← Todos os artigos

Auditores federais avisaram que as salvaguardas de segurança eleitoral não estavam terminadas. Em 2005.

Em 2005, auditores federais disseram ao Congresso que as salvaguardas destinadas a proteger o seu voto electrónico ainda não existiam plenamente — e "usamos sistemas certificados" era uma promessa sem um controlo funcional por trás dela.

É 21 de setembro de 2005, e em algum lugar em Washington acaba de ser transmitido um relatório de 107 páginas a comissões do Congresso. Não tem assinatura partidária. Foi escrito por auditores de carreira do U.S. Government Accountability Office — a mesma agência para a qual o Congresso recorre quando quer saber se o governo está realmente a fazer o que disse que faria.

O relatório tem o título Elections: Federal Efforts to Improve Security and Reliability of Electronic Voting Systems Are Under Way, but Key Activities Need to Be Completed.

Releia esse título. Não "os esforços tiveram sucesso." Não "as actividades-chave foram concluídas." Necessitam ser concluídas.

O ano é 2005. Cinco anos depois que um chad pendurado quase levou a democracia americana a um colapso numa recontagem na Flórida. Três anos depois que o Congresso aprovou a Lei Help America Vote e criou a Comissão de Assistência Eleitoral especificamente para resolver isto. E os auditores federais estão a dizer ao Congresso: o aparelho para garantir que os sistemas de voto electrónico são seguros e fiáveis ainda está, neste momento, a ser construído.

Essa palavra — incompleto — é o assunto deste artigo.

O controlo que supostamente deveria existir

Isto é o que "usamos sistemas certificados" deve reassegurar-vos.

Significa: antes da sua jurisdição implementar esse ecrã táctil ou leitor óptico, um órgão independente examinou-o contra normas técnicas publicadas, verificou que o software e o hardware cumpriam essas normas, e emitiu uma certificação. Quando a máquina conta o seu voto, não é apenas uma promessa do fornecedor em que está a confiar — é uma conclusão documentada e auditada.

Essa é a teoria.

Em 2005, a GAO examinou a realidade. Descobriu que actividades-chave permaneciam incompletas. Especificamente, recomendou que a Comissão de Assistência Eleitoral agisse para:

  • Melhorar as normas de sistemas de voto — porque as que estavam em vigor não eram totalmente adequadas aos desafios de segurança colocados pelos sistemas electrónicos.
  • Estabelecer procedimentos de certificação — porque esses procedimentos ainda não estavam terminados.
  • Criar repositórios para software certificado — para que jurisdições, auditores e investigadores pudessem verificar independentemente que o que estava a funcionar numa máquina era realmente o que tinha sido certificado.
  • Partilhar informações sobre vulnerabilidades do sistema — porque quando problemas eram descobertos, não havia um canal fiável para levar essa informação às pessoas que geriam as máquinas.
  • Divulgar práticas de segurança recomendadas — porque as melhores práticas existiam, mas levar essa informação aos oficiais eleitorais locais não era ainda um sistema funcional.

Leia o relatório completo da GAO aqui.

Cada item nessa lista é um elemento constitutivo da afirmação "os nossos sistemas são certificados." Cada item incompleto é um buraco nessa afirmação. Não uma afirmação partidária. Não uma conspiração. Uma conclusão do próprio auditor independente do governo federal, dirigida ao Congresso, em linguagem clara.

Porque é que o controlo era importante — e o que aconteceu sem ele

Para compreender porque é que as conclusões da GAO foram tão críticas, precisa de compreender o que estava a ser implementado nos locais de votação americanos na altura.

Em 2006 — um ano depois do relatório da GAO — investigadores da Universidade de Princeton adquiriram uma verdadeira máquina de voto touchscreen Diebold AccuVote-TS. Ariel Feldman, J. Alex Halderman e Edward Felten demonstraram que um atacante com cerca de um minuto de acesso físico poderia instalar código malicioso que roubaria votos enquanto alterava todos os registos internos, registos de eventos e contadores para permanecer consistente. Construíram um vírus de máquina de voto funcional que poderia espalhar-se de máquina para máquina durante a actividade normal da eleição. As máquinas da família AccuVote-TS eram, na altura, entre as mais amplamente utilizadas nos Estados Unidos.

Essas máquinas tinham sido certificadas.

A certificação existia. As normas contra as quais foi medida — essas eram as que a GAO descobriu que ainda precisavam de melhorias. Os repositórios de software que permitiriam a qualquer pessoa verificar que o código certificado correspondia ao código em execução — esses eram os que a GAO descobriu que ainda precisavam de ser construídos. Os canais de partilha de vulnerabilidades que disseminariam uma descoberta como a de Princeton a cada jurisdição que usasse essas máquinas — esses eram os que a GAO descobriu que ainda precisavam de ser criados.

Certificação sem um estrutura completa, imposta, e publicamente verificável não é uma garantia. É um rótulo.

Os votos desaparecidos — e nada para os verificar

No mesmo ano em que os investigadores de Princeton estavam a executar os seus testes, algo correu mal no Condado de Sarasota, na Flórida.

Em novembro de 2006, os eleitores votaram numa das eleições congressionais mais apertadas do país — o 13º Distrito da Flórida, finalmente decidido por 369 votos. No Condado de Sarasota, aproximadamente 18 mil boletins de voto não registaram nenhuma escolha nessa eleição. Treze por cento de todos os boletins de voto votados no condado. As máquinas eram touchscreen DRE ES&S iVotronic — sem papel, não deixando nenhum registo independente verificado pelo eleitor.

A GAO foi chamada. Os seus testes não encontraram um mau funcionamento da máquina que causasse a subvotação. Mas — e isto é importante — o próprio relatório da GAO sobre a investigação notou que uma pista de papel verificada pelo eleitor poderia ter fornecido confirmação independente de que os ecrãs tácteis registaram os votos correctamente.

Por outras palavras: a única forma de saber se 18 mil votos desapareceram num erro de máquina, num defeito de software, ou numa característica de design era verificar as máquinas contra um registo independente. Não havia nenhum registo independente. O processo de certificação que supostamente deveria apanhar problemas como este era aquele que a GAO acabava de dizer ao Congresso que era incompleto.

A eleição foi certificada. Os 18 mil votos subregistados nunca foram explicados.

Relatório de testes da GAO sobre as subvotações de Sarasota.

Sobre o que "certificado" foi realmente construído

A Lei Help America Vote de 2002 — aprovada na sequência urgente do Bush v. Gore — criou a Comissão de Assistência Eleitoral e mandatou normas mínimas para sistemas de voto. O estatuto é real. O dinheiro foi alocado. A intenção era genuína.

Mas a HAVA criou a arquitectura para um regime de certificação. Não construiu um, por si mesma. A EAC tinha de escrever as normas. Contratar os laboratórios de testes. Estabelecer os procedimentos. Construir os repositórios de software. Criar os canais de partilha de vulnerabilidades. Desenhar a disseminação de práticas de segurança.

Em setembro de 2005 — três anos depois de HAVA — a GAO descobriu que essas tarefas permaneciam incompletas. E entretanto, os estados estavam a comprar e implementar sistemas sob um regime de certificação cujos fundamentos ainda estavam a ser colocados.

Isto não é um escândalo no sentido dramático. As burocracias movem-se lentamente. Os órgãos de normas debatem-se sobre detalhes técnicos. Os laboratórios demoram tempo a acreditar-se. Nada disto é evidência de má fé.

Mas é devastador para a reassegurança específica que os oficiais davam ao público: os nossos sistemas são certificados. Um processo de certificação que é em si incompleto não pode certificar completamente nada.

O problema mais profundo que a GAO estava a diagnosticar

Aqui está a frase que vale a pena fotografar: "Usamos sistemas certificados" é uma afirmação. Quer diga alguma coisa depende inteiramente de o controlo por trás dela realmente existir.

O papel da GAO é verificação institucional — um órgão que não confia em afirmações oficiais mas vai e verifica. Quando vai e verifica a segurança do sistema de voto e volta a dizer que as actividades-chave necessárias para apoiar a confiabilidade desses sistemas estão ainda incompletas, isso não é uma anomalia no sistema. É o sistema a funcionar conforme pretendido, expondo uma lacuna que permaneceria invisível de outra forma.

O que a GAO descobriu em 2005 é estruturalmente o mesmo problema que tribunais e investigadores independentes encontraram em todo o lado onde o voto electrónico foi examinado sem deferência para com as assurações oficiais.

Na Alemanha em 2009, o Tribunal Constitucional Federal determinou que o uso de máquinas de voto electrónico exige que as etapas essenciais de votação e contagem possam ser examinadas por cidadãos ordinários sem conhecimento especializado — um padrão que as máquinas em uso falharam. O tribunal não disse que fraude tinha acontecido. Disse que o design do sistema tornava a verificação impossível, e que uma democracia não pode realizar eleições cuja correcção só pode ser aceite por fé. (Bundesverfassungsgericht, 3 de março de 2009.)

Na Irlanda, uma comissão independente examinou o sistema Nedap/Powervote que o governo tinha comprado, descobriu que não poderia satisfazer-se quanto à precisão e sigilo do sistema, e recusou-se a recomendar o seu uso. As máquinas nunca foram implementadas e foram eventualmente sucateadas. (Relatório intermédio da Comissão sobre Voto Electrónico.) A conclusão da comissão não foi "o sistema falhará." Foi: o sistema não foi provado funcionar para a nossa satisfação. Esse é o padrão epistémico correcto — e o padrão que a GAO também estava a aplicar.

Nos Países Baixos, uma comissão governamental concluiu em 2007 que transparência e verificabilidade eram fundações inegociáveis de uma contagem confiável, e que o voto electrónico era aceitável apenas se produzisse um registo em papel que o eleitor pudesse verificar. O país abandonou computadores de votação. (Adviescommissie inrichting verkiezingsproces, 'Stemmen met vertrouwen.')

Cada um desses julgamentos estava a dizer, numa linguagem legal e cultural diferente, exactamente o que a GAO disse em inglês americano simples em 2005: o estrutura para verificar independentemente esses sistemas não está completa, e até que esteja, as assurances oficiais são afirmações sem um controlo funcional por trás delas.

O que a conclusão realmente parece

É possível construir um regime de certificação e verificação que signifique algo. As próprias recomendações da GAO são um projecto: terminar as normas, estabelecer os procedimentos, construir os repositórios, partilhar as vulnerabilidades, disseminar as práticas. Cada passo é alcançável.

Para além disso, um punhado de jurisdições demonstraram o que a verificabilidade genuína parece na prática.

Colorado em 2017 tornou-se o primeiro estado a completar uma auditoria de limitação de risco em todo o estado — um método estatístico que dimensiona a amostra de verificação manual à proximidade da eleição, fornecendo um nível de confiança definido em vez do conforto falso de uma verificação de percentagem fixa. Colorado Secretary of State, novembro de 2017. A Geórgia em 2020 contou manualmente aproximadamente 5 milhões de boletins de voto como parte de uma auditoria em todo o estado e descobriu que os totais da máquina correspondiam a dentro de um décimo de um por cento — não porque oficiais disseram assim, mas porque qualquer observador poderia assistir à contagem. Georgia Public Broadcasting, novembro de 2020. O Condado de Los Angeles construiu um sistema de apuração de votos de propriedade pública e código aberto — o primeiro certificado na Califórnia — para que o código que conta votos possa ser lido e inspeccionado por qualquer pessoa, não apenas pelo fornecedor. California Secretary of State, agosto de 2018.

Estas não são soluções teóricas. Existem. Foram executadas. Produzem resultados que qualquer pessoa pode verificar independentemente, em vez de resultados cuja correcção depende de confiar que um processo de certificação — em algum lado, em algum ponto — estava completo.

Essa é a diferença entre uma reassegurança e uma prova.

O que ainda não é verificável

O relatório da GAO tem agora quase duas décadas. A EAC continuou o seu trabalho. Normas foram desenvolvidas e actualizadas. Alguns estados executam auditorias pós-eleitorais rigorosas. Alguns não.

Mas o desafio central da GAO nunca foi totalmente resolvido a nível nacional, e o problema estrutural que identificou — que o aparelho para verificação é o que importa, não a presença de um rótulo de certificação — permanece actual.

Isto é o que ainda não é independentemente verificável na maioria das jurisdições americanas:

Se o software que funciona numa máquina certificada é o mesmo software que foi certificado. Sem um repositório de software funcional e público ligado a cada versão certificada, uma jurisdição e os seus eleitores não podem verificar isto independentemente. A certificação da versão X é sem sentido se a versão X+1 é o que funcionou no Dia da Eleição.

Se uma máquina que passou aos testes pré-eleitorais se comportou de forma idêntica no Dia da Eleição. Os testes de certificação testam uma máquina num momento. Sem registos de auditoria contínuos e independentemente verificáveis ligados a boletins de voto físicos, o comportamento do dia da eleição é atestado pela própria máquina.

Se uma subvotação como a de Sarasota 2006 era uma preferência do eleitor ou uma falha de máquina. Apenas uma pista de papel verificada pelo eleitor, auditada contra os totais electrónicos por alguém independente do fornecedor e da jurisdição, pode responder essa pergunta. Numa eleição apertada, a resposta é a eleição.

A solução não é um comunicado de imprensa melhor de uma autoridade eleitoral. Não é uma declaração de que a eleição foi a mais segura da história. A solução é um sistema cujos resultados — a nível de distrito, legível por máquina, ligados a papel verificado pelo eleitor — podem ser descarregados, verificados e reconciliados por qualquer membro do público, em qualquer altura, sem pedir permissão a ninguém.

Isso é o que a GAO pediu em 2005. Ainda é a pergunta correcta.

Veja como esta lacuna aparece em diferentes países e sistemas →

Leia o resumo de dois minutos do que as eleições realmente verificáveis requerem →

Fontes

Ver todos os artigosExplorar as lacunas