ME QUIEREN METER PRESO

Por Javier Smaldone

Días atrás publiqué un artículo mostrando cómo el Gobierno argentino en su propuesta de reforma electoral quiere penalizar con cárcel todo intento de mostrar las debilidades y riesgos del sistema de voto electrónico con el que pretende que votemos desde 2017 en adelante.

Hoy, menos tranquilo (dado que a ningún político ni medio periodístico le pareció relevante el asunto, aunque fuimos varios los que tratamos de darle difusión), me tomo unos minutos para analizar la situación y sobre todo para pensar en el futuro (y en particular en mi futuro con respecto a esto).
Quienes me leen regularmente (o cualquiera que revise la categoría “Voto electrónico” de mi blog) saben que desde hace más de 8 años me preocupo por la problemática de la introducción de sistemas informáticos en los procesos electorales. Esto ha sido así independientemente del lugar del país, el color político del impulsor de la iniciativa y la empresa involucrada en el negocio. En el caso del sistema conocido como “boleta única electrónica” (al que hasta le he dedicado una categoría especial) mi énfasis y dedicación han sido mucho mayores, ya que Mauricio Macri hace tiempo expresó su intención de implantarlo a nivel nacional.
Desde fines de 2014, ante el anuncio de que en la Ciudad de Buenos Aires se implementaría voto electrónico, varias personas fueron interesándose en el tema. Esto ocurrió sobre todo en la red social Twitter, y a través de ella fuimos intercambiando información sobre el sistema propuesto y los avances de la iniciativa. Con el tiempo, tuve la posibilidad de tener contacto directo y hasta de conocer personalmente a algunos de estos interesados (otros, en una decisión que a la luz de los hechos posteriores no fue equivocada, decidieron permanecer anónimos). Así fue que en unos meses logramos descubrir detalles del sistema que no se habían hecho públicos (aunque se pretendía que la gente votara usándolo) y falencias, errores o debilidades. Lamentablemente, nunca logramos que los medios masivos se ocuparan de difundir los problemas del sistema de “boleta única electrónica“. Lo que sí logramos es que los auditores oficiales reconocieran la existencia de nuestros hallazgos (y sus omisiones), y que algunos errores fueran solucionados en mayor o menor medida.
Todo esto se hizo gracias al aporte desinteresado de gente que puso tiempo y conocimientos, y a pesar del gobierno de CABA, la Justicia Electoral y la empresa MSA, que nunca publicaron el código fuente del software, ni las especificaciones técnicas del sistema, ni prestaron equipos para realizar pruebas y análisis. Todo fue informal (y hasta precario), pero fue legal. En mi caso particular, varias veces tuve que viajar desde Río Cuarto, en donde vivo, a Buenos Aires (y una vez allí, permanecer durante algunos días). No sólo me costó dinero, sino hasta algún trastorno laboral y familiar. Pero lo asumo, lo hice completamente por gusto propio (y en contra del consejo de varios amigos).
Una luz de alerta se encendió el viernes 3 de julio de 2015, cuando recibí un e-mail que decía que la policía estaba realizando allanamientos relacionados con las investigaciones sobre el voto electrónico. Eran las 22:30 horas, y me encontraba casualmente en un colectivo saliendo de la terminal de ómnibus de Retiro. No supe qué hacer (estuve a punto de bajarme en medio de la villa 31). Luego me enteré de que el allanamiento no estaba relacionado con los temas en cuya investigación yo había estado involucrado. Quien lo sufrió fue el programador Joaquín Sorianello, que había descubierto y denunciado la exposición de las claves de cifrado para la transmisión de los datos de la votación. (Actualmente Joaquín sigue imputado injustamente en una causa penal, y a la fecha ni siquiera ha recuperado las herramientas de trabajo que le secuestraron).
Unos meses después, fui invitado por los organizadores de la conferencia de seguridad informática Ekoparty, y junto con Iván Barrera Oro (una de las personas que tuve el gusto de conocer gracias a la investigación) dimos una charla que tuvo muy buena recepción entre el público (en general, profesionales y aficionados a la seguridad informática) relatando en detalle todas las vulnerabilidades que habíamos encontrado. Pero lamentablemente, la prensa seguía sin enterarse ya que el tema casi excluyente eran las elecciones presidenciales.
A pocos días de asumir, en el mes de enero el nuevo gobierno nacional anunció la llamada “reforma política”, de la que con el tiempo se fueron descartando objetivos, hasta quedar como punto excluyente la implantación del voto electrónico (siempre bajo el nombre de “boleta única electrónica”). En el mes de mayo de este año (2016), fui convocado junto a otras personas a una reunión con Adrián Pérez (Secretario de Asuntos Políticos del Ministerio del Interior, encargado de impulsar la reforma). Sabía que el proyecto ya estaba escrito, y que no tenían la voluntad de cambiar ni una coma (y mucho menos dejar de lado el voto electrónico), pero decidí ir (nuevamente, poniendo tiempo y dinero). Efectivamente la reunión no sirvió de nada, pero al menos tuve la oportunidad (al igual que el matemático Enrique Chaparro) de expresarles personalmente los problemas y los riesgos de su iniciativa. Me llevé la impresión de que no necesariamente estaban del todo enterados de los problemas que habíamos detectado el año anterior.
El 23 de junio de 2016 el presidente Macri anunció la “reforma política” (en realidad, “reforma electoral”) y unos días después el texto del proyecto de ley ingresó a la Cámara de Diputados. Amén de que ninguna iniciativa que tenga como objetivo introducir una computadora entre el votante y su voto puede ser buena, el proyecto está pésimamente escrito. Pero en este momento, lo que más me interesa (y preocupa) es que introduce nuevas figuras penales. Y no es precisamente que yo tenga en mente cometer algún delito electoral, sino que mirando hacia atrás, muchas de las cosas que he hecho, de aprobarse esta reforma, me harían merecedor de condenas que van desde 1 a 6 años de cárcel.
El 26 de abril de 2015 fui la primera persona a la que se le ocurrió acercar una “boleta única electrónica” a un celular con soporte de NFC para ver cómo se almacenaba un voto. Ahí descubrí que era muy simple para cualquiera “escribir” votos válidos del contenido que se quisiera en el chip insertado en la boleta. También tuve que descubrir la marca y modelo de chip utilizado, para poder ver sus especificaciones técnicas y así determinar la posibilidad de realizar ciertos ataques. Más adelante, Iván logró hacerse de boletas oficiales que habían sido tiradas a la basura en un lugar de votación, y así pudimos corroborar que se trataba del mismo chip. De convertirse en ley el proyecto en cuestión, volver a hacer algo como esto nos haría merecedores de 1 a 3 años de cárcel.
El ataque conocido como “multivoto” no fue detectado por ninguna auditoría oficial. Luego de que lo hicimos público (con especial cuidado de que no afectara el proceso eleccionario ya en curso), fue reconocido por los auditores y supuestamente solucionado por la empresa MSA. Los investigadores en seguridad informática no tienen otra forma de verificar un posible ataque y permitir la revisión entre pares (un pilar del funcionamiento de la comunidad científica) más que publicando lo que se conoce como “prueba de concepto” (generalmente, una pieza de software que realiza el ataque descripto), y así se hizo en este caso. De estar vigente la reforma electoral propuesta, esto haría merecedores a quienes participamos de la investigación a entre 2 y 6 años de cárcel.
Indudablemente Joaquín Sorianello utilizó indebidamente códigos de acceso, pero lo hizo sin intención de causar daño y dando rápido aviso a la empresa del problema de seguridad detectado, debido a un error de configuración en sus sistemas, para evitar lo que hubiera sido una catástrofe en el escrutinio provisorio. Según la nueva ley electoral, le corresponderían también de 2 a 6 años de cárcel.
Cuando se filtró el código fuente del sistema de votación (algo que también sería punible según la nueva ley), observé que las claves de las autoridades de mesa estaban cifradas de una forma débil y fácil de vulnerar. Generé entonces un “diccionario” que permitiría, con sólo disponer del DVD de una mesa de votación, obtener las claves de todos los presidentes de mesa. Hice esto para mostrar cómo el mecanismo de seguridad planteado era deficiente (aunque luego descubriríamos que además era inútil), dando tiempo suficiente a reparar el problema antes de que pudiera afectar la votación. Por esto, también me corresponderían de 2 a 6 años en un penal correccional.
Estos son sólo unos pocos ejemplos. En realidad, prácticamente cualquiera de las acciones realizadas por quienes investigamos el sistema de votación usado en CABA en 2015 caerían dentro de las figuras penales creadas por la nueva ley electoral. Para poder auditar el sistema habrá que tener una autorización (otorgada por el Estado) y seguramente ceñirse al examen de los elementos (hardware y software) entregados por éste. Así se pretende instalar el uso de un nuevo mecanismo de votación: impidiendo a los ciudadanos su análisis y escrutinio, bajo pena de cárcel. Mi impresión luego de la reunión con Adrián Pérez fue errónea: estaban al tanto de nuestras investigaciones, y la forma de tenerlas en cuenta fue penalizar las actividades que nos permitieron realizarlas.
¿Qué debo hacer en adelante si el proyecto se transforma en ley? Las opciones que se me presentan son tres. La primera es obedecer la ley, y por lo tanto abstenerme de realizar cualquier actividad que pudiera caer dentro del tipo penal. La segunda es seguir haciendo lo mismo que hago, pero bajo una identidad anónima (nuevo blog, nueva cuenta de Twitter y muchísimo cuidado). La tercera es desafiar la ley, haciendo lo poco que pueda, como hasta ahora, con los escasos recursos que tengo (y la casi nula información publicada por el Estado). Mis allegados suelen recomendarme la primera, algunos hasta se animan a sugerirme la segunda, pero siento una fuerte inclinación a adoptar la tercera.
La ley, si es aprobada, será injusta. Como si no fuera poco quitarle al votante la posibilidad de cerciorarse por sus propios medios que el sistema de votación cumple con la ley y garantiza sus derechos, también se nos quita a quienes sabemos de informática las pocas chances que tenemos de auditar el sistema. No es suficiente con los enormes impedimentos técnicos (ojalá hubiéramos tenido una máquina de votación durante meses, quién sabe qué otras cosas podríamos haber encontrado), ahora la consecuencia de demostrar que el sistema de votación es vulnerable será el encierro.
Uno esperaría que semejante proyecto no supere la primera comisión que ponga sus ojos en semejante avance contra la libertad, pero en un país donde Joaquín Sorianello fue allanado en medio de la noche por advertir un problema que podía afectar las elecciones y nadie se molestó demasiado, todo es posible. Incluso que encontrar una falla en la seguridad del voto electrónico y reportarla debidamente sea un delito más gravemente penado que abusar de un niño de menos de 13 años (que tiene hasta 4 años de prisión). Cualquier cosa puede pasar. De hecho, la tentativa del Gobierno de censurar a los especialistas que busquen vulnerabilidades en la“boleta única electrónica” ya es un hecho comprobado, con sello de mesa de entradas de la Cámara de Diputados de la Nación.
Todo es posible, y a casi nadie le importa. La inmensa mayoría (incluido el periodismo) parece conformarse con que votar con el sistema propuesto sea “fácil, rápido y moderno”. Quizás descubriremos dentro de unos años (como pasó en países como Alemania y Holanda) que la modernidad pasa por otro lado. Erradicar el facilismo, lamentablemente, seguramente nos lleve aún más tiempo.
Me quieren meter preso. Nos quieren meter presos a todos los que intentemos buscar los problemas del sistema con el que el Gobierno quiere que elijamos a nuestros representantes.Por favor, no los dejemos.