Los agujeros del proceso de primarias de Ciudadanos

Ciudadanos intenta cerrar la crisis abierta por el fraude en las primarias de Castilla y Le¨®n. Dos d¨ªas despu¨¦s de descubrir 82 votos falsos, el secretario general del partido, Jos¨¦ Manuel Villegas, sali¨® a defender "la robustez y la transparencia del sistema".

?C¨®mo se puede saber que ese sistema es tan seguro? A trav¨¦s de una auditor¨ªa externa, que nunca se ha realizado. EL PA?S mand¨® este jueves seis preguntas al partido sobre el funcionamiento de su procedimiento de voto. A pesar de repetidos mensajes, no ha habido respuesta. El mismo partido es quien crea, controla y certifica los resultados.

¡°La complejidad de desarrollar un sistema de voto por Internet es muy elevada¡±, dice David Marcos, profesor del Instituto de Empresa y consultor de la Organizaci¨®n de Estados Americanos para ciberseguridad y procesos democr¨¢ticos. El voto remoto en Cs funciona as¨ª: un afiliado al corriente de pago y con m¨¢s de 6 meses de antig¨¹edad accede a su p¨¢gina. Para entrar, el usuario necesita su DNI y una contrase?a.

Desde all¨ª va a la p¨¢gina de las primarias correspondientes. Escoge a su candidato, clica en ¡°votar¡±, la aplicaci¨®n le pregunta si est¨¢ seguro y crea entonces un PDF que une un c¨®digo con la persona a quien se ha votado. Cs a?ade un sello de tiempo de la F¨¢brica Nacional de Moneda y Timbre, pero ese documento solo prueba que algo ha ocurrido a una hora, no qu¨¦ ha ocurrido. Ese PDF queda en la p¨¢gina del afiliado junto al candidato escogido.

Este proceso tiene tres potenciales agujeros que arrojan dudas sobre la posibilidad de que alguien de dentro pueda vincular al votante con el sentido de su voto:

1. La IP. La direcci¨®n IP es una etiqueta que identifica al ordenador que se conecta a una red. Una de las preguntas que el partido no ha respondido es c¨®mo ha sabido qu¨¦ 82 votos de entre todos los emitidos en Castilla y Le¨®n eran los fraudulentos. Unos se produjeron de madrugada y otros por la ma?ana, pero ?no podr¨ªa estar mezclado alguno legal? ?C¨®mo se identific¨® que esos precisamente eran los malos? Una opci¨®n es la IP. Pero si as¨ª fuese, eso significar¨ªa que el partido puede ver la IP ligada a cada voto.

Despu¨¦s del fraude de Castilla y Le¨®n, un candidato en otro proceso de primarias pidi¨® a la Comisi¨®n de Garant¨ªas del partido que le diera la lista de votos vinculados a la IP. La comisi¨®n le respondi¨® un d¨ªa despu¨¦s que ya los ten¨ªa preparados, pero que antes de mandarlos el candidato deb¨ªa firmar un acuerdo de confidencialidad que de momento no ha aceptado.

Son dos posibles ejemplos de IP ligada a sentido del voto. ?C¨®mo podr¨ªa entonces Cs vincular la IP con el DNI de cada afiliado, el modo definitivo de saber qu¨¦ ha votado cada uno? Por el login. El administrador del sistema sabe desde qu¨¦ IP pide entrar cada usuario a la p¨¢gina de afiliado. Si luego es capaz de ligar IP con sentido del voto, se cierra el c¨ªrculo.

2. El administrador. El ejemplo de la IP puede incluso que sea demasiado sofisticado. Hay un camino m¨¢s sencillo. El desarrollador del sistema tiene la llave de todas las puertas. Las p¨¢ginas de los afiliados antes y despu¨¦s de la votaci¨®n las gestiona el partido. ¡°Si el votante puede ver su voto, los administradores del sistema tambi¨¦n. Eso no cumple los requisitos del voto secreto¡±, dice Eduardo Robles, director t¨¦cnico de nVotes. El administrador no solo tiene acceso a las p¨¢ginas de los afiliados. Puede ver el proceso del voto mientras se desarrolla. ¡°Esa persona sabe qui¨¦n se est¨¢ moviendo por all¨ª¡±, dice Justo Carracedo, catedr¨¢tico jubilado de Ingenier¨ªa Inform¨¢tica de la Universidad Polit¨¦cnica de Madrid.

3. El PDF. ¡°Ninguno de los actores involucrados en el proceso deber¨ªa poder vincular un voto con un votante identificable¡±, dice el profesor Dimitris A. Gritzalis, experto en voto electr¨®nico. Ni siquiera el propio votante. La mejor manera de evitar posibles presiones sobre los electores es que no haya pruebas que permitan descubrir el sentido de su voto. Pero eso es lo que hace precisamente el PDF que queda en la p¨¢gina del afiliado detr¨¢s de un mensaje que dice: ¡°Descargar comprobante de voto¡±.

4. Las horas. Cualquier militante puede consultar cada voto a cada candidato, incluyendo la hora a la que se emiti¨®. Eso se presta a miradas indiscretas: si s¨¦ a qu¨¦ hora vot¨® una persona, puedo ver los votos emitidos en ese momento y, en determinados casos, tal vez averiguar su voto.

5. Falta de auditor¨ªa. ¡°Solo hay que hacer una pregunta: ?qui¨¦n les ha auditado el sistema?¡±, dice Luis Panizo, profesor de Arquitectura y Tecnolog¨ªa de Computadoras de la Universidad de Le¨®n, quien resalta que no basta la palabra del partido para garantizar que es un proceso democr¨¢tico limpio. La carga de la prueba, en este caso, no est¨¢ en quien duda sino en quien crea el sistema.

¡°Hay muy pocos sistemas que tengan un m¨ªnimo de garant¨ªas. Esto se debe dejar a una empresa con credibilidad¡±, dice Marcos. El sistema que usa hoy Cs fue creado en 2014 por Ra¨²l Guill¨¦n, un inform¨¢tico que hab¨ªa fundado poco antes la empresa Monomio.

El argumento de Cs es que nadie vulnera el anonimato de los votantes. Pero lo que debe asegurar es que no sea posible.