← Todos os artigos

Uma máquina de voto é um computador. "Certificada" não significa que pode confiar nela

Em 2004, a Irlanda gastou milhões em máquinas de voto que nunca utilizou — porque uma comissão independente não conseguiu provar que funcionavam. O que "certificada" realmente significa deveria aterrá-lo.

É a primavera de 2004, e algures num armazém em Dublin, 7.500 máquinas de voto estão nas suas caixas, novas em folha, pagas, nunca a serem utilizadas.

O governo irlandês tinha gasto aproximadamente €54 milhões na aquisição do sistema eletrónico de votação e contagem Nedap/Powervote. Tinha sido testado. Tinha sido aprovado pelas autoridades relevantes. Por todas as medidas convencionais, estava pronto.

Depois uma Comissão Independente sobre Votação Eletrónica fez uma análise cuidadosa — e disse que não podia recomendar o sistema para utilização.

Não porque tivesse encontrado prova de que as máquinas falhariam. Não porque tivesse descoberto fraude ou sabotagem. A conclusão da Comissão foi mais condenatória do que qualquer uma delas: encontrou que não conseguia satisfazer-se quanto à precisão e sigilo do sistema tal como apresentado. As máquinas não tinham sido provadas, à satisfação de um examinador independente, que funcionariam corretamente. E assim a posição padrão de um governo democrático — a correta — foi: não as utilizem.

As máquinas ficaram em armazéns durante cinco anos e foram formalmente despedaçadas em 2009, a um custo adicional para o público. A Irlanda voltou para o papel.

Essa é a história que a certificação supostamente deveria prevenir. Não preveniu.

O que "certificada" realmente significa

Eis o que acontece quando uma máquina de voto é certificada nos Estados Unidos.

Um fabricante submete o seu sistema a um laboratório de testes acreditado — uma de um pequeno número de empresas privadas aprovadas pela Comissão de Assistência Eleitoral dos EUA. O laboratório testa o sistema contra um conjunto de normas federais (as Voluntary Voting System Guidelines, ou VVSG). Se passar, a EAC adiciona-a a uma lista de sistemas certificados. Os estados podem então aprová-la para utilização.

Os testes são reais. Os laboratórios têm credenciais. As normas têm substância.

Mas há uma ressalva tão grande que podia estacionar essas máquinas de voto irlandesas dentro dela.

A certificação é um instantâneo. Reflete o que o software estava a fazer no dia em que o laboratório o testou. Não — e não pode — garantir que o software em execução no dia da eleição é o mesmo software que o laboratório examinou. Não segue a máquina para fora da porta, através da cadeia de abastecimento, para o armazém, para o camião, e para o local de votação. Testa uma versão. Não certifica um sistema vivo, implementado.

O Gabinete de Prestação de Contas do Governo dos EUA fez este ponto em linguagem clara lá em 2005: os esforços federais para melhorar a segurança e fiabilidade dos sistemas de votação eletrónica estavam em andamento, mas as atividades-chave permaneciam incompletas. Anos após a crise que desencadeou a reforma federal, a maquinaria para realmente assegurar a segurança ainda estava a ser construída. As normas e certificação só importam uma vez que existem e são aplicadas — até lá, "utilizamos sistemas certificados" é uma afirmação sem uma verificação plenamente operacional por trás dela.

Essa lacuna entre afirmação e realidade é o modelo de ameaça sobre o qual este artigo é.

A experiência de Princeton: um minuto, indetectável

Em 2006, três investigadores de Princeton — Ariel Feldman, J. Alex Halderman, e Edward Felten — obtiveram uma máquina de voto Diebold AccuVote-TS de ecrã tátil real. Era uma máquina certificada, uma das mais amplamente implementadas nos Estados Unidos na altura.

Não precisavam de meses. Não precisavam de um orçamento de estado-nação. Precisavam de aproximadamente sessenta segundos de acesso físico.

Nesse tempo, um atacante podia instalar código malicioso na máquina — código que roubaria votos enquanto alterava todos os registos, registos e contadores para se manter internamente consistente. A máquina reportaria limpeza. Os registos reportariam limpeza. Os totais somariam. E os votos estariam errados.

Ainda mais alarmante: construíram um vírus real de máquina de voto. Código que se propaga automaticamente de máquina para máquina durante atividade eleitoral ordinária — a troca rotineira de cartões de memória que acontece em cada jurisdição em cada dia de eleição. Uma máquina infetada. Um cartão. Uma corrente.

O AccuVote-TS tinha passado certificação. Tinha sido avaliado por um laboratório de testes. Tinha sido aprovado para utilização em eleições que afetavam milhões de americanos.

Nada disto parou o que Princeton demonstrou. Porque a certificação testou o que o software supostamente deveria fazer — não se um atacante podia substituí-lo por algo diferente.

Esta é a distinção que importa. Um laboratório examina um sistema quanto ao cumprimento dos requisitos funcionais. Não está a encenar um ataque adversarial. Não está a perguntar: o que pode um atacante motivado com sessenta segundos fazer a esta máquina antes de chegar ao local de votação? Estas são perguntas diferentes, e o processo de certificação não foi — e amplamente ainda não é — concebido para respondê-las.

O segredo em "código-fonte secreto"

Agora adicione outra camada.

O software dentro daquelas máquinas é proprietário. Um segredo comercial de um fornecedor. Não pode ler. O laboratório de testes pode ler — sob um acordo de confidencialidade. A EAC pode receber uma cópia para o seu repositório. Mas o público, os candidatos, os partidos, os investigadores de segurança independentes que poderiam apanhar o que o laboratório perdeu: nenhum deles pode ver o que está realmente a ser executado na máquina contando os seus votos.

Isto não é paranóia hipotética. É um problema documentado com uma consequência documentada.

Em janeiro de 2021, uma empresa de perícia informática entrou no gabinete eleitoral do Condado de Coffee, Geórgia e copiou todo o sistema de votação — o servidor do Sistema de Gestão Eleitoral, almofadinhas de votação, dispositivos de marcação de boletins, software do scanner, sistema Dominion de todo o estado da Geórgia. Tudo isto. O gabinete do Secretário de Estado da Geórgia descreveu-o posteriormente como acesso não autorizado que antigos oficiais do condado permitiram, em violação da lei estatal. O episódio é documentado em depoimentos de corte federal em Curling v. Raffensperger e figura num indiciamento do Condado de Fulton; vários indivíduos relacionados posteriormente declararam-se culpados.

Eis o ponto que o episódio de Coffee County faz sobre código-fonte secreto como estratégia de segurança: falhou no momento em que um pequeno grupo de pessoas obteve acesso físico à sala.

O software proprietário não é protegido pela sua complexidade ou excelência. É protegido por segurança física e acordos legais. Quando estes falham — e em Coffee County, falharam completamente — o código sai. A superfície de ataque é exposta a quem o recebeu, onde quer que o tenham levado.

O segredo-como-segurança e a verificabilidade-como-segurança não são a mesma coisa. São, de facto, opostos. Um sistema concebido para o segredo torna-se mais perigoso quando o segredo vaza. Um sistema concebido para a verificabilidade torna-se mais digno de confiança quanto mais pessoas o inspecionam.

O padrão constitucional alemão — e por que importa para si

Em 2009, o Tribunal Constitucional Federal Alemão fez algo notável. Não esperou por um ataque comprovado. Pronunciou-se sobre princípio: máquinas de votação eletrónica cuja operação não pode ser verificada independentemente por um cidadão ordinário — sem conhecimento especializado — violam o princípio constitucional do caráter público das eleições.

O Tribunal encontrou que este requisito flui da garantia da Lei Fundamental da legitimidade democrática. As eleições devem ser publicamente verificáveis. Não verificáveis por especialistas sob NDA. Não verificáveis por um laboratório num dia específico. Verificáveis por cidadãos.

As máquinas Nedap que a Alemanha tinha utilizado registavam votos apenas em memória eletrónica, sem um registo independentemente verificável que um eleitor pudesse inspecionar. Falharam. A ordenança que as autorizava foi declarada inconstitucional. A Alemanha voltou para o papel.

O Tribunal não exigiu prova de que as máquinas tinham sido adulteradas. Sustentou que um sistema cuja correção depende de confiar em software oculto falha o teste de verificabilidade pública independentemente de a adulteração ser alguma vez provada.

Leia isso novamente. Não "encontrámos fraude." Não "encontrámos um bug." O sistema falhou porque não podia ser verificado independentemente. Isso só era inconstitucional.

Este é um padrão mais elevado do que qualquer processo de certificação dos EUA atualmente reforça. E é o padrão correto.

O que a comissão irlandesa compreendeu

Volte a Dublin por um momento. A conclusão da Comissão Irlandesa sobre Votação Eletrónica não foi dramática. Foi cuidadosa, precisa, e devastadora.

A Comissão sublinhou que a sua conclusão não era uma conclusão de que o sistema não funcionaria — era uma conclusão de que não tinha sido provado, à satisfação da Comissão, que funcionaria. Não podia satisfazer-se quanto à precisão e sigilo do sistema tal como apresentado.

Essa fraseologia é importante. O ónus da prova, sustentou a Comissão, recai sobre os que implementam o sistema. Não é suficiente um fornecedor dizer "funciona." Não é suficiente um laboratório de testes dizer "passou." Um examinador independente deve ser capaz de confirmar, através da inspeção, que é preciso e que protege o sigilo do boletim.

Esse examinador não conseguiu. Portanto, as máquinas nunca funcionaram numa eleição real.

O padrão irlandês — quando não consegue verificar independentemente, não implementa — é o padrão correto. É o oposto do padrão de teatro de certificação, que é: se passou no laboratório, é certificado, e se é certificado, pode ser de confiança.

A certificação é uma afirmação. A verificabilidade é evidência. Estas não são a mesma coisa.

A solução: o que "independentemente verificável" realmente exige

Então como é que um sistema de votação genuinamente verificável seria? Três coisas, nenhuma das quais exige que o público confie em qualquer autoridade única.

Código-fonte público. O software que conta votos deve ser legível por qualquer pessoa. Não legível por um laboratório sob NDA. Legível por criptógrafos independentes, investigadores de segurança e jornalistas. O sistema VSAP de Los Angeles County, certificado em 2018, foi o primeiro sistema de contagem de votos de código aberto certificado da Califórnia — o que significa que o código contando votos podia, em princípio, ser inspecionado por qualquer pessoa. Isso é uma linha de base, não uma linha de chegada.

Compilações reproduzíveis. O código-fonte público sozinho não é suficiente. Também precisa de ser capaz de confirmar que o binário em execução na máquina — o código executável real, a coisa a fazer a contagem — foi produzido a partir da fonte publicada e nada mais. Isto é o que os criptógrafos chamam uma compilação reproduzível: dado o mesmo código-fonte, sempre deve obter o mesmo binário, para que qualquer pessoa possa verificar que o que é implementado corresponde ao que foi publicado. Sem isto, um fornecedor podia publicar código-fonte limpo e compilar algo diferente.

Atestação criptográfica. A máquina em execução no dia da eleição deveria produzir um registo verificável — assinado, marcado com data e hora, à prova de adulteração — que liga o software em execução à versão publicada e inspecionável. Não um registo em papel que pode ser silenciosamente reimpresso. Uma corrente criptográfica que uma parte independente pode verificar após o facto sem precisar de confiar no fornecedor, na jurisdição ou no laboratório de testes.

Estas três propriedades em conjunto convertem "confie em nós" em "verifique você próprio." Não são exóticas. É como o software crítico de segurança é tratado noutros domínios de alto risco. O caso da Suíça faz o ponto da outra direção: em 2019, quando a Swiss Post publicou o código-fonte do seu sistema de votação pela internet para análise pública, investigadores independentes imediatamente encontraram uma porta dos fundos criptográfica — um flaw que permitiria a um insider gerar uma transcrição à prova de embaralhamento que passa verificação enquanto realmente ter alterado votos. O sistema foi suspenso pendente remediação. O flaw era invisível numa caixa-negra certificada. Tornou-se encontrável no momento em que o código foi público.

Esse é o argumento inteiro. A abertura apanhou o que a certificação perdeu.

A pergunta que permanece aberta

Eis o que nenhuma declaração oficial, nenhuma certificação de laboratório, e nenhum comunicado de imprensa "auditoria confirmou o resultado" pode atualmente responder para as máquinas na maioria das jurisdições dos EUA:

O software em execução na máquina no local de votação é o mesmo software que o laboratório de testes examinou?

Não há uma cadeia criptográfica de custódia que deixe uma parte independente responder a essa pergunta. Não há um processo de compilação reproduzível que permitisse verificar. A cadeia de confiança funciona através do fornecedor, do estado, e do laboratório de testes — e não é visível a nenhum deles uma vez que a máquina sai do armazém.

A declaração conjunta da CISA após a eleição de 2020 afirmou que havia "nenhuma evidência de que qualquer sistema de votação deletasse ou perdesse votos, alterasse votos, ou foi de alguma forma comprometido." Essa declaração também repousava, explicitamente, na existência de registos em papel que permitem recontagens e auditorias independentes. Leia isto cuidadosamente: a garantia própria dos oficiais derive a sua força da verificabilidade que o papel fornece — não da certificação que a precedeu.

Mesmo a afirmação oficial mais forte "foi seguro" admite implicitamente que a confiança flui da evidência verificável.

A Comissão Irlandesa compreendeu isto em 2004. O Tribunal Constitucional Alemão consagrou-o em 2009. A Suíça aprendeu-o dos seus próprios criptógrafos em 2019.

A pergunta para cada jurisdição ainda executando software de votação proprietário, fechado, certificado e implementado é não se passou no laboratório. É se alguém fora das paredes do fornecedor pode independentemente confirmar o que está realmente em execução, agora mesmo, nas máquinas que contarão o seu voto.

Até a resposta ser sim — verificavelmente, criptograficamente, por qualquer parte independente qualificada, não por uma garantia oficial — "certificada" é um instantâneo, não uma garantia.

Isto é o que TrustVoting é construído para mudar.

Veja como a lacuna de código-fonte secreto parece em diferentes jurisdições →

Leia a versão de dois minutos do problema de verificabilidade →

Explore o mapa global da transparência do sistema de votação →

Fontes

Ver todos os artigosExplorar as lacunas