Votación auditable de principio a fin

Los sistemas auditables de extremo a extremo o verificables por el votante de extremo a extremo ( E2E ) son sistemas de votación con estrictas propiedades de integridad y una fuerte resistencia a la manipulación . Los sistemas E2E utilizan técnicas criptográficas para proporcionar a los votantes recibos que les permiten verificar que sus votos fueron contabilizados correctamente, sin revelar a terceros a qué candidatos apoyaron . Por ello, a estos sistemas se les denomina a veces sistemas basados ​​en recibos . ^{[ 1 ]}

Los sistemas de votación electrónica llegan a sus totales de votos finales mediante una serie de pasos:

1. Los votantes emiten sus votos de forma electrónica o manual,
2. Los votos emitidos se contabilizan para generar totales,
3. Cuando las elecciones se celebran a nivel local , como por ejemplo a nivel de distrito electoral o de condado, los resultados de cada nivel se combinan para obtener el recuento final.

Los enfoques clásicos para la integridad electoral se centran en garantizar la seguridad de cada paso individualmente, desde la intención del votante hasta el total final. Estos enfoques generalmente han caído en desuso entre los diseñadores de sistemas distribuidos , ya que estos enfoques locales pueden pasar por alto algunas vulnerabilidades al tiempo que sobreprotegen otras. La alternativa es utilizar medidas de extremo a extremo diseñadas para demostrar la integridad de toda la cadena. ^{[ 2 ]}

La cobertura integral de la integridad electoral suele implicar múltiples etapas. Se espera que los votantes verifiquen que han marcado sus papeletas correctamente, se utilizan recuentos o auditorías para proteger el paso desde las papeletas marcadas hasta los totales de las urnas, y la publicación de todos los subtotales permite la verificación pública de que los totales generales suman correctamente los totales de las urnas. ^{[ 3 ]} Los sistemas de votación convencionales no cumplen con este estándar y, como resultado, no pueden probar de manera concluyente que ningún voto haya sido manipulado en ningún momento; los votantes y los auditores deben, en cambio, verificar que cada paso individual sea completamente seguro, lo cual puede ser difícil e introduce muchos puntos de fallo . ^{[ 4 ]}

Si bien medidas como los registros de auditoría en papel verificados por el votante y los recuentos manuales miden la eficacia de algunos pasos, ofrecen una medición deficiente de la integridad de las urnas físicas o electrónicas. Las papeletas podrían ser retiradas, reemplazadas o marcadas sin ser detectadas (por ejemplo, para rellenar contiendas con pocos votos con votos para un candidato deseado o para sobrevolar y anular votos para candidatos no deseados). Esta deficiencia motivó el desarrollo de sistemas de votación auditables de extremo a extremo (E2E). Estos intentan cubrir todo el proceso, desde el intento de voto hasta los totales de la elección, con solo dos medidas:

• Verificabilidad individual, mediante la cual cualquier votante puede comprobar que su papeleta está correctamente incluida en la urna electrónica, y
• Verificabilidad universal, mediante la cual cualquier persona puede determinar que todas las papeletas en la urna han sido contadas correctamente.

Debido a la importancia del derecho al voto secreto , la mayoría de los sistemas de votación de extremo a extremo también intentan cumplir un tercer requisito llamado ausencia de recibo :

• Ningún votante puede demostrar a ningún tercero cómo votó.

Inicialmente se creía que combinar ambas propiedades sería imposible. ^{[ 5 ]} Sin embargo, investigaciones posteriores han demostrado que estas propiedades pueden coexistir. ^{[ 6 ]} Ambas se combinaron en las Directrices del Sistema de Votación Voluntaria de 2005 promulgadas por la Comisión de Asistencia Electoral . ^{[ 7 ]} Esta definición también predomina en la literatura académica. ^{[ 8 ] [ 9 ] [ 10 ] [ 11 ]}

Para combatir el relleno fraudulento de urnas , se puede adoptar una medida de verificabilidad de la elegibilidad, mediante la cual cualquier persona pueda determinar que todas las papeletas contadas fueron emitidas por votantes registrados.

Como alternativa, las afirmaciones sobre el relleno fraudulento de urnas pueden verificarse externamente comparando el número de papeletas disponibles con el número de votantes registrados que figuran como votantes, y auditando otros aspectos del sistema de registro y entrega de papeletas.

Muchos expertos también consideran que el soporte para la auditabilidad de extremo a extremo, basado en la experiencia previa de su uso en elecciones presenciales, es un requisito para la votación remota por Internet . ^{[ 12 ]}

En 2004, David Chaum propuso una solución que permite a cada votante verificar que sus votos se emitan correctamente y que se contabilicen con precisión mediante criptografía visual . ^{[ 13 ]} Después de que el votante selecciona a sus candidatos, una máquina de votación imprime una versión de la papeleta con un formato especial en dos transparencias. Al apilar las capas, se muestra el voto legible. Sin embargo, cada transparencia está encriptada con una forma de criptografía visual, de modo que por sí sola no revela ninguna información a menos que se descifre. El votante selecciona una capa para destruirla en el centro de votación. La máquina de votación conserva una copia electrónica de la otra capa y entrega la copia física como recibo para que el votante pueda confirmar que la papeleta electrónica no se modificó posteriormente. El sistema detecta cambios en la papeleta del votante y utiliza un procedimiento de descifrado de mix-net ^{[ 14 ]} para comprobar si cada voto se cuenta con precisión. Sastry, Karloff y Wagner señalaron que existen problemas tanto con la solución criptográfica de Chaum como con la de VoteHere . ^{[ 15 ]}

Posteriormente, el equipo de Chaum desarrolló Punchscan , que cuenta con propiedades de seguridad más robustas y utiliza papeletas de voto más sencillas. ^{[ 16 ]} Se vota sobre las papeletas y, a continuación, un escáner óptico escanea una parte de la papeleta que preserva la privacidad.

El sistema Prêt à Voter , inventado por Peter Ryan, utiliza un orden aleatorio de candidatos y una red de mezcla tradicional . Al igual que en Punchscan, los votos se emiten en papeletas de papel y se escanea una parte de la misma.

El sistema Scratch and Vote, inventado por Ben Adida, utiliza una superficie que se puede rascar para ocultar información criptográfica que se puede usar para verificar la correcta impresión de la papeleta. ^{[ 17 ]}

El protocolo de votación ThreeBallot , inventado por Ron Rivest , fue diseñado para ofrecer algunas de las ventajas de un sistema de votación criptográfico sin utilizar criptografía. En principio, puede implementarse en papel, aunque la versión presentada requiere un verificador electrónico.

Los sistemas Scantegrity y Scantegrity II ofrecen seguridad integral. En lugar de reemplazar todo el sistema de votación, como en los ejemplos anteriores, funcionan como un complemento para los sistemas de votación por escaneo óptico existentes, generando papeletas de voto convencionales verificables por el votante, aptas para auditorías con limitación de riesgos . Scantegrity II utiliza tinta invisible y fue desarrollado por un equipo integrado por Chaum, Rivest y Ryan.

El sistema STAR-Vote ^{[ 18 ]} se definió para el condado de Travis, el quinto condado más poblado de Texas y sede de la capital del estado, Austin. ^{[ 19 ]} Ilustró otra forma de combinar un sistema de extremo a extremo con boletas de papel convencionales auditables, producidas en este caso por un dispositivo de marcado de boletas . ^{[ 20 ]} El proyecto produjo una especificación detallada y una solicitud de propuestas en 2016, y se recibieron ofertas para todos los componentes, pero ningún contratista existente con una votación certificada por la EAC estuvo dispuesto a adaptar su sistema para que funcionara con los nuevos componentes criptográficos de código abierto, como lo requería la solicitud de propuestas. ^{[ 21 ] [ 22 ]}

Basándose en la experiencia de STAR-Vote, Josh Benaloh de Microsoft lideró el diseño y desarrollo de ElectionGuard, un kit de desarrollo de software que se puede combinar con los sistemas de votación existentes para añadir soporte de extremo a extremo (E2E). El sistema de votación interpreta las opciones del votante, las almacena para su posterior procesamiento y luego llama a ElectionGuard, que cifra estas interpretaciones e imprime un recibo para el votante. El recibo tiene un número que corresponde a la interpretación cifrada. El votante puede entonces anular la papeleta y votar de nuevo. Posteriormente, fuentes independientes, como los partidos políticos, pueden obtener el archivo de papeletas cifradas numeradas y sumar las diferentes contiendas en el archivo cifrado para comprobar si coinciden con los totales de la elección. El votante puede preguntar a estas fuentes independientes si el o los números de su o sus recibos aparecen en el archivo. Si suficientes votantes comprueban que sus números están en el archivo, se descubrirá si faltan papeletas. Los votantes pueden obtener el contenido descifrado de sus papeletas anuladas para determinar si coincide exactamente con lo que recuerdan que figuraba en ellas. El votante no puede obtener copias descifradas de las papeletas votadas, para evitar la venta de votos. Si suficientes votantes revisan las papeletas nulas, mostrarán errores en el cifrado. ^{[ 23 ] [ 24 ]} ElectionGuard no detecta el relleno de papeletas, que debe detectarse mediante registros tradicionales. No detecta a las personas que falsifican recibos, alegando que su papeleta falta o fue interpretada erróneamente. Los funcionarios electorales deberán decidir cómo rastrear los errores reclamados, cuántos se necesitan para iniciar una investigación, cómo investigar y cómo recuperarse de los errores. La ley estatal puede no otorgar al personal autoridad para tomar medidas. ^{[ 24 ]} ElectionGuard no contabiliza los votos escritos, excepto como un total indiferenciado. Es incompatible con los votos duplicados . ^{[ 23 ] [ 24 ] [ 25 ]}

La ciudad de Takoma Park, Maryland, utilizó Scantegrity II para sus elecciones municipales de 2009 y 2011. ^{[ 26 ] [ 27 ]}

Helios ha sido utilizado desde 2009 por varias organizaciones y universidades para elecciones generales, elecciones de juntas directivas y elecciones de consejos estudiantiles. ^{[ 28 ] [ 29 ]}

El sistema de votación Wombat se utilizó en las elecciones del consejo estudiantil del colegio privado de investigación Centro Interdisciplinario Herzliya en 2011 y 2012, ^{[ 30 ] [ 31 ]} así como en las elecciones primarias del partido político israelí Meretz en 2012. ^{[ 32 ]}

Una versión modificada de Prêt à Voter se utilizó como parte del sistema de votación electrónica vVote en los centros de votación durante las elecciones estatales de Victoria de 2014 en Australia. ^{[ 33 ]}

ElectionGuard se combinó con un sistema de votación de VotingWorks y se utilizó para las elecciones primarias de primavera de Fulton, Wisconsin , el 18 de febrero de 2020. ^{[ 34 ]}

Se probó una implementación de DRE-ip basada en pantalla táctil en un centro de votación en Gateshead el 2 de mayo de 2019 como parte de las elecciones locales del Reino Unido de 2019. ^{[ 35 ] [ 36 ]} Se utilizó una implementación de DRE-ip basada en navegador en una prueba de votación en línea en octubre de 2022 entre los residentes de New Town , Calcuta , India, durante la celebración del festival Durga Puja de 2022. ^{[ 37 ]}

• SÍNDRICA ^{[ 38 ]}
• Helios ^{[ 39 ]}
• Listo para votar
• Escaneo de perforación
• Escasez
• Votación de wombats ^{[ 40 ]}
• Tres boletas
• Votación de bingo
• compartición de secretos homomórfica
• DRE-i ^{[ 41 ]} (votación electrónica verificable de extremo a extremo sin autoridades de recuento basadas en preprocesamiento)
• DRE-ip ^{[ 42 ]} (votación electrónica verificable de extremo a extremo sin autoridades de recuento basada en cálculo en tiempo real)
• Electa ^{[ 43 ] [ 44 ] [ 45 ] [ 46 ]}

• Verificación de elecciones con criptografía : vídeo de la charla técnica de 90 minutos de Ben Adida.
• Helios: Votación de auditoría abierta basada en la web — PDF que describe el sitio web Helios de Ben Adida
• Sitio web del sistema de votación Helios
• Sistema de votación sencillo, auditable y anónimo.
• Estudio sobre sistemas de votación y verificación en centros electorales : una revisión de los sistemas de votación electrónica existentes y sus sistemas de verificación en entornos supervisados.

• Un artículo del MIT Media Lab de 2020 sobre sistemas de votación verificables de extremo a extremo incluye un análisis de las cadenas de bloques.
• Una votación realmente secreta — Artículo de The Economist