← Todos os artigos

A Noruega tentou votação pela Internet durante anos, depois silenciosamente abandonou

A Noruega construiu um sistema de votação pela Internet em todo o país, executou-o em duas eleições, observou que a participação ficou estagnada — e depois silenciosamente desligou o programa porque ninguém conseguia provar que os votos não tinham sido alterados.

É outono de 2013, e em doze municípios noruegueses, os eleitores estão a fazer algo que parece quase milagroso: casting dos seus votos de uma mesa de cozinha, de um assento de comboio, de uma enfermaria de hospital. Sem fila. Sem deslocação. Apenas uma janela do navegador e alguns cliques, e — o governo promete — o seu voto é contado exatamente como o votou.

Dois anos depois, essa promessa é retirada. Sem cerimónia. Uma declaração ministerial, uma linha sobre "preocupações de confiança não resolvidas", e o programa termina.

A experiência de votação pela Internet da Noruega é um dos fracassos mais instrutivos na história eleitoral moderna — não porque algo tenha corrido visivelmente mal, mas porque nada podia ser provado ter corrido bem.

A promessa: a conveniência como um valor democrático

O argumento para a votação pela Internet é sempre o mesmo, e é sempre sincero. A baixa participação é um problema real. Os locais de votação são inacessíveis para idosos, pessoas com deficiência, militares no estrangeiro, pessoas que trabalham em turnos duplos. Se votar fosse tão fácil como comprar uma passagem de comboio online, certamente mais pessoas o fariam.

A Noruega levou isto a sério. Os testes decorreram como complemento à votação em papel durante o período de votação antecipada — dez municípios nas eleições locais de 2011, doze nas eleições parlamentares de 2013. Os eleitores que desejassem votar online podiam fazê-lo. Os eleitores que preferissem papel ainda podiam usar papel. O projeto-piloto foi cuidadoso, limitado, e executado por um governo com genuínas intenções.

A participação não se movimentou.

De acordo com o Ministério da Administração Local e Modernização da Noruega, os testes não levaram a um aumento da participação. As pessoas que votaram online eram, na sua maioria, pessoas que teriam votado de qualquer forma — apenas através de um canal diferente. O grupo mais difícil de alcançar — pessoas desengajadas da política — não foi alcançado.

Isso sozinho teria podido ser suficiente para o desativar. Mas o governo norueguês disse algo mais importante quando descontinuou posteriores projetos-piloto de votação pela Internet em 2014: a confiança de que os votos não eram alterados não podia ser assegurada.

Releia essa frase. Não: "encontrámos evidência de adulteração." Não: "o sistema foi piratizado." Mas: não conseguíamos provar a satisfação de ninguém que os votos tinham chegado como foram votados.

Esse é um tipo diferente de fracasso — e um mais difícil de corrigir.

O que "confiança de que os votos não são alterados" realmente significa

Quando coloca um voto em papel numa caixa lacrada numa secção de votação pública, uma cadeia de custódia começa. A caixa é observada. É lacrada perante testemunhas. Viaja até uma contagem, onde escrutinadores de cada partido podem observar cada voto enquanto é classificado. O processo é lento, laborioso, e imperfeito — mas é observável. Qualquer pessoa com interesse legítimo pode observar.

Quando clica "submeter" numa janela do navegador, algo muito diferente acontece. O seu voto viaja através de redes que não controla, entra em servidores que não pode inspecionar, é processado por software cujo código-fonte pode ser proprietário, e emerge no outro lado como um número numa base de dados. Em nenhum momento pode confirmar que o que chegou foi o que enviou. Em nenhum momento um observador independente pode ver a jornada.

Isto não é paranoia. É física e matemática. A comunicação pela Internet passa através de infraestrutura que pode ser intercetada, redirecionada, ou silenciosamente modificada. A criptografia de ponta a ponta ajuda, mas apenas se o software no seu dispositivo for honesto — e não pode verificar isso também.

Os investigadores que examinaram de perto sistemas realmente implementados encontraram exatamente os problemas que a teoria previa. Uma equipa liderada por J. Alex Halderman observou o sistema i-voting da Estónia durante as eleições de 2013 e concluiu que um atacante de nível estatal ou um insider desonesto poderia comprometer a integridade dos votos sem detecção. As autoridades estónias discordaram — mas a capacidade dos investigadores de fazer o argumento descansava inteiramente no fato de que parte do código do sistema era acessível ao público. Onde o código é fechado, até essa análise é impossível.

E em Washington, D.C. em 2010, a questão foi respondida ainda mais diretamente.

D.C. testou publicamente o seu sistema de votação pela Internet — e perdeu em 48 horas

Antes de implementar um projeto-piloto de devolução de boletim de voto pela Internet para eleitores no estrangeiro, o Board of Elections do Distrito de Columbia fez algo louvável: executou um teste público aberto e convidou qualquer pessoa a sondar o sistema.

Uma equipa da Universidade de Michigan liderada por Halderman — Scott Wolchok, Eric Wustrow, Dawn Isabel, e Halderman — aceitou o convite. Em aproximadamente 48 horas, tinham ganho controlo quase completo do servidor-piloto. Podiam alterar cada voto que tinha sido votado. Podiam ver votos que supostamente eram secretos. Como demonstração, programaram o servidor para tocar a canção de luta da Universidade de Michigan após cada voto simulado.

Os funcionários não repararam durante dias.

D.C. abandonou o sistema. A graça salvadora do projeto-piloto era que era um teste — votos reais não estavam em risco. A lição não é que a votação pela Internet é sempre derrotada em 48 horas; a lição é que a única coisa entre o sistema de D.C. e um ataque real era a decisão da cidade de o testar publicamente primeiro. A certificação privada não tinha apanhado o que uma equipa universitária encontrou em dois dias.

Um sistema cuja segurança depende de não ser testado não é um sistema seguro.

O problema de Nova Gales do Sul: falhas encontradas durante uma eleição em direto

O teste de D.C. pelo menos falhou em segurança, numa sandbox. Nova Gales do Sul não teve tanta sorte.

Durante a eleição estadual de março de 2015, o sistema iVote online foi utilizado para casting de aproximadamente 280.000 votos — boletins reais, vinculativos numa eleição em direto. Halderman e Vanessa Teague analisaram o sistema em funcionamento e descobriram que o iVote carregava código de um servidor de análise externo através de uma ligação vulnerável a fraquezas TLS conhecidas, como FREAK e Logjam, que poderiam ter permitido a um atacante de rede manipular votos e comprometer o sigilo do voto.

Os investigadores também descobriram que o serviço separado de verificação telefónica — o mecanismo que se esperava que os eleitores usassem para confirmar que o seu voto tinha sido contado corretamente — era ele próprio vulnerável a manipulação. A ferramenta exatamente destinada a fornecer confiança podia ser jogada para mostrar a um eleitor um resultado reconfortante enquanto o seu voto real tinha sido alterado.

Uma revisão de segurança pré-eleitoral tinha aprovado o sistema. A análise externa independente, executada enquanto os boletins reais estavam a ser votados, encontrou o que a revisão interna tinha perdido.

Os problemas foram corrigidos enquanto a votação estava em progresso. Mas para quantos quer que fosse dos 280.000 votos que já tinham sido votados antes do patch ser implementado, não há maneira de confirmar que foram contados como submetidos. Os eleitores que utilizaram o serviço de verificação antes do patch não podem saber se a confirmação que receberam refletia o seu voto real.

Essa é a versão difícil do problema norueguês. A Noruega pelo menos optou por parar antes de chegar aqui.

Porque é que a solução criptográfica da Suíça não corrigiu realmente

Pode estar a pensar: certamente que a criptografia pode resolver isto. Se um voto for criptografado ponta a ponta com um esquema que deixa qualquer observador independente verificar matematicamente a contagem sem aprender como alguém votou — isso não encerra a lacuna, não é verdade?

A Suíça tentou exatamente essa abordagem. Em 2019, a Swiss Post publicou o código-fonte de um sistema avançado de votação pela Internet criptográfico para análise pública — o tipo de transparência radical que outros sistemas recusaram. Os investigadores independentes Sarah Jamie Lewis, Olivier Pereira, e Vanessa Teague leram o código.

Encontraram uma porta dos fundos.

O mixnet do sistema — o componente que embaralha os votos para que não possam ser ligados a eleitores individuais — baseou-se num esquema de compromisso com uma estrutura secreta. Uma autoridade que tivesse certos valores de porta dos fundos podia gerar uma prova matemática que parecia válida e passou verificação independente enquanto na verdade tinha alterado votos. O sistema reivindicava "verificabilidade universal." A porta dos fundos significava que um insider com as chaves certas podia derrotar essa reivindicação enquanto deixava a verificação com aparência limpa.

A Swiss Post e Scytl reconheceram a descoberta. As autoridades suíças suspenderam o sistema. A única razão pela qual a falha foi apanhada era que o código foi publicado — e que criptógrafos independentes competentes escolheram lê-lo.

A maioria dos sistemas de votação pela Internet não publicam o seu código. A maioria não convida criptógrafos independentes a sondá-los. A maioria oferecem "passou certificação" como resposta a "posso verificar?"

Certificação é um processo. Não é o mesmo que verificabilidade.

O padrão que tudo isto fica aquém

Em 2009, o Tribunal Constitucional Federal da Alemanha estabeleceu um princípio que todo o defensor da votação pela Internet deveria ter de responder. O Tribunal invalidou o uso de máquinas de votação eletrónica porque armazenavam votos apenas em memória eletrónica sem nenhum registo verificável independentemente — mas o princípio que anunciou era mais amplo: as etapas essenciais da votação e da determinação do resultado devem ser examinadas pelo cidadão de forma fiável e sem qualquer conhecimento especializado.

Não examinável por criptógrafos. Não examinável por auditores governamentais. Examinável por cidadãos. Sem conhecimento especializado.

Esse é um teste que a votação pela Internet em qualquer forma atual falha abrangentemente. Não pode entregar a uma avó um registo de tráfego de rede e pedir-lhe que confirme que o seu voto foi registado corretamente. Não pode dar a um operário de fábrica uma transcrição de prova criptográfica e pedir-lhe que a verifique sem um doutoramento. Nem mesmo os sistemas que reivindicam verificabilidade ponta a ponta requerem ou confiar num cliente de software que não consegue ler, ou ler matemática que a maioria das pessoas nunca encontrou, ou confiar num canal de verificação que (como Nova Gales do Sul mostrou) poderia estar ele próprio comprometido.

A Finlândia apreendeu uma versão adjacente dessa lição inclusive para votação eletrónica presencial. Em 2008, um projeto-piloto de votação eletrónica em três municípios tinha uma falha de usabilidade: eleitores que não esperavam por um passo final de confirmação tiveram os seus votos silenciosamente caídos. 232 votos nunca foram registados, contra a vontade dos eleitores. O Tribunal Supremo de Administração cancelou as eleições nesses municípios e ordenou novas eleições. Os eleitores não tinham maneira de saber que o seu boletim não tinha sido capturado. O sistema não dava nenhum aviso.

Quando um eleitor não tem nenhuma maneira independente de confirmar que o seu voto foi contado, uma falha — mecânica, processual, ou adversarial — pode ser inteiramente invisível até alguém examinar os números agregados e reparar que algo está errado. E "reparar que algo está errado" apenas funciona quando o erro é grande o suficiente para ser implausível.

O que a Noruega realmente escolheu — e o que nos diz

Leia a declaração do governo norueguês com cuidado e verá algo que a maioria dos anúncios oficiais obscurecem. O ministério não disse que o sistema tinha sido comprometido. Não afirmou que os votos tinham sido alterados. Disse que a confiança de que os votos não eram alterados não podia ser assegurada.

Esse é um reconhecimento honesto de que a ausência de evidência de um ataque não é o mesmo que segurança. É o padrão responsável: se não consegue provar que o processo é confiável para as pessoas cujos votos dependem dele, não pede que confiem de qualquer forma.

A descoberta de participação também importa — não porque a conveniência seja irrelevante, mas porque remove a justificação utilitária para aceitar o défice de confiança. Se a votação pela Internet de forma fiável e substancial aumentasse a participação, uma comunidade democrática poderia ter de pesar uma troca difícil. Os dados da Noruega tornaram essa troca desnecessária: o benefício de conveniência não estava lá.

Isto não é um veredicto de que a votação pela Internet nunca, em princípio, pudesse ser tornada confiável. É um veredicto de que nenhum sistema implementado até agora alcançou o padrão que as eleições confiáveis requerem: verificabilidade ponta a ponta que um cidadão ordinário possa verificar, independentemente, sem confiar em nenhum servidor, nenhum fornecedor, nenhum funcionário, ou na palavra de nenhum matemático.

A comissão holandesa que recomendou sucatear máquinas de votação em 2007 o colocou claramente: não há segredos no processo eleitoral, e as respostas devem ser verificáveis e controláveis. Esse requisito não se torna menos importante porque o canal é um navegador em vez de um ecrã sensível.

A coisa que ainda não é verificável — e o que tornaria verificável

Aqui está o que o encerramento do programa pela Noruega não resolveu: se, durante as duas eleições em que a votação pela Internet funcionou, algum voto foi alterado em trânsito ou no servidor.

A resposta é: não sabemos. E não conseguimos agora determiná-lo. Os registos, se existem, não são públicos. O código-fonte, se alguma vez foi independentemente revisto, produziu nenhuma descoberta publicada. O mecanismo de verificação disponível para os eleitores na altura — se havia um — não pode agora ser executado contra votos já votados.

Esse é o registo do teste norueguês: conhecimento valioso e experiência, de acordo com as próprias palavras do ministério, mas nenhuma pista de auditoria pública que permitisse a qualquer pessoa confirmar independentemente o que aconteceu com esses votos. A tranquilidade é a decisão de parar, não qualquer evidência de que tudo correu bem enquanto funcionava.

O que tornaria isto verificável — para a Noruega, ou para qualquer jurisdição considerando votação online — é um sistema concebido para que a sua verificabilidade não dependa da honestidade de nenhum funcionário ou fornecedor:

  • Código-fonte publicado, revisto por qualquer criptógrafo em qualquer momento, não apenas antes da implementação
  • Criptografia verificável ponta a ponta em que os eleitores podem confirmar que o seu voto específico foi incluído na contagem final usando um recibo que não revela nada sobre como votaram — e em que qualquer pessoa pode verificar que a contagem é construída inteiramente a partir de votos válidos, incluídos
  • Testes públicos adversariais independentes antes de qualquer voto vinculativo, no modelo do que D.C. fez (e o que a autoridade eleitoral brasileira faz rotineiramente com as suas máquinas)
  • Publicação imediata, de nível de secção, legível por máquina dos resultados no momento em que são finais, para que observadores independentes possam reconstruir e verificar a contagem sem esperar por um sumário oficial

Nenhum destes é ficção científica. Alguns existem em pedaços em sistemas académicos e experimentais. Nenhum existe junto num sistema de votação pela Internet nacional implementado que tenha sido independentemente verificado que funciona.

Até que o façam, "confiança de que os votos não são alterados" não é algo que qualquer sistema de votação pela Internet possa honestamente fornecer — e a Noruega estava certa em parar de pedir aos seus eleitores que o estendessem.

A versão partilhável: A Noruega abandonou a votação pela Internet não porque algo correu mal, mas porque nada podia ser provado ter corrido bem. Conveniência sem verificabilidade não é democracia — é votação baseada na fé.

Veja como essa lacuna de verificabilidade é comum em todo o mundo →

Leia a versão de dois minutos de porque é que a verificabilidade importa →

Fontes

Ver todos os artigosExplorar as lacunas