O dilema da votação eletrônica

Recentemente tivemos eleições nos Estados Unidos e também do Brasil. Enquanto nos EUA a votação foi feita utilizando o papel como principal meio para registrar o desejo do povo, no Brasil, há mais de 20 anos, usamos as urnas eletrônicas. Nos EUA, a apuração demorou dias e ainda segue em andamento em alguns estados. No Brasil, mesmo com um atraso de algumas horas, o resultado saiu praticamente no mesmo dia.

Qual o melhor sistema de votação para garantir que o voto seja registrado de acordo com a vontade do eleitor?

Em um recente artigo publicado por pesquisadores do MIT - Massachusetts Institute of Technology¹, foi analisado o uso de uma solução para votação online, via Internet, usando a tecnologia de blockchain². Eles argumentam que as eleições devem ser baseadas em evidências, ou seja, as eleições devem não somente definir o vencedor, mas também convencer o eleitorado com evidências da vitória. Para isso, os pesquisadores elencaram cinco requisitos mínimos e não suficientes para uma eleição segura baseada em evidências: (I) garantia de voto secreto; (II) independência de software (ou seja, uma mudança não detectada ou erro no software não pode causar uma mudança indetectável no resultado da eleição); (III) possibilidade de verificação do registro do voto pelo eleitor (o eleitor deve ser capaz de certificar-se que sua vontade foi corretamente registrada no meio de registro do voto); (IV) contestabilidade (fornecer evidências publicamente verificáveis ??de que o resultado da eleição não é confiável, sempre que um erro é detectado) e (V) auditoria (certificar-se de que as evidências são confiáveis ??e consistentes para validação do resultado da eleição).

Pois bem, os pesquisadores do MIT concluem que o uso de cédulas de papel, sejam em votação presencial ou as enviadas pelo correio, são menos suscetíveis a ataques em grande escala em comparação com a votação online, onde a exploração de uma única vulnerabilidade pode afetar todas as cédulas de uma só vez. E que o uso da tecnologia de blockchain aumentaria ainda mais a vulnerabilidade, uma vez que o requisito de independência de software seria o mais afetado. Ou seja, uma falha ou um ataque poderia alterar o voto de um ou muitos eleitores, de forma indetectável, alterando o resultado da eleição. Com a cédula em papel, o eleitor teria a evidência física de que sua vontade foi corretamente registrada.

Trazendo para o sistema de votação brasileiro, que usa votação presencial em urnas eletrônicas, segundo o artigo dos pesquisadores do MIT, estaríamos em um dos piores cenários, votação eletrônica presencial. Contudo, isso não reflete a realidade do sistema de votação eletrônica do Brasil, pelas razões que discorrerei a seguir.

Inicialmente, cabe ponderar sobre a segurança das urnas eletrônicas brasileiras. O TSE organiza um evento chamado Teste Público de Segurança (TPS) desde 2009, um ano antes das eleições. No TPS, investigadores e especialistas verificam os mecanismos de segurança implementados no sistema de votação, com o objetivo de encontrar vulnerabilidades e sugerir correções. O último TPS foi realizado em 2019 e teve dez achados listados³. Após a realização do TPS, o TSE implantou melhorias e correções nos sistemas e foi feita nova avaliação pelos mesmos investigadores. O Relatório Final da Comissão Avaliadora confirmou que as alterações efetuadas pela equipe técnica do TSE "atenderam plenamente a melhoria dos quesitos de vulnerabilidade de segurança  apontados"⁴. Ademais, cabe destacar que a urna eletrônica em uso no Brasil trabalha sem conexão à Internet ou qualquer rede de computadores (off-line), praticamente eliminando a possibilidade de ataque externo durante a votação. O resultado de cada urna é transmitido por uma rede privada do TSE, de forma a minimizar qualquer risco inerente à rede mundial de computadores, como as falhas graves - ataques em maior escala, mais difíceis de detectar e de execução menos complexa - dos sistemas de votação online, citados pelos pesquisadores do MIT.

E será que a urna eletrônica brasileira cumpre os cinco requisitos mínimos para eleição segura baseada em evidências, listados pelos pesquisadores do MIT?

O primeiro requisito listado é a garantia de voto secreto. Para isso, a urna possui um software que embaralha a ordem de votação, evitando que se identifique em quem cada eleitor votou. Esse software teve uma falha identificada no TPS de 2012 e foi aperfeiçoado e corrigido, sendo testado novamente dos TPS seguintes, que comprovaram sua robustez e segurança⁵.

O segundo requisito é a independência de software, ou seja, um erro ou mudança não detectada no software não pode causar uma mudança indetectável no resultado da eleição. Aqui entra a lacração digital dos softwares da urna, com a geração de um hash⁶. A partir daí, qualquer alteração nos softwares instalados altera o hash e, consequentemente, permite a identificação de que o sistema pode ter sido comprometido. Se isso acontecer, a Justiça Eleitoral pode tomar as ações de contingência⁷ para que a eleição transcorra normalmente.

Em relação à possibilidade de verificação do registro do voto pelo eleitor, terceiro requisito, quando o eleitor digita o número do seu candidato é exibida a foto e o nome, para que ele possa verificar e confirmar. Além disso, cada voto é gravado em um arquivo chamado Registro Digital do Voto (RDV)⁸, de forma aleatório, assinado digitalmente pela urna. É com base no RDV que é emitida a zerésima no início da votação, confirmando que não há nenhum voto registrado na urna. Ao final da votação, o Boletim de Urna (BU) é gerado tendo como base o RDV, sendo o relatório com a apuração dos votos da seção. Desta forma, o RDV gera a evidência necessária para que a eleição possa ser auditada, se necessário, pois o voto é registrado exatamente como digitado pelo eleitor. Além disso, o RDV garante o sigilo do voto, pois cada voto é registrado no RDV de forma aleatório, embaralhada e não na sequência de votação dos eleitores. Cópias do RDV podem ser fornecidas aos partidos políticos e coligações, para que eles possam realizar verificações que considerarem pertinentes. Com isso, o RDV também endereça o quarto requisito, a contestabilidade do processo, pois há evidências que podem ser utilizadas para validar o resultado do pleito.

O quinto requisito seria a possibilidade de auditoria. Além da possibilidade de auditoria eletrônica, utilizando-se dos arquivos RDVs das urnas, os Tribunais Regionais Eleitorais (TREs) de cada Estado realizam um procedimento chamado de Auditoria de Funcionamento das Urnas Eletrônicas⁹ (Votação Paralela). Nesse processo, os TREs, no dia anterior à eleição, sorteiam algumas urnas já preparadas para a votação oficial para que seja feita uma votação paralela. As urnas sorteadas são levadas para o TRE. No dia da eleição, cédulas de votação em papel preenchidas por representantes de partidos e entidades são registrados na urna eletrônica e em um sistema à parte, em um ambiente monitorado por câmeras, com presença de auditoria independente e aberto ao público. Após a votação, é feita uma comparação entre o resultado da urna eletrônica e da votação em papel, certificando que a votação eletrônica é fidedigna.

Assim, diante do exposto, podemos concluir que a urna eletrônica utilizada no Brasil é um expoente caso de sucesso, que permite que os cidadãos possam exercer seu direito de voto com segurança e contribui para que o resultado seja conhecido com a rapidez e confiabilidade que só a tecnologia permite.

_________

*Fabio Correa Xavier é diretor do Departamento de Tecnologia da Informação do Tribunal de Contas do Estado de São Paulo. Mestre em Ciência da Computação (USP). MBA em Gestão Estratégica de Negócios (IBMEC). Pós-graduado em Gestão Pública e Responsabilidade Fiscal e em Projetos de Redes.