← Todos os artigos

Quando uma empresa constrói, opera e garante o voto

A 2 de agosto de 2017, a empresa que construiu as máquinas de votação da Venezuela disse ao mundo — publicamente, em inglês claro — que o número oficial de participação era uma mentira. Nenhum partido da oposição o disse. Foi o fornecedor.

É a noite de 30 de julho de 2017, e o Conselho Nacional Eleitoral da Venezuela acaba de anunciar um número: 7,5 milhões de pessoas votaram na eleição da Assembleia Nacional Constituinte. O anúncio foi feito para conferir legitimidade. Um organismo eleito reescreveria a constituição. O governo precisava que a participação parecesse decisiva.

Quarenta e oito horas depois, a Smartmatic — a empresa registada em Londres que havia construído e operado a infraestrutura de votação automatizada da Venezuela desde 2004 — emitiu um comunicado público. O seu diretor executivo disse que a empresa sabia "sem qualquer dúvida" que o número de participação anunciado havia sido manipulado, e estimou a diferença entre a participação real e a anunciada em "pelo menos um milhão de votos". A Smartmatic disse que não podia endossar os números oficiais.

Depois a Smartmatic saiu. Retirou-se das eleições regionais e municipais subsequentes de 2017 da Venezuela e cessou todos os negócios no país até 2018.

Leia isto novamente com atenção: o fornecedor que construiu o sistema, operou o sistema e certificou o resultado do sistema declarou que o resultado do sistema estava errado.

O momento em que a cadeia de confiança se devorou a si mesma

Eis por que esse cenário é tão importante estruturalmente, e por que vai muito além da Venezuela.

Na maioria dos países, a cadeia de confiança numa eleição eletrónica funciona assim: os eleitores confiam nas máquinas; os funcionários confiam na certificação do fornecedor; os observadores confiam nos funcionários; o público é convidado a confiar em todos acima. A arquitetura é uma torre, e cada pedra repousa sobre a que está abaixo.

Na Venezuela em 2017, cada pedra era a mesma pedra. O Conselho Nacional Eleitoral não possuía uma pista de auditoria independente. Não havia qualquer registo criptográfico que um terceiro pudesse verificar. Não havia boletins de voto em papel que a Smartmatic pudesse apontar como contradizendo o total oficial. A única parte posicionada para saber se o número de participação era preciso era a que o havia produzido: o fornecedor. E esse fornecedor, tendo chegado ao fim de qualquer cálculo contratual ou reputacional que estava a fazer, disse: não.

Quando o fornecedor é simultaneamente o construtor, o operador e o único verificador, não existe tal coisa como uma verificação independente — existe apenas um único ponto de confiança que pode falhar de uma só vez.

O público, a oposição, observadores internacionais — nenhum deles teve acesso a dados que lhes permitissem confirmar ou refutar qualquer uma das reivindicações. O número oficial. A contra-reivindicação do fornecedor. Ambas eram afirmações. Nenhuma era comprovável de fora.

Esse é o problema de que trata este artigo.

A concentração de confiança é uma decisão de design, não um acidente

O caso da Venezuela é extremo. Mas a estrutura subjacente — um fornecedor detendo o conhecimento crítico sobre como funciona a contagem — aparece em formas mais suaves em democracias funcionais.

Considere o que um tribunal federal dos E.U.A. descobriu sobre o sistema de votação da Geórgia em outubro de 2020. Em Curling v. Raffensperger, o Distrito Norte da Geórgia reviu o testemunho pericial sobre os dispositivos de marcação de boletins da Dominion do estado e chegou a uma conclusão que não recebeu de modo algum atenção suficiente: o sistema "não fornece um registo de boletim verificável e auditável porque depende do código QR para a tabulação de votos e esse código em si não pode ser lido e verificado pelo eleitor."

O tribunal também citou a conclusão de 2018 da Academia Nacional sobre que nenhum mecanismo técnico atualmente existe para garantir que uma aplicação de contagem de votos produz resultados precisos, e que testes sozinhos não podem garantir que os sistemas não foram comprometidos.

Um eleitor fica em frente da máquina. Ele faz as suas seleções. Sai uma folha de papel. Ele vê os nomes dos seus candidatos em texto legível por humanos. Ele pensa que verificou o seu boletim. Mas o que o tabulador realmente conta é um código de barras bidimensional — e ele não tem forma de o ler. Também não tem o funcionário de votação. Também não tem o observador do partido de pé a cinco metros de distância.

O tribunal compreendeu o problema e recusou-se a ordenar medidas de última hora, dada a proximidade da eleição. Esse é um julgamento judicial defensável sobre disrupção. Mas repare no que não fez: não determinou que o problema não existisse. O código QR ilegível é uma característica permanente de uma arquitetura de sistema em que a lógica de tabulação é, para todos os efeitos práticos, invisível para todos excepto o fornecedor.

Essa é uma concentração de confiança de um tipo diferente do da Venezuela — mas é concentração de confiança.

O que a "certificação" realmente certifica

Ambos os casos partilham uma história de origem comum: a ideia de que o sistema de um fornecedor, uma vez certificado, pode ser confiável para executar a contagem.

O Gabinete de Responsabilidade Governamental dos E.U.A. examinou esse pressuposto cuidadosamente no seu relatório de 2005 (GAO-05-956). Descobriu que problemas documentados com sistemas de votação eletrónica haviam levantado questões sobre a sua segurança e confiabilidade, e que esforços federais para melhorar esses sistemas estavam em andamento — mas que atividades-chave permaneciam incompletas. A certificação ainda estava sendo construída como um processo enquanto as eleições funcionavam nos sistemas que se supunha validar.

A Irlanda descobriu a mesma lacuna mais cedo. Uma Comissão Independente sobre Votação Eletrónica, examinando o sistema Nedap/Powervote que o governo havia adquirido, concluiu que não estava "em posição de recomendar com o grau requisito de confiança o uso do sistema escolhido." Criticamente, o resultado da Comissão não era que o sistema falharia — era que não havia sido provado à satisfação da Comissão que funcionaria. A incapacidade de verificar era em si mesma a condição desqualificadora. A Irlanda gastou €52 milhões em máquinas que foram formalmente sucatadas em 2009.

Repare no que liga estes casos: o ónus da prova estava no partido errado. Funcionários e fornecedores foram chamados a demonstrar confiabilidade a um órgão independente — e a conclusão desse órgão independente importava. Essa é a estrutura correta. O problema é que é a exceção, não a regra. Na maioria das jurisdições, a certificação é um teste único realizado antes da implementação. O sistema passa ou falha uma vez. Depois executa em eleições ao vivo — às vezes por uma década — sem outra verificação independente de rigor equivalente.

Nessa lacuna entre o teste de certificação e o dia da eleição, muita coisa pode mudar. O software é atualizado. As configurações mudam. A equipa roda. E a única parte que sabe, em tempo real, o que o sistema realmente está a fazer é o fornecedor.

O episódio forense da Geórgia: como se parece o acesso de insider

O caso da Venezuela envolveu um fornecedor a denunciar de fora. O episódio do Condado de Coffee, Geórgia em janeiro de 2021 ilustra uma versão diferente da mesma vulnerabilidade estrutural: o que acontece quando alguém com acesso de insider decide tomar, em vez de divulgar.

A 7 de janeiro de 2021, uma empresa de análise forense computacional foi admitida no escritório eleitoral do Condado de Coffee e fez cópias do software do sistema de votação — o servidor do Sistema de Gestão Eleitoral, pads de votação, dispositivos de marcação de boletins, scanners e o software de votação Dominion estadual da Geórgia. O gabinete do Secretário de Estado da Geórgia descreveu posteriormente isso como acesso não autorizado que antigos funcionários do condado permitiram violando a lei estadual. Várias pessoas ligadas ao episódio subsequentemente declararam-se culpadas de acusações. O evento está documentado em deposições em Curling v. Raffensperger.

Eis a lição arquitetural: todo o software de votação da jurisdição era proprietário. O seu modelo de segurança dependia do segredo — do código permanecer oculto. No momento em que alguém com acesso físico decidiu compartilhá-lo, o segredo desapareceu. Tudo que descansava nele — o modelo de segurança, a cadeia de confiança, a promessa implícita da certificação — saiu com ele.

O segredo não é segurança. Um sistema construído para ser verificado apenas por insiders é um sistema construído para falhar no momento em que um insider é comprometido, coagido ou simplesmente cooperante com alguém com quem não deveria estar.

Código aberto, independentemente inspecionável não resolve cada problema. Certificação, cadeia de custódia e auditoria robusta pós-eleição ainda importam enormemente. Mas código aberto pelo menos remove a camada de opacidade que torna o fornecedor ou o funcionário o único árbitro do que o software está a fazer. O sistema VSAP do Condado de Los Angeles — o primeiro sistema de tabulação de eleições de propriedade pública e código aberto certificado sob os padrões de sistema de votação da Califórnia, certificado em agosto de 2018 — é uma prova de conceito de que isso é realizável. Se o código aberto está realmente a executar no dia da eleição requer verificação adicional (um ponto que o episódio trapdoor da Swiss Post/Scytl demonstra vividamente). Mas a opacidade garante que ninguém fora do fornecedor pode verificar.

O problema mais profundo: "verificámos isto" não é o mesmo que "pode verificar isto"

Após a eleição dos E.U.A. de 2020, a 12 de novembro de 2020, um grupo de altos funcionários de segurança eleitoral publicou uma declaração conjunta declarando a eleição "a mais segura na história americana". A declaração foi assinada por funcionários em todo o Conselho de Coordenação de Governo de Infraestrutura Eleitoral e seus parceiros do Conselho de Coordenação do Setor, e publicada pela Agência de Segurança Cibernética e Infraestrutura.

Leia-a cuidadosamente, e encontra algo interessante. O próprio raciocínio da declaração sobre por que confiava descansa substancialmente na existência de registos em papel que permitem recontagens e auditorias. Isto é: os funcionários estavam a dizer, implicitamente, que a sua confiança vinha dos mecanismos de auditoria que deixavam alguém verificar o resultado das máquinas — não de confiar nas máquinas por fé.

Esse é realmente o argumento correto. Mas só se mantém onde os registos em papel são independentemente legíveis e as auditorias são robustas. Na Geórgia em 2020, uma contagem manual estadual de aproximadamente 5 milhões de boletins — 41.881 lotes examinados em 159 condados em menos de seis dias — confirmou o resultado tabulado por máquina dentro de cerca de uma décima de um por cento. Esse é o tipo de verificação independente que torna a confiança defensável.

O problema é que a contagem manual da Geórgia funcionou porque a Geórgia tinha boletins marcados por eleitores dos sistemas de 2019 e anteriores que as pessoas podiam ler com os seus olhos. Uma recontagem manual de um sistema de dispositivo de marcação de boletins com código QR audita o resultado do código de barras — não a intenção do eleitor. O tribunal em Curling disse exatamente isto: o código QR não pode ser lido e verificado pelo eleitor. Se uma máquina codificar o candidato errado no código de barras enquanto imprime o nome correto em texto legível por humanos, a auditoria confirmará a codificação da máquina, não a escolha do eleitor.

Uma recontagem é apenas tão confiável quanto o registo que está a contar. Um "confirmado por contagem manual" de um boletim que ninguém conseguiu ler em primeiro lugar é uma tranquilidade, não uma prova.

O que a verificabilidade independente realmente requer

O Tribunal Constitucional Federal Alemão traçou a linha em 2009, numa decisão sobre máquinas de votação Nedap usadas na eleição Bundestag de 2005. O Tribunal determinou que o uso de máquinas de votação eletrónica requer que "as etapas essenciais da votação e da determinação do resultado possam ser examinadas pelo cidadão de forma fiável e sem qualquer conhecimento especializado da matéria." As máquinas armazenavam votos apenas em memória eletrónica, sem qualquer registo que os eleitores pudessem verificar. Falharam este padrão.

"Sem qualquer conhecimento especializado." Essa é a frase operacional. A verificabilidade não é satisfeita por dizer ao público que especialistas revisaram o sistema. Não é satisfeita por testes internos de um fornecedor. Não é satisfeita por uma declaração oficial de que tudo verificou bem. É satisfeita quando o registo produzido é aquele que qualquer cidadão interessado — não apenas um cientista informático, não apenas um auditor certificado, não apenas o fornecedor — pode examinar e confirmar que corresponde ao que foi pretendido.

Esse é um padrão elevado. Mas é o padrão correto. E os casos acima mostram o que acontece quando não é cumprido.

Na Venezuela, o fornecedor era a única parte com o conhecimento para comparar a participação anunciada com o que as máquinas registaram — e quando o fornecedor e o governo discordaram, não havia nada que um cidadão pudesse verificar para resolver.

Na Geórgia, o tribunal encontrou um sistema em que o artefato de tabulação não pode ser lido pelo eleitor que o produziu.

Em Coffee County, o segredo que substituía a abertura provou-se frágil no momento em que um insider escolheu de outro modo.

A linha através de cada caso é a mesma. A escolha não é entre um fornecedor confiável e um não confiável. A escolha é entre uma arquitetura de sistema que requer confiança numa única parte e uma que torna a confiança desnecessária porque qualquer um pode verificar.

O que tornaria tudo isto verificável?

Então eis a questão para concluir — e não é retórica.

Depois de Venezuela 2017: a Smartmatic disse que a participação foi inflacionada por pelo menos um milhão de votos. O governo disse que era precisa. Não existe, até à data, qualquer pista de auditoria independente que um terceiro pudesse usar para resolver essa disputa. Nenhum registo criptográfico verificável publicamente. Nenhum boletim de voto em papel. Nenhum dado ao nível dos colégios eleitorais que pudesse ser reconciliado contra uma cadeia de custódia. Se quisesse verificar qualquer uma das reivindicações de fora ambas as partes, não conseguiria. Essa lacuna — a ausência específica e técnica de um registo verificável — é o que um sistema bem desenhado preencheria.

Depois de Curling v. Raffensperger: o tribunal descobriu que o código QR é ilegível pelo eleitor. A Geórgia desde então evoluiu para um uso mais completo de boletins marcados manualmente em papel em alguns contextos. Mas a questão de se o software de tabulação de qualquer jurisdição traduz corretamente as marcações de boletins legíveis por humanos em contagens — e se essa tradução pode ser verificada independentemente por alguém que não seja o fornecedor — permanece aberta na maioria dos lugares.

A resposta não é "confiar mais em funcionários" ou "confiar menos em fornecedores". A resposta é sistemas desenhados para que nem funcionários nem fornecedores precisem ser confiáveis, porque o registo que produzem pode ser verificado por qualquer pessoa disposta a fazer a aritmética.

Isso significa pistas de auditoria verificáveis criptograficamente. Resultados ao nível dos colégios eleitorais publicados em forma legível por máquina no momento em que são finais. Código aberto, reproducentemente construível. Testes adversariais independentes — não como certificação única mas como prática contínua. E registos de boletins que um eleitor pode verificar e um cidadão pode auditar sem precisar saber quem construiu a máquina ou quais eram os incentivos do fornecedor.

Venezuela em 2017 é a ilustração mais clara possível de por que a concentração de confiança num fornecedor é um erro categórico. A questão que deixa aberta — a questão que se aplica em todo lado — é se o sistema da sua jurisdição deixaria qualquer pessoa descobrir se a mesma coisa aconteceu lá.

Veja como esta lacuna aparece em diferentes países e sistemas · Leia a versão de 2 minutos do que a verificabilidade independente requer · Explore casos documentados em que a contagem não conseguiu ser verificada

Fontes

Ver todos os artigosExplorar as lacunas