← Todos os artigos

Por que um registo de papel não é suficiente por si só

Um professor de Princeton ligou uma máquina de votação real ao seu banco de laboratório em 2006 e provou que ela podia roubar uma eleição sem deixar uma única impressão rastreável — e o papel ainda não a teria salvado.

Levou Ariel Feldman, J. Alex Halderman e Edward Felten cerca de um minuto.

Um minuto de acesso físico a uma verdadeira máquina de votação por ecrã táctil Diebold AccuVote-TS — do tipo que contabilizava milhões de votos americanos em meados dos anos 2000 — e os investigadores de Princeton haviam instalado código malicioso que podia redistribuir silenciosamente votos entre candidatos. O código alterou cada contador interno, registo e documento para manter a consistência interna. Não deixou impressão nenhuma. Podia até espalhar-se de máquina em máquina automaticamente, da forma como uma constipação se propaga num escritório, durante as rotinas ordinárias de configuração pré-eleição.

Publicaram as suas descobertas em 2006. As máquinas ainda estavam em uso.

Aqui está a parte que vos deveria deixar consternados: quando este tipo de manipulação foi levantado como preocupação, a segurança padrão era a de que estas máquinas seriam eventualmente substituídas por sistemas com um registo de papel. Problema resolvido, caso fechado.

Excepto que não é. Nem perto disso.

A mentira reconfortante que contamos sobre papel

Papel é bom. Um boletim físico que um eleitor marcou e verificou é genuinamente melhor do que um ecrã táctil sem papel. Ninguém sério disputa isso. A corrida do Condado de Sarasota, Flórida em 2006 terminou com 18.000 votos desaparecidos e uma margem de 369 — e como esses ecrãs tácteis não produziram registo de papel nenhum, havia literalmente nada independente para recontar. Papel teria sido melhor do que isso. Ponto final.

Mas aqui está o que o enquadramento "papel resolve" discretamente ignora: um registo de papel só protege uma eleição se alguém é obrigado a verificá-lo, e se essa verificação consegue realmente alterar o resultado certificado.

Essas duas condições — obrigatória e vinculativa — não são o padrão na maioria dos locais. São a excepção. E sem ambas, o papel sentado em sacos selados após a noite eleitoral é um adorno, não uma salvaguarda.

O que a máquina de Princeton realmente provou

Voltem àquele Diebold AccuVote-TS. Feldman, Halderman e Felten não estavam apenas a demonstrar uma vulnerabilidade teórica. Construíram um verdadeiro vírus de roubo de votos em hardware real. O ataque era indetetável por qualquer registo de auditoria interna porque o ataque controlava os registos de auditoria interna.

Agora imaginem que essa máquina também tinha impresso um registo de papel de cada voto conforme era registado — um chamado Voter Verified Paper Audit Trail, ou VVPAT. Teria isso travado o ataque?

Apenas se alguém comparasse o papel aos totais da máquina. Apenas se essa comparação fosse legalmente obrigatória, não opcional. Apenas se uma discrepância tivesse provocado uma investigação vinculativa em vez de um comunicado de imprensa. E apenas se a amostra de boletins de papel examinados fosse suficientemente grande para ter uma verdadeira oportunidade estatística de apanhar uma manipulação de corrida cerrada.

Na maioria dos estados que implementaram essas máquinas, nenhuma dessas condições foi cumprida. O papel teria sido impresso, ensacado, selado e trancado numa sala de armazenamento a menos que alguém processasse para o abrir. Um registo de papel que ninguém é obrigado a seguir é apenas reciclagem cara.

Esta é a lacuna que o estudo de Princeton realmente expôs — não meramente que uma máquina podia ser hackeada, mas que toda a arquitectura de verificação à sua volta era oca. A máquina era não-auditável por design, e os sistemas político e legal à sua volta não exigiam que fosse auditada.

A noite em que todo o sistema de votação do Condado de Coffee saiu pela porta

A 7 de janeiro de 2021 — o dia após o Congresso estar marcado para certificar a eleição presidencial — uma empresa de perícia informática foi deixada entrar no escritório de eleições do Condado de Coffee, Geórgia. O que eles copiaram não foram apenas um ou dois ficheiros.

Levaram o servidor do Election Management System. Tablets de votação. Dispositivos de marcação de boletins. O scanner. E o software de votação Dominion do estado da Geórgia.

Tudo. Um condado. Um dia.

O escritório do Secretário de Estado da Geórgia chamou-lhe acesso não autorizado que antigos funcionários do condado tinha permitido em violação da lei estadual. O episódio está documentado em depoimentos apresentados no caso federal Curling v. Raffensperger. Várias pessoas ligadas a isso mais tarde confessaram culpa relativamente a acusações relacionadas com o esforço mais amplo de reverter os resultados de 2020 da Geórgia.

Aqui está o que o episódio do Condado de Coffee torna visceralmente claro: o modelo de segurança que dizia "o software é proprietário e portanto seguro" morreu naquele escritório a 7 de janeiro. Sigilo não é uma arquitectura de segurança. Quando alguém com chaves vos deixa entrar pela porta, o segredo está fora — e neste caso, o software depois espalhou-se para além do Condado de Coffee inteiramente.

Mas aqui está a parte que se conecta directamente à questão do registo de papel: a Geórgia usa boletins de papel. Tem papel. Realizou uma contagem manual massiva de quase 5 milhões de boletins presidenciais em 2020. O papel existe.

A violação de Coffee County aconteceu mesmo assim — porque o papel protege a contagem, não o ambiente de software, e não a cadeia de custódia do sistema que gera e marca esses boletins em primeiro lugar. Se o vosso dispositivo de marcação de boletim foi comprometido, o papel que imprime pode fielmente registar o que o dispositivo comprometido lhe disse para imprimir. O papel é apenas tão digno de confiança quanto o processo que o criou — e esse processo vivia em servidores que acabavam de ser copiados e levados de um escritório de eleições num pequeno condado da Geórgia.

Quando a auditoria não tem permissão para importar

Vamos conceder que têm boletins de papel, honestamente marcados por eleitores que os verificaram antes de saírem da cabine. Ainda assim não estão protegidos a menos que a auditoria seja vinculativa.

É aqui que a lacuna da "auditoria não-vinculativa" se torna concreta. Vários estados e jurisdições aprovaram requisitos de auditoria pós-eleitoral que parecem rigorosos no papel — uma amostra aleatória de freguesias, uma contagem manual, uma comparação — mas não incluem nenhum mecanismo para a auditoria alterar o resultado certificado. A auditoria é reportada. Discrepâncias são anotadas. E então o resultado certificado permanece.

Pensem no que isso significa na prática. Se a vossa auditoria é legalmente não-vinculativa, então o que ela realmente oferece é uma forma para os funcionários dizerem "fizemos a auditoria" enquanto a auditoria não pode, em cenário nenhum, afectar o resultado da eleição. O acto de auditar torna-se um exercício de comunicação — um ritual que confere legitimidade sem fornecer responsabilidade.

Comparem isso com o que o Colorado construiu. A partir de 2017, o Colorado tornou-se o primeiro estado a completar uma auditoria de limitação de risco em todo o estado — um processo que dimensiona estatisticamente a verificação manual à margem da corrida. Corrida cerrada? Examinem mais boletins. Corrida desequilibrada? Menos boletins necessários. A característica chave: se a auditoria não confirmar o resultado reportado no nível de confiança necessário, continuam. Examinam mais papel. A matemática não vos deixa parar cedo e declarar que está feito.

É isto que "vinculativo" parece. A auditoria tem dentes porque controla se o resultado permanece.

Sem essa estrutura, papel é um objecto de conforto.

A lição dura do Antrim e os seus doze votos perdidos

Em dezembro de 2020, após o Condado de Antrim, Michigan publicar resultados oficiais selvagemente errados — resultados tão implausíveis para um condado lealmente republicano que foram apanhados quase imediatamente — uma auditoria manual completa foi conduzida. Cada boletim presidencial, manualmente. O Departamento de Estado de Michigan certificou o resultado.

Mas aqui está o número que tende a ser discretamente posto de lado nas manchetes celebratórias "auditoria confirmou": a contagem manual ainda diferia da tabulação de máquina por cerca de uma dúzia de votos de aproximadamente 15.700 registados.

Doze votos. Numa auditoria manual completa, cuidadosa, legalmente supervisionada.

Agora: no Condado de Antrim em 2020, doze votos não era um problema. A margem presidencial a nível de condado não era cerrada, e nenhuma corrida que importava foi decidida por uma dúzia de votos em Antrim. O erro era irrelevante para o resultado.

Mas pensem cuidadosamente sobre o que "irrelevante para o resultado" está a fazer naquela frase. É determinante. A contagem manual é apenas reconfortante porque a margem era suficientemente grande para que o erro da própria contagem manual não importasse. Se a verdadeira margem tivesse sido oito votos, a contagem manual — o padrão de ouro, a coisa que apresentamos como prova — não conseguia vos dizer quem ganhou. O próprio método usado para verificar o resultado é ele próprio incerto por aproximadamente o mesmo número de votos que a corrida a ser decidida.

A conta da FactCheck.org do Antrim correctamente se concentra em debunking as teorias de conspiração — não há evidência de hacking ou manipulação — mas a discrepância de doze votos sussurra algo que a manchete reconfortante não diz: mesmo as contagens manuais honestas e bem executadas têm erro irredutível. Sempre terão. Os boletins têm marcas ambíguas. Os contadores cometem erros. A adjudicação envolve chamadas de julgamento que duas pessoas diferentes decidiriam diferentemente.

"A auditoria confirmou" é uma segurança. Numa corrida decidida por um punhado de votos, usando um método que é ele próprio incerto por um punhado de votos, não pode ser prova.

O que realmente tornaria isto verificável

Aqui está a versão honesta do que uma verdadeira arquitectura de verificação requer. Não confiança — verificabilidade.

Primeiro: papel que os eleitores realmente verificaram. Não papel impresso por uma máquina e nunca examinado pelo eleitor, mas um boletim ou registo de papel que o eleitor leu e confirmou antes de ser registado. Esta é a camada fundacional em que tudo o resto depende.

Segundo: auditorias que são obrigatórias por lei, não opcionais. Se a auditoria apenas acontece quando um candidato a solicita, ou apenas quando uma corrida é suficientemente cerrada para um candidato conseguir pagar as taxas legais para exigir uma, então na maioria das eleições, na maioria dos anos, na maioria das jurisdições, não há auditoria. O papel fica em armazenamento até ser destruído.

Terceiro: auditorias que são dimensionadas estatisticamente à margem. Uma verificação spot de percentagem fixa — "observámos 3% das freguesias" — fornece evidência muito fraca numa corrida cerrada. Uma auditoria de limitação de risco, dimensionada à margem, fornece confiança estatística definida. Há uma diferença significativa entre "verificámos algumas coisas" e "há 97% de probabilidade de o vencedor reportado ter realmente ganho."

Quarto: auditorias que conseguem alterar o resultado. Se a auditoria encontra uma discrepância e a lei diz "anotem e certifiquem mesmo assim," têm um registo de papel e têm uma auditoria e têm nada. A corrente é apenas tão forte quanto o seu elo mais fraco, e uma auditoria não-vinculativa é um elo quebrado.

Quinto — e é aqui que a verificabilidade criptográfica entra na imagem — a verificação não deveria depender inteiramente de confiar nos humanos a executar a verificação. Os investigadores de Princeton mostraram que uma máquina consegue manipular os seus próprios registos. Coffee County mostrou que software proprietário consegue ser roubado, espalhado e permanecer escondido dentro de sistemas caixa-preta durante meses. A contagem manual em Antrim mostrou que contadores humanos introduzem os seus próprios erros.

A saída deste labirinto não é encontrar um funcionário mais digno de confiança. É construir sistemas onde o público — qualquer membro do público, sem acesso especial — consegue independentemente verificar que o seu voto foi incluído, inalterado, na contagem final. É isto que a votação verificável ponta a ponta e as auditorias criptográficas de rastreio são concebidas para fazer. Não para substituir papel, mas para tornar a verificação verdadeiramente independente das pessoas que executam a eleição.

A pergunta que vos deveria manter acordados à noite

Após cada eleição, funcionários divulgam comunicados confirmando que auditorias foram conduzidas e resultados foram certificados. A maioria desses comunicados é provavelmente precisa. As pessoas que executam eleições na maioria dos locais são funcionários públicos conscienciosos a fazer trabalho difícil e mal pago.

Mas "o Secretário de Estado diz que confirmou" é uma reclamação. Não é verificação. Toda a arquitectura da legitimidade democrática repousa na possibilidade de que o funcionário que executa a eleição podia estar errado — ou, no pior caso, podia não ser neutro. Essa possibilidade não é paranóia; é a premissa que torna as verificações independentes necessárias em primeiro lugar.

Um registo de papel que ninguém é obrigado a verificar não consegue apanhar um ataque de software como aquele que Princeton demonstrou. Não consegue apanhar o que aconteceu em Coffee County. Não consegue resolver uma corrida decidida por menos votos do que o próprio erro de margem da contagem manual.

O que não conseguem verificar, apenas conseguem confiar. E confiança não é uma arquitectura de segurança.

O papel naqueles sacos selados após a noite eleitoral é necessário. Não é suficiente. A lacuna entre essas duas palavras é onde a maioria das eleições americanas actualmente vivem — e é uma lacuna que lei de auditoria mais forte, rigor estatístico e sistemas verificáveis criptograficamente conseguiam fechar.

A maioria dos locais ainda não a fechou.

Vejam como é comum a lacuna da 'auditoria não-vinculativa' e 'sem papel para recontar' é em jurisdições — ou leiam a versão de dois minutos sobre por que papel só não é suficiente. Se querem aprofundar o que uma auditoria de limitação de risco realmente prova (e não prova), mapeámos as lacunas de verificação central aqui.

Fontes

Ver todos os artigosExplorar as lacunas