entrevista Jornal "Tribuna do Planalto"

Eduardo Horácio 1) Como é possível fraudar as eleições eletrônicas no Brasil em 2004? Quais são os pontos considerados frágeis do atual sistema de votação?

Pedro Rezende: Considerado o eleitor que deseja eleição limpa, os pontos frágeis estão por todo o sistema, pois sua segurança foi projetada apenas contra ataques externos e falhas não intencionais. Seu modelo de segurança não mudou. Funciona perfeitamente se implementado e operado por seres angelicais, mas nem tanto em um país com vasto histórico de fraudes eleitorais. As formas mais fáceis de se fraudar o sistema requerem o acesso e conhecimento para operá-lo, mais algum conhecimento de programação.

A forma mais devastadora envolve a inserção de programa que adultere o boletim de urna, ou BU como é chamado, junto com o corresponde mecanismo para o seu acionamento. Na urna de 2000 esse mecanismo poderia ser tão simples quanto uma linha de comando com o nome do programa, e outra para desligar a auto-verificação de integridade, no arquivo setup.bat. Encerrada a votação, esse programa interceptaria a gravação em disquete e impressão do BU para, por exemplo, antes desviar uma porcentagem pré-programada dos votos de um candidato a outro.

Se entrar sorrateiramente na urna, e apagar seu rastro e a si mesmo após agir, a fraude não poderia ser detectada. Tais ações seriam relativamente fáceis de serem codificadas por um programador mediano que conheça o sistema. E se a inserção for feita ainda na matriz do software, isto é, antes da sua inseminação das urnas, o desvio pode atingir todas as sessões de um município ou estado, o que modificaria a apuração da eleição nas porcentagens e cargos pre-programados.

2*) Mas esse tipo de manipulação não deixaria rastros? Se feita para cargo majoritário, por exemplo, não dariam na vista das pesquisas eleitorais?

Para parecer limpa, uma tal manipulação poderia ser feita em conjunto com alguma pesquisa eleitoral. A pesquisa colheria a verdadeira intenção de voto mas não a divulgaria. Os dados serviriam para indicar o percentual a ser desviado, aplicado na divulgação da própria pesquisa e no programa fraudador. Quem fizer pesquisa a sério desconhecendo a dupla fraude pode ser surpreendido por erros anormais, acima da margem estatística prevista, destoando da pesquisa fraudada que acerta na mosca.

Temos visto pesquisas divergirem por larga margem à véspera de eleições em vários estados, bem acima da chamada margem estatística de erro prevista, como no DF e no RS em 2002. Pesquisas que divergiam em mais de 8%. Erros anormais que ocorreram com o mesmo instituto em duas eleições seguidas, como o IBOPE no DF. Isso é um sinal inquietante, talvez relacionado à postura do instituto Gallup. O Gallup goza de boa reputação pela acurácia nas pesquisas de opinião que faz em todo o mundo. Embora noutros países faça pesquisa eleitoral, e faça pesquisa no Brasil, no Brasil o Gallup não faz pequisa eleitoral. A confiança cega do eleitor no sistema poderia fazer mal à sua reputação?

3*) O senhor menciona a inserção de programas maliciosos na urna, mas como isso pode ser feito?

Para a inserção é necessário interceptar a urna inseminada ou a matriz do seu software durante o transporte. Os TREs estaduais recebem essa matriz do TSE, acrescentam as tabelas de candidatos e a distribuem para os polos, onde as urnas são inseminadas. Esses polos geralmente se localizam nos principais cartórios eleitorais. São os locais em que os disquetes com os boletins de urna são recebidos, ao final da eleição.

A Justiça Eleitoral encomendou uma rede de transmissão de dados conectando esses polos aos TREs, e esses ao TSE, para a transmissão dos boletins de urna eletrônicos e dos softwares. Pela sua proteção, paga caro a uma empresa particular. Mesmo assim, há notícia de que o TRE de São Paulo e do Ceará resolveram desprezar essa rede na distribuição do software aos polos. Vai distribuir por CD-ROM este ano. Se amanhã encontrarmos cópias pirata desse CD à venda na praça da República, quem será o responsável?

Doutra feita, mesmo que a rede da Justiça Eleitoral seja usada isso não garante que o software esteja livre de adulteração durante a eleição. Esse software pode ser manipulado depois de recebido, antes de inseminado nas urnas ou depois. Se depois, o alcance da fraude seria localizado, e a detecção praticamente impossível. Se antes, o alcance da fraude seria amplificado, e, em tese, haveria alguma chance de ser detectada por fiscais de partido. Mas ocorre que certas resoluções, e os TREs por conta própria, têm dificultado enormemente aos partidos a fiscalização do processo de inseminação do software nas urnas.

Na eleição passada, esse processo foi executado por terceirizados de quem os partidos não puderam sequer conhecer os nomes. Alguns sem-nome e sem-crachá foram vistos tirando do bolso pastilhas de software (flashcards) para pô-las nas urnas, sem que fiscais pudessem averiguar a origem da pastilha sem rótulo ou do inseminador. Ou sem mesmo poder reclamar ao juiz eleitoral, às vezes ausente, como na 1a. zona eleitoral de São Paulo, SP.

4*) E nessa eleição, o que muda? Haveriam outras formas de se manipular um resultado eleitoral?

A assinatura digital, introduzida a título de mecanismo de auditoria pela nova lei eleitoral no lugar da recontagem de votos impressos, não tem eficácia fiscalizatória alguma pois foi implementada no próprio ambiente que precisa ser fiscalizado. É como se você, ao abastecer seu carro num posto de combustível, tivesse os vidros cobertos e não pudesse descer do caro. Sem direito a olhar no visor da bomba automática, seria obrigado a confiar no que diz o frentista, de que bombeou a quantidade pedida, a ser paga por doce. Com o frentista sabendo que você não teria como confirmar. O software auto-verificador de integridade é como o frentista.

Um sistema eleitoral não deveria nunca ter sua segurança baseada na lisura das pessoas, mas no risco de qualquer um ser pego caso se envolva em trapaça ou conluio. Em relação aos anos anteriores, para o fraudador a assinatura digital apenas acrescenta um pouco mais de código ao processo de desarme da auto-verificação de integridade.

Mas isso não é tudo. Uma eleição limpa, ou mesmo com fraude montada por alteração do software da urna, pode ainda sofrer ataques de origem interna na totalização, capazes de mudar o resultado. Nesse tipo de fraude os BUs são trocados durante o percurso entre a urna e o software de totalização. Se a troca ocorrer entre a urna e o polo que recebe e verifica o disquete com o BU, o falso boletim precisa ser emitido por uma urna clonada. Se for feito no restante do percurso, basta trocar a versão impressa do BU que ficará arquivada, e os dados na planilha de totalização.

5*) Mas a troca de boletins gerados por urnas legítimas, ou dos seus dados, não seria detectada de outra forma, por fiscais de partido por exemplo?

Para que tais manipulações não sejam detectadas, o fraudador precisa saber quais as sessões nas quais o partido a ser fraudado deixou de recolher cópia impressa do verdadeiro BU, assinada pelo mesário. Essas seriam as sessões que podem ter o BU alterado na totalização sem risco de detecção. Esta informação está nas atas eleitorais. Agora, pergunte a seu candidato se o partido dele programou-se para recolher BUs impressos e assinados em todas as sessões. Ou, se numa amostra delas, qual amostra. Na eleição passada um partido chegou a divulgar com 3 meses de antecedência as sessões às quais iria mandar fiscais.

Neste ano, algo muito mais inquietante está acontecendo no Rio de Janeiro. Surpreendidos anteriormente com a recusa de mesários em entregar versões impressas do BU, alguns partidos se anteciparam e pediram garantias do cumprimento da lei. Para os partidos interessados, o presidente do TRE afirma que a lei será cumprida: os fiscais que quiserem recolher a versão impressa do BU na sessão eleitoral poderão fazê-lo. Mas depois, no treinamento de mesários, o que se ouve é a contra-ordem. A de que os mesários não devem entregar BUs a fiscal da sessão em hipótese alguma.

6*) O senhor pode dizer onde e como isto estaria acontecendo?

Tenho relatos de uma mesária que, como eu, conhece informática e há muito se preocupa com a impossibilidade de se fiscalizar efetivamente o nosso sistema eleitoral. Um chefe do cartório eleitoral teria proferido a contra-ordem na presença do juiz da 7a. zona eleitoral, na reunião de treinamento de 22/09, com as seguintes palavras: "Se algum fiscal insistir, vocês fiquem firmes, batam o pé, e digam aos fiscais para pegarem o BU no cartório [eleitoral]..." Esse contra-ordem viola a lei eleitoral 9.504. Contra-ordens desse tipo têm sido dada a mesários apenas verbalmente, nunca por escrito. Talvez esse tipo de coisa aconteça impunemente porque, aqui, a Justiça Eleitoral é quem julga os seus próprios atos.

Além disso, mesmo se os fiscais conseguissem fazer valer seus direitos, o fraudador da totalização teria alternativa. Ele pode contar com a desvalorização do ato fiscalizatório. Mesmo desconhecendo as sessões onde o partido a ser fraudado não fiscalizou, o fraudador pode contar com a morosidade dos TREs em divulgar a planilha eletrônica dos votos tabulados por sessão. Embora os dados estejam disponíveis quando o resultado eleitoral é divulgado, já que os totais são as somas das correspondentes parcelas nos BUs, até onde sei nenhum TRE até hoje divulgou tais planilhas dentro do prazo de impugnação. Há notícia de que o TRE do Amazonas teria levado cerca de oito meses para divulgar a planilha da eleição de 2002, enquanto o prazo para impugnação é, se não me engano, de 72 horas a partir da divulgação do resultado.

No mais, de que adiantaria ao fiscal encontrar uma discrepância entre o BU impresso recolhido na sessão eleitoral e a planilha eletrônica oficial, depois de vencido esse exíguo prazo? Dada a forma como a lei eleitoral tem sido abusada ou ignorada sem constrangimento pela própria Justiça Eleitoral, uma explicação do tipo "erro de formatação, assunto encerrado", num despacho pelo arquivamento, talvez não surpreenda.

EH: 7) O sr. teme a chamada "urna clonada" como forma de fraudar a eleição?

Não temo urnas clonadas. Temo clonadores, pelo que tenho escrito. A urna clonada pode ser útil para fraudes que atacam a totalização sem envolver o processo de totalização do TRE. Ou seja, fraudes que envolvem a troca de BUs antes da entrega do disquete no polo informático, portanto, durante o percurso entre a sessão eleitoral e o polo. Uma urna reserva, por exemplo, pode ser clonada e reclonada para simular várias sessões eleitorais.

Para que a troca de BUs seja sorrateira e ampla, os BUs falsos podem ser preparados na véspera. Liga-se a urna reserva com um dos vários disquetes mágicos que a Justiça Eleitoral usa para reparar urnas, contendo dados da urna a ser clonada, e depois, com o disquete para regular o relógio das urnas, acertando-a com o horário da eleição, pimba!

EH: 8) É verdade que só o Brasil adota um sistema eleitoral 100% informatizado?

O Brasil é o primeiro não só em sistema 100% informatizado, mas também o primeiro em não permitir recontagem de votos nem auditagem externa efetiva do sistema. O pretexto usado para se eliminar qualquer forma efetiva de auditagem tem sido a rapidez da votação e da apuração.

Nenhuma autoridade eleitoral jamais me perguntou, nem como cidadão nem como especialista, se a minha confiança no sistema é mais importante que a pressa em apurar. Só se dirigem a mim através de chavões ou propaganda. A impressão que tenho é que acham que podem abordar a questão da confiança como questão de marketing. Talvez não para sempre.

EH: 9) O sr. sabe explicar o porquê disso?

Desconheço as razões, mas avalio hipóteses. A que considero mais plausível pode parecer conspiracionista. Começo pelo livro de autoria do secretário de informática do TSE, publicado em 1997, em que a história do sistema é contada. Nele, o secretário diz que metade do custo inicial da sua implantação, cerca de 250 milhões de dólares, viria de um projeto do Banco Interamericano de Desenvolvimento, o BIRD, a quem o presidente do TSE prometera oferecer depois o uso do sistema a outros países.

Na lista de projetos no site do BIRD, em http://www.iadb.org/exr/doc98/apr/lcbraz.htm, não consta nenhum tal financiamento, muito menos tal promessa. Por outro lado o ex-chefe do escritório do FBI no Brasil confessou recentemente, em entrevista à revista CartaCapital, que dinheiro controlado pelos serviços de espionagem norte-americanos é passado a autoridades brasileiras, sem rastros e para fins específicos. Alguns contratos do TSE, que deveriam ser públicos, tem tido o acesso negado a fiscais de partido, em tempo hábil de se tentar bloquear os efeitos de eventuais irregularidades.

A propaganda oficial do sistema fala de vários países nele interessados. Nos bastidores sabemos que o TSE vêm insistindo muito com outros países para que experimentem nosso sistema e que muitos vem rejeitando a oferta. A Argentina já dispensou três vezes, sob o argumento de que não poderia recontar nem auditar, mas o TSE insiste. Na eleição passada o TSE bancou, muito provavelmente com dinheiro do contribuinte brasileiro, sua primeira "experiência portenha": uma eleição de mentirinha em algumas sessões, em paralelo à oficial, para o argentino ir se acostumando com "a modernidade eleitoral". Por enquanto, só o Paraguai aceitou pra valer.

O Brasil republicano tem uma longa história de manipulações e fraudes eleitorais. Um dos episódios marcantes foi a revolução de 1930, eclodida com o assassinato de João Pessoa. Nela, à guisa de se coibir as fraudes e manipulações eleitorais comuns à época, estabeleceu-se um regime eleitoral centralizado, como parte do poder Judiciário.

Esse regime hibernou por vários períodos de excessão e ditadura, para agora vemo-lo desperto, modernizado e quase absoluto. Fazendo lobby por leis eleitorais, como nas duas últimas, redigindo suas normas de estranha lógica, como as resoluções sobre fiscalização que afrontam a lei 9.504, e julgando seus próprios atos. Como em processos de impugnação que se arrastam por tempo maior que o mandato impugnado. Enquanto gastam uma fortuna com propaganda ufanista de um sistema infiscalizável pelo eleitor comum.

Será que quem antes fraudava eleição se viu obrigado a ficar honesto só porque o sistema eleitoral se informatizou? Pela forma em que se informatizou, não creio que tenha sido obrigado. Brechas persistem, só que agora totalmente invisíveis para quem não conhece o sistema, inalcançáveis por quem não o opera. Para agravar, brechas com efeito amplificador muito maior do que aquelas típicas da lona e papel, anteriores à eletrônica.

A hipótese que considero mais plausível para esse pioneirismo quixotesco é a de que o Brasil teria sido escolhido, por suas peculiaridades históricas e jurídicas, como cobaia numa experiência de engenharia social rotulável de modernização democrática terceiro-mundista. Se a opinião pública aceita trocar autonomia fiscalizatória por rapidez numa máquina de somar, exporta-se a caixa-preta eleitoral para o resto do terceiro mundo, no rastro do "sucesso brasileiro". Com o discurso da democracia em alta e com a internet, o custo social do hardpower tem aumentado. Golpistas e monopolistas precisam de novos tipos de armas. Softpower.

No primeiro mundo, não creio que esse experiência teria grandes chances de sucesso. Pelo menos não nos países onde o cidadão médio reconhece a importância da democracia, e dos perigos dela se diluir num processo eleitoral obscuro e controlado por poucos. Basta ver a reação contra as máquinas de votar infiscalizáveis que hoje se alastra nos EUA

EH: 10) Como é que parte do software usado nas urnas do Brasil em 2000 vazou?

Não sei como vazou, sei que vazou. As explicações do que se sabe estão na própria análise do código vazado. E a confirmação de que se trata do mesmo software da urna usada em Santo Estêvão foi dada pelo laudo do único perito externo até hoje autorizado a participar de perícia em urna eletrônica no Brasil, em processo de impugnação, e que pode ser lida em www.brunazo.eng.br/voto-e/ arquivos/StoE-laudofinal.zip .

EH: 11) Qual foi sua análise a partir do vazamento deste software?

Foi publicada no observatório da imprensa no dia da nossa independência. Está disponível em http://observatorio.ultimosegundo.ig.com.br /artigos.asp?cod=293ENO002. Resumindo, foram encontrados os mesmos tipos de vulnerabilidade que causaram o descredenciamento de urnas com funcionamento semelhante, e do mesmo fornecedor, em vários estados dos EUA.

EH: 12) É verdade que às 23 horas do dia 6/10/02, já na apuração oficial do primeiro turno da eleição que levaria Lula e Serra ao segundo turno presidencial, houve uma "queda" do total de votos de Lula para 41 mil negativos, causando o desligamento temporário dos computadores de totalização no TSE? O que aconteceu exatamente?

Quanto à primeira pergunta, há que se entrevistar quem assistia à rede Band de televisão naquele momento, ou quem estava presente no salão do TSE onde jornalistas e "fiscais" foram conduzidos para acompanharem em tempo real a apuração em um telão. Quem sabe a Band tem a fita em arquivo e você consegue colocar uma imagem do telão na reportagem?

Quanto à segunda pergunta, não se sabe e quiçá não se poderia saber, dado a extensão das vulnerabilidades descritas na referida análise. Aos fiscais de partido não foi permitido acesso sequer visual à sala onde rodavam os computadores da totalização.

EH: 13) Por que a impressão do voto, com a contagem paralela, sendo uma alternativa fácil de evitar a fraude, não é implantada definitivamente?

O voto impresso em paralelo apresenta seus próprios riscos, exploráveis por quem sabe que vai perder e queira melar a eleição. Mas não creio que, para o eleitor interessado em eleições limpas, esse risco seja pior do que os riscos neutralizados pela auditagem por voto impresso. O voto impresso como forma de auditoria teria sido implementado em todo o Brasil em 2004, por força de lei, não fosse aprovada, de forma atabalhoada e canhestra, uma nova lei eleitoral eliminando-o.

Aprovada com base apenas na auto-avaliação da fiscalizada, auto-avaliação baseada em um "teste voluntário" conduzido na eleição passada. Nesse "teste voluntário" a fiscalizada parece ter se esmerado para o fracasso, conforme explico em artigo que publicado em um congresso internacional sobre sistemas de votação, o DIMACS voting workshop, na universidade de Rutgers, nos EUA. O que me surpreendeu não foi o fracasso do teste auto-organizado pelo fiscalizado, mas o alinhamento automático da imprensa com a pauta da sua auto-avaliação.

A lei eleitoral que extinguiu a medida foi aprovada sem nenhuma audiência púbica sobre seu mérito, apesar da câmara ter recebido abaixo-assinado de professores pedindo-o. Faço um relato contextualizado da manobra que aprovou essa lei em artigo recém publicado pelo observatório da imprensa, em http://observatorio.ultimosegundo.ig.com.br /artigos.asp?cod=295JDB007

EH: 14) O senhor vincula o escândalo da violação do painel eletrônico do Senado, que envolveu ACM e José Roberto Arruda, com esse medo de fraude das eleições?

Esse medo não é de fraudes. As fraudes fazem parte da natureza humana, temos que aprender a conviver com elas, como recém filosofou um ministro. Um versão científica do ditado "a ocasião faz o ladrão" é conhecida dos atuários e auditores profissionais: as fraudes acontecem em proporção direta ao valor do que está em jogo, à facilidade de se aplicar golpe e à credulidade da vítima, e em proporção inversa ao risco do ladino ser apanhado. Não se trata de medo, mas de coragem para propor mudanças que cubram a nudez do rei.

Meu medo é do nosso futuro. Dado o descaso cívico, o anestesiamento moral, o senso de oportunismo e a volubilidade do cidadão brasileiro no que concerne à nossa democracia, tenho medo das conseqüências para o meu país, cujo povo não quer se envolver na sua construção. Frente ao estado atual do mundo, esta situação é agravada por ingênuo ufanismo, fascínio por algo do qual muitos se orgulham, mas só querem conhecer pelas teclas.

O escândalo do painel do senado foi útil porque capturou a atenção do público para explicações sobre a facilidade com que sistemas eleitorais eletrônicos podem ser fraudados por quem os controla. No caso, até por portas de fundo feitas sob encomenda, o famoso botão macetoso. Se a opinião púbica se sentiu naquele momento traída, e depois resolveu mandar trocar o sofá, só tenho por isso a lamentar, nada a temer. Acho que há aí um problema ético que não se resolve com troca de sofá. Não vou trocar meu sofá, mesmo que a maioria assim o prefira. Não voto em sistema infiscalizável, viajo.

EH: 15) Como que o senhor avalia a participação da ABIN-CEPESC no processo eleitoral brasileiro?

Eles fizeram um software criptográfico para o TSE conforme encomenda, e acompanham o processo de inspeção do software eleitoral pelos fiscais de partido. Quando lhes foi solicitado, forneceram também o código-fonte que seria o desse software criptográfico. No código-fonte apresentado parece não haver nada de irregular ou reprovável. Mas isso não implica em garantia de segurança, apenas na eliminação de algumas inseguranças. O leitor precisa entender que o uso de criptografia por si só não torna um sistema seguro, da mesma forma que o uso de fechaduras por si só não torna uma casa segura.

EH: 15) O sr. já conversou com o presidente do TSE sobre o assunto? O que ele diz a respeito?

Nunca conversei diretamente, apesar de algumas oportunidades terem sido desperdiçadas. Uma, na esteira do escândalo do painel do senado, quando ele aceitou participar de um seminário técnico sobre a segurança do sistema eleitoral (do TSE), promovido pelo senado. Fui convidado a escrever um artigo e apresentá-lo. Escrevi o artigo "A lanterna de Diógenes", argüindo sobre o equívoco na escolha do modelo de segurança do sistema. Mas o seminário foi cancelado com a troca do sofá, isto é, com o esfriamento do escândalo do painel do senado.

Depois, durante a cerimônia de abertura da apresentação do software do sistema eleitoral a fiscais de partido, em 2002. Foi-me exigido a assinatura de um termo de compromisso de sigilo sobre o objeto da fiscalização, absoluto e irrevogável. Fiscal de partido é fiscal da sociedade, não é testador de software servil e amordaçado. Recusei-me a assinar e me retirei da cerimônia.

Indiretamente, em maio de 2002 ele foi consultado sobre o conteúdo de uma entrevista que a folha de São Paulo publicaria. Sobre minhas críticas ele disse que não tinham fundamento. Viriam de um pequeno grupo de pessoas acometidas pela "síndrome da conspiração".

Depois, numa entrevista do programa Roda Viva da TV cultura, um jornalista fez uma pergunta citando um artigo de minha autoria. Ele respondeu, admitindo pela primeira vez em público a possibilidade de fraude, com outra pergunta: "mas quem seria capaz de executar a fraude?". Nenhum dos repórteres respondeu. A resposta está na análise do código vazado na internet, em http://observatorio.ultimosegundo.ig.com.br/ artigos.asp?cod=293ENO002.

Quanto a seus subordinados, gerentes de projeto do sistema eleitoral, houve apenas dois eventos em que pudemos debater. Debates inócuos, pois nenhuma possibilidade de mudança de filosofia ou de rumo vai além do espaço aberto por habituais promessas do tipo "vamos analisar". Gavetas de chefes de projeto, ou suas latas de lixo, devem estar cheias de propostas técnicas minhas e de meus colegas cientistas da computação, que nunca tiveram resposta. Até em petições e processos judiciais, eles se calam sobre temas técnicos relacionados à ineficácia fiscalizatória.

EH: 16) Já faz um tempo que o sr. vem alertando a população a respeito dos problemas da urna eletrônica. O sr. imagina que essa luta algum dia surtirá efeito?

Hoje, esta luta surte efeito em países que valorizam a democracia, e nos quais se tenta repetir a infeliz experiência brasileira de supressão da possibilidade de recontagem dos votos. No passado esta luta surtiu aqui fugaz efeito, em reação ao mal estar causado pelo escândalo do painel do senado, hoje abafado pela atabalhoada e canhestra aprovação da nova lei eleitoral. Se irá algum dia surtir efeito novamente no Brasil, não sei.

Sei, todavia, dos riscos que corro. Já fui chamado de exibicionista, conspiracionista, obcecado, paranóico, e há outras perturbações. Se o destino me colocou na posição em que me encontro, acadêmico do magistério público especializado em segurança na informática que tropeça naquilo que aqui descrevo, minha ética me obriga a seguir a voz da minha consciência.

*- Desdobramentos da pergunta anterior do repórter, retoricamente introduzidas pelo entrevistado visando melhorar a fluência de uma longa resposta.
Esta entrevista foi publicada completa no portal internet da Tribuna do Planalto, em http://www.tribunadoplanalto.com.br/ exibe_entrevista.php?cod=294

O sistema eleitoral eletrônico de 2004