← Todos os artigos

A máquina de voto sem papel: uma transação sem recibo com a democracia

Em Sarasota County em 2006, 18 mil votos desapareceram em máquinas que não deixaram nada para recontar. Um tribunal federal em 2020 encontrou o mesmo problema disfarçado de forma mais recente.

Numa certa secção de voto na Flórida em Novembro de 2006, um eleitor toca no ecrã, vê a página de resumo e pressiona "Votar". A máquina bipa. Um contador avança em algum lugar da memória. E depois — nada. Sem papel. Sem comprovante. Sem prova independentemente verificável de que o voto que a máquina acabou de registar é o voto que o eleitor realmente pretendia.

Esse momento repetiu-se 18 412 vezes apenas no Sarasota County.

A eleição que afectou — a 13ª Circunscrição Eleitoral da Flórida — foi decidida por 369 votos. E porque todas as máquinas em Sarasota County eram ecrãs tácteis ES&S iVotronic sem papel, não havia nada no mundo para recontar. Nem um comprovante, nem um recibo, nem um rolo de papel térmico atrás de um painel fechado. Apenas um número dentro de uma caixa, e a palavra da caixa.

Esta é a ilustração mais clara possível do problema de que este artigo trata. Mas não é a versão mais perigosa. A versão mais perigosa surgiu catorze anos depois, e envolveu papel.

O recibo que não significa o que pensa

Existe uma suposição comum nas discussões sobre tecnologia de votação: se uma máquina imprime algo, o problema da verificabilidade está resolvido. O papel existe. Recontem-no.

Essa suposição está errada, e um tribunal federal em Atlanta disse-o com uma clareza invulgar.

Em 11 de Outubro de 2020, a juíza federal Amy Totenberg emitiu uma sentença em Curling v. Raffensperger examinando o sistema de máquina marcadora de voto Dominion da Geórgia — as máquinas que substituíram os velhos ecrãs tácteis sem papel da Geórgia. O novo sistema produz de facto um pedaço de papel. Um eleitor aproxima-se da BMD, faz as suas escolhas num ecrã táctil, e a máquina imprime um voto. Esse voto é então alimentado num tabulador para ser contado.

Mas aqui está o que o tribunal descobriu: o voto que a máquina imprime contém um código QR, e esse código QR é o que o tabulador realmente lê para determinar o voto. O texto legível ao ser humano no voto impresso — os nomes dos candidatos — não é o que é contado. O código de barras é.

As próprias palavras do tribunal: o sistema "não fornece um registo de voto verificável e auditável porque depende do código QR para a tabulação de votos e esse código em si não pode ser lido e verificado pelo eleitor."

Não consegue ler um código QR com os seus olhos. Quase certamente não tentou. Portanto, quando reviu o seu resumo de voto impresso no local de votação e pressionou confirmação, verificou o texto legível ao ser humano — e confiou na palavra da máquina sobre o que codificou no código de barras.

Esta não é uma preocupação teórica. O tribunal citou testemunho de especialista do Dr. J. Alex Halderman descrevendo a viabilidade prática de um ataque cibernético que poderia alterar os códigos QR — trocando ou eliminando votos — enquanto deixava o resumo legível ao ser humano inalterado. Veria os nomes correctos dos candidatos. O código de barras diria algo diferente. O tabulador contaria o código de barras.

O tribunal também citou a conclusão de 2018 das Academias Nacionais de que nenhum mecanismo técnico existe actualmente para garantir que uma aplicação de contagem de votos produz resultados precisos e que apenas testes não podem garantir que os sistemas não foram comprometidos.

O tribunal acabou por recusar a ordenação de medidas de último minuto — a eleição de 2020 estava a semanas de distância, e mudar métodos de votação a meio da campanha acarreta os seus próprios riscos. Este é um julgamento defensável sob pressão impossível. Mas a conclusão mantém-se independentemente: a Geórgia tinha papel, e o papel não era verificável pelo eleitor.

Esta é a versão melhorada do problema de Sarasota. Sarasota não tinha papel nenhum. A Geórgia tinha papel que dizia uma coisa enquanto o registo contado dizia outra.

Por que "sem papel" é o piso, não o tecto

Para compreender por que estes dois casos formam um argumento único, comece com o que uma auditoria realmente exige.

Quando os funcionários eleitorais ou tribunais querem verificar uma contagem de máquina, precisam de dois artefactos independentes: a saída da máquina e algo que o próprio eleitor confirmou estar correcto. Se estes dois se alinham, tem corroboração. Se divergem, tem um problema que vale a pena investigar. Se apenas um artefacto existe — a saída da máquina — não há nada para corroborar. Está a auditar a resposta da máquina pedindo à máquina.

Em Sarasota, o iVotronic sem papel produziu um único artefacto. Quando surgiram questões sobre a taxa de sub-votação de 13% — muito mais elevada do que os condados adjacentes usando voto em papel — a Agência de Responsabilidade do Governo dos EUA realizou testes nas máquinas. Esses testes não encontraram uma avaria que explicasse a sub-votação, enquanto explicitamente anotavam que um registo de papel verificado pelo eleitor poderia ter fornecido confirmação independente de que os ecrãs tácteis registaram os votos correctamente. A GAO não estava a dizer que as máquinas avariaram. Estava a dizer que ninguém podia provar que não avariaram, porque não havia nada para verificar.

Isto não é um atestado de saúde positivo. É uma confissão de não-verificabilidade.

Na Geórgia, o problema do artefacto é mais subtil. O voto impresso existe, mas a porção legível ao eleitor e a porção legível à máquina não são o mesmo registo. Um eleitor pode confirmar o texto humano. Um tabulador lê o código de barras. Estas são duas codificações diferentes de (supostamente) os mesmos dados, geradas por uma máquina cujo software o eleitor não pode inspecionar e cuja saída o eleitor não pode verificar independentemente. Uma auditoria dos votos em papel da Geórgia é tecnicamente uma auditoria dos códigos de barras — confirmando que os códigos de barras foram tabulados consistentemente, não que foram gerados correctamente em primeiro lugar.

Um registo em papel é apenas uma ferramenta de verificação se o artefacto que está a verificar é o mesmo artefacto que o eleitor confirmou.

Como é que a verificação independente realmente funciona

O contraste é instrutivo. A contagem manual estadual da Geórgia em 2020 — aproximadamente cinco milhões de votos presidenciais, contados manualmente em 159 condados em menos de seis dias — foi significativa e valiosa precisamente porque confirmou a tabulação da máquina em cerca de um décimo de um por cento. Essa contagem manual é o melhor argumento que alguém poderia apresentar para votos em papel: quando um registo real e duradouro existe, uma eleição cerrada pode ser verificada independentemente à escala.

Mas repare no que fez isto funcionar. A Geórgia estava também a usar votos em papel marcados manualmente para muitos eleitores juntamente com o sistema BMD. Os votos marcados manualmente na eleição de 2020 da Geórgia foram verificados pelo eleitor no sentido mais verdadeiro: o eleitor pegou em caneta e papel, circulou um nome ou preencheu um óvalo, e o papel marcado foi directamente para uma caixa selada. Sem codificação intermediária. Sem código QR. A marca humana é o registo.

A contagem manual funcionou porque havia um artefacto genuinamente segundo — intenção de voto, expressa directamente em papel — que podia ser comparado com a tabulação da máquina. Quando os dois se alinhavam, a confiança era justificada.

Colorado fornece outro modelo. Quando Colorado se tornou o primeiro estado a completar uma auditoria de limitação de risco estadual em Novembro de 2017, funcionou pela mesma razão: votos em papel marcados manualmente deram aos auditores algo contra o qual verificar as máquinas. Uma RLA não apenas faz uma verificação por amostra de uma percentagem fixa de votos. Ajusta o tamanho da amostra com base na margem — exigindo mais verificação manual em eleições cerradas e menos em eleições esmagadoramente decididas, calibrado a um nível de confiança estatístico declarado. Numa eleição decidida por centenas de votos, analisa votos suficientes para dizer, com probabilidade definida, se o resultado da máquina é correcto.

Esta é uma ferramenta poderosa. É também completamente dependente do registo em papel ser digno de confiança — do registo na caixa de votos selada ser o que o eleitor realmente pretendia, não uma codificação produzida por uma máquina que o eleitor não podia inspecionar.

O padrão alemão, e por que os EUA continuam a não o cumprir

Em Março de 2009, oito juízes em Karlsruhe resolveram uma questão que provavelmente deveria ter sido resolvida antes de computadores de votação serem implementados em qualquer lugar: quando é que um sistema de contagem electrónico satisfaz os requisitos de uma eleição democrática?

A resposta do Tribunal Constitucional Federal Alemão foi directa. A votação electrónica é constitucional apenas quando "os passos essenciais da votação e da determinação do resultado podem ser examinados pelo cidadão de forma fiável e sem qualquer conhecimento especializado." As máquinas Nedap utilizadas na eleição federal alemã de 2005 falharam este teste. Armazenavam votos em memória electrónica sem nenhum registo independentemente verificável que um eleitor pudesse verificar. O tribunal declarou a Ordenação de Máquinas de Votação Federal inconstitucional.

Repare no que o tribunal não disse. Não disse que as máquinas tinham avariado. Não disse que votos tinham sido alterados. Disse que um sistema cuja correcção depende de confiar em software oculto falha o teste de verificabilidade pública independentemente de nunca ser provado que houve adulteração.

A Comissão Consultiva de Processos Eleitorais do governo holandês chegou ao mesmo lugar em 2007, no seu relatório "Stemmen met vertrouwen" ("Votação com confiança"). A comissão foi clara: "não há segredos no processo eleitoral." Transparência e verificabilidade eram inegociáveis. Qualquer método electrónico era aceitável apenas se produzisse um voto em papel que o eleitor pudesse confirmar. Os Países Baixos voltaram ao papel e à contagem manual.

A Comissão de Votação Electrónica da Irlanda, revendo máquinas Nedap/Powervote que o governo já tinha comprado, chegou a algo mais subtil mas igualmente importante: não estava a fazer uma conclusão de que o sistema não funcionaria. Estava a fazer uma conclusão de que o sistema não tinha sido provado funcionar satisfatoriamente para a comissão. Quando a precisão e o sigilo não podem ser independentemente verificados, o padrão correcto é não implementação.

Estes são três países independentes chegando à mesma posição: o ónus da prova corre numa direcção. Um sistema de votação deve provar aos cidadãos ordinários que funciona correctamente — não pedir aos cidadãos que confiem na palavra do fabricante ou na certificação do governo.

Aplique esse padrão a Sarasota. Aplique-o aos BMDs com código QR em Curling. O padrão não é cumprido.

O problema irredutível com "confie nos funcionários"

Há uma versão da resposta a tudo isto que soa razoável: os funcionários eleitorais reveram os sistemas. Os fornecedores certificaram-nos. Os auditores testaram-nos. Nada foi encontrado.

Este é o argumento que desaba sob o seu próprio peso, e a declaração da CISA "eleição mais segura da história americana" de Novembro de 2020 é na verdade o exemplo mais claro do porquê.

Essa declaração — emitida por funcionários sérios e de carreira — declarou que não havia "nenhuma evidência de que qualquer sistema de votação eliminasse ou perdesse votos, alterasse votos, ou fosse de qualquer forma comprometido." Citou explicitamente registos em papel e a capacidade de recontar e auditar como o fundamento da sua confiança.

Releia isto. O próprio argumento da declaração para confiabilidade era: temos registos em papel que permitem recontas e auditorias. Os funcionários que certificaram a eleição como segura basearam essa certificação na existência de papel independentemente verificável. Não estavam a dizer "confie no software." Estavam a dizer "confie na auditoria do papel."

O que significa que a questão para qualquer sistema — os iVotronics de Sarasota, os BMDs com código QR da Geórgia, qualquer DRE sem papel em qualquer lugar — é exactamente a que esses funcionários teriam que fazer: onde está o registo independentemente verificável?

Quando não há um, "a auditoria confirmou-o" é uma afirmação circular. Quando o registo em papel não pode ser lido pelo eleitor, "reconteámos o papel" confirma apenas que os códigos de barras foram tabulados consistentemente, não que foram correctamente gerados. Quando a contagem manual difere da contagem da máquina por uma dúzia de votos numa eleição decidida por dezenas de votos — como aconteceu na auditoria de Antrim County, Michigan — "a contagem manual confirmou-o" é uma reasseguração carregando a sua própria margem de erro.

A GAO encontrou em 2005 que os esforços federais para melhorar a segurança do sistema de votação estavam em andamento mas que actividades-chave permaneciam incompletas. Esta não foi a conclusão de um crítico partidário. Foi a conclusão de auditores federais de carreira. E a lacuna que identificaram — a distância entre "certificado" e "verificável pelo público" — não se fechou completamente nos dois decénios desde então.

A solução é específica, não simbólica

Nada disto é um argumento para desconfiança como uma condição permanente. É um argumento para o que substituiria a desconfiança por algo melhor.

A solução tem dois componentes, e ambos são necessários.

O primeiro é um registo duradouro e verificado pelo eleitor — não um resumo gerado por máquina que o eleitor confirma num ecrã, e não um código de barras que o eleitor não consegue ler. Um voto em papel marcado manualmente, ou um dispositivo marcador de voto que produz um registo em papel legível ao ser humano onde o texto legível ao ser humano é o que é contado e tabulado, e o eleitor confirma antes de sair das suas mãos. O registo que o eleitor verifica deve ser o registo que é auditado. Os Países Baixos, Alemanha e Irlanda chegaram a esta conclusão através de comissões de política e tribunais constitucionais. Colorado e a contagem manual de 2020 da Geórgia demonstram que funciona na prática.

O segundo é verificação independente e adversarial — não uma certificação pré-eleitoral por uma única autoridade, mas escrutínio público contínuo. A autoridade eleitoral do Brasil convida membros qualificados do público para tentar quebrar as suas máquinas de votação antes de cada eleição geral. O piloto de voto pela internet de Washington D.C. em 2010 foi abandonado porque esse tipo de testes abertos funcionou: uma equipa da Universidade de Michigan comprometeu o sistema em aproximadamente 48 horas, alterando votos, lendo votos e demonstrando o ataque aos funcionários. O ataque foi detectado porque o sistema estava aberto a testes, não porque um órgão de certificação o tivesse aprovado.

O Supremo Tribunal da Índia, na sua sentença de Abril de 2024 sobre máquinas de votação electrónicas, recusou-se a descartar todo o sistema EVM do país — mas apertou as regras em torno da verificação em papel, armazenamento selado de unidades de carregamento de símbolos e verificação de microcontrolador solicitada por candidato. Mesmo um tribunal que manteve um sistema electrónico apertou as partes independentemente verificáveis.

A linha de continuidade não é papel pelo seu próprio bem. É um registo que o eleitor confirmou, preservado de forma resistente a adulterações, auditável por qualquer pessoa com as regras de acesso, verificado por partes independentes que não são os funcionários que anunciam o resultado.

Isto é verificabilidade. Um funcionário dizendo "estava tudo bem" não é.

O que permanece não verificável — e o que o mudaria

Aqui está a conclusão honesta, afirmada o mais claramente possível.

Em qualquer jurisdição que utilizou máquinas DRE sem papel — cada voto feito num iVotronic, cada Diebold AccuVote-TS, qualquer máquina que armazenou votos em memória electrónica sem um registo em papel verificado pelo eleitor — a contagem não pode ser independentemente confirmada. Não agora. Nunca. Esses votos existem apenas na memória da máquina, e o único registo deles é o que a máquina diz. Os 18 412 sub-votos em Sarasota County permanecem inexplicados. Podem ter sido escolhas de eleitores. Podem ter sido uma falha de software. Não há forma de saber, porque não há nada para verificar.

Em qualquer jurisdição onde dispositivos marcadores de voto produzem códigos QR que os eleitores não conseguem ler, a contagem tabulada é uma auditoria da codificação da máquina, não uma auditoria da intenção de voto. O texto legível ao ser humano e o código de barras digitalisado podem concordar perfeitamente, ou podem não concordar. Sem uma tabulação manual paralela do texto legível ao ser humano — não do código de barras — não há verificação independente.

O que mudaria isto?

Resultados do nível da secção, publicados no momento em que cada secção fecha, em formatos legíveis por máquina que qualquer pessoa pode descarregar e verificar contra os totais relatados pelos funcionários. Um registo em papel verificado pelo eleitor, retido e auditável, onde o que é contado é o que o eleitor leu e confirmou. Testes públicos adversariais dos sistemas antes de funcionarem em eleições reais. Auditorias de limitação de risco que são dimensionadas à margem, não a um nível de conforto político.

Nenhuma destas exige confiar em qualquer funcionário, qualquer fornecedor ou qualquer partido político. Esse é o ponto. A solução para "confie em nós" é um sistema desenhado para que não tenha que confiar.

Até então, o bip de um ecrã táctil sem papel é uma transação sem recibo com a democracia. Premiu o botão. Algo aconteceu. Terá que confiar na sua palavra.

Veja como a lacuna "sem papel para recontar" é comum em todo o mundo →

Leia a versão de 2 minutos deste problema →

Explore lacunas de verificabilidade específicas por sistema e jurisdição →

Fontes

Ver todos os artigosExplorar as lacunas