Nada bloqueia o software antes do dia da eleição
Mesmo que o software de votação tenha sido verificado semanas antes, na maioria dos lugares nada obriga a máquina a provar — no dia da eleição — que ainda está a executar exatamente essa mesma versão verificada. Por isso poderia ser silenciosamente trocada no último minuto.
Vídeo explicativo em breve
Um walkthrough de 60 segundos, em linguagem clara, desta lacuna.
O que realmente aconteceu
Quando Washington, D.C. realizou um teste público de um sistema de votação pela internet em 2010, a equipa da Universidade de Michigan de J. Alex Halderman assumiu o controlo quase total do servidor dentro de 36 horas — conseguindo alterar votos — e o projeto piloto foi descontinuado. É um lembrete vívido de que um sistema 'revista' num dado momento pode comportar-se muito diferentemente uma vez que está realmente em execução.
Como está hoje
Este projeto piloto de votação pela internet de 2010 é uma demonstração do princípio, não um sistema em uso atualmente. O que é atual é a falha em si: a maioria das jurisdições hoje ainda não exige que uma máquina prove, no dia da eleição, que está a executar exatamente o software que foi revista — que é o que a figura acima mede na lei atual.
Verificado uma vez não é verificado no dia da eleição
Imagine um chef cuja cozinha passa na inspeção numa segunda-feira. Depois ninguém volta a olhar antes de cozinhar o seu jantar no sábado. A inspeção foi real — mas não lhe diz o que aconteceu entretanto.
O software de votação é muitas vezes assim. Pode ser examinado e aprovado antes de uma eleição. Mas na maioria dos lugares, nada obriga a máquina a provar, no dia da eleição, que ainda está a executar exatamente essa versão aprovada. A janela entre "revista" e "em execução" fica desprotegida.
Porque é que isto importa
Essa falha é onde uma troca de última hora poderia passar despercebida. A solução é um compromisso pré-eleitoral: uma impressão digital criptográfica do software aprovado, publicada antecipadamente, que a máquina tem de corresponder quando inicia.
Como TrustVoting fecha a falha
Cada máquina prova no arranque que está a executar exatamente a compilação impressa digitalmente e aprovada — e essa prova é pública, para que qualquer pessoa possa confirmar que o software no dia é o software que foi revista.
Como o TrustVoting a fecha
TrustVoting digitaliza criptograficamente o software aprovado e exige que a máquina prove, no arranque no dia da eleição, que está a executar exatamente essa versão — um compromisso pré-eleitoral público que qualquer pessoa pode verificar.