If I Can Shop and Bank Online, Why I Can’t Vote Online? (David Jefferson)
Existe una extendida presión en todo el país hoy para la introducción de alguna modalidad de votación por internet en las elecciones públicas que permitiría a las personas votar en linea, todo electrónicamente, desde sus propios ordenadores personales o dispositivos móviles. Sus partidarios argumentan que la votación por internet ofrecería mayor rapidez y más ventajas, particularmente para votantes en el extranjero o militares y, de hecho, para todos los votantes a los que se permitiera votar de esa forma. Sin embargo, los expertos en computadores y en redes coinciden unánimemente en señalar que el voto online es una amenaza extremadamente peligrosa para la integridad de las elecciones de Estados Unidos. No hay forma de garantizar que los requisitos de seguridad, privacidad, y transparencia para las elecciones puedan conseguirse con ninguna tecnología en un futuro previsible. Cualquiera, desde un individuo inadaptado descontento a una agencia nacional de inteligencia puede atacar remotamente una elección online, modificando o filtrando las papeletas de maneras indetectables e incorregibles, o simplemente alterando la elección y generando caos. Existe una multitud de estos ataques que pueden usarse aisladamente o combinados. En el mundo de la ciberseguridad en la actualidad casi todas las ventajas están de parte de los atacantes, y cualquiera de estos ataques puede resultar en que sean elegidas las personas erróneas, o existan iniciativas aprobadas o rechazadas erróneamente.
No hay forma de garantizar que los requisitos de seguridad, transparencia y privacidad para las elecciones puedan conseguirse por medio de ninguna tecnología práctica en un futuro previsible.
A pesar de esto, los partidarios apuntan al hecho de que millones de personas que regularmente efectúan transacciones bancarias y realizan compras online todos los días sin aparentes problemas. Observan que una transacción de votación online se parece a una transaccion de comercio electrónico, al menos superficialmente. Conectas tu navegador a la página web apropiada, confirmas tu identidad, realizas tus elecciones con el ratón, haces click en un botón de confirmación final, y has terminado! Todos los potenciales ataques a los que se ha aludido arriba se aplican igualmente a los servicios de compra y de banca, de manera que cuál es la diferencia? La gente pregunta, muy naturalmente, “Si es seguro hacer transacciones bancarias y compras online, por qué no puedo votar online? Es una pregunta muy justa, y merece una respuesta cuidadosa, exhaustiva, porque las razones no son obvias. La respuesta requiere un desarrollo sustancial para explicarlo por completo, pero en breve, puede resumirse:
1. En realidad, no es “seguro” efectuar transacciones de comercio electrónico online. Es de hecho muy arriesgado. Esencialmente todos esos riesgos se aplican por igual a las transacciones de votación online.
2. Los requisitos de seguridad técnica, privacidad y transparencia para votar son estructuralmente muy diferentes de, y verdaderamente mucho más rigurosos que los que se requieren para las transacciones de comercio electrónico. Aún si las transacciones de comercio electrónico fueran seguras, la tecnología de seguridad que las soportan no serían suficientes para votar. En particular, los requisitos de seguridad y privacidad del voto son únicos y en tensión de una manera que carece de análogos en el mundo del comercio electrónico.
Las transacciones de comercio electrónico no son, de hecho, “seguras.”
Por qué dicen los expertos en seguridad que las transacciones de comercio electrónico no son seguras cuando millones de personas las llevan a cabo todos los días, la mayor parte de las veces sin problemas? La pregunta necesita refinarse: “Seguras de quien?” y “Qé grado de seguridad se requiere?” Las transacciones de comercio electrónico pueden ser relativamente seguras para los consumidores, pero ciertamente no son seguras para las instituciones financieras o los comerciantes (2). Los bancos, las compañías de tarjetas de crédito, y los comerciantes online pierden billones de dólares al año en fraudes de transacciones online pese a enormes inversiones en prevención del fraude y recuperación. La gente tiene la ilusión de que las transacciones de comercio electrónico son seguras porque los comerciantes y los bancos no hacen a los consumidores financieramente responsables por las transacciones fraudulentas de los que ellos son víctimas inocentes. En lugar de ello, los negocios absorben y redistribuyen las pérdidas silenciosamente, pasándolas en las invisibles formas de precios más altos, comisiones y tasas de interés. Los negocios saben que si los consumidores tuvieran que aceptar esas perdidas personalmente la mayor parte del comercio online se colapsaría. En lugar de ello, esconden rutinariamente las pérdidas, manteniendo en secreto su cuantía, de modo que el público es generalmente inconsciente de ellas. Es una buena estrategia de negocio.
Hay muchas técnicas para el fraude en el comercio electrónico que son directamente aplicables a la votación online. Un patrón común comienza con el robo de credenciales, por ejemplo nombres, números de cuenta, números de tarjeta de credito, contraseñas, o las respuestas a preguntas clave personales. El robo puede ser iniciado por estafas de fraude electrónico, instalación de software malicioso, u otros medios, y las mismas trampas pueden usarse exactamente de la misma manera para robar online también credenciales de voto. Recientemente ha aparecido en las noticias un nuevo botnet llamado Zeus (3) que instala programas maliciosos en PCs. Zeus está específicamente diseñado para esperar hasta que te conectes a tu banco y después roba tu contraseña bancaria o tu PIN cuando los tecleas en tu navegador. Los que manejan el “bot” emplean estas credenciales para hacer transferencias de dinero retirado de tus cuentas y falsear tus balances financieros online para esconder el robo (al menos por un tiempo). No influye para nada que tengas una conexión “segura” a la página web de tu banco porque el programa malicioso opera dentro de tu computador y puede ver y modificar todo lo que tecleas en el espacio en blanco (“in the clear”), antes de que sea encriptado para su transmisión a la conexión “segura.” En la actualidad existen negocios ilícitos que ayudan a otras personas a crear botnets Zeus, o alquilar tiempo para usar un botnet ya creado (4).
La mayor parte de las personas, sin embargo, son completamente inconscientes de estas amenazas.
Zeus ejemplifica lo que podría suceder exactamente igual si el voto online llegara a extenderse. Eventualmente alguien, quizás un operativo politico partidista o una agencia de inteligencia extranjera, empleará un botnet similar para infectar miles de computadores de votantes y modificar sus votos invisiblemente mientras están siendo transmitidos. Nuevamente, contar con una conexión “segura” al servidor remoto de la elección carecerá de importancia. No hay forma efectiva de prevenir un ataque así, y tampoco recuperación efectiva. Los bancos, los comerciantes online, y las compañías de alta tecnología que llevan a cabo negocios online tienen altos presupuestos de seguridad para defenderse de los ciberataques, y aún así son frecuentemente sus víctimas. Si estas organizaciones con tanto conocimiento y capacidad en seguridad de computadores y redes pueden ser atacadas con éxito, ningún vendedor de sistemas de voto o administración de elecciones local tiene una oportunidad realista de defenderse con éxito contra amenazas similares.
Tenemos que reconocer que el coste para quien realiza el ataque de realizar un ataque remoto online ha disminuido drasticamente en los últimos pocos años conforme diversas plantillas de programación (“programming templates”), bibliotecas y herramientas para la producción de programas malignos se han vuelto generalmente asequibles. Un estudio reciente demostró que era posible duplicar incluso muy sofisticados vectores de ataque como Stunix, el programa maligno que provocó gran daño a las instalaciones nucleares iraníes, en alrededor de dos meses por menos de 20.000 E. Nos encontramos ahora en un entorno de amenaza muy distinto de aquel en que estábamos incluso hace unos pocos años (5).
Qué nivel de seguridad es suficiente para proteger unas elecciones? La escala de fraude que el comercio electrónico y los sistemas electorales pueden tolerar son muy diferentes. En el mundo del comercio electrónico si una de cada mil transacciones de comercio electrónico se pierde o es fraudulenta no se trata realmente una preocupación vital. Los bancos, los comerciantes y los compradores afrontan pérdidas de ingresos online más de diez veces mayores que esas (6), y tienen herramientas para afrontar la pérdida. Injusto y frustrante como puede ser, ninguna consecuencia catastrófica global sigue a una pequeña tasa de fraude en el comercio electrónico. Los mercados de comercio electrónico son relativamente robustos, i.e. no demasiado sensibles a pérdidas en pequeña escala. Pero en el mundo de las votaciones todos estamos familiarizados con los casos en que, en el espacio de una década, un senador, un gobernador, y un presidente de los Estados Unidos fueron todos elegidos por márgenes mucho más pequeños que un voto en un millar. Pequeños cambios en los totales de voto a veces tienen consecuencias muy grandes, incluso globales, y pueden empujar a toda una ciudad, un estado o una nación a una dirección nueva. Los resultados electorales son así muy sensibles a pequeños errores o fraudes de una forma en la que los sistemas de voto electrónico simplemente no lo son. La seguridad electoral es así una cuestión de seguridad nacional, y los estándares de seguridad tienen que ser diseñados para prevenir de manera fiable, detectar y corregir incluso problemas y ataques muy pequeños. Ese nivel de seguridad y fiabilidad ni es necesario ni rentable para los sistema de comercio electrónico.
Los requisitos de seguridad, privacidad y transparencia en el voto son estructuralmente diferentes de los de las transacciones de comercio electrónico.
El segundo punto de nuestro argumento es que los requisitos de seguridad, secreto y transparencia del voto necesarios para el voto online son estructuralmente muy diferentes de, y generalmente mucho más estrictos, que los necesarios para las transacciones de comercio electrónico. Los mecanismos de seguridad que hacen a las transacciones de comercio electrónico relativamente seguras (para los consumidores, al menos) no son suficientes para garantizar la seguridad del voto online.
La primera diferencia importante es que podemos al menos eventualmente detectar errores y fraudes en el comercio electrónico, pero podemos nunca ni siquiera llegar a darnos cuenta del fraude en la elección online (7). En el mundo del comercio online los problemas son fiablemente detectados por practicas tales como recibos, contabilidad de doble entrada y registros de auditoria financiera conservados por las dos partes de cada transacción financiera importante. Pero en el mundo de la elección online no hay recibos, no hay contabilidad de doble entrada, ni información de rastros auditables significativa. Los expertos en seguridad reclaman rutinariamente un independiente rastro auditable de extremo a extremo (“an independent, end-to-end audit trail”) que pueda usarse para verificar que las papeletas de voto electrónicas recibidas por los funcionarios electorales son idénticas a las que los votantes enviaron, y que ninguna fue falsificada, perdida, o modificada en el camino. Pero la única manera fiable de conseguir esto con la tecnología actual es que los votantes envíen copias en papel de sus papeletas de voto a sus funcionarios electorales locales junto con una declaración firmada, y que los funcionarios usen esas copias en un procedimiento de auditoria de limitación de riesgo formal (8).
Esto resolvería la mayor parte de los problemas de seguridad asociados con el voto online (aunque no los problemas de privacidad). Pero la mayoría de los partidarios del voto por internet son contrarios a un requisito auditor basado en papel de este tipo porque la carga adicional que supone para los votantes enviar copias en papel de sus papeletas y declaraciones firmadas es esencialmente equivalente a enviar papeletas de voto en ausencia ordinarias. De todos modos, sin un significativo rastro auditor de extremo a extremo (“a meaningful end-to-end audit trail”) un ataque bien construido puede conducir a que la elección de candidatos del atacante sea la elegida y bien puede no haber manera de saber que sucedió algo en absoluto. Incluso si hay un problema de sospecha no habrá forma de probarlo o desmentirlo. Y debido al carácter secreto de la papeleta de voto, incluso si hubiera evidencia firme de que personas particulares emitieron papeletas de voto ilegales, o sus papeletas de voto fueron alteradas, los funcionarios no pueden saber qué papeletas eliminar del recuento. Por esto, el voto fraudulento online será las más de las veces indetectables y casi con certeza imposible de corregir, incluso si se detecta.
El fraude en el voto es mucho menos manejable que el fraude en el comercio electrónico. No existe análogo electoral a la práctica comercial de “reparto de costes” (“spreading the cost”) o “reparto del riesgo” (“spreading the risk”). No hay manera de traspasar a otros votantes las “pérdidas” debidas a papeletas de voto ilegales emitidas por votantes no aptos, carentes de derecho, o atacantes, o de cambiar los votos cambiados por un software malicioso. No hay “seguro” que uno pueda comprar para cubrir estas pérdidas. Simplemente no hay forma de compensar el daño provocado a una elección.
Existen varias formas en las que los requisitos de seguridad para votar son estrictamente más fuertes que los necesarios para las transacciones financieras. La comprobación de la aptitud, o de la idoneidad, es uno de ellos. En el mundo del comercio electrónico, esencialmente a cualquiera, incluyendo criminales, no – ciudadanos, y menores se le permite comprar y vender en linea. Entidades no – humanas, e. g., corporaciones, agencias del gobierno, y estados, son libres para involucrarse en transacciones de comercio electrónico también. Y no hay normalmente requisitos de residencia para las transacciones de comercio electrónica. Pero todos estos factores desempeñan un papel en determinar la aptitud para votar.
Luego está también el tema de las “transacciones por poderes” (“proxy transactions”). En el mundo del comercio electrónico puedes libremente autorizar autorizar a alguna otra persona para que actúe como tu agente para compras o transferencias de fondos, o puedes autorizar a otros para que gasten fondos de tus cuentas simplemente dándoles el número y código de seguridad de tu tarjeta de crédito, y / o tu PIN o contraseña. Haciendolo asumes las responsabilidad por el consecuente riesgo. Para transacciones mayores se puede conseguir lo mismo estableciendo una cuenta bancaria conjunta, firmando un contrato, designando un administrador o un tutor, dando un poder legal, etc. Pero en el mundo del voto nunca se te permite transferir tu derecho a votar a nadie más, al menos no en los Estados Unidos. A nadie se le permite legalmente actuar como tu “apoderado” (“proxy”) para votar por ti, ni siquiera tu cónyuge, y ni siquiera con tu permiso escrito.
La prohibición del doble voto es un tercer requisito de seguridad electoral que carece de análogo en el mundo del comercio electrónico . Una persona es libre de involucrarse en tantas transacciones de comercio electrónico como guste, pero la regla de “una persona, un voto” es fundamental. Controlar el doble voto es en realidad complejo porque tiene que cubrir no solo el voto por segunda voz online (que es fácil de prevenir), sino votar por segunda vez por medio de papeletas de voto ausente o presencialmente en los colegios electorales.
A causa de la necesidad de controlar la aptitud, o idoneidad, la prevención del voto “por poderes,” (“proxy vote”), y la prevención del doble voto, se nos requiere que verifiquemos la identidad real de los votantes. En contraste, para una transacción de comercio electrónico solo tenemos que verificar que la persona que efectúa la transacción está autorizada para usar una cuenta financiera adecuada, que es un requisito mucho más débil. Necesitamos un poderoso proceso de verificación de la identidad para el voto online porque si un atacante puede descubrir como emitir un voto ilegal online a través de una debilidad en la verificación de la identidad, entonces probablemente puede automatizar el ataque para permitir que miles de votos falsos sean registrados. Pero verificar de manera viable la identidad real de un votante potencial remotamente a través de internet es un problema difícil y no resuelto en los Estados Unidos. Los Estados Unidos no emiten tarjetas nacionales de identidad con claves privadas incorporadas, e incluso si lo hicieran, los computadores y los dispositivos móviles de hoy no están equipados con recursos para leerlos seguramente. Tampoco mantienen las jurisdicciones electorales una base de datos de rostros, u otros datos biométricos acerca de los votantes registrados y, otra vez, incluso si lo hicieran, los computadores de hoy no están equipados para leerlos y transmitirlos seguramente. No es suficiente que el votante se limite a presentar un número PIN o una contraseña o la respuesta a una pregunta clave (e.g. “En qué ciudad naciste?”). Cualquiera de estos datos puede ser revelado, adivinado, robado o vendido, y por lo tanto no constituye prueba de identidad suficiente porque el peligro de la compra automatizada online y de vender o robar estas credenciales de voto constituye una preocupación mayor.
En la mayoría de los estados los votantes prueban su idoneidad para votar cuando se registran y luego proporcionan una muestra de su firma en tinta para que se la use más tarde en la autenticación de quien vota. Los votantes prueban su identidad cuando votan, o en los colegios electorales, o por medio de una papeleta de voto en ausencia, duplicando esa firma en tinta en un registro. Algunos estados están ahora yendo más lejos y requieren a los votantes que proporcionen documentos identificativos con foto en el momento de votar. Pero no podemos obtener una firma húmeda en tinta de un votante a través de internet para compararla con los libros de registro, ni tampoco puede el / la votante presentar su cara al lado de una foto de un documento de identidad que cuadre o un pasaporte. Por ahora, no hay infraestructura fiable a punto para verificar en Internet la identidad real de una persona sentada ante su PC o sosteniendo un dispositivo móvil.
No hay requisito comparable para las transacciones de comercio electrónico. Ninguna prueba de identidad real es requerida. Todo lo que realmente se requiere para realizar una transferencia online de fondos desde tu cuenta bancaria es el conocimiento del nombre, el número de cuenta, y la contraseña o el PIN asociado con la cuenta, pero no hay comprobación de la identidad real de la persona que efectúa la transacción. O, para poner otro ejemplo, considera que cuando te inscribes o entras en una cuenta de comercio electrónico, e.g. en Amazon.com, te preguntan tu nombre y dirección, pero no te piden una foto, o una firma en tinta, o tu carnet de conducir, o el pasaporte u otra prueba de identidad. Nunca comprueban realmente esas cosas, y no tienen manera de hacerlo. Después de crear una cuenta Amazon todo lo realmente requerido para hacer una compra es una razonable evidencia de que estás en posesión de alguna (cualquiera!) tarjeta de crédito válida, lo que normalmente se demuestra dando el nombre que figura en la tarjeta, y el número de cuenta, el código de seguridad, la fecha de caducidad, y la contraseña o el PIN. Si esos números son validados por la compañía de la tarjeta de crédito y la cuenta no está por encima de su límite, entonces la transacción es permitida. Si la tarjeta de crédito resulta más tarde que ha sido robada, el problema se solucionará después del hecho.
Los requisitos de privacidad para el comercio electrónico y las transacciones de voto son también fundamentalmente distintos. Una transacción de comercio electrónico es generalmente simétrica entre comprador y vendedor, con ambas partes en teoría plenamente conscientes de lo que está siendo comprado y vendido, por qué precio, con qué garantías, y quien tiene derecho para anular la transacción, etc. Para transacciones de mayor cantidad hay usualmente un intercambio de recibos oficiales en papel con nombres, fechas, precios, condiciones, y otros detalles de la transacción, de manera que, en caso de disputa o el comprador o el vendedor puedan probar a una tercera parte (e.g. un tribunal) qué era exactamente lo que se suponía que la transacción era de forma que la disputa pueda resolverse.
No puede ser lo mismo con las transacciones de voto. Mientras que el votante conoce, por supuesto, los detalles de sus votos, los funcionarios electorales no deben conocerlos. Los funcionarios conocen los nombres de aquellos que votaron, y los contenidos de las papeletas emitidas, pero se supone que nunca conocen exactamente quién emitió cada papeleta. Hay una necesidad de supresión de la información, una ceguera parcial por parte de un lado de la transacción que no tiene análogo en el mundo del comercio electrónico.
Además, aunque cada votante sabe cómo votó personalmente y es libre de decírselo a cualquiera, no se le permite tener ninguna prueba de cómo votó que pudiera convencer a una tercera parte. Esta es la protección más poderosa que tenemos contra la amenaza de la venta de votos o el voto forzado, y es exclusiva de la votación. No conozco ninguna otra situación de seguridad en la que las personas sean completamente libres de revelar un hecho que conocen (cómo votaron), pero no se les permita tener ninguna prueba de ese hecho que pueda convencer a alguien más de que estas diciendo la verdad. En este aspecto los requisitos de privacidad de la votación son casi los opuestos a las expectativas de seguridad del comercio electrónico, en el que ambas partes generalmente insisten en poseer prueba de los detalles de una transacción.
Las inusuales reglas de la privacidad del voto tienen fuertes consecuencias que no podemos evitar. Como se observó antes, si por alguna razón los funcionarios llegan a saber, después del hecho, que una persona en particular ha logrado emitir una papeleta ilegal no hay forma de encontrarla para eliminarla del recuento. En los Estados Unidos y la mayoría de los demás países una vez que una transacción de voto está completada, no puede deshacerse incluso en principio, porque la información necesitada ha sido deliberadamente perdida. En ese sentido una transacción de voto online es irreversible. En el mundo del comercio electrónico, en cambio, nos esforzamos por asegurarnos de que la mayoría de las transacciones son reversibles en el caso de que se descubra que son erróneas o fraudulentas, o si los bienes están dañados, o, algunas veces, incluso si una de las partes simplemente tiene dudas. El dinero y la mercancía pueden ser devueltos, y los libros de registro pueden ser corregidos. Por esa razón la gente se siente con libertad para asumir riesgos prudentes con transacciones financieras online basadas en la reputación del comerciante o en el historial de crédito del comprador. Pero no existe el concepto de “reputación” o “solvencia” (“credit worthiness”) en el mundo electoral para ayudar a gestionar el riesgo. Estas diferentes vulnerabilidades al fracaso y al fraude conducen a muy distintos aproximaciones, muy distintos enfoques de la seguridad, en el software de la transacción online. Para la seguridad electoral hay un imperativo muy fuerte a favor de una obvia, absoluta, prevención de los errores y el fraude. Para el comercio electrónico hay usualmente una necesidad mucho más reducida de fuertes barreras de seguridad obvias, porque los problemas pueden usualmente ser corregidos más tarde. La otra cara de la seguridad es la franqueza (“openness”) o la transparencia. Una vez más, los requisitos son completamente diferentes para el comercio electrónico y la votación online. En el mundo del comercio electrónico una persona que compra algo online tiene derecho a saberlo todo acerca de su transacción particular, pero nada acerca de las transacciones de otras personas. Un comprador no tiene derecho a conocer cuantas otras transacciones existen, cuáles son los ingresos o beneficios del comerciante, a quien más vende el comerciante, o qué precio pagan otros por los mismos bienes y servicios, y no tiene derecho a auditar los libros del comerciante con el que está tratando.
En el mundo de la votación, sin embargo, la mayor parte de esto se invierte. Una completa información electoral está (o debería estar) abierta a todos. Los funcionarios electorales informan no solo de los nombres de los ganadores, sino también de exactamente cuántos votos fueron emitidos y cuantos recibió cada candidato a nivel de distrito (“down to the precinct level”). La lista de exactamente quien votó es también usualmente pública, y en algunas jurisdicciones también lo son las imágenes originales de las papeletas. En principio toda la información que guarde relación con el resultado de una elección que no comprometa la privacidad del voto es (o debería ser) pública. Los candidatos, los partidos, y el público tienen derecho a participar en auditorias abiertas, recusaciones (“challenges”), y recuentos de manera que todos y cada uno, especialmente los candidatos perdedores, puedan quedar convencidos de que la elección fue conducida de acuerdo a la ley y los votos fueron contados exactamente. Los funcionarios electorales son así responsables ante los candidatos y los votantes de la integridad de cada detalle relevante de una elección, mientras que los comerciantes son usualmente responsables solo ante los compradores, y entonces solo por las transacciones propias de cada comprador.
El patrón de motivación para el fraude es profundamente diferente entre los mundos comercial y electoral. En una situación de comercio electrónico todas las transacciones son esencialmente independientes. Un comprador no tiene particular incentivo para echar a perder o alterar la compra online de otro comprador ya que dos compradores compradores raramente tienen intereses en conflicto. En cualquier caso el problema seria casi con certeza detectado y corregido. Y es difícil imaginar un motivo para que otra nación se moleste en entrometerse en las transacciones de comercio electrónico de muchos Americanos. Pero la situación es completamente diferente con las transacciones de voto. Existe un poderoso incentivo partidista para bloquear o cambiar los votos de otras personas, especialmente si puede hacerse sin que se detecte. La motivación para automatizar ese proceso para afectar a miles de votos online es tanto mayor. Esos ataques pueden hacerse por decenas de miles de dólares o menos, mientras que el valor monetario de cambiar el resultado de una elección puede ser de cientos de millones de dólares o más, y el valor no-monetario puede ser inmenso también. Con el voto por Internet el peligro es en realidad mucho peor porque cualquiera sobre la Tierra, incluyendo gobiernos extranjeros, podrían derivar gran beneficio de alterar las elecciones de Estados Unidos, especialmente dado que es poco probable que sean aprehendidos y llevados ante la justicia. La votación online es así un riesgo de seguridad nacional de un modo en el que el comercio electrónico simplemente no lo es.
La suma de todas estas consideraciones es simple. Los requisitos de seguridad, privacidad, y transparencia para la votación online son mucho más complejos y estrictos de lo que lo son para las transacciones de comercio electrónico. La aceptabilidad de pequeñas pérdidas y las estrategias para gestionar el riesgo son muy diferentes entre los dos. Y es difícil aprehender todas las implicaciones del hecho de que las elecciones online pudieran ser comprometidas y elegidas las personas erróneas por medio de una silenciosa, remota, automatizada manipulación del voto que no deja rastro auditor (”audit trail”), ni evidencia para que los funcionarios electorales o cualquier otra persona ni siquiera detecte el problema, no digamos solucionarlo. Estas son básicamente las razones por las que no podemos proporcionar seguridad satisfactoria para la votación online, aunque podamos para el comercio electrónico.