La Junta Central Electoral (JCE) rechazó los señalamientos de una auditoría privada sobre los mecanismos de seguridad del chip de la nueva cédula dominicana y aseguró que el documento no presenta vulnerabilidades que comprometan la integridad de los datos personales ni permitan su clonación o falsificación.
La posición del organismo fue difundida en un comunicado fechado el 10 de noviembre, después de que la empresa FACTOR Inc. publicara los resultados de una evaluación criptográfica en la que identificó presuntas fallas de configuración en los mecanismos de verificación de autenticidad del documento.
La JCE informó que examinó los documentos publicados por FACTOR, consultó al consorcio EMDOC, adjudicatario del proyecto mediante la licitación internacional JCE-CCCLPI-2024-0001, y pidió la opinión de expertos internacionales en criptografía y documentos de identidad.
"Podemos afirmar de manera categórica que no existe ninguna vulnerabilidad en los chips que comprometa la integridad de los datos de la nueva cédula ni permita su clonación o falsificación", sostuvo la institución.
¿Qué cuestionó la auditoría sobre el chip de la cédula?
El informe de FACTOR, titulado Proof of Cédula, señaló dos aspectos de la infraestructura de seguridad del documento.
El primero está relacionado con el archivo utilizado para comprobar que el chip es auténtico y no una copia. Según la empresa, ese archivo fue firmado con el algoritmo RSA-1024, que considera obsoleto, y contiene un certificado identificado como de desarrollo, en lugar de uno de producción emitido por la JCE.
El segundo señalamiento se refiere a la ausencia de una raíz de confianza pública del organismo electoral y de una lista de certificados revocados que permita verificar cuáles credenciales digitales han perdido su validez.
FACTOR advirtió que esas condiciones podrían dificultar la validación electrónica de la cédula por parte de bancos, instituciones públicas, consulados y otras entidades que necesiten comprobar la autenticidad de los certificados.
Sin embargo, la propia auditoría estableció que sus pruebas no evidenciaron alteraciones directas de los datos biográficos y biométricos almacenados en el chip. También indicó que los intentos de escritura o modificación directa de esa información fueron rechazados por el documento.
El director ejecutivo de FACTOR, Juan Luis Vargas Molina, reconoció que no se había demostrado la ocurrencia de fraudes consumados y que los hallazgos no implicaban que se hubieran producido falsificaciones o robos de identidad.
¿Qué respondió la JCE sobre la seguridad de la cédula?
En su comunicado, la JCE afirmó que tanto el organismo como el consorcio EMDOC han realizado auditorías de seguridad desde la contratación del proyecto y durante su implementación.
No obstante, explicó que los resultados de esas evaluaciones son confidenciales por el carácter sensible de la información y su relación con la seguridad nacional. Agregó que tampoco divulgará los mecanismos de seguridad de niveles 2 y 3, correspondientes a la protección forense del documento.
Sobre la protección de los datos personales, la institución indicó que estos y el mecanismo que impide copiar el chip utilizan criptografía de curva elíptica, conforme a los estándares de la Organización de Aviación Civil Internacional (OACI) y de la Oficina Federal de Seguridad de la Información de Alemania (BSI).
También aseguró que cada chip tiene una clave única que no puede extraerse.
La JCE sostuvo, además, que el material técnico publicado por FACTOR muestra que los intentos de alterar los datos, romper el canal de comunicación seguro o falsificar la firma del organismo fueron rechazados por la cédula y que ninguno de los escenarios de ataque planteados se ejecutó contra un sistema real.
¿Qué información publicará la Junta Central Electoral?
Como respuesta a los cuestionamientos y con el propósito de ofrecer mayor información sobre los mecanismos de seguridad del documento, el Pleno de la JCE instruyó publicar en el portal institucional tres elementos:
- El certificado raíz de la nueva cédula.
- La lista de revocación de certificados.
- Una guía técnica para que instituciones públicas y privadas puedan validar electrónicamente el documento.
La publicación de esos recursos permitirá a las entidades contar con información para realizar verificaciones electrónicas, según explicó el organismo.
La JCE no informó en el comunicado la fecha en que estarán disponibles esos documentos.
¿La auditoría demuestra que la nueva cédula puede falsificarse?
Los hallazgos divulgados por FACTOR identifican presuntas debilidades en determinados mecanismos de verificación criptográfica, pero la empresa también aclaró que sus pruebas no demostraron alteraciones directas de los datos personales ni la ocurrencia de falsificaciones consumadas.
La JCE, por su parte, niega que esas observaciones representen vulnerabilidades que permitan clonar o falsificar el documento y sostiene que los datos de identidad están protegidos.
La institución reiteró que se reserva el derecho de tomar medidas legales para preservar la confianza y la seguridad nacional del documento de identidad.
Compartir esta nota