Objetivo y activos protegidos
El objetivo es demostrar elegibilidad, participación válida e inclusión de papeletas sin vincular públicamente identidad civil y selección. La privacidad debe sostenerse en límites entre actores, minimización de datos, controles criptográficos y prácticas operativas; no surge automáticamente de usar una cadena o cifrar el contenido.
Los activos que requieren protección incluyen atributos civiles, pruebas de elegibilidad, autorización de participación, selección en claro, material cifrado, metadatos de conexión, shares de custodios y resultados antes de su publicación. Cada flujo debe documentar quién los crea, quién los procesa, cuánto tiempo se conservan y quién puede acceder.
Minimización y separación
La elegibilidad puede requerir una prueba, jurisdicción o dignidad autorizada, pero no el expediente civil completo. La papeleta debe vincularse a elección y dignidad para validar sus reglas, evitando publicar una referencia que revele quién la preparó.
La autorización anónima busca permitir comprobar el derecho a participar sin exponer la identidad al punto de recepción. La evidencia de inclusión debe confirmar que el envío fue aceptado sin actuar como recibo que demuestre la selección. El alcance por dignidad debe evitar reutilización dentro de una dignidad y no bloquear otras válidas.
Proveedor de identidad
Puede conocer que una persona solicita o satisface condiciones para el canal telemático. No debería conocer la opción elegida ni determinar, después de emitir la autorización, si finalmente se depositó una papeleta. La divulgación selectiva busca limitar los atributos compartidos. El protocolo de emisión, revocación y verificación todavía requiere especificación.
Aplicación web
Gestiona la elección, las dignidades y la preparación local de la selección. No debería obtener ni conservar atributos civiles que no necesite para presentar las opciones habilitadas. Los registros de sesión, analítica, diagnósticos y telemetría también deben revisarse para evitar capturar selección o identificadores sensibles.
Recepción y relé
El relé puede procesar metadatos necesarios para transportar material, pero no debería recibir identidad civil junto con la selección en claro. Separar la carga electoral del canal de transporte reduce una forma de vinculación; no elimina dirección de red, tiempos, tamaño o patrones de conexión. Esos metadatos requieren análisis específico y controles de retención.
Operadores
Pueden gestionar la configuración electoral y el estado agregado del proceso. No deberían conocer qué persona aprobada emitió una papeleta ni asociar una identidad con una opción. Permisos administrativos, cuentas de soporte, logs y exportaciones son superficies de confianza que deben quedar definidas y auditadas.
Custodios
La propuesta contempla autoridad electoral, observador cívico y auditor técnico; dos de tres participarían en el conteo agregado. Este umbral no protege frente a la colusión de dos custodios. Se deben definir generación y custodia de claves, separación de funciones, entrega de shares, revocación, recuperación, validación de shares inválidos y registro de cada autorización.
Verificador público
Puede revisar raíces, manifiestos, pruebas o firmas y totales agregados publicados. No debería obtener identidades civiles ni selecciones individuales. La publicación debe revisarse también frente a correlación con datos externos, grupos pequeños y metadatos que puedan habilitar inferencias.
Mecanismos criptográficos previstos
La divulgación selectiva y las pruebas de conocimiento cero se estudian para demostrar elegibilidad o condiciones sin publicar todos los datos subyacentes. La autorización anónima busca limitar la reutilización; el cifrado busca mantener las selecciones protegidas hasta el conteo agregado.
Estas son propiedades objetivo. Para sostenerlas hacen falta especificaciones de protocolos, parámetros y gestión de claves; análisis criptográfico; pruebas contra entradas malformadas y repetidas; y evidencia de que la implementación corresponde al diseño. No se describen como garantías activas sin esa evidencia.
Amenazas y riesgos residuales
Vinculación de identidad y voto: puede surgir por registros compartidos, identificadores reutilizados o telemetría. Repetición: debe prevenirse con autorización de alcance correcto por dignidad. Cliente comprometido: puede alterar selección, mostrar opciones incorrectas o filtrar datos antes del cifrado. Custodios coludidos: dos participantes podrían combinar información de descifrado según el umbral propuesto.
Metadatos: navegador, red, tiempos y patrones pueden identificar o correlacionar participación aunque la papeleta esté cifrada. Coerción: la documentación no reclama resistencia a coerción ni evita que el entorno físico del votante observe o influya su selección. Conteos agregados: debe evaluarse inferencia en grupos reducidos y publicaciones sucesivas.
Evaluación de privacidad
Antes de afirmar una propiedad deben definirse adversarios, datos observables y supuestos de confianza; mapear flujos y retención; revisar permisos y registros; probar autorización, no reutilización y separación identidad-papeleta; y someter los protocolos a revisión técnica independiente. Los límites residuales deben declararse junto a la evidencia correspondiente.