METIS Italia METIS Italia

Cómo garantizamos el secreto del voto

Cuando confirmas el voto, el sistema escribe dos cosas distintas, en dos tablas distintas, que no tienen ningún campo en común.

Registro de votantes

  • Nombre y apellidos
  • Correo electrónico (cifrado)
  • Fecha de la invitación
  • "Ha votado": solo el día

No contiene: tus elecciones

≠

Urna

  • Clave aleatoria de la papeleta
  • Las elecciones
  • El día
  • Huella del recibo

No contiene: nombre, correo electrónico, hora ni ninguna referencia al votante

Firma ciega: el vínculo es imposible, no solo "no guardado"

  1. Tu navegador crea una ficha aleatoria y la "enmascara" con un número que solo él conoce.
  2. Primera solicitud, con tu enlace personal: el servidor comprueba que tienes derecho a votar, marca "ha votado" y firma la ficha enmascarada sin poder verla.
  3. El navegador quita la máscara: ahora tiene una ficha firmada que el servidor nunca ha visto en claro.
  4. Segunda solicitud, unos segundos después y sin ningún dato que te identifique: el navegador deposita la papeleta con la ficha firmada. El servidor acepta la papeleta porque la firma es válida, pero no puede saber de quién es.
  5. Cada ficha vale para una sola papeleta. El código que enmascara la ficha se ejecuta en tu navegador y es público (js/AN05_blind.js): cualquiera con conocimientos técnicos puede revisarlo.

Lo que no guardamos

Lo que puedes comprobar tú mismo

  1. Justo después de votar ves los dos registros recién guardados, leídos de nuevo de la base de datos: junto a tu nombre no hay elecciones y en la papeleta no hay nombre.
  2. Con el código del recibo compruebas, en la página de resultados, que tu papeleta está en la urna y se ha contado.
  3. Cuando se cierra la votación, la urna es pública (sin nombres): puedes volver a contar todas las papeletas con un clic y compararlas con los resultados.
  4. El sistema compara los totales con las papeletas y con una copia cifrada de los contadores, y señala cualquier diferencia.

Límites, dichos con claridad

Con la firma ciega el vínculo es imposible incluso para quien gestiona el servidor, porque el servidor nunca ve la ficha junto a tu nombre. Quedan dos rastros indirectos, reducidos pero no eliminados: la dirección de internet desde la que llegan las solicitudes (no la guardamos en las tablas, pero los registros técnicos del proveedor de alojamiento la conservan) y la cercanía en el tiempo entre las dos solicitudes, atenuada por la espera aleatoria antes del depósito.

En las votaciones sin firma ciega, la separación entre nombre y elecciones vale para los datos guardados: nadie, ni siquiera el organizador, puede reconstruirla después. Quien gestiona técnicamente el servidor, observando el sistema en tiempo real justo mientras votas, tendría en teoría más posibilidades.

Por la misma razón, la urna no se publica si hay menos de 5 papeletas: con muy pocos votantes, las combinaciones de elecciones podrían revelar quién ha votado qué.

Pruébalo tú

Vota en una votación de prueba en menos de 30 segundos, sin cuenta, o comprueba un recibo.

Prueba a votar Comprobar un recibo