
Para acercarse a esa regla proponemos combinar nueve piezas: identidad verificada, credencial anónima, voto cifrado, prueba de conocimiento cero, registro inalterable, recuento distribuido, auditoría pública, posibilidad de volver a votar y alternativa presencial.
1. Identidad y credencial
El ciudadano se identifica con el DNI electrónico, Cl@ve o la identidad digital europea. Comprobado su derecho a votar, recibe una credencial electoral de un solo uso que no contiene su nombre ni su DNI. La idea es que quien comprueba la identidad sepa quién eres pero no qué votas, y que la urna digital reciba el voto sin saber quién lo emitió.
Esta pieza choca con la posibilidad de volver a votar. Lo explicamos en las objeciones.
2. Voto cifrado y prueba de conocimiento cero
La papeleta se cifra en tu dispositivo antes de enviarse. Con ella va una prueba de conocimiento cero: un cálculo que demuestra que la credencial es válida, que la papeleta contiene una opción permitida y que no es un voto adicional, sin revelar qué opción es.
Para reducir el riesgo de que un dispositivo infectado cambie tu elección, podrías comprobar el proceso desde una segunda aplicación independiente y abrir al azar papeletas de prueba antes de enviar la definitiva. Estas comprobaciones solo protegen si la gente las usa.
3. Registro inalterable
La papeleta cifrada se guarda en un registro público y distribuido, que puede ser una blockchain o un tablón público firmado. El registro no conoce el contenido del voto ni quién lo emitió. Hace de notario: acredita que la papeleta existía en un momento dado e impide borrarla o cambiarla sin que quede rastro.
Recibes un código para comprobar que tu papeleta está en el registro. Ese código no sirve para demostrar a otra persona qué votaste, lo que dificulta la compra de votos y las represalias. No las impide del todo, porque alguien puede vigilarte mientras votas.
4. Recuento sin abrir papeletas
Los votos cifrados se suman matemáticamente y solo se abre el resultado total. La clave para abrirlo se reparte entre varias instituciones independientes, de forma que ninguna puede conocer los votos ni alterar el resultado por sí sola.
5. Auditoría pública
Al terminar se publican las papeletas cifradas, las pruebas y el procedimiento de recuento, para que universidades, organizaciones, periodistas, partidos y ciudadanos comprueben el resultado con programas independientes.
Límite: estas pruebas demuestran que el recuento cuadra con lo que hay en el registro. No demuestran que lo que llegó al registro sea lo que cada persona quiso votar; eso depende de las comprobaciones del punto 2.
6. Volver a votar y alternativa presencial
Puedes volver a votar mientras la votación siga abierta, y solo cuenta tu último voto válido. También puedes sustituir el voto digital por uno presencial, que tiene prioridad. Esto reduce la coacción, porque quien fue obligado a votar algo puede cambiarlo después en privado. Pero no la elimina.
7. Suspensión y plan de emergencia
Proponemos que el resultado digital quede suspendido si las pruebas criptográficas no cuadran o si se detecta una manipulación comprobada. En ese caso, un tribunal ciudadano sorteado, los auditores independientes y la autoridad electoral podrían activar una votación presencial de emergencia en un plazo máximo de 72 horas.
Una caída de la red, por sí sola, no suspendería la votación, sino que ampliaría el plazo para votar. Si una caída bastara para anular el resultado, cualquiera que quisiera tumbar una votación tendría un motivo para atacar la red.
Una caída que afecte solo a una parte de los votantes también puede sesgar el resultado. Cómo se compensa está por definir; el voto presencial sigue disponible en todo caso.
Qué cuenta exactamente como anomalía, quién la declara y con qué umbral está por definir.
Objeciones
La credencial anónima choca con volver a votar
Para anular tu voto anterior cuando vuelves a votar, o cuando votas en persona, el sistema tiene que saber qué papeleta es la tuya. Si la credencial es anónima y de un solo uso, no lo sabe. Si usas la misma credencial cada vez, quien te presiona puede quitártela y mirar en el registro público si has vuelto a votar. Hay diseños que intentan resolverlo, pero son complejos y no los hemos verificado. Hasta entonces, que nadie pueda saber si tu voto fue sustituido es un objetivo, no algo garantizado.
Un voto cifrado guardado para siempre podría descifrarse en el futuro
Si el cifrado actual se rompe dentro de unos años, un registro permanente dejaría al descubierto votos antiguos. En España, las papeletas se destruyen después del recuento, salvo las nulas o reclamadas (art. 97.3 de la LOREG). Hay técnicas para proteger la privacidad a largo plazo, pero complican el sistema.
El móvil con virus y la coacción en casa
La segunda aplicación y las papeletas de prueba ayudan a detectar un dispositivo manipulado, y volver a votar reduce la coacción. Ninguna de las dos cosas lo resuelve del todo. Ver la objeción abierta sobre verificabilidad.
Enlaces: ¿Es seguro votar por internet? · Demos y blockchain · Objeciones