Urna eletrônica chega à 12ª eleição no país sob ataque inédito

Em seu 12º pleito no Brasil, a máquina de votar se vê envolvida num duelo entre os que defendem a segurança do equipamento e os que acreditam em fraude. No meio disso, está a discussão de volta para o voto impresso.

Nos últimos meses, o TSE (Tribunal Superior Eleitoral) garantiu reiteradamente que o sistema é devidamente protegido contra eventuais ataques e tentativas de corrupção do resultado da votação. Entre os argumentos, cita que, em 22 anos de urna eletrônica, nunca foi detectada fraude.

São ainda elencadas medidas de defesa adotadas. Entre as barreiras estão a biometria, uma votação paralela que testa urnas aleatórias, criptografia, os testes públicos de segurança da urna e a ausência de conexão com a internet —o que eliminaria as chances de uma ofensiva remota.

O código-fonte (conjunto de letras e símbolos que dizem ao sistema como ele deve funcionar) dos equipamentos fica disponível por seis meses, antes da eleição, para inspeção de partidos e de especialistas.

A gravação desse código em cartões e a instalação deles nas máquinas de votar são feitas em cerimônias públicas, que podem ser acompanhadas por qualquer cidadão.

No processo, as urnas são lacradas. Com isso, uma adulteração —seja acoplando um aparelho externo a ela ou modificando seus cartões de memória— não poderia ser feita sem a violação do lacre, o que revelaria a tentativa de fraude. Nesse caso, um juiz eleitoral analisa a situação e pode até anular os votos da seção.

A lista de medidas contra eventuais ataques, que tem outros itens, não impediu o presidenciável Jair Bolsonaro (PSL) de, em 16 de setembro, divulgar vídeo em que colocava em dúvida a lisura do processo eleitoral.

Na reforma da legislação eleitoral de 2015, Bolsonaro propôs uma emenda que instituiu a impressão do voto na eleição. Em junho, a emenda foi suspensa pelo Supremo Tribunal Federal e não estará em vigor nas eleições, inclusive em 2018, pelo menos até ter o mérito julgado pela corte.

O candidato, seus apoiadores e alguns especialistas em segurança digital defendem essa medida como forma de auditar os resultados e garantir mais transparência ao processo.

Funcionaria assim: além de registrar o voto no sistema, a urna imprimiria e exibiria para o eleitor checar, por trás de uma proteção, um papel com a informação coletada. Esse registro ficaria armazenado para posterior auditoria —a pessoa não o levaria para casa.

Se os votos guardados nos papéis batessem com os do registro digital, ou seja, os anotados pelo sistema da máquina, ótimo. Caso contrário, seria um indicativo de fraude.

Para o TSE, o processo atual é suficientemente seguro. A impressão, diz, acabaria por torná-lo mais vulnerável, por ser mais suscetível a fraudes. O tribunal cita ainda a possibilidade de complicações como problemas na impressora e o fato de o canhoto não ser acessível a deficientes visuais.

As eleições podem ser auditadas a pedido do Ministério Público, da OAB (Ordem dos Advogados do Brasil) ou dos partidos. Em 2014, o PSDB pediu uma auditoria nas urnas após o então candidato Aécio Neves ser derrotado no pleito presidencial. Não foram encontradas fraudes.

Alguns dispositivos de segurança da urna

• Dispositivos de segurança
• Uso de criptografia
• Código certifica que o sistema da urna é o gerado pelo TSE e não foi modificado
• Somente o sistema do TSE pode funcionar na urna
• O sistema da urna fica disponível para consulta pública por seis meses
• Em Testes Públicos de Segurança, especialistas tentam hackear o equipamento e apresentam as falhas encontradas para o TSE corrigir
• Urnas selecionadas por sorteio são retiradas do local de votação e participam de uma votação paralela, para fins de validação
• Sistema biométrico ajuda a confirmar identidade do eleitor
• “Log”, espécie de caixa-preta, registra tudo o que acontece na urna
• Impressão da zerésima e boletim de urna
• Processo não é conectado à internet
• Lacres são colocados na urna para impedir que dispositivos externos (como um pendrive) sejam inseridos

EVOLUÇÃO

Quando se fala em garantir a segurança de um sistema informatizado, o cenário é de uma constante relação de gato e rato entre possíveis atacantes e quem quer garantir a defesa. E é consenso entre quem trabalha no meio que nenhum sistema é 100% seguro.

A tecnologia evolui para ambos os lados. Se não houver um esforço dos defensores para manter tudo atualizado, a vida do criminoso fica muito mais fácil.

Para o secretário de tecnologia da informação do TSE, Giuseppe Janino, a evolução constante a que a urna está submetida ajuda a garantir a segurança do pleito.

“Seria muito fácil [hoje] atacar a urna de 1996. Nosso desafio é estar sempre na frente”, afirma.

Com o passar dos anos, por exemplo, o sistema operacional foi trocado. Inicialmente, ela usava o VirtuOS, passou para Windows em 2002 e para Linux em 2009. A vantagem do último é que ele é de “licença livre”, o que permite ao TSE fazer uma adaptação completa –se livrar de recursos que permitem conexão com a internet, por exemplo. Os dois primeiros, por pertencerem a empresas privadas, dependiam de acordo com as companhias para modificações.

Nesse amadurecimento, foi necessária a participação do público externo para apontar falhas e sugerir melhorias.

Em 2000, um relatório de especialistas da Unicamp (Universidade Estadual de Campinas) ajudou a aprimorar a criptografia da urna.

Desde 2009 o TSE promove os chamados TPS  (Testes Públicos de Segurança), eventos em que equipes de profissionais de segurança da informação tentam encontrar defeitos nas defesas da urna e depois as relatam para correção.

Entre os problemas já detectados no sistema durante esses testes, ainda em 2009, estava a possibilidade de identificação dos botões apertados por meio de ondas eletromagnéticas emitidas pelo teclado. Em 2012, especialistas conseguiram desembaralhar os votos armazenados no sistema e, com isso, potencialmente descobrir quem votou em quem.

O dr. Diego de Freitas Aranha, professor assistente da Universidade de Aarhus, na Dinamarca, participa dos TPS desde 2012 e é uma das pessoas que ajudaram nesse processo de evolução —além de ser um dos principais nomes na defesa do voto impresso.

No último TPS, em 2017, ele liderou uma equipe formada por quatro especialistas e encontrou uma brecha para instalar um sistema falso na urna eletrônica e, assim, quebrar o sigilo do voto, interferir com o armazenamento e alterar mensagens exibidas na tela para o leitor.

Dados sobre a urna eletrônica

• Foi usada pela primeira vez no Brasil em 1996
• A eleição de 2018 contará com 556.628 unidades
• 147,3 milhões de eleitores estão aptos a votar em 2018
• 87,4 milhões de eleitores (59%) têm biometria cadastrada
• Em média, uma urna é usada por até 12 anos

Segundo Aranha, as vulnerabilidades da urna oferecem risco ao processo eleitoral, mas isso não significa que necessariamente se tornem fraude na prática. “Para isso acontecer, vale a lógica econômica do custo/benefício para o fraudador, que torço para ser mais benéfica na tradicional compra de votos e mesários para votar por eleitores faltosos.”

Para se tornar um golpe na prática, a vulnerabilidade encontrada por Aranha dependeria da troca do conteúdo do cartão lido pela urna para instalar o sistema executado durante a votação. A peça deveria ser conectada a um computador preparado para alterar seu conteúdo, antes de ser instalada na urna eletrônica.

O TSE afirma que a falha apontada pela equipe de Aranha, bem como as apontadas por outros especialistas que participaram dos TPS nestas e em outras edições, já foram corrigidas.

O pesquisador, no entanto, não cessa as críticas, e diz que a solução adotada pelo Tribunal mitiga, mas não sana o problema. Elas continuariam vulneráveis a um ataque operado por técnicos do TSE.

Na parte física, a urna teve uma evolução mais sutil. Ela está em sua 12ª versão —cada uma delas conhecida pela sigla “UE” e o ano da licitação da máquina. As mudanças entre elas incluem, entre outros, trocas de processadores e memórias por opções mais modernas, tipo de chave usada para ligar e desligar e a forma de conectar a impressora.

Entre os 556 mil equipamentos que serão usados no pleito estão sete modelos diferentes da máquina, que tem vida útil de até 12 anos. Todos foram fabricados pela empresa americana Diebold, seguindo especificações técnicas do TSE. Eles compartilham do mesmo sistema e são parecidos entre si. O mais recente, UE2015, é o único que difere fisicamente dos demais por ser menor e mais leve.

O que é criptografia?
Técnica que codifica uma informação para só o emissor e o receptor poderem entender

O que são a zerésima e o boletim de urna?
Antes da votação, o mesário imprime a zerésima, papel que comprova que não há nenhum voto na urna. No fim da votação, é impresso o boletim de urna, que traz um balanço dos votos registrados no equipamento.

E se a urna falhar?
São adotados procedimentos de contingência. A urna ou peças dela podem ser substituídas ou a votação pode ser manual.

E se o lacre da urna for violado?
Juiz eleitoral analisa a situação e pode até anular os votos da seção eleitoral.

Como funciona a votação paralela?
Urnas são sorteadas na véspera e retiradas da seção eleitoral. Num processo monitorado por câmeras, auditores e fiscais de partidos, participantes revelam um voto a fiscais e registram na urna. No fim, o resultado da urna é comparado aos voto que foram revelados.

Fraude é possível?
Segundo o TSE, não há nenhum caso registrado. No último Teste Público de Segurança foram encontradas vulnerabilidades que poderiam possibilitar fraude. O TSE diz terem sido corrigidas, mas não a completo contento do especialista que identificou o problema.