← Todos os artigos

Como seria realmente uma eleição totalmente verificável para um eleitor

Como seria realmente votar num sistema que pudesse verificar pessoalmente — não confiando num oficial, mas verificando a matemática?

É uma manhã de dia de semana em Brasília, e um grupo de pessoas que não são funcionários eleitorais está a receber as chaves da máquina.

Não é uma metáfora. Um investigador qualificado — um informático, um investigador independente, um cidadão cujo plano de teste foi aprovado — está sentado em frente à urna eletrônica do Brasil, a máquina de votação utilizada por mais de 150 milhões de eleitores. Foi-lhe dito, oficial e por escrito, para tentar quebrá-la. O Tribunal Superior Eleitoral, tribunal eleitoral superior do Brasil, publicou as regras, abriu as portas e convidou o público. Qualquer que seja o resultado, o TSE compromete-se a corrigir antes da próxima eleição geral.

Este é o Teste Público de Segurança, que o Brasil realiza desde 2009. É regulado pela Resolução TSE 23.444/2015 e cobre todo o ciclo eleitoral: geração de material de voto, votação, apuração, transmissão de ficheiros e sistemas de auditoria utilizados para verificar a contagem eletrónica. Os resultados são utilizados para melhorar os sistemas. As correções são reverificadas em testes de confirmação antes da eleição. Sem salas fechadas. Sem a palavra do fornecedor.

Pode estar a perguntar-se: o que é que isto tem a ver com você, o eleitor?

Tudo.

O que "verificável" realmente parece de onde você está

A maioria dos eleitores experiencia uma eleição da mesma forma. Você entra, marca algo, sai. Talvez ganhe um adesivo. Alguns dias depois, alguém anuncia um vencedor.

Em nenhum ponto dessa sequência pode confirmar — pessoalmente, independentemente, sem ligar para uma linha de apoio ou confiar num comunicado de imprensa — que o seu voto foi contado, que foi contado corretamente, e que o total final reflete o que todos os eleitores da sua secção realmente escolheram.

Isso não é paranoia. É uma descrição de como funcionam quase todos os sistemas eleitorais existentes. A contagem acontece noutro lugar, para algo que já não possui, por um processo que não pode observar diretamente.

A pergunta que uma eleição totalmente verificável tem que responder é: o que teria que ser verdade para você verificar isto pessoalmente, agora mesmo, com os seus próprios olhos?

Essa pergunta é mais difícil do que parece. E alguns lugares no mundo começaram a respondê-la concretamente.

A cena em Brasília, e o que prova

O teste público de segurança do Brasil não é um exercício de comunicado de imprensa. Investigadores qualificados submetem planos de teste, ganham acesso aos sistemas reais e executam os seus ataques em condições monitorizadas abrangendo todo o ciclo eleitoral. O TSE publica o programa e os resultados. É revisão adversarial institucionalizada — a autoridade eleitoral tratando os seus próprios sistemas como suspeitos até que estranhos tenham tentado quebrá-los.

Isto importa por uma razão específica: muda o significado de "certificado".

Na Irlanda em 2004, uma comissão estadual não conseguiu recomendar um sistema de votação eletrónica que o governo já tinha pago, porque não conseguia satisfazer-se independentemente quanto à precisão e sigilo do sistema. O sistema nunca foi utilizado. Na Alemanha em 2009, o Tribunal Constitucional Federal determinou que a votação eletrónica é apenas legítima quando cidadãos comuns — não apenas especialistas — conseguem verificar as etapas essenciais da contagem sem conhecimentos especializados. A própria comissão consultiva do governo holandês concluiu o mesmo ano que não há segredos no processo eleitoral e que qualquer método aceitável para a democracia deve produzir resultados que sejam verificáveis e controláveis pelo público.

Certificação por uma única autoridade, uma única vez, antes da implementação, não é o que estes tribunais e comissões pediam. Pediam algo contínuo, aberto e independentemente verificável.

O teste do Brasil, imperfeito como qualquer instituição humana é, aponta para o alvo certo: você convida o público a atacar o seu sistema, corrige o que encontram, e documenta tudo. Isso não é confiança. Isso é verificação.

A experiência concreta do eleitor: o que muda quando um sistema é construído desta forma

Vamos tornar isto físico. Imagine a experiência de votar num sistema concebido desde o início para verificabilidade pública.

Chega a uma secção de voto. As máquinas que executam a contagem são construídas com software de código aberto propriedade pública — o que significa que o código que totaliza o seu voto não é um segredo comercial. Qualquer pessoa pode lê-lo, compilá-lo e confirmar que a versão a executar hoje é a versão que foi inspecionada. O Voting Solutions for All People (VSAP) do Condado de Los Angeles — o primeiro sistema de totalização de votos de código aberto e propriedade pública certificado na Califórnia, certificado pelo Secretário de Estado em 21 de agosto de 2018 — tomou precisamente este passo: o condado estabeleceu um grupo de trabalho de código aberto para que especialistas independentes pudessem inspecionar o que estava a executar, não apenas aceitar a palavra do fornecedor.

Marca o seu boletim de voto. Num sistema bem concebido, o artefato que marca é o artefato que fica contado. Não um código QR que apenas uma máquina consegue ler — um tribunal federal na Geórgia considerou em 2020 que os dispositivos de marcação de boletim de voto da Geórgia dependiam de um código de barras QR para a totalização de votos que o eleitor não consegue ler e verificar, o que significa que o papel físico não era realmente a coisa que estava a ser contada. Num sistema verificável, o que marca e o que é digitalizado são a mesma coisa legível por humanos.

Deposita o seu boletim de voto numa caixa lacrada com evidência de violação. O número do lacre é registado. Pode anotá-lo.

A sua secção conta os seus boletins de voto. O resultado — não apenas o vencedor, mas o resumo completo ao nível da secção, em formato legível por máquina que qualquer pessoa pode descarregar — é publicado no momento em que fica final. Não agregado para cima num total de condado que aparece horas depois sem suporte detalhado. Os números da sua secção, ali, descarregáveis, reconciliáveis por qualquer folha de cálculo.

Após a eleição, uma auditoria independente extrai uma amostra estatisticamente determinada de boletins de voto físicos e verifica-os contra a contagem da máquina. Não porque se assuma fraude, mas porque é assim que confirma um resultado em vez de apenas anunciar um. O Colorado tornou-se o primeiro estado a executar uma auditoria de risco limitado em todo o estado em 2017 — um método que dimensiona a verificação manual à margem da eleição, dando um nível de confiança estatística definido, não uma verificação de percentagem fixa que prova quase nada numa eleição cerrada.

Em cada etapa, a cadeia de custódia é documentada e pública: quem lacrou a caixa, quem a transportou, quem a abriu, quem testemunhou. O Tribunal Constitucional da Áustria anulou uma eleição presidencial em 2016 — não porque fraude fosse provada, mas porque envelopes de votos por correio foram abertos e votos contados por pessoas não autorizadas sem as testemunhas necessárias, em números que excedem a margem vencedora. A cadeia de custódia falhou, e quando falha, um resultado não pode ser confiado mesmo que acabe por estar correto.

O número que pode verificar pessoalmente

Eis a versão de noite eleitoral que a verificabilidade torna possível.

A sua secção encerra às 20h. Até às 20h45, a fita de contagem manual do scanner óptico é colocada na parede da secção de voto, tal como muitas jurisdições já exigem. Alguns minutos depois — ou essa mesma noite — o resultado da secção é publicado online num ficheiro descarregável.

Vai para casa. Abre um navegador. Acessa o ficheiro de resultados ao nível da secção. Encontra a sua secção. Verifica os números contra o que viu afixado na secção de voto.

Correspondem.

Agora verifica todas as secções do seu condado. Soma-as. Obtém o total do condado. Verifica-o contra o total publicado do condado.

Corresponde.

Qualquer pessoa no país pode fazer isto simultaneamente. Jornalistas. Académicos. Contabilistas reformados aleatórios. Voluntários de partidos políticos. Um resultado que ninguém consegue alterar privadamente porque milhares de pessoas estão a observar a aritmética de fora é fundamentalmente diferente de um resultado que lhe pedem para confiar.

A Comissão de Assistência Eleitoral dos E.U.A. já exorta os funcionários a disponibilizarem resultados descarregáveis em formatos comuns — .csv, .xml — e a indicarem quais os tipos de boletim que cada relatório inclui. Idaho publica resultados ao nível da secção com dados brutos descarregáveis. Estes são os blocos de construção. A arquitetura não é ficção científica.

O que o código aberto realmente lhe compra — e o que não compra

O VSAP do Condado de Los Angeles vale a pena considerar por um momento, porque demonstra tanto o poder como os limites do software de código aberto nas eleições.

A propriedade pública do código-fonte significa que o software contando os votos pode ser inspecionado por especialistas independentes. Nenhuma proteção de segredo comercial. Nenhum "confie no fornecedor". Quando o sistema de votação proprietário do Condado de Coffee, na Geórgia, foi copiado e vazado em janeiro de 2021 — uma equipa de perícias saiu com o Election Management System, poll pads, dispositivos de marcação de boletim e o software Dominion de todo o estado da Geórgia — o episódio mostrou exatamente como é frágil o sigilo como estratégia de segurança. Segredos vazam. Código aberto não precisa de ser mantido em segredo; precisa de ser correto.

Mas código aberto sozinho não é suficiente. O sistema de votação pela internet da Swiss Post teve o seu código-fonte publicado em 2019. Investigadores independentes Sarah Jamie Lewis, Olivier Pereira e Vanessa Teague descobriram que a prova de embaralhamento dependia de um esquema de compromisso de alçapão — o que significa que uma autoridade que conhecesse os valores do alçapão podia gerar uma prova que passava verificação enquanto realmente tinha alterado votos. O código era público. A falha ainda estava lá. Autoridades suíças suspenderam o sistema.

Código aberto é necessário. Não é suficiente. O código que executa no dia da eleição também tem que ser o código que foi inspecionado — o que requer compilações reproduzíveis, controlos de cadeia de custódia para o software compilado, e confirmação independente de que o que está na máquina corresponde ao que está no repositório.

E além do software: a cadeia de custódia física para cada boletim de voto, a independência dos auditores, a granularidade pública de resultados, e a existência de um registo duradouro de papel que a auditoria possa verificar contra — tudo isto é necessário. Deixe um de fora, e os pedaços restantes não se somam a verificabilidade.

As partes que o eleitor ainda não consegue verificar hoje

É aqui que a honestidade intelectual nos exige que paremos de descrever o possível e comecemos a nomear a lacuna.

Mesmo com código aberto, resultados públicos ao nível da secção, boletins de voto em papel e auditorias de risco limitado, a maioria dos eleitores na maioria das eleições hoje não consegue verificar independentemente o seguinte:

Que o software a executar no dia da eleição é o software que foi inspecionado. Compilações reproduzíveis — o processo técnico de confirmar que um programa compilado corresponde ao código-fonte inspecionado — ainda não é prática padrão na administração eleitoral em nenhuma parte dos E.U.A.

Que o boletim de voto em papel que marcou foi o boletim de voto que entrou na contagem. Uma auditoria de risco limitado verifica uma amostra estatística. A contagem manual de aproximadamente cinco milhões de boletins presidenciais da Geórgia em 2020 — 41.881 lotes em menos de seis dias — confirmou o total da máquina a menos de um décimo de um por cento. Isso é impressionante. Mas a auditoria pericial de Windham, New Hampshire em 2021 descobriu que uma linha de dobra e alguma poeira numa lente do scanner tinham contado mal centenas de boletins validamente marcados, sem fraude, sem malware, e ninguém conseguindo detectar até depois. O erro foi apenas recuperável porque o papel existia e uma contagem manual conseguia recuperar a intenção do eleitor. A auditoria funcionou — mas necessitou de alguém a ordená-la. Na maioria das eleições, ninguém o faz.

Que resultados ao nível da secção são publicados prontamente em formato legível por máquina. Muitas jurisdições ainda não fazem isto. O EAC recomenda-o. Alguns estados fazem-no. A maioria não, ou fá-lo dias depois, ou publica formatos que requerem ferramentas especializadas para analisar.

Que a auditoria é independente. Uma auditoria executada pelos mesmos funcionários que executaram a eleição, verificando o seu próprio trabalho, sem terceira parte independente a verificar o processo, é uma garantia — não uma prova. O Tribunal Constitucional da Alemanha foi claro: se apenas um perito designado pela autoridade consegue verificar a contagem, não é uma eleição pública em qualquer sentido constitucional significativo.

O que tornaria verificável por qualquer pessoa — agora mesmo

A lista não é longa. Nenhuma requer tecnologia nova que não exista.

Software de código aberto propriedade pública, compilado reproduzivelmente. Para que o código contando votos seja o código que foi inspecionado, verificável por qualquer pessoa com um compilador.

Boletins de voto marcados à mão em papel como o artefato de registo. Não um código QR. A coisa que o eleitor toca é a coisa que fica contada — e consegue ser recontada, à mão, por qualquer pessoa que seja autorizada a observar.

Resultados ao nível da secção publicados na noite da eleição em formatos legíveis por máquina. Cada secção. Cada tipo de boletim. Descarregáveis. Reconciliáveis. Para que o total do condado seja uma soma que qualquer pessoa consegua verificar independentemente.

Auditorias de risco limitado obrigatórias e independentes antes da certificação. Dimensionadas à margem. Executadas por auditores que não são empregados pela autoridade a ser auditada. Com resultados publicados na íntegra.

Uma cadeia de custódia documentada e pública para cada boletim de voto e cada cartão de memória — da secção de voto à apuração ao arquivo — para que a evidência física possa ser rastreada, e qualquer rutura na cadeia seja imediatamente visível.

Testes adversariais públicos institucionalizados do software e sistemas, num ciclo regular antes de cada eleição. Não porque a autoridade seja desonesta. Porque um convite para quebrar o sistema é a única forma de provar que não foi quebrado.

O Brasil executa o teste. Los Angeles abriu o código. O Colorado construiu a auditoria. Nenhum deles fez tudo junto.

Um sistema de votação que consegue verificar não é um sistema em que confia porque um oficial o disse. É um sistema cuja aritmética consegue verificar pessoalmente, agora mesmo, com uma folha de cálculo e um descarregamento público.

Esse sistema existe em pedaços. Ainda não existe completo. Os pedaços não são classificados. Nem são caros. O que falta é a vontade política para juntá-los — e a procura pública para insistir nisto.

Veja como esta lacuna é comum entre países →

Leia a versão de 2 minutos do problema de verificabilidade →

Explore a base de dados completa de lacunas →

Fontes

Ver todos os artigosExplorar as lacunas