Una auditoría criptográfica realizada por la firma FACTOR identificó presuntas fallas de configuración en los mecanismos de seguridad del chip de la nueva cédula de identidad y electoral dominicana, relacionadas con la verificación contra clonación y la validación electrónica del documento.
El estudio señala que el archivo del chip utilizado para demostrar que el documento es auténtico fue firmado con el algoritmo RSA-1024, que, según la empresa, está obsoleto, y con un certificado identificado como de «desarrollo», en lugar de uno de producción emitido por la Junta Central Electoral (JCE).
Juan Luis Vargas Molina, director ejecutivo de FACTOR, advirtió que estas condiciones podrían facilitar la falsificación de la prueba de autenticidad del chip y aumentar los riesgos de fraude cuando la cédula sea utilizada en plataformas digitales, entidades bancarias, instituciones públicas y otros servicios.
La empresa indicó que comunicó los resultados a la JCE hace varias semanas. Sin embargo, el documento divulgado no incluye una respuesta del organismo electoral sobre los señalamientos ni información sobre posibles medidas correctivas.
Qué encontró la auditoría
El informe, titulado Proof of Cédula, identifica dos aspectos principales en la infraestructura de seguridad del documento.
El primero corresponde al archivo EF.CardSecurity, utilizado para comprobar que el chip de la cédula es genuino y no una copia. Según FACTOR, ese archivo está firmado con una clave RSA-1024 cuyo certificado contiene la identificación «OU=development», asociada a un entorno de desarrollo del proveedor alemán de software cryptovision, parte de Eviden.
Vargas Molina sostuvo que el uso de ese algoritmo representa una debilidad porque RSA-1024 fue retirado de los estándares de seguridad recomendados hace más de una década.
El experto también advirtió sobre el riesgo de que la clave privada asociada a ese certificado de desarrollo pueda encontrarse en paquetes de programación, muestras o entornos de prueba del fabricante. Si esto ocurriera, explicó, terceros podrían falsificar la prueba anticlonación sin tener que romper matemáticamente el algoritmo.
El segundo hallazgo señalado por la firma es la ausencia de una raíz de confianza pública de la JCE y de una lista de certificados revocados que permita comprobar cuáles credenciales digitales han perdido su validez.
Según FACTOR, las direcciones web incluidas en el chip para consultar esos mecanismos no están disponibles en Internet. La empresa sostiene que esta situación dificulta que bancos, consulados, oficinas públicas y otros sistemas electrónicos verifiquen de manera autónoma la autenticidad de los certificados del emisor.
El informe también indica que la autoridad certificadora de la JCE no figura en el registro público de la Organización de Aviación Civil Internacional (OACI), donde, según la firma, aparece únicamente la autoridad correspondiente a los pasaportes.
La firma dice que los datos personales mantienen su integridad
La auditoría establece una diferencia entre los mecanismos de seguridad que presentan los problemas señalados y la protección de los datos personales almacenados en el chip.
FACTOR afirma que la información biográfica y biométrica del titular —incluidos el nombre, la fotografía y la firma— está firmada con una clave moderna de la JCE y que las pruebas realizadas no evidenciaron alteraciones directas de esos datos.
También indicó que los contadores de intentos de PIN funcionaron correctamente y que el chip rechazó los intentos de escritura o modificación directa de la información.
Por tanto, los hallazgos divulgados no equivalen a demostrar que se hayan producido falsificaciones, robos de identidad o alteraciones de los datos de los titulares.
El director ejecutivo de la firma reconoció que no se ha demostrado la ocurrencia de fraudes consumados y sostuvo que la cédula mantiene su validez para la identificación visual y las actividades cotidianas. Añadió que los hallazgos no afectan la integridad del pasaporte dominicano.
Más de cuatro millones de cédulas entregadas
De acuerdo con las cifras incluidas en el informe, hasta octubre de 2026 la JCE había entregado más de cuatro millones de nuevas cédulas, de un padrón de 8.7 millones de ciudadanos habilitados.
La cifra incluye más de 196,000 documentos emitidos en el exterior. Según FACTOR, todavía quedarían cerca de 4.7 millones de cédulas por emitir.
La empresa considera que las autoridades deben determinar el alcance de los defectos antes de completar la distribución del documento y establecer si es posible corregir los problemas sin sustituir físicamente las tarjetas.
Para ello, propone verificar el estado de la clave de desarrollo con el proveedor, detener la personalización de nuevos documentos con esa configuración y garantizar que los pendientes utilicen un certificado de producción de la JCE.
También recomienda publicar la raíz de confianza y la lista de certificados revocados, realizar un muestreo independiente de los documentos emitidos y evaluar si el archivo de seguridad del chip puede actualizarse en los puntos de servicio.
Entre las medidas sugeridas figura, además, orientar a bancos, telefónicas e instituciones que utilicen la cédula para verificaciones electrónicas, así como realizar una auditoría criptográfica integral antes de decidir si procede una sustitución de documentos.
Recomendaciones a los ciudadanos
Mientras se evalúan los señalamientos, Vargas Molina recomendó a los ciudadanos no compartir el PIN de sus documentos y evitar publicar fotografías del anverso de la cédula.
La advertencia responde a que el documento incorpora un número CAN impreso que permite a dispositivos cercanos acceder a la información del chip, según explicó el especialista.
El informe técnico y las evidencias de código abierto utilizadas por FACTOR están disponibles en el repositorio público de la empresa: https://github.com/ProjectFactor/auditoria_criptografica.
La publicación de estos resultados plantea interrogantes sobre los controles técnicos aplicados antes de la emisión de un documento que servirá para identificar a millones de dominicanos. Corresponde a la JCE ofrecer su versión sobre los hallazgos, precisar si ha realizado verificaciones propias y explicar si contempla medidas para atender las observaciones.
Compartir esta nota
Sigue leyendo
{{#volanta}}{{volanta}}{{/volanta}}