El proceso de modernización del documento de identidad y electoral de la República Dominicana enfrenta serios cuestionamientos técnicos. Una rigurosa auditoría criptográfica desarrollada por la firma FACTOR determinó la existencia de presuntas fallas de configuración en los protocolos de seguridad del chip integrado en la nueva cédula, particularmente en los mecanismos diseñados para prevenir la clonación y validar electrónicamente la tarjeta.

El estudio técnico, encabezado por el especialista en ciberseguridad Juan Luis Vargas Molina, director ejecutivo de FACTOR, detectó que el archivo EF.CardSecurity —pieza clave para autenticar que el chip es genuino y no una réplica— fue firmado utilizando el algoritmo RSA-1024. Este estándar criptográfico fue retirado de las recomendaciones internacionales hace más de una década debido a su obsolescencia frente a las capacidades de cómputo actuales. Asimismo, el certificado digital empleado porta la etiqueta «OU=development», lo que evidencia que pertenece a un entorno de desarrollo o pruebas del proveedor de software alemán cryptovision (filial de Eviden), en vez de corresponder a un certificado oficial de producción de la Junta Central Electoral (JCE).

Riesgos de validación y vacíos en la infraestructura

Vargas Molina advirtió que la utilización de certificados de prueba incrementa significativamente el riesgo de fraude, ya que las claves privadas de entornos de desarrollo suelen quedar expuestas en paquetes de código fuente o repositorios de prueba. De suceder esto, atacantes podrían generar pruebas de autenticidad fraudulentas sin necesidad de quebrar matemáticamente el cifrado.

El informe subraya además la ausencia de una raíz de confianza pública y de listas de revocación de certificados (CRL) operativas en los enlaces web programados dentro del chip. Esta desconexión impide que entidades bancarias, instituciones gubernamentales y plataformas comerciales verifiquen de forma autónoma la validez de los certificados emitidos. Tampoco se constata el registro de esta autoridad certificadora ante el directorio público de la Organización de Aviación Civil Internacional (OACI), donde únicamente figura la autoridad rectora del pasaporte dominicano.

Integridad de los datos biométricos

Pese a las advertencias, la auditoría establece una clara distinción entre el componente de autenticación del soporte físico y la custodia de la información ciudadana. FACTOR puntualizó que los datos biográficos y biométricos —como nombres, fotografía y firma digital— sí están protegidos con claves criptográficas modernas pertenecientes a la JCE.

Las pruebas de laboratorio confirmaron que el chip bloqueó exitosamente los intentos de manipulación, lectura no autorizada y escritura directa, manteniendo operativos los contadores de intentos del PIN. Por el momento, no existen indicios de que se hayan consumado suplantaciones de identidad, fraudes electrónicos ni alteraciones a los registros personales, por lo que el documento conserva plena validez para usos visuales y cotidianos.

Estado de emisión y medidas sugeridas

Hasta la fecha, el órgano electoral ha entregado más de cuatro millones de plásticos de un padrón general proyectado en 8.7 millones de ciudadanos, incluyendo cerca de 196,000 unidades provistas en el exterior. Con aproximadamente 4.7 millones de cédulas pendientes de personalización, los expertos recomiendan a las autoridades frenar la emisión con el certificado actual, auditar la clave con el proveedor tecnológico y migrar de inmediato a certificados de producción definitivos.

Mientras se evalúan acciones correctivas de fondo, se aconseja a la ciudadanía mantener cautela: evitar compartir el número PIN asignado y abstenerse de publicar fotos del anverso del plástico, dado que el código CAN impreso en la tarjeta facilita la vinculación inalámbrica de dispositivos cercanos con el chip integrado.