 La Seguridad en procesos de votaci�n electr�nica.
La Seguridad en procesos de votación electrónica.
- La principal "sospecha" que recae sobre un proceso electrónico es su seguridad respecto a uno realizado manualmente. Por consiguiente un sistema de voto electrónico debe atender a toda posibilidad de intervención indebida
en el proceso sea desde dentro o desde fuera del sistema.
- En el acto de votar, que por sus características, no permite realizar correcciones, se aconseja utilizar mecanismos electrónicos de votación en una red cerrada, sin conexiones con Internet. Pero esa red cerrada, de todos
modos debe cumplir con requisitos importantes de seguridad.
- Los puntos que indicamos a continuación constituyen una descripción de los requisitos de seguridad que debe tener un sistema de votación.
- Integridad del sistema. Tanto los equipos, el hardware, como los programas, el software deben ser diseñados a prueba de fraudes. Idealmente no podría haber cambios una vez que se lanza el proceso electoral. Una vez certificado el
equipo, el código fuente, los parámetros iniciales, la información referida a la configuración y los programas básicos y rutinas, todo ello debería permanecer estático hasta el fin del proceso.
Solamente podrían ingresarse datos y procesarlos de acuerdo a lo establecido previamente.
- El código fuente debe ser propiedad de la autoridad electoral responsable, y no de una firma proveedora de los materiales. El hardware y el software del sistema, incluyendo el código fuente, deben estar disponibles para
inspección en todo momento, incluyendo toda la documentación de respaldo del mismo (manuales técnicos y de operación). No puede haber reclamos de secreto de parte de proveedores privados. Sin embargo, se sabe que la
"oscuridad" es reclamada como necesidad para asegurar los sistemas. El acceso libre al código fuente, simplemente para verlo, para verificar su contenido y adecuación, sin ninguna posibilidad de modificarlo, supone que sólo
quienes tienen autorizaciones adecuadas (funcionarios electorales, delegados partidarios o de organizaciones de monitoreo) puedan hacerlo. Quienes hacen la tarea deben pasar por controles de seguridad que aseguren su integridad personal.
- Sin embargo, hay que tener en cuenta los diversos niveles en que opera el sistema, de modo que quienes estén autorizados parra hacerlo, puedan acceder a todos los niveles de la programación y no solo a los programas que corren
"superficialmente" (en los layers superiores).
- Quienes pueden acceder al sistema, sea para operar o para auditar, constituyen el eslabón débil de la cadena de seguridad de un sistema. Al ser sus custodios se plantea la vieja máxima "Qui custodies ipsos custodios", o sea
quien controla a los que controlan.
- El uso de la redundancia, de programas que reiteran por otro camino el mismo proceso, parece en principio una buena idea para descubrir falencias, pero también las puede incrementar. Un virus puede introducirse al mismo tiempo en
más de un programa de comprobación. Se recomienda el uso de algoritmos especiales que sean tolerantes a "n" número de componentes con problemas, aunque se sabe que pueden llegar a fracasar al llegar a un "n+1"
- Los manuales y toda la documentación relativa al sistema debe estar redactada claramente. No pueden ser inconsistentes ni contener frases ambiguas que planteen dudas, ni deben adolecer de falta de información sobre cada aspecto
del proceso. El estándar de la industria informática respecto a la redacción de manuales, que precisamente opta por la oscuridad para competir en el mercado, no puede ser aceptado. La documentación debe ser especialmente
muy precisa en todo lo referido al tema seguridad, alertando de los problemas que eventualmente pueden presentarse.
- El diseño, implementación y mantenimiento del sistema debe tender a llevar a cero las posibilidades de que haya "bugs" (mal funcionamiento) en el sistema, asi como la introducción de "virus" durante su operación. De
ahí la necesidad indicada de no proceder a cambios luego de la auditoría que certifica que es adecuado para conducir la elección.
- Los sistemas fuertemente centralizados pueden conducir al problema de la tentación de manipulación del mismo por parte de "súperusuario/s" y facilitar intentos de subvertir el sistema a partir de una operación
también central y comprometer todo el proceso. Los sistemas que suponen un manejo fraccionado, desconcentrado de las operaciones requieren mayor control en el diseño para evitar problemas de compatibilidad entre cada uno y una mayor
cantidad de tiempo y personal para verificar la operación del sistema. Por lo general, se trata de tener sistemas que funcionen coordinadamente pero desconcentrados.
- Se recomienda tener uno de registro y verificación de identidad del votante, otro sistema para votar (pudiendo estar integrado al de escrutinio o no), y uno de trasmisión de resultados.
- Si se utilizan maquinas de votar del tipo DRE (direct recording electronic) las mismas deberían permitir dejar evidencia física del voto para poder recontar un proceso electoral y responder a eventuales reclamos y desconfianzas.
La mayoría de las máquinas DRE existentes en el mercado no dejan esa evidencia. Algunas empresas ya ofrecen la posibilidad de producir tarjetas magnéticas que dejan constancia del voto permitiendo una auditoría posterior
del voto efectuado. Es cierto que al introducir un voto impreso se encarece notoriamente el sistema y se deja de lado el ahorro que se producía al desaparecer el papel. Sin embargo, las desconfianzas que puede generar el sistema inicialmente
deberían ser superadas apelando a esta redundancia. Por ello sería recomendable que por un tiempo se utilice subsidiariamente esas tarjetas ("el papel").
- Hay máquinas que pueden producir una cinta de papel con los resultados en lugar de los chips o tarjetas de memoria. Los carretes de papel impreso son relativamente "fáciles" de suplantar, por lo que usar máquinas de ese
tipo también implica fuerte vulnerabilidad. Su uso se desaconseja. Los datos ingresados al sistemas deben ser verificados adecuadamente de modo que sólo ingrese información correcta y provenir de fuentes que también
deben ser a prueba de fraude.
- Debe asegurarse el voto secreto, de modo que no se pueda acceder a conocer la voluntad del elector tanto internamente como externamente al sistema. No puede haber asociación entre los sistemas de identificación del votante y el
proceso de votar que permitan saber que fue lo que votó el ciudadano votante. Debe haber sistema coordinados, paralelos, pero no integrados de identificación del elector y de voto. Hay quienes abogan por sistemas integrados que
permitan el enmascaramiento de la identidad del elector y que no pueda revertirse los datos del voto para asociarlos con los del elector. Pero, para lograrlo, hay que hacer desaparecer las posibilidades de auditar el sistema posteriormente.
- Los operadores internos del sistema deben asegurar que no se pueda ingresar al mismo "por la puerta de atrás", mediante simples códigos alfanuméricos (passwords) que permitan acceder al mismo por personal de mantenimiento
del sistema, dando oportunidad para proceder a operaciones de fraude. La autentificación para el ingreso del operador deben ser del mismo tipo de la usada por organismos de seguridad e inteligencia. El personal que manipula los equipos debe
estar sujeto al uso mecanismos de identificación precisos de carácter biométrico y posiblemente utilizar más de un sistema (asociación de identificación del iris o huellas digitales por un lado pra poder
trabajar en los equipos y sus programas y de pases específicos con códigos alfanuméricos, para el ingreso a lugares restringidos). Todo ingreso al sistema de quienes operen en el sistema debe ser registrado sin posibilidades de
borrar el asentamiento sin afectar el funcionamiento del mismo, a los efectos de asumir cualquier responsabilidad posterior. Se debe mantener un inventario en tiempo real de la situación de los sistema de administración y de
distribución de los equipos periféricos así como de los materiales fallados y su eventual suplantación. Esto último no requiere tecnología especializada sino sistemas de gerencia adecuados. La seguridad
incluye también la del local donde se instalan equipos, tanto para el ingreso de personas, como para las instalaciones del mismo.
- Se sabe que, finalmente, todo sistema vulnerable y que existe siempre la posibilidad de subvertirlo por la vía de introducir "virus caballos de Troya" que no necesitan modificar el código fuente. También se sabe que pueden
instalarse "bugs" burlando números criptográficos de comprobación. Los sistema basados en computadores personales son vulnerables a la aparición de sistema paralelos falsos, o sea por suplantadores y que la presencia de
controladores "súperusuarios" puede llevar a la venalidad. Pero, todo ello requiere oportunidades y cierta laxitud de parte de los administradores. Se trata de realizar auditorías constantes y chequeos al sistema. Los funcionarios
electorales mexicanos que debían luchar contra la imagen que hacía equivaler una elección a fraude, a fines de los años 90 expresaban esta actitud que permitió un cambio sustancial en esa imagen con la
expresión: "hay que disponer de candados, contracandados y candados para los contracandados". Esa noción llevó a encarecer notoriamente el sistema dados los altos grados de redundancia de los controles e introducir otros
problemas, pero fue eficaz.
- Además de los test iniciales y la certificación correspondiente, el sistema debe ser auditado una vez completado el proceso produciendo una evaluación de su operación.
- El sistema debe permitir imprimir en papel las operaciones realizadas de modo de comprobar resultados, en diversas fases de la operación.
- Dado que las actuales leyes electorales suelen ser muy minuciosas respecto a los procesos manuales y en muchos casos requieren, para su aprobación mayorías especiales, del mismo modo todas las operaciones de los sistemas
electrónicas de votación deben estar previstas en una legislación precisa y no dejada exclusivamente en manos de regulaciones emitidas por autoridades electorales o por personal operativo de esos organismos. En muchos casos ni
siquiera son estas autoridades las que proponen las normas aplicables, sino funcionarios de firmas a las que se encarga de las operaciones mediante soluciones "end to end" (todo el proceso) mediante contratos "llave en mano". Debe preverse lo
esencial de modo que no quede al arbitrio de quienes manejen el nivel técnico operativo, sean funcionarios estatales o de empresas privadas la toma de decisiones sustanciales sobre el proceso.
El aspecto más relevante de la seguridad es el personal que desarrolla supervisa y administra el voto electrónico. El mismo debe contar con niveles de confianza certificados y debe ser adecuadamente remunerado. Votar requiere
criterios de alta seguridad, que normalmente no son los aplicados en sistemas comerciales de operación. Demanda madurez y disciplina en el personal que maneja el sistema, El costo de operar sistemas de alta seguridad es casi el
cuádruple de los convencional y aun así pueden aparecer problemas.
|
PAISES
