← Todos os artigos

Duas democracias, respostas opostas sobre computadores de voto

A Alemanha observou um computador de voto e perguntou: pode cada cidadão verificar isto? A Estónia perguntou: podemos tornar a votação mais fácil? Apenas uma dessas perguntas conduz a uma democracia que pode realmente verificar.

É a manhã de 3 de março de 2009, e oito juízes em Karlsruhe leem uma sentença que, nos meses seguintes, retirará cada computador de voto de cada assembleia de voto na Alemanha. Não porque fraude tenha sido provada. Não porque um único voto tenha sido demonstrado estar alterado. Mas por causa de uma pergunta que as máquinas não conseguiam responder.

Pode um cidadão comum, sem conhecimento especializado, verificar que a contagem está correta?

As máquinas não conseguiam responder afirmativamente. Isso foi suficiente.

Entretanto, em Tallinn, uma resposta diferente estava a ser silenciosamente integrada na infraestrutura nacional. O sistema de votação pela internet da Estónia — i-voting — cresceu eleição após eleição, ano após ano. Os eleitores votavam a partir das mesas da cozinha. A participação aumentou. O sistema foi elogiado internacionalmente. E então, em 2014, uma equipa de investigadores de segurança independentes sentou-se com o código do cliente publicado e os vídeos das operações do servidor que os funcionários estonianos tinham divulgado.

O que encontraram foi a outra resposta. A que a Alemanha tinha recusado.

O que a Alemanha realmente decidiu — e porque não se tratava de fraude

O caso alemão começou com uma reclamação sobre a eleição federal de 2005. Máquinas de voto Nedap tinham sido utilizadas em partes do país. As máquinas registavam votos na memória eletrónica. Não produziam papel algum que um eleitor pudesse inspecionar. Nenhum registo independente existia que pudesse ser verificado depois dos factos.

O Tribunal Constitucional Federal não precisava de provas de manipulação para se pronunciar contra elas. O seu critério não era 'ocorreu fraude?' mas 'poderiam os cidadãos tê-la detetado se tivesse ocorrido?'

O Tribunal considerou que a legitimidade democrática flui, em parte, da natureza pública das eleições — o que a lei constitucional alemã chama Öffentlichkeit der Wahl. O artigo 38, lido juntamente com os artigos 20.1 e 20.2 da Lei Fundamental, exige que os passos essenciais da votação e determinação de resultados possam ser examinados pelos cidadãos de forma confiável e sem conhecimento especializado.

Software encerrado, votos armazenados apenas em memória, nenhum registo verificado pelo eleitor: as máquinas falharam em cada parte desse teste. A Ordenança Federal sobre Máquinas de Voto era inconstitucional.

Note-se o que o Tribunal não fez. Não invalidou a eleição de 2005 — pesou o defeito constitucional contra a perturbação de derrogar um parlamento democraticamente eleito, e não encontrou provas de avaria real. Mas as máquinas tinham acabado. A Alemanha voltou aos boletins de papel e à contagem manual.

O princípio que o Tribunal articulou não era um julgamento técnico. Era um democrático: um resultado que apenas um especialista pode verificar não é um resultado que uma democracia realmente contabilizou.

Os Países Baixos tinham chegado ao mesmo lugar dois anos antes. A sua Comissão Consultiva sobre Processos Eleitorais, no seu relatório de 2007 Stemmen met vertrouwen ('Votação com confiança'), colocava-o claramente: não há segredos no processo eleitoral — as perguntas devem ser respondíveis, e as respostas verificáveis e passíveis de verificação. Os Países Baixos voltaram aos boletins de papel. Os regulamentos que autorizavam máquinas de voto foram revogados.

Duas democracias europeias ricas e estáveis, nenhuma delas particularmente tecnófoba, observaram votação eletrónica não verificável e disseram: não é suficiente.

A Estónia disse sim — e construiu o sistema de votação online mais escrutinado do mundo

O sistema i-voting da Estónia cresceu a partir de uma tradição diferente. Uma pequena nação que tinha digitalizando toda a sua infraestrutura governamental — cartões de identidade digital, declarações fiscais online, registos de saúde eletrónicos — via a votação pela internet como uma extensão natural do seu estado digital. No momento das eleições municipais de 2013, centenas de milhares de estonianos estavam a votar em eleições nacionais online.

Ao contrário das máquinas Nedap na Alemanha, o sistema estoniano pelo menos publicava seu código do lado do cliente. Os funcionários divulgaram vídeos de operações do servidor. Havia esforço genuíno na abertura — mais do que a maioria dos sistemas de votação online tentam.

E essa abertura era precisamente o que tornou possível a análise de 2014.

Uma equipa independente — Springall, Finkbeiner, Durumeric, Kitcat, Hursti, MacAlpine, e Halderman — observou o sistema durante as eleições municipais de outubro de 2013 e examinou o software publicado e a configuração do servidor. Documentaram o que encontraram num artigo revisto por pares apresentado na ACM CCS 2014.

Os resultados foram sérios.

A segurança operacional durante a preparação do servidor foi visivelmente negligente — capturada nos próprios vídeos que os funcionários tinham divulgado. A arquitetura do software continha falhas. Mais significativamente, os investigadores concluíram que um atacante bem-dotado de recursos — um estado-nação, ou um insider desonesto — poderia plausavelmente comprometer a integridade dos votos ou privacidade do eleitor sem ser detetado.

Não 'poderia abrandar o sistema'. Não 'poderia causar uma queda visível'. Poderia alterar votos. Indetectavelmente.

As autoridades eleitorais estonianas contestaram as conclusões. A contestação é real e contínua, e os resultados dos investigadores não foram arbitrados por qualquer tribunal. Mas note-se a estrutura dessa discordância: é um argumento técnico entre especialistas em segurança, realizado em fóruns revisto por pares, precisamente porque o sistema estoniano era aberto o suficiente para investigadores externos terem algo a examinar.

O caso estoniano não é uma história de eleição corrupta. É uma história de um sistema que convidou a escrutínio e depois não conseguiu sobreviver completamente a ele.

Dois pressupostos, explicados claramente

A Alemanha e a Estónia fizeram apostas diferentes, e vale a pena nomeá-las claramente.

Aposta da Alemanha: A legitimidade de uma eleição democrática depende dos cidadãos comuns conseguirem verificar a contagem. Qualquer sistema que falhe esse teste é inconstitucional independentemente de ter alguma vez funcionado mal.

Aposta da Estónia: Conveniência, participação e infraestrutura digital importam. Revisão independente de especialistas e código publicado são suficientes para estabelecer confiabilidade.

Ambas as apostas são posições coerentes. Mas repousam em conceções fundamentalmente diferentes de quem pode verificar o resultado — e como.

O critério da Alemanha é radical na sua simplicidade: o cidadão. Não o especialista certificado. Não a autoridade eleitoral. Não o fornecedor. O cidadão de pé na assembleia de voto, ou observando a contagem da galeria, deve ser capaz de seguir o que acontece ao seu voto sem necessidade de um grau em ciência da computação.

O critério da Estónia é mais moderno, mais flexível — e mais dependente de confiança. Assume que se o código for publicado, especialistas conseguem lê-lo; se especialistas conseguem lê-lo, problemas vão aparecer; se problemas aparecem, vão ser corrigidos. Essa corrente exige que cada ligação se mantenha. A pesquisa de 2014 mostrou que pelo menos uma ligação — a capacidade de detetar um ataque sofisticado de insider ou nível de estado — não era solidamente demonstrável.

O que o Tribunal Constitucional Alemão entendeu, e o que a comissão holandesa articulou, é que revisão especializada é necessária mas não suficiente. Uma eleição que o exige que confie numa corrente de especialistas é ainda uma eleição construída sobre confiança, não verificabilidade. A diferença importa mais quando os especialistas discordam — o que é precisamente o que aconteceu no caso estoniano.

A lacuna de verificação que ninguém debate o suficiente

Eis o problema que nenhum dos países resolveu completamente, dito claramente.

Os boletins de papel da Alemanha e as contagens manuais são verificáveis no sentido que o Tribunal quis dizer: pode observar um boletim a ser colocado numa urna, a urna a ser selada, a contagem. Um cidadão sem conhecimento especializado pode seguir os passos essenciais.

Mas papel não é a última palavra sobre verificabilidade. A contagem manual de 2020 na Geórgia — cinco milhões de boletins contados manualmente em 159 condados em menos de seis dias — confirmou a contagem da máquina em cerca de um décimo de um por cento. Isso é impressionante. Não é o mesmo que dizer que a contagem manual era isenta de erros. No Condado de Antrim, Michigan nesse mesmo ano, uma auditoria manual de aproximadamente 15.700 boletins presidenciais diferiu da tabulação da máquina em cerca de uma dúzia de votos. Doze votos, num condado pequeno, após uma recontagem manual.

Doze votos parece nada. Numa corrida decidida por menos votos do que isso — o que acontece — um método que é ele próprio desvio por um punhado de votos não consegue resolver a questão. 'A contagem manual confirmou' é uma garantia, não uma prova. Até o padrão-ouro de confiança carrega erro humano irredutível.

O sistema digital da Estónia, em princípio, conseguia fazer algo que papel não consegue: gerar uma prova criptográfica de que cada voto contado foi votado por um eleitor elegível e tabulado corretamente, sem revelar como qualquer eleitor individual votou. Essa é a promessa da votação criptográfica verificável de ponta a ponta, e é genuinamente mais poderosa que contar papel manualmente.

Mas o sistema estoniano não entregou completamente essa promessa. Os investigadores de 2014 descobriram que a arquitetura criptográfica, tal como implementada, deixava espaço para manipulação indetectável. Publicar o código era uma condição necessária para encontrar isto. Não era uma condição suficiente para corrigi-lo.

O sistema de votação internet federal suíço descobriu isto da forma mais difícil em 2019. A Swiss Post e seu fornecedor Scytl publicaram o código-fonte completo para escrutínio público. Investigadores independentes Lewis, Pereira, e Teague encontraram uma porta de evasão criptográfica na prova de embaralhamento do mixnet — uma falha que teria permitido a uma autoridade que conhecesse certos valores secretos gerar um transcrito de verificação que parecia válido enquanto na verdade ocultava votos alterados. A falha era invisível numa caixa-preta certificada. Tornou-se visível no momento em que o código foi publicado e criptógrafos reais olharam.

Código aberto encontrou a falha. Código aberto era necessário. Mas código aberto sozinho não tornou o sistema verificável — tornou o sistema auditável, o que é um pré-requisito para verificabilidade, não a coisa em si.

O que realmente significaria resolver isto

O critério alemão — verificabilidade do cidadão sem conhecimento especializado — e a ambição estoniana — prova criptográfica de correção — não estão realmente em conflito. Apontam para o mesmo destino por estradas diferentes.

O destino é um sistema onde qualquer eleitor, e qualquer observador independente, conseguem verificar que o seu voto foi incluído na contagem, que a contagem foi computada corretamente, e que nenhuma adição ou eliminação não autorizada ocorreu — sem confiar na autoridade eleitoral, no fornecedor, ou em qualquer especialista singular para lhes dizer.

Boletins de papel, digitalizados e lidos opticamente, auditados manualmente sob um protocolo de auditoria com risco limitado, chegam perto do critério alemão — mas dependem da cadeia física de custódia estar intacta. O Tribunal Constitucional da Áustria anulou uma eleição presidencial em 2016 não porque fraude fosse encontrada, mas porque as salvaguardas procedimentais em torno de boletins por correio tinham sido violadas em números que poderiam ter afetado o resultado. Uma cadeia de custódia quebrada é um resultado não verificável, mesmo com papel à mão.

Sistemas criptográficos verificáveis de ponta a ponta, se corretamente implementados e verificados independentemente, chegam mais perto de uma prova técnica de correção — mas dependem da implementação ser sólida, do código ser inspecionável, e da criptografia estar correta. A Suíça descobriu que um sistema certificado pode transportar uma falha oculta que passa em cada verificação oficial.

A lição não é que papel é melhor que criptografia, ou vice-versa. A lição é que 'confiem em nós' — em funcionários, em fornecedores, em especialistas — é o modo de falha que cada abordagem eventualmente produz se não for substituída por algo que qualquer um consegue verificar independentemente.

Esse é um critério mais difícil que qualquer país tenha completamente atingido. A Alemanha atingiu parte dele ao insistir na transparência legível por cidadãos. A Estónia tentou atingir parte dele através de código publicado e revisão especializada. Nenhuma abordagem sozinha o consegue levar a um resultado que seja realmente, independentemente, publicamente verificável.

O piloto de votação internet norueguês, realizado até 2013 e encerrado em 2014, chegou a uma conclusão mais simples: confiança de que votos não fossem alterados não conseguia ser garantida, e a conveniência não entregou o ganho de participação prometido. Por vezes a resposta correta é parar e esperar por um sistema que realmente resolve o problema.

A pergunta que nenhuma resposta fechou

Eis o que permanece não resolvido, dito tão claramente quanto possível.

O sistema de papel-e-contagem-manual da Alemanha é o método de votação mais legível para cidadãos disponível. Mas não é independentemente verificável num sentido formal: uma contagem manual pode estar errada por uma pequena margem, uma cadeia de custódia pode ser quebrada sem deixar evidência óbvia, e o cidadão a observar a contagem está confiando que a bolsa selada que vê é a que contém os boletins corretos.

O sistema i-voting da Estónia é audacioso e, de algumas formas, mais ambicioso que qualquer coisa que a Alemanha tentou. Mas a equipa de investigação de 2014 concluiu que um atacante sofisticado conseguia alterar o voto online nacional indetectavelmente. As autoridades contestaram isso. Nem as autoridades nem os investigadores conseguem provar o outro errado de uma forma que um cidadão não-especialista consegue verificar independentemente — o que é, é claro, precisamente o problema que o Tribunal Constitucional Alemão identificou em 2009.

A lacuna que nenhum dos países fechou é esta: um sistema de votação que produz, para cada eleição, um registo público, legível por máquina, criptograficamente verificável que qualquer pessoa com um portátil e tempo consegue verificar contra o resultado anunciado — sem confiar no software, no fornecedor, nos funcionários, ou na garantia de qualquer especialista.

Esse sistema existe na literatura de pesquisa. Nunca foi implementado em escala nacional numa eleição vinculativa com essas propriedades completamente intactas.

Até que seja, a escolha entre Alemanha e Estónia é uma escolha entre dois tipos de confiança — confiança no processo legível por cidadãos que consegue observar, e confiança na prova legível por especialistas que não consegue completamente seguir. Ambas são melhores que nada. Nenhuma é o fim da discussão.

Da próxima vez que um funcionário lhe disser que uma eleição foi verificada, pergunte: verificada por quem, contra que registo, de uma forma que eu conseguia verificar eu próprio?

Se a resposta exige confiar em alguém, o trabalho não está terminado.

Veja como esta lacuna de verificação é comum em todo o mundo — país por país, método por método → atlas

Leia a versão de dois minutos sobre porque é que verificabilidade não é o mesmo que segurança → simple

Explore casos documentados onde a lacuna entre resultados anunciados e resultados verificáveis importou → gaps

Fontes

Ver todos os artigosExplorar as lacunas