← Todos os artigos

Líquido corretor decidiu uma eleição — até os tribunais repararem

Um pequeno frasco de líquido corretor branco alterou folhas de apuramento suficientes para anular uma eleição presidencial inteira — e os tribunais disseram que nenhuma quantidade de garantias oficiais conseguiria corrigir isso.

É a manhã de 3 de fevereiro de 2020, e cinco juízes em Blantyre, Malawi acabaram de fazer algo que abalou todas as autoridades eleitorais do continente: anularam a vitória eleitoral de um presidente em exercício.

Não porque cédulas foram roubadas. Não porque votos foram manipulados digitalmente. Porque alguém tinha um frasco de Tipp-Ex.

Esse único detalhe — líquido corretor, do tipo que estudantes usam para corrigir trabalhos — revelou-se ser suficiente para tornar um resultado presidencial inteiro legalmente inverificável. O Tribunal Constitucional do Malawi anulou a eleição de maio de 2019 do Presidente Peter Mutharika após constatar que as folhas de resultado oficiais tinham sido alteradas com líquido corretor, que existiam formulários de apuramento duplicados, e que pilhas de formulários não tinham assinatura ou foram manuseados de forma inadequada. O Tribunal Supremo de Recurso manteve essa decisão em 8 de maio de 2020, em Mutharika & Electoral Commission v Chilima & Chakwera (MSCA Constitutional Appeal No. 1 of 2020). Uma nova eleição foi ordenada.

A Comissão Eleitoral tinha declarado Mutharika como vencedor por margem estreita. A resposta dos tribunais foi precisa: um vencedor por margem estreita em documentos que podem ser discretamente reescritos não é um vencedor que a lei consiga verificar.

O documento é a eleição

Aqui está o que a maioria das pessoas não pensa na noite da eleição, quando os gráficos estão girando e os comentadores falam em margens: cada número que vê teve origem como uma marca numa folha de papel físico, preenchida por um ser humano numa assembleia de voto, às 22 horas, com a caneta que estava à mão.

Essa folha é a eleição. Não o gráfico da televisão. Não a base de dados no centro nacional de apuramento. Não o comunicado da Comissão Eleitoral.

Se essa folha puder ser alterada — com uma caneta, com líquido corretor, ou simplesmente substituindo-a por um duplicado — então tudo o que vem depois dela está construído em areia. A base de dados está errada. O gráfico está errado. O comunicado está errado. E crucialmente, nenhuma quantidade de auditoria à base de dados conseguirá revelar o problema, porque a base de dados reflete a folha alterada.

Este não é um risco abstracto. No Malawi, os tribunais encontraram-no a acontecer em larga escala: uso generalizado de líquido corretor em formulários oficiais de apuramento, duplicados em circulação, documentos não assinados a entrar na contagem. O resultado foi uma eleição presidencial que não podia ser reconstruída a partir dos seus próprios documentos de origem.

A lição não é que o Malawi é uniquamente corrupto. A lição é que uma folha de apuramento sem evidência anti-adulteração é uma superfície de ataque, em qualquer parte do mundo, e que a fragilidade é invisível até alguém contestar o resultado em tribunal.

O que "à prova de adulteração" realmente significa

Provavelmente já manipulou um selo à prova de adulteração sem pensar nisso. A fita plástica numa garrafa de medicamento. A cera num documento legal. A abraçadeira numerada num saco de cédulas depois do encerramento das urnas.

Estes não são apenas cerimónia. Servem uma função de verificação específica: se o selo se quebrar ou o documento for alterado, a evidência da adulteração é em si visível. Não tem de confiar que ninguém tocou na garrafa; consegue ver que o anel está intacto.

Um formulário oficial de apuramento que pode ser reescrito com líquido corretor não tem nada disto. A alteração não deixa nenhum rasto óbvio. A figura "corrigida" parece exactamente tão autorizada como a original. Um formulário assinado apenas depois da correcção não consegue atestar qual era a figura original.

A versão mais forte de evidência anti-adulteração para um documento de papel é assinatura múltipla: se o formulário for assinado por agentes que representam múltiplas partes, a tinta, antes de alguém sair da assembleia de voto, então qualquer alteração subsequente requer ou falsificar todas essas assinaturas ou conseguir que todos esses agentes concordem com a mudança. Qualquer um desses caminhos é muito mais difícil do que um frasco de Tipp-Ex.

Vá mais longe: o formulário poderia ser fotografado imediatamente por cada agente de cada partido no seu próprio telemóvel e carregado. Agora o "original" existe em múltiplas cópias independentes no momento em que é criado. Uma alteração posterior à folha física pode ser apanhada comparando-a com qualquer uma dessas cópias.

Ainda mais: um sistema poderia exigir que os formulários de resultados sejam assinados digitalmente com uma chave que cada agente detém independentemente, e que os dados assinados sejam transmitidos para um repositório público no momento em que a assembleia de voto fecha. Agora o resultado está criptograficamente bloqueado ao momento da contagem. Nenhum líquido corretor consegue tocá-lo.

Nenhum destes são exóticos. Todos eles existem. A maioria do mundo não os utiliza.

Quénia, 2017: o mesmo problema, um nível acima

A vulnerabilidade do Malawi estava ao nível do formulário físico — o papel que uma assembleia de voto preenche. Mas o mesmo princípio funciona em todos os níveis da cadeia.

No Quénia em 2017, o Tribunal Supremo anulou uma eleição presidencial não porque os formulários das assembleias de voto tivessem sido obviamente alterados mas porque a transmissão e manuseamento desses formulários ao nível nacional não podiam ser verificados. Sob o Artigo 86 da constituição do Quénia, a votação deve ser "precisa, verificável, segura, responsável e transparente." O Tribunal constatou que nem todos os formulários de resultados das assembleias de voto tinham sido transmitidos electrónica e simultaneamente como exigido pela lei, que os formulários careciam de características de segurança consistentes, e que o formulário de apuramento nacional final não tinha marca de água nem número de série. O presidente tinha declarado o resultado antes de todas as folhas subjacentes estarem em mãos.

Ver a decisão completa do Tribunal Supremo do Quénia.

O ponto mais profundo — idêntico em ambos os casos — é este: um resultado eleitoral é uma cadeia de custódia, não um número. Cada ligação nessa cadeia, desde o momento em que um eleitor marca uma cédula até ao momento em que um vencedor é declarado, deve ser independentemente verificável. Quebrar uma ligação e toda a cadeia não consegue ser confiável, mesmo que todas as outras ligações sejam perfeitas.

A cadeia do Malawi quebrou na ligação mais básica: o documento de origem. A do Quénia quebrou na transmissão e agregação. A vulnerabilidade é diferente; o modo de falha é o mesmo.

O que "a auditoria confirmou" realmente significa

Quando uma autoridade eleitoral diz que uma auditoria confirmou o resultado, essa afirmação é apenas tão forte quanto o que foi auditado.

Se os auditores verificaram totais de máquinas contra as folhas de apuramento, e as folhas de apuramento tinham sido alteradas antes da auditoria, a auditoria confirma o resultado alterado. Não apanha nada.

Esta é a limitação irredutível de qualquer auditoria que trabalhe retroactivamente a partir de uma única cadeia de documentos. Uma auditoria consegue apenas detectar alterações que deixaram um rasto detectável — nos documentos específicos que os auditores estão a analisar, usando os métodos específicos que aplicam. Se o documento de origem é o ponto de ataque, auditar os registos derivados não lhe diz nada sobre a origem.

A recontagem manual da Geórgia em 2020 — aproximadamente cinco milhões de cédulas, condado por condado, em menos de seis dias — é a versão mais forte de uma auditoria de papel. Verificou tabulações de máquinas contra as cédulas físicas em si, não contra folhas de apuramento. A variação foi cerca de um décimo de um por cento. Este é um resultado extraordinário, e significa algo preciso: as cédulas que as máquinas contaram eram, com elevada confiança, as cédulas que os eleitores marcaram.

Mas essa confiança depende inteiramente da integridade da cadeia de custódia das cédulas. Se as próprias cédulas tivessem sido alteradas ou substituídas antes da recontagem, a recontagem manual teria confirmado a fraude, não apanhado-a. A recontagem manual da Geórgia funcionou porque a cadeia de cédulas estava intacta. No Malawi, a cadeia de folhas de apuramento não estava.

A lacuna entre "auditoria confirmou o resultado" e "o resultado é verificavelmente correcto" é exactamente o tamanho de cada pressuposição não examinada na cadeia de custódia da auditoria.

A folha de apuramento alterável é uma lacuna com nome

Na TrustVoting, rastreamos uma classe específica de vulnerabilidade chamada a folha de apuramento alterável — a lacuna que se abre quando o documento de origem de um resultado pode ser reescrito, duplicado, ou substituído sem a alteração ser detectável por uma parte independente.

O Malawi é o exemplo mais nítido documentado em tribunal, mas a condição subjacente — folhas de apuramento que não têm assinatura criptográfica, nenhuma atestação multi-parte, nenhuma marca temporal imutável, e nenhuma cópia independentemente detida — é comum em dezenas de sistemas eleitorais. O caso do Malawi é notável não porque foi inusual mas porque os tribunais tinham evidência suficiente para agir sobre ele.

A questão é quantas eleições têm a mesma vulnerabilidade e ninguém com legitimidade para contestá-la, ou nenhum tribunal disposto a agir, ou nenhuma evidência que sobreviveu à contagem.

Ver como comum é esta lacuna em todo o mundo →

A resposta estrutural: verificabilidade que nenhum oficial consegue ignorar

Aqui está o argumento colocado claramente.

O problema no Malawi não era que os oficiais eleitorais não eram dignos de confiança. O problema é que o sistema exigia que confiasse neles. A folha de apuramento não tinha nenhuma propriedade que deixasse qualquer outro — um agente de um partido perdedor, um jornalista, um cidadão — verificar independentemente que o número na folha era o número registado no momento da contagem.

Quando um sistema exige confiança, é vulnerável a quem controla o elemento confiável. Tipp-Ex é barato. Assim como um formulário duplicado. Assim como um comissário eleitoral simpático que decide qual versão de uma folha contestada entra na contagem.

A resposta estrutural é desenhar sistemas onde a confiança não é necessária, porque a verificação independente é possível.

Como é que isto parece na prática?

Significa que os formulários de resultados são assinados por agentes de todos os partidos em disputa, na assembleia de voto, antes de alguém sair — e que essas assinaturas estão no registo usado para compilar o resultado nacional. Esta não é uma ideia nova; é uma prática padrão em eleições bem executadas, e a sua ausência no Malawi foi parte do que os tribunais notaram.

Significa que as folhas assinadas são fotografadas e as imagens carregadas imediatamente, de modo que qualquer alteração subsequente ao documento físico é detectável por comparação.

Significa que os dados carregados são assinados criptograficamente com uma chave detida por uma parte independente — não a comissão eleitoral — de modo que o registo "oficial" não consegue ser silenciosamente alterado entre carregamento e publicação.

Significa que o resultado publicado, ao nível de distrito, é imediatamente descarregável em forma legível por máquina por qualquer um, de modo que a soma dos resultados de distrito é independentemente computável sem pedir a permissão de ninguém.

Nenhuma destas propriedades exige confiar que a comissão eleitoral contou honestamente. Esse é precisamente o ponto. Verificabilidade significa que qualquer um consegue verificar a aritmética. Não significa que qualquer um tem de aceitar a aritmética de boa fé.

O que ainda não é verificável — e o que mudaria isso

Aqui está o que os tribunais do Malawi conseguiram verificar: que líquido corretor tinha sido aplicado a formulários oficiais, que duplicados existiam, que assinaturas faltavam. Aqui está o que não conseguiram verificar: quais eram as figuras originais e não alteradas.

Essa informação desapareceu. A eleição não consegue ser reconstruída a partir dos documentos de origem que deveriam ter sido a sua fundação, porque os documentos de origem foram reescritos. O único recurso dos tribunais foi anular o resultado e realizar uma nova votação.

Um sistema com cópias independentemente detidas e criptograficamente bloqueadas de cada resultado de assembleia de voto, criadas no momento da contagem e detidas por partes fora do controlo da comissão eleitoral, permitiria a um tribunal — ou a um jornalista, ou a equipa legal de um candidato perdedor — comparar a figura "oficial" com o registo original assinado e ver exactamente onde a alteração ocorreu e em que quantidade.

Essa comparação é actualmente impossível na maioria das eleições do mundo. Os documentos de origem são detidos pela mesma autoridade que compilou o resultado a partir deles. A auditoria verifica os registos da autoridade contra os registos da autoridade.

O que o tornaria verificável por qualquer um: resultados de distrito assinados, independentemente detidos, publicamente acessíveis, publicados no momento em que cada assembleia de voto fecha, numa forma que nenhuma autoridade consegue silenciosamente alterar depois disso.

Isto não é um desejo utópico. É uma especificação de engenharia. Alguns dos componentes já existem. O que falta, no Malawi e na maioria do mundo, é o quadro institucional e legal que o exige — e a tecnologia independente para o entregar.

Um tribunal com evidência suficiente consegue anular um resultado. Um sistema com verificabilidade genuína nunca precisaria de o fazer.

Ler a versão de 2 minutos desta lacuna →

Ver o índice completo de lacunas →

Fontes

Ver todos os artigosExplorar as lacunas