← Todos os artigos

Brasil desafia o público a atacar as suas máquinas de votação — de propósito

O tribunal eleitoral do Brasil não apenas certifica as suas máquinas de votação — publica as regras e desafia o público a quebrá-las. Aqui está o que isso realmente parece, e por que ainda não é suficiente.

É uma manhã de dia de semana em Brasília, e um grupo de pessoas que não são funcionários eleitorais — investigadores, cientistas da computação, um ou dois tecnólogos independentes — está sentado em frente às máquinas de votação eletrónicas do Brasil com uma tarefa explícita, autorizada pelo tribunal: encontrar uma falha.

Não são hackers no sentido coloquial. Cada um apresentou um plano de teste. Cada um foi verificado. Cada um se registou através de um portal governamental oficial. E a instituição que os convidou — o Tribunal Superior Eleitoral do Brasil — não abriu apenas a porta uma vez e chamou-lhe transparência. Construiu um processo repetido e regulado e deu-lhe um nome: o Teste Público de Segurança dos Sistemas Eleitorais.

É assim que fica "vem verificar tu mesmo" quando uma autoridade eleitoral realmente o diz a sério.

A maioria dos países nunca chega perto.

A frase que toda a autoridade eleitoral adora — e o que não custa nada dizer

"A eleição foi segura." "Os sistemas foram certificados." "As auditorias confirmaram o resultado."

Toda a autoridade eleitoral do mundo diz uma versão disto após cada voto. Quase nenhuma oferece-te uma maneira de o verificares tu mesmo.

Essa assimetria é o problema. Uma declaração oficial sobre segurança tem exatamente o peso das verificações independentes atrás dela — nada mais. Quando o Tribunal Constitucional alemão rejeitou as máquinas de votação eletrónicas em 2009, não encontrou evidência de fraude. Encontrou algo mais fundamental: que os cidadãos estavam a ser pedidos para confiar num resultado que não tinham meios de examinar independentemente. O Tribunal considerou que cada passo essencial do voto ao resultado deve ser verificável por um cidadão comum sem conhecimento especializado. Confiar-em-mim-foi-tudo-bem falhou o teste constitucional.

A Irlanda comprou 7.500 máquinas Nedap/Powervote e uma comissão independente não conseguia recomendá-las — não porque as máquinas tivessem sido provadas erradas, mas porque a precisão e o segredo não podiam ser verificados independentemente à satisfação da comissão. As máquinas passaram anos num armazém e foram destruídas em 2009. A linguagem da comissão foi precisa e devastadora: não estava "em posição de recomendar com o grau de confiança necessário" o seu uso.

Os Países Baixos chegaram à mesma conclusão. A sua comissão consultiva sobre o processo eleitoral, num relatório de 2007 chamado Stemmen met vertrouwen — "Votação com confiança" — estabeleceu o que a verificabilidade realmente exige e descobriu que os cédulas de papel contados à mão cumpriam o padrão enquanto os computadores de votação não. O país voltou ao papel.

Três democracias diferentes. Três máquinas diferentes. Uma lacuna idêntica: ninguém fora do círculo do fornecedor podia verificar a contagem.

O Brasil está a tentar fechar essa lacuna de uma forma diferente.

O que o Teste Público de Segurança realmente é

Regulado pela Resolução TSE 23.444/2015, o Teste Público de Segurança do Brasil funciona no ano anterior a uma eleição geral. O formato não é um evento de imprensa. É um exercício adversarial.

Qualquer cidadão elegível pode apresentar um plano de teste. Os planos que passam na revisão são aprovados. Os investigadores aprovados recebem então acesso estruturado à urna eletrônica — a máquina de votação eletrónica — e aos sistemas em redor dela: geração de material de voto, votação, tabulação, transmissão e receção de ficheiros, e os sistemas de auditoria usados para verificar a votação eletrónica. Os testes abrangem todo o ciclo eleitoral, não apenas a máquina sentada numa mesa de voto.

O que os investigadores descobrem importa — e não apenas como comunicado de imprensa. As descobertas são usadas para melhorar os sistemas antes da eleição, e as correções são posteriormente reverificadas em testes de confirmação. Este é um ciclo fechado: descobrir, corrigir, verificar.

Isto é categoricamente diferente de uma certificação única. As certificações são um retrato. Avaliam um sistema num momento no tempo, em condições controladas, por partes cujo acesso é limitado pela cooperação do fornecedor. Também têm incentivos institucionais para certificar em vez de desqualificar — porque uma certificação falhada significa uma eleição adiada e um problema político.

O Teste Público de Segurança é adversarial por desenho. Os investigadores estão a tentar quebrar o sistema. O TSE publica as regras, não os resultados que espera.

Vê como a lacuna de verificabilidade se desenrola em dezenas de eleições em todo o mundo

Por que o teste público adversarial supera a certificação privada

Considera o que aconteceu em Washington, D.C. em setembro de 2010. A cidade estava prestes a executar um programa piloto de devolução de voto pela internet para eleitores no estrangeiro e militares. Antes de entrar em funcionamento, o Conselho Eleitoral de D.C. executou um julgamento público e convidou o público a sondá-lo.

Uma equipa da Universidade de Michigan liderada por J. Alex Halderman ganhou controlo quase completo do servidor piloto em aproximadamente 48 horas explorando uma vulnerabilidade de software. Podiam alterar cada voto que tinha sido emitido. Podiam ver votos secretos. Como demonstração, programaram o sistema para tocar o refrão de luta da Universidade de Michigan após cada voto simulado. Os funcionários não notaram durante dias.

Aqui está o que importa: a vulnerabilidade foi apanhada porque a jurisdição abriu o sistema para testes públicos antes de os votos reais estarem em jogo. D.C. abandonou o sistema. Isto é teste adversarial a fazer exatamente o que é suposto fazer.

A certificação privada não apanhou isto. Um teste público convidado apanhou.

Os investigadores de Princeton que analisaram uma verdadeira máquina Diebold AccuVote-TS em 2006 descobriram que um atacante com apenas um minuto de acesso físico podia instalar código que roubava votos mantendo todos os registos internos consistentes — e que o código podia espalhar-se de máquina para máquina durante atividade eleitoral normal. O software era fechado. Nenhum teste público tinha suscitado isto. Os investigadores descobriram porque conseguiram as mãos no hardware e procuraram.

Nova Gales do Sul executou um sistema de votação pela internet na sua eleição estadual de 2015 que recolheu aproximadamente 280.000 votos. Uma revisão de segurança privada anterior o tinha autorizado. Investigadores independentes encontraram falhas sérias — incluindo um mecanismo de verificação que podia ser jogado — durante a eleição ao vivo. Os problemas não tinham sido detetados antes dos investigadores os divulgarem.

O padrão é consistente. Sistemas fechados, revistos em privado por partes a trabalhar sob pressões de certificação, perdem coisas que testes públicos adversariais abertos descobrem. Isto não é uma surpresa. É a saída esperada dos dois processos diferentes.

O modelo do Brasil executa o teste adversarial em aberto, de propósito, com um ciclo de remediação estruturado. É a coisa mais próxima de "paranóia institucional como recurso" que qualquer autoridade eleitoral executa em escala nacional.

O que um modelo de transparência real corrige — e o que não consegue

Vale a pena ser preciso sobre o que o Teste Público de Segurança realmente prova, porque exagerar seria um tipo diferente de desonestidade.

O teste verifica se os investigadores, dado acesso estruturado de tempo limitado em condições definidas, conseguem encontrar fraquezas exploráveis. As descobertas são corrigidas e reverificadas. Isso é genuinamente valioso. Salienta vulnerabilidades reais. Cria responsabilidade pelas correções. Coloca o fardo na autoridade de demonstrar segurança em vez de a afirmar.

Mas não prova, por si só, que as máquinas contaram corretamente numa eleição específica. Testar um sistema antes de uma eleição e auditar o seu resultado durante uma são problemas separados que requerem soluções separadas. Uma máquina pode passar cada teste pré-eleitoral e ainda produzir um resultado errado no dia — por causa de um erro de software que o teste não acionou, uma falha de hardware numa mesa de voto específica, ou um vetor de ataque que os investigadores não encontraram.

É por isso que a abordagem do Brasil é um modelo para transparência, não uma solução completa para verificabilidade. A distinção importa.

Um sistema que publica as suas regras e convida estranhos a quebrá-lo é mais confiável do que um que não o faz — mas "mais confiável" não é o mesmo que "independentemente verificável por qualquer um."

O piloto de D.C. apanhou a sua falha porque o teste público aconteceu antes dos votos reais estarem em jogo. Se a mesma vulnerabilidade tivesse sido explorada no dia da eleição contra votos reais, nenhuma quantidade de testes pré-eleitorais teria recuperado a contagem correta. Também precisas de um registo durável e independentemente verificável do que os eleitores realmente escolheram — algo que o sistema de D.C. não tinha.

O Supremo Tribunal da Índia debateu-se exatamente com esta tensão em abril de 2024, em Association for Democratic Reforms v. Election Commission of India. As petições pediram ao Tribunal para regressar inteiramente a cédulas de papel ou para exigir verificação cruzada de 100% das contagens das máquinas eletrónicas contra recibos de Pista de Auditoria Verificável pelo Eleitor. O Tribunal recusou-se a ordenar qualquer um, mas apertou as regras em redor selagem da cadeia de custódia e permitiu aos candidatos solicitar verificação da memória queimada em 5% das máquinas em raças contestadas. Até um tribunal que manteve um sistema eletrónico reconheceu que a confiança deve fluir a partir de evidência verificável, não a partir das garantias da autoridade.

As duas salvaguardas não são alternativas. Funcionam em conjunto. O teste público adversarial encontra fraquezas antes da eleição. Um registo de papel verificável permite que qualquer um verifique a contagem depois.

A lição mais difícil: o que "o Brasil faz isto" não te diz sobre o teu país

O Brasil não é um modelo de uma eleição perfeita. É um modelo de um mecanismo de transparência específico que a maioria dos países não se incomoda em executar. Estas são declarações diferentes, e confundi-las seria exatamente o tipo de deferência à autoridade que estamos a tentar evitar.

O Teste Público de Segurança do TSE é real, estruturado e documentado. O facto de existir não estabelece se a arquitetura total da urna eletrônica é verificável no sentido completo que o Tribunal Constitucional alemão ou a comissão holandesa Korthals Altes exigiriam. Não te diz se um atacante sofisticado teria encontrado e explorado algo que os investigadores do teste público perderam. E não te diz o que acontece se um insider manipular o sistema antes da versão avaliada pelo teste chegar às mesas de voto.

A Venezuela em 2017 oferece um ponto de referência negativo útil. Smartmatic — a empresa que forneceu os sistemas de votação automatizada da Venezuela desde 2004 — emitiu uma declaração pública dizendo que sabia "sem qualquer dúvida" que o número de participação que o Conselho Eleitoral Nacional anunciou tinha sido manipulado, e estimou a diferença entre participação real e anunciada em "pelo menos um milhão" de votos. O fornecedor desaprovou publicamente o resultado oficial produzido no seu próprio equipamento. Quando nem o construtor do sistema consegue reconciliar os números e auditoria independente é indisponível, não há caminho para verificação.

O modelo do Brasil previne esse modo de falha, pelo menos em parte, tornando o processo da autoridade contestável antes da eleição. Mas um processo contestável e um resultado verificável ainda não são idênticos. A correção para a lacuna remanescente é o que o Colorado tem estado a construir desde 2017 — o primeiro estado a completar uma auditoria que limita o risco em escala estadual — e o que a Geórgia demonstrou em 2020 quando contou à mão aproximadamente 5 milhões de cédulas presidenciais em 159 condados em menos de seis dias. Uma auditoria que dá confiança estatística de que o resultado divulgado está correto, executada contra um registo de papel durável que os eleitores produziram, fecha o círculo que o teste pré-eleitoral abre.

A arquitetura completa fica assim: teste aberto, adversarial e público antes da eleição + um registo de papel verificado pelo eleitor durante ela + uma auditoria independente, estatisticamente rigorosa depois dela. O Brasil institucionalizou o primeiro elemento. A maioria dos países não tem nenhum dos três.

A pergunta que ainda deves estar a fazer

Depois do Teste Público de Segurança do Brasil ser executado, o TSE publica o que encontrou e o que corrigiu. Isto é melhor do que um comunicado de imprensa dizendo que tudo estava bem.

Mas aqui está o que tu, como cidadão, ainda não consegues verificar independentemente: se o software a correr nas mesas de voto no dia da eleição é o mesmo software que os investigadores testaram. A cadeia de custódia entre um sistema testado e um sistema implantado é um controlo de segurança que recebe muito menos atenção pública do que o próprio teste. É também um dos mais difíceis de auditar sem acesso independente à implantação final — o que o Teste Público de Segurança não fornece.

Isto não é uma especulação sobre o Brasil especificamente. É uma observação estrutural sobre cada sistema de votação eletrónica na terra: a integridade do teste pré-eleitoral depende inteiramente de se a versão testada é o que corre no dia.

Coffee County, Geórgia em 2021 ilustrou o problema inverso: o sistema de votação proprietário de uma jurisdição inteira foi copiado e divulgado por insiders, e o código espalhou-se de maneiras que nenhuma autoridade de certificação tinha antecipado. A vulnerabilidade não era o código ser testado. Era o código ser secreto — um sistema cuja segurança dependia de ninguém conseguir as mãos nele, e depois alguém conseguiu.

Código aberto, verificação de compilação independente, verificações públicas de hash do software implantado — estas não são luxos teóricos. São os mecanismos que fecham a lacuna entre "testámos isto" e "podes verificar o que correu."

O Brasil executa o melhor programa de transparência adversarial pré-eleitoral do mundo. Vale a pena dizer isto claramente. Vale também a pena dizer claramente que "melhor programa de transparência adversarial pré-eleitoral do mundo" é um patamar que a maioria dos países não atingiu, não uma linha de meta.

A linha de meta é um resultado que qualquer cidadão pode verificar independentemente — não porque um funcionário disse assim, não porque um teste foi executado, mas porque a evidência é pública, a cadeia de custódia está selada e rastreável, e a matemática da auditoria verifica.

Esse sistema não existe completamente em lado nenhum ainda.

Vê como as lacunas de verificabilidade ficam em todo o mundo das eleições · Lê a versão de 2 minutos de por que isto importa · O que TrustVoting está a construir para fechar estas lacunas

Fontes

Ver todos os artigosExplorar as lacunas