A segurança da votação eletrônica

O Supremo Tribunal Federal (STF) decidiu ontem, por oito votos contra dois, que não haverá voto impresso nas eleições deste ano.

A decisão encerra a contratação de impressoras para 5% das urnas, ao custo estimado de R$ 57 milhões, e o projeto de universalizar o voto impresso até a eleição municipal de 2028, orçado em torno de R$ 2 bilhões.

Mesmo os ministros que votaram a favor da manutenção do voto impresso, Gilmar Mendes e Dias Toffoli, não questionaram a lisura da votação eletrônica. Para eles, a decisão deveria ser tomada pelo Congresso Nacional, que aprovou em 2015 a impressão nas urnas.

Como toda questão de fundo essencialmente técnico com impacto político, a impressão do voto se tornou objeto de debates tão apaixonados quanto desinformados. A discussão é contaminada por ignorância técnica, por reverência à tecnologia – ou pelas duas. Mistura com frequência duas questões distintas:

É possível fraudar as urnas ou a eleição? Em que medida? A que custo? Com que impacto no resultado?
Em caso afirmativo, o voto impresso resolveria o problema? Em que medida? A que custo?
É perfeitamente possível que a resposta seja “sim” à primeira questão e “não” à segunda. Ou “sim” a ambas. Ou que o custo da fraude seja proibitivo e a torne inviável – um “não” qualificado à primeira. Ou que o custo de impressão não compense, dada a natureza das fraudes possíveis – um “não” qualificado à segunda.

Evidente que nem os ministros do STF nem toda a controvérsia que cerca a impressão do voto ajudam a responder nenhuma das duas perguntas. O STF, em sua ignorância crônica sobre tecnologia digital, simplesmente não se debruçou sobre a primeira questão em detalhes e acatou a opinião do Tribunal Superior Eleitoral (TSE), parte interessada no caso.

Quanto à segunda, consideraram, ainda que em caráter provisório, que a impressão pode criar outros problemas ao permitir a violação do sigilo pelos mesários caso os sistemas apresentem problemas técnicos. Não se apresentaram evidências disso, nem se avaliou a extensão em que as falhas poderiam ocorrer – até porque só seria possível fazer isso depois que o sistema estivesse contratado e em funcionamento.

Na prática, o STF driblou ambas as questões e perdeu uma oportunidade de trazer as luzes da razão a um debate conduzido por um misto de cegueira passional e oportunismo político. Será confortável aos perdedores nas eleições de outubro atribuir a responsabilidade pela derrota à falta de registro físico ou a um sistema esotérico que são simplesmente incapazes de compreender.

Enquanto persistirem segredos e mistérios técnicos, sempre haverá margem para exploração política. Não é possível, sem mergulhar nos detalhes, responder às duas questões. Mesmo depois disso, é preciso reconhecer que as respostas ainda deixam a desejar.

O TSE realiza testes periódicos, em que especialistas em segurança digital são convidados a violar as urnas eletrônicas. Como a avaliação é feita por profissionais de computação, não da área de segurança, não há análise de custos ou de probabilidades de ataque ao sistema, nem das medidas para mitigar os riscos (como o voto impresso).

Isso não significa que os testes, realizados em 2009, 2012, 2016 e 2017, sejam desprovidos de valor. Na última edição, três grupos, somando 14 integrantes, executaram dez planos de ataque às urnas, obtiveram sucesso em cinco deles – e sucesso parcial num sexto.

“Conseguimos alterar mensagens de texto exibidas ao eleitor na urna para fazer propaganda a um certo candidato. Também fizemos progresso na direção de desviar voto de um candidato para outro, mas não tivemos tempo de testar esse tipo de ataque”, afirmou ao Senado Diego Aranha, do Instituto de Ciência da Computação da Unicamp, responsável pelo grupo que obteve sucesso em quatro tipos dsitintos de ataque.

A maior parte envolve vulnerabilidades no software, mas não resulta em métodos praticáveis para violar as eleições em larga escala. Num deles, para violar o sigilo, a urna teria de ser desligada a cada voto, e um cartão de memória teria de ser retirado e ligado a outro computador.

“Em 20 anos de urna eletrônica, nenhuma fraude foi detectada durante o processo de votação”, diz o TSE em comunicado. “Acoplar qualquer aparelho externo à urna, tirar ou alterar cartões de memória exige rompimento dos lacres de segurança, evidenciando fraude.” Fora isso, seria preciso contar com a cumplicidade de mesários ou eleitores.

Mas os testes do TSE não respondem à primeira questão de modo satisfatório. Em 2012, Aranha conseguiu extrair a ordem dos votos de uma urna e, embora a falha tenha sido corrigida, outras nem puderam ser exploradas. Fraudes também podem ocorrer sem sofisticação técnica. É possível mesários votarem no lugar de eleitores ausentes. Não se conhece a extensão desse problema.

O TSE costuma argumentar que, como as urnas não são interligadas em rede, é ínfima a probabilidade de fraude em larga escala. Mas promove testes apenas das urnas, não no sistema de apuração ou de soma dos votos. É esse o único momento em que há comunicação em rede privada. Violá-la permitiria fraudes de dimensões preocupantes.



Quanto à segunda questão, não há nenhum elemento capaz de demonstrar que o voto impresso seria uma solução para fraudes que, até o momento, jamais foram comprovadas numa extensão que justificasse o investimento bilionário. Por enquanto, a impressão parece mais um fetiche que uma necessidade premente.

A materialidade do voto faria, contudo, desaparecer boa parte das suspeitas, ainda que infundadas. Permitiria auditorias posteriores, mas não eliminaria as limitações técnicas descobertas a cada nova eleição, além de abrir brechas a um sem-número de novas fraudes.

Seria, na melhor das hipóteses, um passo na corrida armamentista do universo da segurança eleitoral. Uma corrida em que, dada a insuficiência de informações disponíveis, só nos resta fazer como os ministros do STF e manter a confiança no TSE.








Fonte: G1