Quais as vantagens e desvantagens
no uso da urna eletrônica?
Centro Metodista Universitário IPA
Prof. Pedro Antonio Dourado de Rezende
Departamento de Ciência da Computação
Universidade de Brasília
1 de dezembro de 2010
Raphael Oliveira: 1 - Qual são as vantagens e desvantagens do uso da urna eletrônica no processo eleitoral de hoje?
Pedro Rezende: A pergunta é subjetiva, pois o que é vantagem para certos interesses pode ser desvantagem para outros, e vice-versa.
Para interesses alinhados com a perspectiva de que a democracia, hoje viável na modalidade representativa, é um jogo de manipulação de percepções e de opiniões das massas, as vantagens são óbvias. Pela forma com que foram aqui informatizadas, as eleições no Brasil tem hoje resultados rápidos e inquestionáveis.
Já para interesses que dependem de eleições limpas, limpas no sentido de qualquer eleitor ou candidato poder verificar como os resultados foram obtidos, as desvantagens estão ainda obscuras para a opinião pública. Obscurecidas pelos reais motivos pelos quais os resultados não podem mais ser efetivamente questionados [1]. Nesse contexto podemos então dizer, objetivamente, que o primeiro grupo de interesses têm levado vantagem sobre o segundo.
RO: 2 - Quais os recursos de segurança da urna eletrônica utilizada no Brasil?
Ao invés de apresentar a lista, seria melhor apontar o que esses recursos têm em comum. As urnas utilizadas no Brasil ainda são do tipo DRE (Direct Record Electronic), que constituem a primeira geração de urnas eletrônicas. Com elas a votação fica totalmente virtual, pois o que caracteriza essa primeira geração de urnas é o fato delas não disporem de nenhum mecanismo que permita a recontagem dos votos por meios independentes dos programas que rodam nelas e nos sistemas de totalização.
Por isso, todos os recursos de segurança utilizados, não só no preparo e na operação das urnas mas em todas as etapas do nosso atual processo de votação, apresentam uma característica que é essencial à luz da pergunta anterior. A saber, a de que a eficácia de qualquer desses recursos de segurança depende da honestidade desses programas no momento em que são utilizados. Assim, a verificação tempestiva da honestidade desses programas se torna um problema circular, pois dependemos da operação deles para verificar sua própria integridade.
Em consequência, todos os recursos de segurança utilizados na votação eletrônica no Brasil, não importa quantos sejam -- e são muitos -- ou quão sofisticados pareçam, são intempestivos, e por isso produzem dois efeitos simultâneos. Eles protegem o processo de votação contra ataques que não dependam desses programas, mas também protegem possíveis ataques que dependam de furtivos desvios momentâneos nesses programas, contra descoberta e comprovação por eventuais prejudicados.
Este segundo efeito representa uma desvantagem para o segundo grupo de interesses, dado o escopo do processo que torna tal efeito juridicamente eficaz. Enquanto para o primeiro grupo, é uma vantagem que esse segundo efeito seja percebido como colateral e inevitável à informatização desejada. Mas ele é evitável, pois decorre da escolha do tipo de urna, de primeira geração, e não da informatização em si.
É por isso que praticamente todos os países que informatizaram suas eleições hoje evitam esse tipo de urna. Mas tiveram antes que superar a opinião e até o lobby de autoridades responsáveis pela execução das eleições, que com esse tipo de urna acumulam excessivo poder. Esses países hoje preferem urnas de segunda e terceira geração, que permitem a validação dos resultados por meios independentes do software do sistema de votação, sendo as únicas exceções conhecidas o Brasil e a Índia.
RO: 3 - Qual é a participação da informatização do voto na segurança do mesmo?
O que vem a ser "segurança do voto"? Como procurei mostrar nas respostas anteriores, isso pode ter mais de um sentido. Pode inclusive ter sentidos opostos, para interesses conflitantes. E essa ambiguidade pode até transformar confusões em tragédias, quando sentidos opostos são confundidos por quem despreza conflitos de interesse, como exemplifica a história de Tróia.
O que impede o eleitor comum de considerar essa ambiguidade na informatização do voto, é uma questão interessante, que convém analisar.
O eleitor desconfia dos políticos eleitos, mas confia nas escolhas que esses mesmos políticos fazem, através de leis eleitorais, para o processo de votação que vai elegê-los ou reelegê-los. O que mantém o eleitor focado no trololó da segurança do voto ou da urna eletrônica, quando ele só pode conhecer de orelhada o que está por trás ou dentro disso, enquanto perde de vista a segurança do eleitor que crê na democracia e quer eleições limpas? Esse foco a esmo lhe dá uma trilha segura para homéricas confusões, que o leva a cair na velha esparrela da segurança-por-obscurantismo, camuflada de transparência pela complexidade tecnológica.
Penso que a informatização tem aqui participação crucial na segurança com que muitos trilham essas confusões. A informatização encontrou eleitores cada vez mais descontentes com os rumos da democracia, que vêem o poder do dinheiro corromper seus valores basilares. Eleitores que cultuam valores individualistas, e que fetichizam a tecnologia como panacéia. A informatização vem então lhes propor um negócio da china: acabar com as fraudes eleitorais praticáveis no papel, em troca de sua tarefa de fiscalizá-las por meios próprios. A tarefa, ele vê como chata necessidade contingente a uma tecnologia manual ultrapassada, mas que na verdade é pilar fundamental para a saúde da democracia. E a troca, na verdade, ao final é de velhas formas visíveis de fraude de varejo por novas formas invisíveis de fraude por atacado, automatizáveis por software.
Esse eleitor absorve massiva propaganda institucional, alimentada por um ufanismo ingênuo, que alardeia termos encontrado uma fórmula mágica para "simplificar a democracia". Uma galinha eletrônica de ovos de ouro, que põe eleições inquestionáveis. Esse eleitor bebe a poção que lhe é oferecida, no altar de sua TV, pela seita do santo byte [3], e passa então a ter visões. Anjos na terra programando e operando urnas blindadas. Caixas-pretas que na verdade quase ninguém no mundo mais quer, em visões eventualmente perturbadas por erros em pesquisas de opinião. Enquanto esquece que essa tecnologia é controlada por interesses que podem conflitar com os verdadeiros valores democráticos, e que uma impunível capacidade para manipulalção invisível resultados, mesmo sem ser utilizada, torna sua mera possibilidade um instrumento útil no jogo político. A verdadeira democracia nunca será simples.
RO: 4 - A utilização de modelos diferentes de urnas na mesma eleição ajuda na prevenção de falhas ou facilita algum tipo de ataque (alteração de dados, por exemplo)?
O Brasil tem uma peculiaridade, que é a centralização máxima da administração do processo eleitoral, incluindo a preparação dos sistemas de votação. Neste caso, a utilização de diferentes modelos ou tipos de urna numa eleição dificulta a prevenção de falhas, pois aumenta a bateria de testes prévios recomendáveis, enquanto diminui as escalas nas quais esses testes buscariam detectar falhas infrequentes. Ainda, com maiores variações no hardware de urnas de um tipo ou com diferentes tipos de urna, a base de código dos programas a ser mantida aumenta, o que faz aumentar também a incidência de falhas. Essa centralização dificulta, portanto, mudanças evolutivas no sistema de votação.
Também peculiar é o fato dessas dificuldades virem sendo usadas seletivamente, por autoridades eleitorais, como justificativa para descartar ou fazer lobby contra propostas de mudança, pelo poder legislativo, que mitigariam distorções conceituais no projeto de informatização, e que seriam favoráveis aos interesses do segundo grupo. Mas não contra mudanças inócuas para a eficácia da fiscalização externa, de eficácia restrita ao teatro da segurança, que favorece interesses do primeiro grupo.
Quanto aos tipos de ataque possíveis, eles são determinados pelo tipo de urna, e não pela variação de modelos de um mesmo tipo, pois é o tipo de urna que determina as formas externas de fiscalização e auditoria da votação que podem ser tecnicamente eficazes. Todo tipo de urna tem seu calcanhar de aquiles, mas com graus de importância que variam conforme a perspectiva. As urnas de primeira geração, do tipo DRE, como já dito permitem formas invisíveis de fraude por atacado através do software, situação que se agrava quando o operador do sistema é o mesmo encarregado de julgar eventuais tentativas de impugnação do resultado.
As urnas de segunda geração, do tipo VVPAT (Voter-Verifiable Audit Trail), tornam detectáveis as fraudes por atacado via software, mas ao custo de reintroduzir formas de ataque de varejo praticáveis no papel, sem no entanto apontar a origem da falha ou da manipulação quando houver diferença entre a contagem eletrônica e a manual amostrada. As urnas de terceira geração, do tipo E2E (End-to-End Chain of Custody), permitem ao eleitor rastrear a correta apuração do seu voto, e aos candidatos detectar a origem de falha ou manipulação significativa se houver, ao custo de uma proteção ao sigilo do voto mais complexa.
RO: 5 - O que poderia ser feito para aprimorar a segurança do voto?
Não sei como responder diretamente a pergunta, pois não sei o que se quer dizer com segurança do voto. Pelo que entendo do contexto, segurança relacionada ao voto pode ser tanto a dos interesses do primeiro grupo quanto as do segundo, e esses interesses têm conflitado. Sob a perspectiva dos interesses do segundo grupo, a situação no Brasil é precária, percepção oposta à do primeiro grupo.
Precária porque estamos estancados na real evolução do processo eleitoral devido a uma ferrenha e obstinada oposição, por parte da autoridade responsável por executar as eleições e julgar os resultados de suas próprias ações, contra qualquer medida que promova mudanças para urnas de segunda geração. Tal medida foi aprovada pelo Congresso, depois do escândalo do painel do Senado, na Lei 10.408 de 2002, mas foi revogada antes de entrar em vigor, pela Lei 10.740 de 2003, por influência desse lobby e com rastros no mensalão [2]. Reintroduzida na mini-reforma eleitoral aprovada em 2009 (Lei 12.034/09), para vigir em 2014, a medida está sendo outra vez combatida, agora pelo projeto de lei PLS 68/2010 no Senado, também de autoria do mentor do mensalão.
Um dos argumentos empregados pelo lobby contra essa medida, como já disse, é o de que ela custaria caro e nada acrescentaria à tal "segurança do voto". Mesmo com a medida sendo econômica, aproveitando o investimento já feito em urnas DRE adaptando-as para VVPAT, e mesmo custando bem menos do que a identificação biométrica introduzida por iniciativa da autoridade eleitoral, esta sim uma medida tecnicamente inócua como instrumento de combate a fraudes, como antes criticado e como comprovado pela eleição de 2010.
Se há mesmo preocupação com o custo, e com a segurança do eleitor que crê de fato em democracia, poderíamos caminhar nessa direção. Primeiro, adaptando as urnas DRE à segunda geração para permitir a recontagem visual de votos, como manda a Lei 12.034/09, para validação por amostragem ou quando necessária, e depois adaptando-as à terceira geração, para atingirmos o atual estado da arte referente à segurança do eleitor que crê em democracia. Não vejo a complexidade da proteção do sigilo do voto, numa eventual adaptação à terceira geração de urnas eletrônicas, como aumento de risco pois no sistema de hoje tal proteção se resume a um ato de fé, com a própria urna DRE identificando o eleitor.
Porém, qualquer aprimoramento nesta direção requer mudança de atitude do eleitor, sobre seu papel fundamental na fiscalização de todo o processo eleitoral. Enquanto o eleitor comum não entender assim, ou não estiver mesmo disposto, a democracia seguirá adoecendo, e os interesses do primeiro grupo seguirão prevalecendo. Enquanto prevalecerem interesses para os quais a democracia é só um jogo de manipulação de percepções e de opiniões, as medidas de segurança aceitas e implementadas pela autoridade eleitoral terão, a julgar pela nossa trajetória, efeito puramente cosmético, intempestivo e inócuo para a fiscalização externa.
RO: 6 - Com as eleições cada vez mais próximas surgem diversas notícias de casos onde pessoas em diversos países conseguem invadir urnas eletrônica similares às brasileiras como no caso da India [4] (convergenciadigital), dos Estados Unidos [5] (G1) e também de um caixa eletrônico [6] (G1). Qual a possibilidade de algo desse tipo ocorrer por aqui?
Tecnicamente, como o tipo de urna em uso aqui é DRE, o mesmo da Índia e das que foram recusadas na Argentina, banidas na Holanda, na Califória e noutros estados dos EUA por exemplo, a possibilidade disso ocorrer aqui é de mesma ordem, mudando apenas a percepção do risco na opinião pública. Aqui o próprio eleitor banca, com seus impostos, uma propaganda institucional massiva, sem paralelo conhecido, que só alardeia supostas virtudes do nosso sistema de votação, e que acaba por distorcer essa percepção de risco, no caldo cultural do fetiche tecnológico.
Isso pode ser ilustrado pelo que aconteceu no único país que algum dia aceitou usar nossas urnas em eleições oficiais. Nossa autoridade eleitoral doou, em 2005, cerca de vinte mil de suas urnas DRE para o Paraguai, as quais foram lá usadas em um terço das sessões eleitorais na eleição de fevereiro 2006. E como aconteceu na Índia este ano, algumas urnas desapareceram do controle da autoridade eleitoral, que acabaram sendo usadas em testes independentes de penetração.
Em maio de 2006 circulou um vídeo mostrando um teste de penetração sobre uma urna brasileira, carregada com os programas oficiais da eleição paraguaia de 2006 adulterados. Esse vídeo acabou nos telenoticiários na TV de lá. Em 12 e 13 de junho de 2006 um segundo vídeo, de melhor qualidade, foi apresentado nos jornais da TV Telefuturo Canal 4 do Paraguai.
Como consequência desta demonstração pública de vulnerabilidade das urnas brasileiras, elas foram abandonadas na eleição para Presidência da República do Paraguai em 2008. Os candidatos optaram por retornar ao sistema de voto manual, ao invés de caírem na corrida de gato-e-rato pelo "aprimoramento" do software ou do sistema DRE. Esse caso foi totalmente boicotado pela mídia corporativa no Brasil, que prefere repisar a lorota institucional de que outros países admiram ou invejam nosso sistema eleitoral.
Quando aborda o tema das vulnerabilidades do nosso sistema de votação, as grandes empresas de mídia, que recebem vultosas verbas publicitárias da autoridade eleitoral brasileira, se restringem a matérias que desmascaram charlatões tentando vender fraudes que não podem entregar. Não é bom confundir a inveja que outras autoridades eleitorais têm da nossa, pelo poder descomunal nela acumulado em nosso jogo político, com a de eleitores noutros países, pelo sistema de votação que aqui somos obrigados a usar.
RO: 7 - Alguns dos países mais desenvolvidos como Estados Unidos, Canadá, Alemanha e outros não utilizam o sistema eletrônico de votos por não confiarem no modelo. Na sua opinião o Brasil por fazer uso desse sistema estaria um passo a frente desses países ou regredindo no processo eleitoral?
Depende da perspectiva que eu tomar. É óbvio que para o primeiro grupo estamos à frente, ao contrário do que parece ao segundo grupo. Na tentativa de desqualificar comparações desconfortáveis, o trololó da propaganda oficial começa com o sofisma que pinta uma abismal distinção entre nossa democracia e as outras; porém, o que há de mais universal em qualquer democracia é um cerne aritmético, justamente aquilo que a informatização do voto tenta proteger por um lado, enquanto vulnera por outros. É a lisura das eleições decorrer da correta soma de votos legítimos. A aritmética certa é a mesma em qualquer democracia terrena, passada ou futura.
Mas o mais curioso aqui, a meu ver, é a pose dos que defendem publicamente os interesses do primeiro grupo nesse assunto. É como se o Brasil, último país a abolir a escravatura na era moderna, que entrou na democracia pelo bico de pena da República Velha, que passou pelas ditaduras do Estado Novo e do regime militar, esta não faz trinta anos, estivesse em condições de agora ensinar ao mundo como os computadores podem fazer avançar a democracia, mesmo sendo a nossa muito diferente das outras. Ensinar principalmente aos que inventaram os computadores, que se consumiram em guerras para reinventar a democracia moderna, e nela se sustentaram por mais de século, erguendo-se a potências mundiais.
Então eu diria, respondendo objetivamente, que no trololó estamos à frente, em novilíngua orwelliana, enquanto no processo eleitoral estamos regredindo, em referência aos influxos tecnológicos para a evolução da democracia.
RO: 8 - O reconhecimento biométrico que será implantado nas próximas eleições ajudaria na segurança do processo?
A identificação biométrica já foi usada em cerca de 60 municípios na eleição de 2010, e o que esse uso revela é inequívoco. Como já disse, essa e as demais medidas de "segurança do voto" só ajudam interesses do primeiro grupo. O uso da identificação biométrica só ajuda a manter publicamente viva, com apoio da mídia cooptada por massiva propaganda institucional, a opinião-de-orelhada que confunde possíveis fraudes invisíveis com fraudes impossíveis, e estas, com fraudes inexistíveis. No portal web do TSE, sobre o uso da biometria, pode-se ler:
"Por meio desse sistema, o país terá não só a votação mais informatizada como também a mais segura, já que não haverá dúvidas quanto à identidade de cada eleitor. ... O objetivo é excluir a possibilidade de uma pessoa votar por outra, tornando inviável a fraude no procedimento de votação."
Entretanto, tal objetivo é tecnicamente inócuo pois a fraude por emprenhamento da urna, praticável pelo mesário ao permitir que alguém vote por eleitores ausentes, continua sendo possível com as urnas biométricas, bastando ao mesário usar uma senha para liberar o voto mesmo sem uma identificação biométrica do votante. A existência dessa senha é obrigatória para resolver o caso do falso-negativo, quando o sistema biométrico falha ao rejeitar um eleitor legítimo, e está devidamente regulamentada em resolução do TSE. Nada impede, portanto, que mesários desonestos, os que já emprenhavam urnas eletrônicas sem biometria por exemplo, utilizem essa senha para emprenhar urnas biométricas.
Desde que o TSE tomou a iniciativa de implementar identificação biométrica, seus técnicos sempre divulgaram, depois de vários testes que teriam feito, que a taxa de rejeição de votantes válidos seria sempre inferior a 1%. Mas na eleição de 2010, onde foi possível acessar espelhos de boletins de urnas de seções em que foram usadas urnas biométricas, em Alagoas e no Maranhão, pôde-se constatar que foram exceção aquelas em que houve menos de 1% de rejeição de votantes. A média no Maranhão foi de 5,8% (2991 votos), e em Alagoas foi de 4,6% (4.400 votos). Houve muitos casos com mais de 10%, alguns com mais de 20% e até mais de 30% de votos sufragados por liberação do mesário. Há um caso em que 56,64% (145 em 256) dos eleitores votaram por senha do mesário, sem identificação biométrica.
Só cabem, então, duas possíveis explicações para números tão discrepantes, entre a taxa de rejeição nos testes divulgada pelo TSE, e as taxas encontradas nas urnas usadas: ou os técnicos do TSE sempre divulgaram informações oficiais distorcidas ou sabidamente falsas, como essa do objetivo de "excluir a possbilidade de uma pessoa votar por outra", para justificar o altíssimo investimento em biometria, já que compraram 280 mil e encomendaram mais 200 mil urnas biométricas mas só usaram 3 mil delas nessa eleição, ou a fraude do mesário por emprenhamento de urnas biométricas correu solta, como em eleições anteriores sem biometria. Não sei dizer qual dessas alternativas é pior, mas sei concluir que ambas corroboram minhas respostas anteriores.
RO: 9 - O que o motiva a realizar um trabalho sobre a segurança do voto?
Sou motivado pelas confusões que vejo afligirem nossa frágil democracia, entre os interesses do primeiro e do segundo grupo, às quais me referi ao longo desta entrevista. Confusões que vitimam muitos inocentes úteis, de forma mais grave quando sinceras em colegas politicamente ingênuos na academia. Confusões que também motivaram, guardadas as diferenças tecnológicas entre as épocas, o movimento precursor da Revolução de 30, a Coluna Prestes. Confusões que se perpetuam enquanto o foco da segurança eleitoral permanece no voto em si, oblívio aos conflitos de interesse de cunho tecnológico que acompanham a evolução da democracia.
Assim motivado, o desafio começa em identificar essas confusões e conflitos, quando e onde houver oportunidade. Quando, por exemplo, recentemente o STF julgou recurso impetrado por Joaquim Roriz, contra a aplicação pelo TSE da Lei da ficha limpa que impugnou sua candidatura ao governo do DF em 2010. Houve profundas divergências sobre como interpretar a Constituição, no que toca a competências para estabelecer e aplicar regras de elegibilidade, entre os mais sábios e ínclitos guardiões da nossa Lei maior. Para quem estava suficientemente atento, alguns sinais dessas confusões e conflitos se tornaram ali visíveis, nos debates desse julgamento.
Nesse julgamento, cinco ministros do STF deram à recém-aprovada Lei da ficha limpa, seguindo o relator com seus votos, a mais ampla e célere eficácia possível. Para isso tiveram que tratar, no estupefato entender dos outros cinco, certos princípios constitucionais com extrema abrangência ou reserva. Observamos que dentre os cinco ministros que buscaram a máxima abrangência possível para a Lei da ficha limpa, um acabara de deixar a presidência do TSE, outro havia antes se licenciado por motivo de saúde, outro exercia a presidência, e outra deve ser a próxima presidente. Enquanto do outro lado, quatro dos cinco estupefatos ministros ainda não haviam passado por lá. Seria coincidência, ou tal divisão emite sinais?
Uma frase do relator do processo, ministro Aires Brito, poderia bem sintetizar esses sinais. Além do "salto triplo carpado hermenêutico" para desqualificar opiniões contrárias no debate do julgamento, conforme citado por um jornal goiano ele também teria dito: "Não basta cercar as ovelhas, temos que gradear os lobos". Lobos da política sabem farejar possíveis caminhos para fraudes invisíveis, ainda mais suculentas quando se confundem com fraudes impossíveis ou inexistíveis. Mesmo à revelia dos que acham que controlam, ou que podem controlar, essas confusões induzidas, pois a eficácia desse controle depende da ação de técnicos, supostamente subordinados. Melhor seria poder afastar os lobos das listas de candidatos, já que técnico não é anjo. Um lobo afoito, afinal, pode até matar a e-galinha dourada.
Referências
[1]- http://www.observatoriodaimprensa.com.br/artigos.asp?cod=585JDB001
[2]- http://www.brunazo.eng.br/voto-e/textos/PLazeredo.htm
[3]- http://www.pedro.jmrezende.com.br/trabs/azeredo.htm
[4]- http://convergenciadigital.uol.com.br/cgi/cgilua.exe/sys/start.htm?infoid=23533&sid=18
[5]- http://g1.globo.com/tecnologia/noticia/2010/08/americanos-colocam-jogo-pac-man-em-urna-eletronica.html
[6]- http://g1.globo.com/tecnologia/noticia/2010/08/hacker-faz-caixas-eletronicos-cuspirem-dinheiro-remotamente.html