Imagen de cortesia.
SANTO DOMINGO, RD. – La Junta Central Electoral (JCE) desmintió de manera categórica que exista una vulnerabilidad en el chip de la nueva Cédula de Identidad y Electoral que permita su clonación o ponga en riesgo los datos ciudadanos. El pronunciamiento responde a un informe de la firma privada FACTOR Inc., que alertaba sobre supuestas fallas criptográficas en el documento.
Tras consultar al Consorcio EMDOC y a expertos internacionales, el órgano electoral ratificó que cualquier intento de alteración o falsificación de firma digital es rechazado de forma automática por el chip.
El debate técnico y las garantías de seguridad
La controversia surgió cuando la firma FACTOR —dirigida por el criptógrafo Juan Luis Vargas Molina— publicó un estudio señalando que el archivo anticlonación habría empleado el algoritmo RSA-1024 junto a un certificado de desarrollo. No obstante, la propia auditoría reconoció que los datos personales permanecen íntegros y que no existen casos de fraude.
La JCE explicó que el sistema utiliza criptografía de curva elíptica de última generación, amparada por estándares de la Organización de Aviación Civil Internacional (OACI) y la agencia alemana BSI. Además, recordó que el documento fue premiado internacionalmente como el Mejor Documento de Identidad 2026 en Latinoamérica. Como parte de sus medidas de transparencia, la institución publicará en su portal el certificado raíz y guías técnicas.
Proceso de cedulación
A la fecha, la JCE ha entregado más de cuatro millones de nuevas cédulas de un padrón de 8.7 millones. El organismo recordó que el documento actual vencerá el 1 de abril de 2027 e instó a la ciudadanía a proteger sus claves de acceso (CAN) y evitar compartir fotografías del plástico en redes sociales.
Auditoría independiente revela graves fallas de configuración en el chip de la nueva cédula dominicana
Una auditoría criptográfica independiente realizada por la firma especializada en encriptación y blindaje de datos FACTOR Inc. (www.projectfactor.io), dirigida por el premiado matemático y criptógrafo dominicano Juan Luis Vargas Molina, reveló dos defectos críticos de configuración en el chip de la nueva Cédula de Identidad y Electoral de la República Dominicana. Según el informe técnico, estas fallas comprometen la verificación contra clonación y la validación electrónica del documento a nivel nacional e internacional.
La investigación, titulada Proof of Cédula y publicada con evidencia reproducible de código abierto a través de GitHub, advierte que las deficiencias violan el pliego de condiciones de la licitación pública adjudicada en agosto de 2025 al Consorcio EMDOC por un monto de RD$3,361.5 millones. Dicho contrato exigía el uso de algoritmos criptográficos actuales, custodia en módulos de seguridad de hardware (HSM) y chips con capacidad para claves RSA de 4096 bits.
Clave de “desarrollo” y algoritmo retirado hace más de una década
El peritaje, realizado sobre documentos emitidos entre principios de 2026 y septiembre de 2026 con el consentimiento de sus titulares, determinó que el archivo anticlonación del chip (EF.CardSecurity) fue firmado utilizando el obsoleto algoritmo RSA-1024 —prohibido por el Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) desde 2013 y rechazado por agencias europeas— junto a un certificado de prueba identificado como de “desarrollo” (OU=development), perteneciente a la empresa alemana de software cryptovision (parte de Eviden).
“Al tratarse de una clave de prueba del fabricante, existe el riesgo de que la clave privada circule en paquetes de programación, muestras o entornos de prueba del proveedor, lo que permitiría falsificar la prueba anticlonación del chip sin necesidad de poder computacional para romperla sin dejar rastro, con un certificado válido hasta 2079”, explicó Vargas Molina. El experto aclaró que el problema no radica en una limitación física del plástico, sino en una falla grave en el proceso de configuración y control de calidad previo a la emisión.
Ausencia de la raíz de confianza en Internet
El segundo hallazgo crítico señala que, aunque los datos biográficos y biométricos del ciudadano (EF.SOD) sí están firmados con una clave moderna de la Junta Central Electoral (JCE), la dirección web oficial inscrita dentro del chip para verificar la Autoridad Certificadora Raíz del país (ca.jce.gob.do/csca) y la lista de certificados revocados no existen en Internet. Tampoco figuran registradas en el directorio público de la Organización de Aviación Civil Internacional (OACI).
Sin esta infraestructura pública activa, bancos, consulados, universidades e instituciones gubernamentales no pueden comprobar de manera autónoma la autenticidad del emisor ni saber si un certificado ha sido revocado. Hasta octubre de 2026, la JCE había entregado más de 4.0 millones de nuevas cédulas de un padrón de 8.7 millones, restando unos 4.7 millones de documentos por emitir.
Llamado a la calma y medidas preventivas
Pese a la gravedad técnica de los hallazgos, Vargas Molina enfatizó que hasta el momento no se ha demostrado ningún fraude consumado ni robo de identidad, y que el pasaporte dominicano no se ve afectado. Asimismo, confirmó que la nueva cédula sigue siendo plenamente válida para la identificación visual cotidiana.
No obstante, exhortó a la ciudadanía a seguir tres recomendaciones básicas de seguridad:
No compartir nunca el PIN personal del documento.
Evitar publicar fotografías frontales de la cédula en redes sociales, ya que en la esquina superior derecha está impreso el código CAN de seis dígitos que permite a cualquier dispositivo cercano leer los datos del chip.
Mantenerse atentos a las disposiciones oficiales de la Junta Central Electoral.
Finalmente, FACTOR propuso a la JCE una hoja de ruta correctiva que incluye verificar con el proveedor el estado de la clave privada de desarrollo, detener la línea de personalización actual para que los 4.7 millones de plásticos pendientes salgan con certificados de producción auditados, y publicar de inmediato la raíz de confianza y la lista de revocación en Internet.
(Con informaciones de FACTOR Inc. / Repositorio técnico Proof of Cédula)
About The Author
