ES2964832T3 - Sistema de votación electrónica por internet - Google Patents

Abstract

Un sistema de votación por Internet incluye una contraseña de votación que el elector utilizará para acceder a dicha votación. El elector ingresa una contraseña de verificación solicitada por el sistema, dicha contraseña de verificación, unida a un parámetro no confidencial específico del elector (por ejemplo, número de registro nacional), que sirve para crear un nombre de archivo construido con una función SHA-2. . Este archivo contiene el contenido de la votación en forma clara (sin cifrar) y es accesible por el elector en un sitio de verificación introduciendo el parámetro no confidencial y su contraseña de verificación, o directamente el resultado del hash criptográfico. El sistema permite crear un "voto falso", que no se tiene en cuenta durante el escrutinio, y un voto real, debidamente contado. Esto permite superar los problemas de coerción y de votos comprados. (Traducción automática con Google Translate, sin valor legal)

Description

DESCRIPCIÓN

Sistema de votación electrónica por internet

El voto por internet interesa a los diversos actores de las elecciones en todo el mundo, y esto ha sido así durante muchos años.

El voto por internet tiene de hecho numerosas ventajas:

° Libertad de lugar y momento de votación (durante la duración de la elección)

° No hay necesidad de desplazamiento

° No hay preocupación por incomodidad o seguridad

° No hay que encontrar una solución para compensar la ausencia del votante (cuidado de niños, personas mayores, ocupación laboral, ...)

• Para el votante: Libertad del lugar y momento de votar (durante la duración de la elección). No hay necesidad de desplazamiento. No hay preocupación por malestar o seguridad. No hay que encontrar una solución para compensar la ausencia del votante (cuidado de niños, personas mayores, ocupación laboral, ...)...

° Poca o ninguna instalación de centros de votación

° Pocos o ningún recurso para encontrar: presidentes, asesores, fuerzas del orden, alguaciles, ...

° Eliminación o disminución de la carga de trabajo, del aspecto tedioso del escrutinio

° Eliminación del riesgo de error, invalidez o fraude

° Facilidad en la transmisión de los resultados de la votación y su publicación

° Reducción de los costes relacionados con la organización

• Para los organizadores: Pocos o menos establecimiento de centros de votación. Pocos o menos recursos para encontrar: presidentes, asesores, fuerzas del orden, alguaciles, ...Eliminación o reducción de la carga de trabajo, del aspecto tedioso del escrutinio Eliminación del riesgo de error, invalidez o fraude. Facilidad en la transmisión de los resultados de la votación y su publicación. Reducción de los costes relacionados con la organización...

Desafortunadamente, las experiencias implementadas en muchos países hasta ahora han resultado en fracasos. A menudo, por razones técnicas, pero aún más debido a la falta de confianza en estos sistemas de votación electrónica que muchos perciben como una insondable "caja negra", expuesta a toda manipulación. Muchos candidatos, partidos políticos y votantes no han ocultado el sentimiento de desconfianza que les inspiran estos sistemas.

La presente invención propone un sistema de servidor informático conectado a internet que concilia tanto las ventajas evidentes descritas anteriormente, con una transparencia completa, una capacidad para verificar el registro de los votos, sin comprometer la indispensable confidencialidad asociada al voto. Se comprenderá que el sistema puede aplicarse a situaciones distintas a las de las elecciones.

Arte anterior

El documento de patente WO2008/065349 A1 describe un sistema capaz de proporcionar un método de votación anónima en una red distribuida. Pero también, la patente US2010025466 A1 describe un método y un sistema del tipo mencionado anteriormente en el cual se utiliza una plataforma informática de confianza para proporcionar una votación electrónica segura y permitir que los miembros del público verifiquen ciertos aspectos de los resultados de las elecciones.

A continuación se describen tres ejemplos de sistemas de votación "reconocidos" y las mejoras previstas por el sistema según la presente invención.

V2 Secure®

Election-Europe (https://www.election-europe.com) se presenta como el líder europeo en la organización de elecciones profesionales y públicas.

Esta empresa utiliza un sistema de votación en línea patentado, V2 Secure®, descrito como el primer sistema mundial de "votación verificable y segura".

En la práctica, este sistema brinda la posibilidad al votante de ver un "reflejo efímero" (según sus propias palabras) de su voto, mientras este está esperando confirmación en la urna electrónica. Una vez que este voto sea validado, el usuario no podrá recuperar su boleta de votación. Es obvio que este sistema abre la puerta a muchas manipulaciones y de ninguna manera puede restaurar la confianza del votante en la votación electrónica por internet.

A diferencia de V2 Secure®, el sistema de la invención permite verificar su boleta de votación en cualquier momento, y esto directamente desde la fuente de elección del votante, como por ejemplo entre las boletas distribuidas a los observadores.

Scytl

Scytl se define como el "líder mundial en votación electrónica". Esta empresa es, por ejemplo, la subcontratista actual del ECES (Centro Europeo de Apoyo Electoral). La metodología de Scytl tiene 3 desventajas importantes en comparación con nuestro sistema de votación:

• 1. El uso imperativo de certificados digitales, encriptados por un sistema de claves: complejos de uso, los certificados digitales no aportan una ventaja real en términos de seguridad. Todos los sistemas de gestión bancaria por internet han abandonado esta vía.

• 2. El sistema envía al votante un enlace a su boleta de votación, prueba de que este enlace (entre el votante y la boleta) existe realmente!

• 3. Solo la "mezcla de boletas" al final del recorrido ya no permite la conexión entre el votante y su boleta. No hay ninguna forma de verificación, por lo tanto.

Belenios

Belenios es un sistema de votación por internet desarrollado por el INRIA (Instituto Nacional de Investigación en Ciencias Digitales), en colaboración con el CNRS.

En este sistema, el voto se encripta utilizando una clave pública. A continuación, se envía al votante un número de seguimiento (tracking number), que le permite verificar que su voto se encuentra en la urna electrónica. En la práctica, esto significa que el número de seguimiento es almacenado por el sistema, y por lo tanto, se puede establecer una relación entre un votante y su voto !

El sistema de la presente invención, en cambio, es:

• seguro por SSL (como los bancos en línea)

• no requiere certificado digital, ni claves públicas o privadas

• nunca almacena la conexión entre la ficha del votante y su boleta de votación

• permite la distribución de boletas de votación completamente despersonalizados a la mayor cantidad posible (observadores)

• permite al votante verificar su propia boleta de votación, desde donde quiera, cuando quiera, alimentándose de la fuente que elija.

Exposición de la invención

La presente invención se refiere a un sistema de votación a través de un sistema de servidor informático conectado a internet según la reivindicación 1.

Otros aspectos de la invención se describen en las reivindicaciones dependientes.

El proceso de votación propuesto comienza de manera conocida y clásica, con una convocatoria para participar en las elecciones basada en una lista electoral (base de datos de los electores).

Se entiende que la parte de convocatoria - inscripción descrita aquí no forma parte de la presente invención. Describe un posible escenario, que cumple con criterios de seguridad óptimos, pero que por supuesto puede ser modificado según los deseos o necesidades particulares de ciertas elecciones (disposiciones legales, o simplificación, por ejemplo).

La presente invención se refiere de hecho al proceso de votación en el momento mismo de la votación, así como después de la votación (verificación - publicación de resultados - anti-coerción).

A modo de ejemplo, se realizan los siguientes pasos de manera conocida o no inventiva, al comienzo del procedimiento.

1. Convocatoria

Se envía una convocatoria en papel al elector, que contiene su nombre de usuario, su código PIN y el colegio en el que se le llama a votar.

Ejemplo

Nombre de usuario: CH.DUTO.9267 Código PIN:476325 Colegio electoral: Ixelles 23

2. Inscripción

Con estas informaciones, así como con su documento de identidad, el votante ingresa luego al sitio web de votación, también indicado en la convocatoria, para registrarse allí. Se conecta al sitio ingresando los siguientes parámetros: Ejemplo

Nombre de usuario: CH.DUTO.9267 Código PIN: 476325 Número de Reg. Nac.: 680814.478.96

Enviar

A continuación, se solicita ingresar la dirección de correo electrónico o el número de teléfono móvil que desea utilizar para votar:

Ejemplo

Dirección de correo electrónico: ch.duto@gmail.com Confirmación:ch.duto@gmail.com- o -Número de móvil: 32 475525656 Confirmación:+32475525656

Enviar

Lo que tiene como efecto enviarle, a su correo electrónico o a su teléfono móvil, su contraseña de voto:

Ejemplo

Aquí está la contraseña a utilizar para las elecciones xxx del dd/mm/aaaa: 5Gt7e9K3Fp46

Votar

Durante el período de votación, se llama al elector a visitar el sitio web, provisto de su convocatoria, su tarjeta de identificación, así como el correo electrónico o mensaje (sms) que contiene su contraseña de voto:

Ejemplo

Nombre de usuario: CH.DUTO.9267 Número de Reg. Nac.: 680814.478.96 Contraseña devoto: 5Gt7e9K3Fp46 Enviar

Las diferentes listas o propuestas de voto se le presentan en la pantalla. El votante los completa, expresando así su elección electoral.

Particularidades de la invención:

Antes de emitir su voto, el sistema solicita al votante ingresar una contraseña de verificación, conocida solo por él. Esta contraseña no será guardada en el sistema de votación, ni en la base de datos de los electores.

Ejemplo

Resumen de su elección:

• Lista X

• Candidato A

• Candidato B

• Candidato C

Por favor ingrese su contraseña de verificación: Louxor76.78 (esta contraseña no será guardada por el sistema) Modificar el voto Registrar el voto

La contraseña ha sido ingresada y validada. El voto está sujeto al sistema, lo cual tendrá dos consecuencias:

• Por un lado, en la base de datos, el estado del votante cambia a "ha votado", sin que se registre la hora exacta del voto, lo que hace imposible cualquier correlación entre las boletas de votación y la información contenida en la base de datos de los votantes.

• Por otro lado, se creará un archivo que contendrá el contenido del voto "en claro". Este archivo será enviado al servidor en el directorio correspondiente al colegio electoral. El nombre de este archivo se construirá utilizando una función SHA-256, basada en el Número de Registro Nacional del votante, así como en su contraseña de verificación.

3 ejemplos de nombres de archivos:

• 732210b 19c8998853557 e94a996790ffc38f3b851324e2405 b 7 e0905c6e2cf10.txt

• 16c8fb 7 e6291d2d 109952742967394d284a65fb88a926212ce24b301382e9e4.txt

• ed2456914e48clel7b7bd922177291ef8b7f553edflblf66b6fcla076524b22f.txt

3. Verificación

Una vez que su voto haya sido validado, el elector, y solo él, tendrá la posibilidad de verificar que su boleta de votación haya sido correctamente ingresada en el sistema. Para hacer esto, deberá visitar el sitio de verificación, ingresar opcionalmente su colegio electoral, su número de registro nacional y su contraseña de verificación.

Ejemplo

Colegio electoral: Ixelles 23 Número de Reg. Nac.: 680814.478.96 Contraseña de verificación: Louxor76.78 Enviar

Esto tendrá como efecto mostrarle su boleta de votación:

Ejemplo

• Lista X

• Candidato A

• Candidato B

• Candidato C

Con el fin de respetar siempre la confidencialidad del voto, el hashing se realizará en el software "cliente" (el navegador) de manera que solo se transmita al servidor de verificación el resultado, evitando cualquier correlación con el perfil del votante.

4. Publicación de los resultados

Durante la creación de la boleta de votación, los resultados intermedios se actualizarán en tiempo real (o con un ligero retraso, siempre para garantizar la confidencialidad del voto). Obtendremos así un escrutinio en tiempo real. Los administradores electorales son libres de difundir esta información inmediata o posteriormente, para cumplir con las disposiciones legales vigentes.

Otra ventaja de este sistema de votación según la invención radica en la posibilidad de enviar, en tiempo real o diferido, una copia de todas las boletas de votación a los servidores de los observadores debidamente registrados. Estos observadores podrían ser, por ejemplo:

• Partidos políticos, tanto de la mayoría como de la oposición

• Observadores independientes

• Autoridades gubernamentales

• Medios de comunicación

De esta manera, tendrán todo el tiempo necesario para realizar los recuentos que deseen, validando por su cuenta los números anunciados por el sistema de votación.

El número de observadores que recibirán una copia de todas las boletas de votación estará limitado por evidentes restricciones técnicas. 1 millón de votos representa 1 millón de archivos, con un tamaño mínimo en disco duro generalmente de 4,096 bytes, lo que equivale a 4 gigabytes de información. Dado que este tamaño sigue siendo razonable, permitirá enviar boletas de votación a suficientes actores para garantizar la pluralidad de las verificaciones y restaurar la confianza de todos en la integridad del proceso electoral.

El traslado de las boletas de votación a los servidores de los observadores puede ser asegurado a través de una VPN, o de servicios en la nube como Dropbox, OneDrive o Google Drive. Una vez más, dado que estos archivos están despersonalizados, no plantean problemas de seguridad.

5. Resistencia a la coerción o a la compra de votos

El sistema también permite al votante calificar su propio voto como "voto falso" y emitir un segundo voto válido. Esto tendrá como efecto mantener este voto falso disponible en el sistema, permitiendo al votante mostrar este "voto falso" a su opresor o a la persona que le compra su voto, sin que esta tenga la más mínima posibilidad de distinguirlo de un voto verdadero. Sin embargo, este "voto falso" no será tomado en consideración durante el escrutinio. Solo se contabilizará el voto que se haya registrado correctamente. La compra de votos o la coerción se vuelve innecesaria.

El sistema según la invención cumple, por primera vez, con los criterios esenciales del voto democrático, a saber: • El secreto absoluto del voto

• La posibilidad para el votante y solo él de verificar su voto.

• La posibilidad para "todos" de verificar el conjunto de boletas de votación y realizar cualquier recuento deseado.

• La resistencia a la coerción y a la compra de votos

Un gran beneficio del presente sistema es su simplicidad. El votante se conecta al sitio de votación directamente desde su navegador de internet a través de una conexión segura (SSL, como en los sistemas bancarios), pero sin necesidad de instalar programas, código Java, calculadora, infraestructura de clave pública/clave privada u otros certificados de seguridad. La invención se comprenderá mejor al examinar los diagramas de bloques adjuntos. • La Figura 1 ilustra un ejemplo de proceso de inscripción.

• La Figura 2 ilustra un ejemplo del proceso de votación.

• La Figura 3 ilustra un ejemplo del proceso de verificación según la invención.

• La Figura 4 ilustra un ejemplo de publicación de los resultados.

Finalmente, cabe destacar en relación al ejemplo ilustrado que el mismo sistema puede ser utilizado en la cabina de votación, siempre y cuando esta esté equipada con un ordenador con conexión a internet, así como un navegador web.

En resumen, la invención se refiere a un sistema de votación por internet que comprende una contraseña de voto a ser utilizada por el usuario para acceder al mencionado medio de votación, en el cual el usuario introduce una contraseña de verificación solicitada por el sistema. La mencionada contraseña de verificación, junto con un parámetro no confidencial propio del votante (por ejemplo, número de registro nacional), se utiliza para crear un nombre de archivo construido con una función criptográfica como SHA-256 o una función de hash similar, dicho archivo contiene el contenido del voto en claro (no encriptado) y es accesible por el usuario en un sitio de verificación al introducir dicho parámetro no confidencial y su contraseña de verificación.

Además, se entenderá que el voto puede referirse a un escrutinio electoral (federal, europea, nacional, regional, municipal, comunal, ...), la elección de líderes de asociaciones, grupos, empresas, sindicatos, clubes, el voto para candidatos en concursos (personas, productos, servicios, ...), el voto para expresar opiniones políticas o sociales (votaciones, consultas, RIC, referéndum, ...).

También se entenderá que la codificación del nombre de archivo puede realizarse no solo en base a un parámetro no confidencial y una contraseña de verificación, sino en base a dos parámetros confidenciales, por ejemplo, dos contraseñas o incluso una sola contraseña, pero en este caso se deberá asegurar la unicidad.

Ejemplo: Número de Reg. Nac.: 680814.478.96 Contraseña: Louxor76.78 El hash de estos dos parámetros es necesariamente único, ya que el número de registro nacional es único. En cambio, si se permite al votante trabajar solo con una contraseña (por ejemplo: blanca-nieve-y-los-7-enanitos-1938), se debe asegurar que el hash producido sea único, en caso de que alguien más ya haya utilizado la misma contraseña.

El interés de esta disposición es un posible aumento de confianza en el sistema, ya que no se proporciona ningún parámetro que permita identificar al usuario. En el sistema base, se garantiza que estos datos no se conserven ni durante el momento de la votación ni durante una verificación, pero aun así es necesario que el usuario confíe en el cumplimiento de esta disposición. Aquí, ya no hay nada que objetivamente vincule al votante con sus parámetros, especialmente para la verificación.

Claims (5)

REIVINDICACIONES

1. Sistema de votación a través de un sistema de servidor informático conectado a internet, estando el sistema de servidor informático configurado para llevar a cabo simultáneamente dos operaciones después de que un votante haya votado:

a. por un lado, la actualización de una base de datos de votantes, cambiando el estado del votante de "en espera de voto" a "ha votado", sin conservar ningún rastro del momento de la votación para que no se pueda correlacionar el voto y la información contenida en la base de datos de votantes, y

b. por otro lado, la creación de un archivo almacenado en un directorio en el servidor, que contiene, en claro, el contenido del voto, siendo el nombre de este archivo un hash criptográfico de un parámetro propio del votante, y una contraseña de verificación ingresada por el votante y no almacenada por el sistema.

de manera que el votante queda registrado como que ha votado, y el contenido de su voto está completamente separado del perfil del votante, y ya no es posible para nadie, excepto para el propio votante, vincular los dos. 1. Sistema según la reivindicación 1 en el que hay varios colegios electorales y el sistema está configurado para que el archivo sea enviado al directorio correspondiente al colegio electoral del votante.

2. Sistema según cualquiera de las reivindicaciones anteriores, configurado para que los resultados intermedios de la votación se actualicen en tiempo real, permitiendo así un escrutinio en tiempo real.

3. Sistema según una de las reivindicaciones anteriores que está configurado para que se envíe una copia de todos los archivos que contienen los votos en claro, en tiempo real o diferido, a servidores de observadores debidamente referenciados.

4. Sistema según una de las reivindicaciones anteriores, configurado para ser utilizado en una cabina de votación de un colegio electoral.

5. Sistema según una de las reivindicaciones anteriores, estando además configurado el sistema para permitir al votante acceder al contenido de su voto en un sitio de verificación al introducir dicha contraseña de verificación, o el nombre encriptado del archivo para evitar tener que transmitir un parámetro que pueda permitir su identificación.