Sou professor de Ciência da Computação da Universidade Federal do Rio de Janeiro (UFRJ), com atuação nas áreas de Criptografia e Segurança da Informação e um interesse particular no estudo dos chamados “Sistemas Eletrônicos de Votação” desenvolvidos ao redor do mundo.
Meu objetivo neste texto é discutir, de forma razoavelmente breve, alguns dos pontos que surgiram com maior frequência, tanto por parte de cidadãos quanto por parte de alguns jornalistas e mesmo de alguns políticos e autoridades eleitorais, nas discussões recentes com respeito à aprovação do chamado “voto impresso” no Brasil, após a derrubada do veto presidencial a este mecanismo por parte do Congresso Nacional em novembro de 2015.
A adoção do voto impresso não significa o abandono da Urna Eletrônica
Algumas pessoas parecem ter entendido, erroneamente, que a aprovação do projeto de lei referente ao voto impresso significa que o Brasil vai abandonar o uso da Urna Eletrônica e retornar ao voto pelo preenchimento de cédulas de papel.
Se este fosse realmente o caso, seria efetivamente uma péssima ideia. O sistema eletrônico de votação foi desenvolvido justamente porque a eleição com cédulas de papel tinha uma série de falhas e vulnerabilidades. Dentre as mais imediatas, podemos citar a possibilidade de apuração fraudulenta caso não houvesse fiscais isentos e independentes acompanhando o trabalho dos oficiais que leem os votos nas cédulas e que anotam os votos que são lidos.
O que o projeto de lei do voto impresso de fato propõe é a manutenção do uso da Urna Eletrônica com a adição de um mecanismo complementar que, após a seleção de um candidato por parte do eleitor na Urna Eletrônica, imprima uma tirinha de papel (semelhante a uma nota impressa num caixa de supermercado) para que o eleitor confira se o nome que consta no papel é o mesmo que ele selecionou na Urna Eletrônica. Se for, o eleitor confirma o voto, o que faz com que a tirinha de papel seja cortada pela máquina e caia dentro de uma urna (comum, de lona) acoplada ao mecanismo de impressão. Se não for, o eleitor solicita a correção do voto, o que faz com que uma marcação seja impressa anulando aquela tirinha e reiniciando o processo de seleção do candidato para o eleitor.
De acordo com o texto aprovado pelo Congresso, todo este processo de impressão, corte e depósito da tirinha na urna de lona devem ser realizados de forma totalmente automática pela Urna Eletrônica e seu mecanismo complementar de impressão. Desta forma, o eleitor apenas vê a tirinha impressa, mas não a toca nem a manipula em momento algum. O texto original do projeto de lei pode ser visto aqui.
Mas por que a impressão do voto nestes moldes é importante do ponto de vista da segurança do processo de votação?
A questão central é que, enquanto a mudança do sistema de cédulas de papel para o sistema eletrônico ajuda a combater uma série de vulnerabilidades, ela também introduz um novo conjunto de potenciais vulnerabilidades, como a possibilidade de programas maliciosos instalados clandestinamente na Urna Eletrônica (que, apesar da diferença de aparência, por dentro é igual a um computador comum como os que temos em casa) adulterarem a gravação dos votos na memória interna da Urna.
Isso não é uma deficiência intrínseca ao sistema eletrônico, trata-se de um fenômeno constante quando se analisa a evolução história dos sistemas de votação: todo novo sistema surge motivado pela necessidade de combater vulnerabilidades do sistema anterior, mas introduz consigo um novo conjunto de potenciais vulnerabilidades.
Dado que as potenciais vulnerabilidades do voto em papel são diferentes das potenciais vulnerabilidades do voto em Urna Eletrônica, um ataque malicioso com o objetivo de fraudar uma eleição com votação em papel deve ser elaborado de maneira bastante distinta do que um ataque malicioso para fraudar uma eleição com Urna Eletrônica.
Sendo assim, uma das formas mais simples e eficientes de minimizar as potenciais vulnerabilidades do nosso sistema de votação e tornar mais complexa e cara a elaboração de um ataque malicioso para fraudar o processo eleitoral é utilizar as duas metodologias de votação (papel e eletrônica) simultaneamente. Isto significa armazenar dois registros redundantes dos votos realizados pelos eleitores em mídias de natureza diferente: um registro eletrônico na memória interna da Urna Eletrônica e em um cartão de memória removível e um registro em papel realizado a partir da impressão padronizada dos votos por um mecanismo complementar da Urna Eletrônica e do seu depósito automatizado em uma urna comum de lona.
A ideia é que o registro em papel sirva para “vigiar” a integridade do registro eletrônico e vice-versa. Como os dois registros são feitos em mídias de natureza diferente, os processos necessários para fraudá-los também são diferentes. Assim, para fraudar uma eleição, seria necessário desenvolver uma fraude coordenada dos dois registros mantendo a coerência entre ambos, o que é uma tarefa consideravelmente complexa.
Se um agente malicioso conseguir colocar clandestinamente um programa na Urna Eletrônica de forma que ele altere a gravação dos votos na memória interna dela e também altere a impressão do comprovante em papel, de modo a manter a coerência entre os dois registros do voto, essa fraude poderá ser detectada pela ocorrência de reclamações por parte de um número alto de eleitores sobre a impressão sistemática de comprovantes errados. Já se o programa clandestino decidir alterar apenas a gravação dos votos na memória interna da Urna Eletrônica, sem adulterar o voto em papel para não despertar a suspeita do eleitor no momento em que ele realiza o voto, esta tentativa de fraude poderá ser descoberta ao se comparar o registro eletrônico com o registro em papel, já que neste caso os dois registros não estarão coerentes entre si.
Vemos então que a possibilidade de “vigia” mútua entre os dois registros dos votos só será efetivamente válida se ambos os registros forem analisados de alguma forma. É óbvio que não se pode contabilizar todos os votos registrados em papel, pois isto anularia a vantagem de realização da apuração dos votos pelo registro eletrônico: a grande velocidade e eficiência do processo de apuração. Entretanto, não se pode também ignorar completamente o registro em papel, pois neste caso é como se ele não existisse. A solução para fazer uma análise significativa dos votos em papel sem comprometer a eficiência do processo de apuração é realizar uma apuração parcial por amostragem aleatória nos votos em papel. Um percentual fixado de todas as seções eleitorais (digamos, 5% ou 10%) é sorteado aleatoriamente e, nestas seções, os votos em papel são apurados e o resultado é comparado com o resultado gerado pela Urna Eletrônica (registro eletrônico) daquela seção. Este, possivelmente, foi o maior ponto falho do novo projeto de lei: ele orienta a contagem dos votos em papel apenas no caso de recurso por algum partido político, mas ele não estabelece a obrigatoriedade de uma apuração por amostragem aleatória dos votos em papel. Assim, a menos que algum partido político se manifeste, a possibilidade de segurança extra oferecida pelo registro em papel não será efetivada.
O que temos então é que, caso os dois registros sejam efetivamente analisados, a segurança de um processo eleitoral que utiliza registro eletrônico e registro em papel será muito mais forte do que um processo que utiliza qualquer um dos dois isoladamente.
Algumas autoridades eleitorais brasileiras consideram que seria “desnecessário” acrescentar o registro complementar em papel, pois todas as operações internas realizadas pela Urna Eletrônica são registradas em um arquivo separado em sua memória. Assim, teoricamente, fraudes na urna poderiam ser detectadas pela análise deste arquivo de registro das operações. O problema nesta abordagem é que os dois registros, o dos votos e este complementar das operações da urna, são armazenados na mesma mídia: a memória interna da Urna Eletrônica. Assim, se um agente malicioso conseguir colocar clandestinamente um programa na Urna Eletrônica de forma que ele altere a gravação dos votos na memória interna dela, este mesmo programa clandestino poderá também alterar o registro de operações da urna, apagando os rastros da fraude. Vemos então que um ponto central para a robustez e segurança do sistema eletrônico de votação com registro complementar em papel é o fato de termos dois registros sendo feitos em mídias de natureza diferente.
O voto impresso não é um “recibo” que permita ao eleitor vender o seu voto
Conforme foi explicado na seção anterior deste texto, de acordo com o projeto de lei aprovado pelo Congresso, todo o processo de impressão, corte e depósito da tirinha na urna de lona deve ser realizado de forma totalmente automática pela Urna Eletrônica e seu mecanismo complementar de impressão. O voto impresso será visto pelo eleitor, para sua conferência, através de um vidro ou de um plástico transparente, o que significa que o eleitor apenas vê o comprovante impresso, mas não o toca nem o manipula em momento algum. De fato, está completamente explícito no texto do projeto de lei que o voto “será depositado, de forma automática e sem contato manual do eleitor, em local previamente lacrado”. O texto original do projeto de lei pode ser visto aqui.
Assim, fica claro, pela maneira como o processo de impressão é regulado pelo projeto de lei, que o eleitor não terá a possibilidade de levar consigo o voto impresso para fora da seção de maneira a utilizá-lo como moeda de troca para a venda do seu voto. Desta forma, os problemas relacionados a compra/venda de votos e voto de cabresto não são potencializados de nenhuma forma, em relação ao que temos no processo puramente eletrônico atual, pela adição do voto impresso ao processo eleitoral.
Concluímos também então que o voto impresso, da maneira como é descrito no projeto de lei, não compromete o sigilo do voto do eleitor.
“O voto impresso é fruto de uma mentalidade atrasada”, “O sistema eletrônico é elogiado internacionalmente”
A realidade contemporânea é diametralmente oposta às afirmações acima. A tendência mundial para países que usam sistemas eletrônicos de votação é a adoção do voto impresso como registro complementar ao registro eletrônico.
De fato, o Brasil é o único país do mundo que ainda utiliza um sistema de votação com registro puramente eletrônico. Se dividirmos os países do mundo em quatro grupos, os que não realizam eleições, os que realizam eleições com preenchimento de cédulas de papel, os que realizam eleições em um sistema eletrônico com registro complementar em papel (voto impresso) e os que realizam eleições em um sistema eletrônico sem nenhum registro complementar do voto, teremos apenas o Brasil neste último grupo.
Será mesmo que o mundo inteiro está errado e apenas nós estamos certos? Será que o mundo inteiro possui uma “mentalidade atrasada” e apenas nós somos a vanguarda?
Países como EUA, Venezuela e Índia (o país com o maior colégio eleitoral do mundo) utilizam sistemas eletrônicos de votação com voto impresso. O Brasil já realizou diversas tentativas de vender a sua Urna Eletrônica para outros países, mas nunca obteve sucesso. Isso se deve, ao menos em parte, ao fato de que já há consenso internacional, tanto por parte de governos quanto por partes de pesquisadores acadêmicos da área de Computação, de que o modelo com registro puramente eletrônico é um modelo ultrapassado, enquanto o modelo com voto impresso, mesmo sem ser perfeito (nenhum sistema é perfeito), é mais robusto e seguro.
“A Urna Eletrônica já oferece a biometria como segurança. Não é necessário o voto impresso.”
Uma discussão sobre a segurança do sistema de biometria das Urnas Eletrônicas está fora do escopo deste texto. Ainda assim, podemos questionar a afirmativa que inicia esta seção sob outro ponto de vista. A segurança oferecida por um sistema de biometria é de natureza distinta da segurança oferecida por um sistema de impressão de voto. Isto se deve ao fato de que os dois mecanismos atuam sobre requisitos diferentes do sistema de votação.
A biometria fortalece o requisito de autenticação do eleitor, isto é, o requisito de que apenas eleitores registrados possam realizar o voto e de que uma pessoa não possa votar em nome de outra. Já o voto impresso fortalece o requisito de integridade da eleição, isto é, o requisito de que o voto seja registrado da maneira como o eleitor realmente deseja e de que, posteriormente, o voto seja apurado e totalizado da mesma maneira como foi registrado.
Dado que a autenticação do eleitor e a integridade da eleição, apesar de igualmente importantes, são requisitos distintos do processo eleitoral, podemos concluir que a adoção de biometria e do voto impresso não são medidas redundantes do ponto de vista de segurança. Cada uma delas fortalece a segurança de um aspecto diferente do processo eleitoral.
“A implantação do voto impresso é cara demais”
O Brasil é um país enorme, com realidades geográficas muito distintas. Qualquer política governamental de abrangência nacional será cara. Desta forma, o custo, por si só, não deve impedir uma política pública de ser adotada.
Quando o Brasil começou a fabricar as Urnas Eletrônicas e decidiu trocar o sistema de votação com cédula de papel pelo sistema de votação eletrônico em todo o país, o custo certamente foi muito elevado. Cada Urna Eletrônica é um computador completo e computadores não são baratos, especialmente na década de 90, quando as Urnas Eletrônicas começaram a ser utilizadas. Existem no Brasil em torno de 450 mil seções eleitorais (o número exato, obtido no site do TSE a partir de dados oficiais da última eleição nacional, ocorrida em 2014, é de 451501 seções) e em cada uma delas é necessária uma Urna Eletrônica. Imagine o custo de se construir 450 mil computadores no final dos anos 90. Certamente, não foi barato. Mas, naquela época, nem a autoridade eleitoral (o TSE), nem o governo e nem a imprensa levantaram questionamentos à adoção do voto com Urna Eletrônica baseados no custo da operação, pois havia a compreensão de que o voto com cédula de papel era um modelo falho (especialmente considerando o histórico de tentativas de fraude eleitoral na América Latina) e que a Urna Eletrônica poderia oferecer vantagens.
É incongruente então, considerar agora, quando também já há a compreensão ao redor do mundo de que a eleição com Urna Eletrônica e registro complementar do voto em papel é mais robusta e segura do que a eleição com registro puramente eletrônico, a não-adoção desta melhoria apenas por questões de custo. Por que o custo de equipar todas as seções com Urnas Eletrônicas na década de 90 não levantou objeções e o custo para equipar as urnas com o mecanismo complementar de impressão é subitamente tão inconveniente?
As nossas Urnas Eletrônicas já estão equipadas para trabalharem acopladas a a um mecanismo complementar de impressão. Um mecanismo deste tipo é acoplado à Urna na abertura da seção eleitoral para que seja impressa a chamada “zerésima”, um documento que mostra que nenhum voto está armazenado na urna, e também no fechamento da seção eleitoral para que seja impresso o boletim de urna, um documento que mostra a totalização dos votos depositados naquela urna. Assim, adaptar a urna para que ela passe a funcionar constantemente com um mecanismo complementar de impressão não é uma tarefa complexa ou particularmente cara. O único requisito adicional seria proteger o mecanismo de impressão para que o eleitor não possa tocar ou manipular o voto impresso, conforme previsto no projeto de lei. Em particular, o custo para substituir o voto em cédula de papel pela Urna Eletrônica nas seções eleitorais de todo o Brasil certamente foi maior do que será o custo para manter as urnas existentes e apenas adicionar mecanismos complementares de impressão, especialmente quando consideramos, como já foi dito anteriormente, que a urna atual já é capaz de trabalhar, e efetivamente trabalha, com um mecanismo de impressão.
Levando em conta estas questões discutidas acima, fica muito difícil compreender a estimativa de valor dada pelo TSE para a implantação do voto impresso. O TSE estima o custo em 1,8 bilhão de reais. Considerando que existem 451501 seções eleitorais no Brasil, com uma Urna Eletrônica por seção, este custo total se traduz em um custo de aproximadamente 4 mil reais por urna. Considerando que a urna atual já possui a capacidade de interagir com um mecanismo complementar de impressão e que mecanismos de impressão muito semelhantes aos necessários para a tarefa de imprimir os votos são largamente utilizados, com um custo de aquisição relativamente baixo, em locais como supermercados, caixas de banco e guichês de compra de passagens em rodoviárias, não parece realista esse custo estimado de 4 mil reais por urna.
