1. INTRODUÇÃO
Segundo Ferreira (1991) datam de
1892, na cidade de Lockport, NY, USA, as primeiras experiências de mecanização
do voto pela adoção de "voting machines", que eram máquinas mecânicas que
incrementavam contadores de votos.
Com o advento da eletrônica as
máquinas de votar também estão sendo adaptadas a nova tecnologia. O Brasil saiu
na frente neste campo da informatização do voto e, em 1996, tornou-se o
primeiro país a implantar o voto eletrônico em toda a sua extensão, isto é,
desde a identificação do eleitor até a finalização da apuração e totalização
dos votos, passando pelo próprio ato de votar.
Experiências com o voto eletrônico
têm sido desenvolvidas em outros países, inclusive nos mais ricos e mais
avançados tecnologicamente, mas até agora
em nenhum deles foi implantado o
voto eletrônico de forma completa como no Brasil.
Muitos entendem que este é um sinal
da pujança e desenvolvimento da tecnologia de informação no Brasil. Sinais de
ufanismo são visíveis nos textos da
imprensa em geral e do próprio Tribunal Superior Eleitoral (TSE) quando tratam
da urna eletrônica. Mas a prudência e o bom senso
recomendam que se pense com mais cuidado e profundidade sobre este fato:
Por que outros países, reconhecidamente mais capacitados técnica e
financeiramente, ainda não implantaram o voto eletrônico de forma total e
completa?
Certamente não é por falta de
domínio da tecnologia necessária. Muitas empresas internacionais
dedicam recursos e esforços para desenvolver sistemas e equipamentos para o
voto eletrônico, inclusive as grandes, como a IBM e a Bull.
Alguns movimentos civis pela adoção
do voto eletrônico e até algumas Organizações Não Governamentais onde se debate
a conveniência e segurança do voto eletrônico têm sido criados em vários
países, como:
· The Voting Integrity Project, nos EUA
· New Zealand Electronic Electoral Trial, na Nova Zelândia
· UK Citizens Online Democracy, na Inglaterra
· International Institute for Democracy and Electoral Assistance, na Suécia
Se a tecnologia está disponível, se
existem recursos financeiros, se existem entidades a favor, então por que, no
resto do mundo, o voto eletrônico tem resistido à informatização completa?
Parece haver apenas uma resposta para este aparente paradoxo:
A questão da segurança do voto eletrônico ainda não foi resolvida de
forma satisfatória!
Com este artigo propõe-se que o
debate sobre a política de segurança do voto eletrônico seja trazido para
dentro das universidades brasileiras e dá-se início a este debate com a análise
da segurança do voto na urna eletrônica apresentada a seguir, onde são
mostradas as falhas que a tornam insegura para o eleitor. A análise se refere
especificamente à Urna Eletrônica utilizada nas eleições de 1996 e 1998 e não a
todo o processo de informatização do voto, o qual inclui a rede de totalização
de resultados que não foi aqui abrangida.
No artigo destaca-se a relevância do
problema da segurança do voto eletrônico, apresenta-se a legislação eleitoral
pertinente e levanta-se o problema da garantia do software honesto. Em seguida
apresenta-se as etapas de uma eleição, as falhas apontadas e as soluções
propostas. Ao final se tece considerações sobre o voto eletrônico em geral e
apresenta-se a conclusão.
2. A RELEVÂNCIA DA
POLÍTICA DE SEGURANÇA DO VOTO
O voto eletrônico não deve ser
entendido como uma simples espécie de pesquisa de opinião onde pretende-se
estimar a vontade da maioria. Deve-se considerar que o conceito de eleição
democrática é uma questão de profundo significado ontológico, inserido na
milenar luta do homem pela construção de uma organização social mais justa, que
defenda o homem comum contra o abuso dos poderosos, econômica e politicamente.
Conceitos e ritos como o voto
universal, o voto secreto, a liberdade de imprensa e a liberdade de oposição
foram desenvolvidos ao longo de séculos e conquistados a duras penas, visando
garantir ao cidadão moderno defesas contra a concentração de poder nas mãos de
poucos.
Por isto, no projeto de sistemas de
voto eletrônico, é essencial considerar que existem enormes forças políticas e
econômicas, nacionais e estrangeiras, interessadas em manipular e burlar o
resultado de uma eleição. Subestimar a força econômica e conhecimento
tecnológico de tais oponentes seria um grave erro num projeto de informatização
do voto.
Assim, entende-se que no projeto de
sistemas de voto eletrônico a confiabilidade é um tópico que exige receber a
maior prioridade possível, inclusive impondo aumento de custos e restrições à
praticidade do sistema quando necessário. Não é uma boa política de
segurança se deixar abertas brechas nas
defesas do sistema de voto eletrônico apenas a título de economia ou
praticidade.
Segundo Camarão (1997), Secretário
de Informática do TSE, durante a qualificação das urnas eletrônicas de 1996 o
tamanho da amostra de urnas a serem testadas era definida segundo critérios
estatísticos normalmente aceitos na qualificação de equipamentos industriais.
Mas equipamentos industriais normalmente não são alvo de ataque de fortes
oponentes interessados em fraudá-los. Fica levantada a questão se a validação
estatística é um bom critério a ser utilizado neste caso. Não seria este um
caso onde dever-se-ia testar o software em
todas as urnas?
É necessário considerar que o
oponente do voto eletrônico é econômica e tecnologicamente capaz e
politicamente motivado, o que impõe que sejam criadas defesas fortes contra o
acesso indevido e contra a adulteração dirigida de dados. E criar fortes
defesas nem sempre é simples.
Por exemplo, a garantia da
inviolabilidade do voto é um caso especialmente complexo. Em sistemas
informatizados sempre existe a figura do super-usuário que tem acesso a todos
os dados do sistema, mas pelos princípios constitucionais o acesso ao conteúdo do voto de
um eleitor nunca deve ser possível por qualquer categoria de operador,
programador ou super-usuário do sistema, nem durante e nem depois da
votação! A constituição não permite nem mesmo a um juiz eleitoral a quebra do
sigilo do voto.
Este requisito remete ao problema
de difícil solução que é a segurança do sistema contra ataques de agentes
internos desonestos. Como impedir que programadores do sistema criem "portas do
fundo" e assim ganhem acesso ao conteúdo dos votos?
O voto eletrônico exige que a
segurança contra agentes internos desonestos seja redobrada mas, devido ao seu
caráter pessoal e psicológico, a abordagem à questão do agente interno
desonesto junto aos próprios projetistas do sistema é sempre delicada. Muitas
vezes as partes exacerbam as reações emocionais (de desconfiança ou de
indignação), o que acaba por retirar a objetividade do debate. Subestimar a
possibilidade da fraude ser cometida por um grupo de projetistas e programadores
mancomunados, constitui falha grave na política de segurança adotada.
Em 23 de setembro de 1998, às
vésperas da eleição, o Secretário de Informática do TSE falando sobre este
problema declarou ao jornal Folha de São Paulo (Caderno Eleições, pg. 5) o
seguinte:
"… isso não significa que não vá haver tentativas de fraudes.
Mas quem for tentar terá de subornar pelo menos uns 30."
É bom considerar que a
possibilidade de se fraudar a eleição em todo território nacional
subornando-se apenas "uns 30" não existia com a urna tradicional, onde com 30
elementos subornados daria para se fraudar a apuração de apenas algumas urnas.
Dentro desta filosofia de segurança
máxima até mesmo contra seus projetistas e administradores, o voto eletrônico
exige um esquema de segurança tão complexo que esta é a grande barreira que tem
impedido a adoção do voto eletrônico integral nos demais países do mundo.
Este tema é amplo e intrincado. Tem
sido discutido dentro da Internet, no Brasil, pelo
Fórum de Debates do Voto Eletrônico
e, no exterior, por várias listas de debate, como a
NZ Electronic Electoral Trial List
da Nova Zelandia e a
VoteSite.com Mailing List
no estado da Califórnia, EUA.
Na Nova Zelândia está em desenvolvimento um teste público de um sistema de
"e-voting",
que ocorrerá em paralelo a uma eleição normal, patrocinado por agências
governamentais e por universidades, para se avaliar se é possível se implantar
um sistema seguro e satisfatório.
Na lista americana tem surgido assustadoras propostas de "e-voting"
com a utilização de cédulas de voto virtuais assinadas
digitalmente pelo eleitor. Comparando com a votação tradicional, isto
equivaleria a imprimir a identificação do eleitor na cédula eleitoral do voto
impresso, a inviolabilidade do voto fica totalmente comprometida! Quanto aos
custos para manter os centros de autenticação digital do eleitor funcionando e
constantemente interligados, pois cada eleitor só pode votar uma vez, existe a
sugestão de se cobrar do próprio eleitor uma taxa de manutenção do seu registro
e assinatura digital. Em outras palavras, o eleitor teria que pagar para poder
votar!
Mas também lá na Califórnia está se
propondo que o sistema de voto eletrônico seja implantado em partes,
inicialmente em paralelo ao sistema tradicional, para permitir sua avaliação
antes da implantação definitiva.
Já no Brasil a implantação do voto
eletrônico foi em substituição direta ao voto tradicional. Diferente da Receita
Federal que informatizou a Declaração de Renda como alternativa de forma que o
contribuinte pudesse optar entre o método tradicional e o informatizado, o TSE
não deixou outra alternativa ao eleitor, obriga-o a utilizar a urna eletrônica
apesar de não ter demonstrado tecnicamente sua confiabilidade e nem debatido o
seu sistema no meio acadêmico.
O TSE recorreu a entidades
acadêmicas inicialmente para colher sugestões sobre a urna eletrônica e,
posteriormente, para orientá-lo com relação a alguns aspectos ligados à
segurança de dados, como a criptografia dos disquetes com os Boletins de Urna,
os quais são as tabelas públicas impressas que contêm o resultado
da apuração de cada urna. Porém, nunca houve um debate aberto no meio acadêmico
sobre como se informatizar com segurança toda uma eleição.
Questões polêmicas do projeto, como
a decisão de não se mostrar o voto impresso ao eleitor, que elimina a
possibilidade de auditoria da apuração, e a decisão de se fazer a identificação
do eleitor e a coleta do seu voto numa mesma máquina, que torna a
inviolabilidade do voto dependente da honestidade dos programadores, nunca
foram debatidas dentro de universidades brasileiras.
Por exemplo, o projeto da
Universidade Federal do Rio Grande do Sul oferecido ao TSE sugeria que a urna
eletrônica imprimisse o voto e o mostrasse ao eleitor "como mecanismo de segurança da votação" (Price, 1995). Além disso,
Camarão (1997, pg. 72, item IV b) informa que existia dentro do TSE uma
orientação inicial para o projeto da urna eletrônica de 1996 que dizia o
seguinte:
"Deverá ser resguardado o direito a (sic) fiscalização da votação e da apuração, bem como garantir a
conferência do resultado de cada Seção por meio da auditagem e da recontagem".
Mesmo assim o TSE decidiu eliminar
o voto conferido pelo eleitor e, por conseqüência, a possibilidade de auditagem
e conferência da apuração, sem nenhuma explicação pública ou debate aberto que
validasse esta decisão.
É por se entender que algumas
destas decisões tomadas internamente pelo TSE sobre o nível de segurança
oferecido pela urna eletrônica são no mínimo discutíveis, que se propõe que o
debate sobre a política de segurança do voto eletrônico seja trazido para
dentro das universidades brasileiras.
3. A LEGISLAÇÃO
ELEITORAL
O tema do voto eletrônico tem um lado
técnico em informática, quando se fala em segurança do sistema, mas envolve
também um lado legal e ambos devem ser
considerados. Assim, inicia-se a análise da urna eletrônica pela observação da
estrutura legal que a regulamenta, a qual é composta por Leis e Resoluções.
3.1 As Leis Eleitorais
A legislação eleitoral brasileira está
baseada na Lei 4.737 de 1965, que é bastante ampla.
Numa única lei se abrange todos os aspectos relativos ao
processo eleitoral e, por isto, ela é também conhecida por Código Eleitoral Brasileiro,
sobre o qual existem muitos livros, como (Ferreira, 1991). A amplitude desta lei é evidenciada pela
sua estrutura interna que é composta pelo seguinte:
· 5 partes
· 16 títulos
· 31 capítulos e 5 seções (subcapítulos)
· 383 artigos
A votação e a apuração estão na Parte
Quarta do Código Eleitoral e são cobertas pelo seguinte:
· 5 títulos
· 19 capítulos e 5 seções (subcapítulos)
· 152 artigos
Certamente o Código Eleitoral de
1965 não regulamenta nada sobre o voto eletrônico, pois este nem sequer existia
então. Apenas seu sucinto Artigo 152 prevê a utilização de
"máquinas de votar mediante a regulamentação
do TSE". O voto eletrônico propriamente dito é regulamentado por outra lei,
a Lei 9.504 de 1997,
mais especificamente, por apenas 6 dos seus 107 artigos.
Nota-se grande discrepância entre a
legislação do voto tradicional e do voto eletrônico no que diz respeito à
apuração do voto e a sua fiscalização. Enquanto a apuração do voto tradicional
é coberta por 37 artigos no Código Eleitoral e outros 11 na lei 9.504,
impondo-se o direito à auditagem e à livre fiscalização, descendo-se a detalhes
como a cor da caneta dos escrutinadores e a distância mínima entre estes e os
fiscais, o voto eletrônico tem a apuração regulada por apenas 2 artigos na Lei
9.504, a saber, Artigo 61 e Artigo 66.
Este pouco detalhamento da legislação sobre
o voto eletrônico é que permitiu que o TSE criasse uma urna eletrônica na qual
foi eliminada a possibilidade de auditagem e conferência da apuração por
fiscais dos partidos políticos! Enquanto o Código Eleitoral estabelece o direito
à conferência da apuração na votação tradicional, a Lei 9.504 é totalmente
omissa a este respeito com relação ao voto eletrônico.
Para diminuir este problema, o Senador
Roberto Requião, PMDB-PR, assessorado por participantes do
Fórum do Voto Eletrônico,
apresentou em 31 de março de 1999 o
Projeto de Lei do Senado - PLS 194/99
(Requião, 1999), onde novos artigos impõem que seja permitida a
conferência da apuração e impedem que a identificação do eleitor seja feita em
máquina conectada à urna eletrônica. Este projeto de lei está, no momento
(ago/99), sob análise da Comissão de Constituição e Justiça do Senado.
3.2 As Resoluções do TSE
Para regulamentar o voto eletrônico com mais detalhes, o TSE emitiu várias
Resoluções, entre elas as
de números 20.103, 20.105, 20.132, 20.195, 20.213 e 20.230, todas de 1998, acrescentando
mais 25 artigos sobre o tema. Assim, a maior parte da regulamentação do
voto eletrônico é feita por estas Resoluções, cuja existência leva a uma
questão jurídica relevante:
Durante as eleições de 1998, o voto eletrônico foi regulamentado, desenvolvido, implantado e
controlado pelo próprio TSE que, a este respeito, assumiu as funções legislativas, executivas e
judiciárias em evidente afronta ao princípio da tripartição dos poderes!
Quem quisesse contestar
juridicamente algum aspecto na implantação do voto eletrônico teria que
recorrer aos juizes do TSE pedindo que eles julgassem seus próprios atos,
baseados em leis escritas por eles mesmos!
Do ponto de vista técnico, estas
Resoluções sobre o voto eletrônico também carecem de melhorias. É nelas que se
encontram regulamentadas as duas defesas legais que pretendem dar segurança ao
voto eletrônico contra o software desonesto.
A Resolução 20.103/98 discorre
sobre a apresentação dos programas para análise por auditores indicados pelos
partidos políticos. A Resolução 20.105/98, por sua vez, regula os testes de
certificação das urnas preparadas para funcionamento. Mas, nas eleições de
1998, estas duas defesas legais foram burladas por interpretações "liberais"
destas regulamentações.
A Resolução 20.105/98 é muito vaga ao dizer
que os fiscais dos partidos poderão fiscalizar a "carga das urnas eletrônicas e conferir por amostragem até 3% das
máquinas". Além de não se explicar o porquê deste número mágico de 3%, ao
implementar na prática esta conferência, o conteúdo da urna eletrônica escolhida pelos fiscais era alterado com a carga
de um programa específico para o teste! Após o teste, a urna voltava a
ser carregada com o programa real de votação. Do ponto de vista estritamente
técnico, nas eleições de 1998, devido a uma interpretação bastante
liberal da lei, o programa real de votação contido na urna eletrônica jamais foi
testado por nenhum fiscal de partido político para verificar se
desviava votos!
Já a Resolução 20.103/98 afirma que os
partidos políticos terão "garantido o conhecimento
dos programas de computador a serem utilizados". Além da natural diferença entre
programas-fonte e compilados, o TSE classifica os programas contidos na urna em
Sistema Operacional, Rotinas de Detecção de Periféricos, Software Básico de
Gerenciamento e diversos Softwares Aplicativos, entre eles o de Apuração e o de
Teste. Como na Resolução é confuso o uso das expressões "Sistema de Totalização de Votos", "Sistema de Apuração" e "Sistema
de Totalização de Resultados" não fica claro que programas da urna os
fiscais dos partidos terão direito a auditar. Isto tudo resultou que, na
prática, nenhum auditor externo ao TSE analisou ou conheceu, na íntegra, os
programas reais contidos na urna eletrônica!
4. GARANTIA DE UM SOFTWARE HONESTO
Viu-se que as regras legais para validação
e certificação, por auditores externos ao TSE, do software carregado na urna
eletrônica, que davam aos fiscais dos partidos o acesso aos programas e o
direito de testar 3% das urnas, não foram postas em prática de forma
tecnicamente correta.
Poder-se-ia pensar que bastaria colocar
estas defesas legais em prática de forma correta e ter-se-ia uma urna segura,
mas esta conclusão também deve ser melhor ponderada. São estas defesas legais
suficientes?
A solução escolhida pelo TSE para o
funcionamento da urna eletrônica não permite a conferência da apuração via
recontagem dos votos impressos, os quais teriam que ser vistos e aprovados pelo
eleitor para que a conferência tivesse algum sentido lógico.
Sem a conferência da apuração, a única
forma que resta para dar garantia ao eleitor de que seu voto será dado ao
candidato escolhido seria garantir que os programas contidos nas urnas são
honestos e não desviam votos. Para tanto, não basta que os fiscais dos partidos
tenham conhecimento apenas do programa-fonte do software aplicativo de
apuração. Eles têm, adicionalmente, que validar os programas compilados por
meio de análise e testes exaustivos e têm que se certificar que os programas
carregados nas urnas foram gerados pela compilação dos mesmos programas-fonte que foram validados,
pois um vício de programação pode ser inserido nos seguintes momentos:
· No programa-fonte antes da compilação
· Durante a compilação
· Durante a ligação com bibliotecas externas
· Depois de compilado
Este é um caso em que não se recomenda a
validação estatística. Assim, os fiscais dos partidos e os auditores externos
ao TSE teriam que realizar no mínimo as seguintes atividades:
·
Conhecer tecnicamente o programa-fonte de todas as bibliotecas de funções, TSRs e
gerenciadores de dispositivos utilizados.
·
Conhecer tecnicamente o fonte do próprio programa compilador e acompanhar todas as
compilações.
·
Conhecer tecnicamente e conferir todo o conteúdo da máquina onde for feita a compilação
e que esta esteja lacrada quando fora de uso.
·
Lacrar o programa-fonte analisado e todos milhares de disquetes de carga com o programa
compilado e as tabelas de dados.
·
Acompanhar a carga de
todas urnas (em torno de 220.000 no ano 2000).
·
Lacrar também as urnas eletrônicas assim que fossem carregadas.
·
Proteger as urnas lacradas contra acesso físico depois de lacradas.
A lacração de programas gravados em
meio magnético normalmente é feita por meio dos chamados "hashing totals", mas
deve-se lembrar que este recurso não são formas matematicamente 100% seguras de
lacre.
Certamente, para realizar essas atividades
com efetividade, qualidade e segurança, os fiscais e auditores devem ser técnicos altamente qualificados e dispor de
tempo para analisar todo este material. Como os programas das urnas são carregados
parte no fabricante (software básico) e parte nos Cartórios Eleitorais de cada
cidade (software aplicativo e tabelas), os fiscais dos partidos teriam que
correr todo o território nacional para acompanhar a carga, teste e lacração das
urnas.
Não se tem o número exato, uma vez
que o TSE não publicou, mas pode-se estimar com boa margem segurança que em
1998 os fiscais dos partidos não acompanharam a carga nem de 0,1% das quase
170.000 urnas eletrônicas. Além disso, em 100% das urnas esta carga foi feita
com disquetes não auditados nem lacrados pela fiscalização.
Enfim,
o processo de auditagem, validação e
certificação do conteúdo real urnas eletrônicas começa a ficar tão grande, caro
e complexo que acaba se tornando impraticável.
Os partidos políticos não dispõem de verba
para bancar uma auditoria dessa proporção e certamente os cinco dias que a lei
dispõe aos partidos para avaliarem "os
programas de apuração e totalização" não são suficientes. Assim, devido às
dificuldades práticas, o processo de validação e certificação do conteúdo das
urna eletrônicas de 1998 por
auditores externos ao TSE não foi, ou não pôde ser, implementado de forma
eficaz o que indica que a certificação do software nas urnas, como defesa
contra o software desonesto, não é suficiente para garantir ao eleitor seus
direitos à inviolabilidade e justa apuração dos votos.
Adicionalmente, outras defesas lógicas,
além da validação e certificação contra programas desonestos na urna
eletrônica, devem ser implementadas.
5. AS ETAPAS DE UMA
VOTAÇÃO
A partir do momento que o eleitor
se apresenta para votar, o processo de uma eleição pode ser dividido nas
seguintes etapas:
· Identificação do Eleitor
· Votação Secreta
· Apuração de cada urna
· Totalização dos votos
Apenas para se fixar a diferença,
não se deve confundir a
apuração, contagem dos votos de uma
urna, com a totalização, soma dos votos de todas as urnas. São processos
diferentes, que ocorrem em momentos e locais diferentes.
Cada uma destas etapas tem seus
próprios ritos de segurança e brechas para fraude. Vamos analisar quais são
estas brechas e defesas em relação ao voto tradicional ocorrido na eleição de
1994 e ao voto eletrônico da eleição de 1998 no Brasil.
5.1 A Eleição Tradicional
A Figura 1, a seguir, apresenta as etapas e o
fluxograma dos dados numa eleição tradicional, evidenciando os pontos de controle do processo,
isto é, os pontos onde agentes independentes e externos ao TSE têm acesso a dados
públicos para auditagem de cada etapa.
Na etapa de identificação do eleitor existem fraudes como a
falsificação de documentos e de registros eleitorais. Por outro lado, como o
eleitor recebe a cédula vazia, pode verificar que o conteúdo do seu voto não
poderá ser violado, ou seja, na cédula que o eleitor recebe não está escrito
nada que permita a sua identificação.
Na etapa de votação, vários tipos
de fraudes eram possíveis, como o voto-de-cabresto, a indução do voto pelos
mesários ou a votação destes por eleitores que faltaram. O controle externo
aqui era exercido pelos fiscais sobre os mesários e pelo próprio eleitor ao
preencher a célula, pois ele automaticamente constatava que o documento público
que passava a informação desta para a próxima etapa, a cédula preenchida,
assinalava o seu candidato e não continha a sua identificação.
Na etapa de apuração deve-se
proceder à soma dos votos de cada urna para preencher os Boletins de Urnas
(BU), que são os documentos públicos de passagem de informação para a etapa
seguinte. Também aqui vários tipos de fraude ocorriam, como a troca de votos
dentro da urna, a troca ou extravio da própria urna, o preenchimento ou
adulteração de votos pelos escrutinadores ou a adulteração dos BU antes da sua
publicação.
A área circundada, que contém a Votação e
a Apuração na Figura 1, evidencia a região mais sujeita a fraudes no voto tradicional.
As defesas do eleitor contra estas fraudes eram sempre a garantidas por lei: o direito de
fiscalizar a votação e a apuração e o direito de se pedir a recontagem de votos
quando houvesse dúvidas fundamentadas, que são direitos do eleitor mas são
exercidos pelos partidos políticos, como representantes legais dos eleitores
para efeito de fiscalização.
Na etapa da totalização dos votos o
TSE deve somar os votos indicados nos BU e publicar o resultado da eleição.
Esta foi a primeira etapa a ser informatizada no Brasil já no sistema de voto
tradicional. Nesta etapa se possui um método de controle bastante eficaz contra
a fraude na totalização. Por força de lei, os partidos políticos recebem uma
cópia impressa dos BU e podem, se quiserem, fazer a conferência da totalização
por conta própria, somando o conteúdos de todas as BU e comparando com o
resultado publicado pelo TSE.
É tão forte esta defesa contra
fraudesque foi através dela que, no
Rio de Janeiro em 1982, se descobriu e evitou o erro na totalização que ficou
conhecido como Caso Proconsult. Neste artigo não
se analisa os demais aspectos da segurança na totalização por se considerar que
nesta etapa a segurança está estruturalmente bem cuidada pela lei.
5.2 A Eleição Informatizada Brasileira
Em 1994 o Ministro Carlos Velloso
assumiu a Presidência do TSE e estabeleceu como uma das suas metas implantar o
voto eletrônico por completo no Brasil. No seu discurso de posse disse o
seguinte:
"…
essas fraudes serão banidas do processo eleitoral brasileiro no momento
em que eliminarmos as cédulas, as urnas e os mapas de urna, informatizando o
voto."
A visão do Ministro Velloso é a de um
excelente jurista, mas tem uma percepção imprecisa da informática. Ao se
eliminar "a cédula, as urnas e os mapas
eleitorais (BU)" não sobra muito para se auditar a apuração. Parece ter-lhe
faltado a noção de que fraudes são potencialmente mais danosas em sistemas
informatizados, como afirmou o seu próprio Secretário de Informática (Camarão,
1997, pg. 160):
"A
introdução da informática nos sistemas eleitorais exige cuidados
complementares, sobretudo se considerarmos que o volume da fraude, se
utilizarmos um sistema sem controles, pode ser exponencialmente maior."
Tentando eliminar todos os focos de
fraude identificados pelo Ministro Velloso, o TSE decidiu juntar as três
primeiras etapas de uma eleição - a identificação, a votação e a apuração - num
único local e equipamento: a urna eletrônica brasileira.
Precisa ser destacado que esta
unificação das três etapas é característica da urna brasileira. No resto do
mundo democrático onde se informatizou a votação, não ocorre esta tripla
integração! Em especial,
em nenhuma democracia tradicional deixou de existir o voto impresso, nem a identificação
e a votação são feitas no mesmo equipamento.
A Figura 2 apresenta o fluxograma
de dados e controles da implementação da urna eletrônica brasileira, que agrupa
as três primeiras etapas de uma eleição num só processo, eliminando os
documentos públicos intermediários entre elas, visto que eram entendidos como
fontes de fraudes. Não tem mais cédula, não tem mais urna e apenas o BU não
pode ser eliminado.
Como resultado da eliminação destes
documentos, eliminou-se também os controles que se fazia através deles. Uma vez que a
certificação de um software honesto na urna não foi obtida, ocorreu o seguinte:
·
O eleitor perdeu a garantia de que seu voto não seria identificado e não tem como saber
se seu voto foi dado para o candidato escolhido.
·
Os partidos não tiveram como conferir a apuração e, assim, não podem mais pedir a
recontagem dos votos!
Na etapa de identificação do
eleitor, as mesmas fraudes que existiam
no voto tradicional, como a falsificação de documentos e de registros
eleitorais, continuaram existindo com o voto eletrônico, mas a elas foi
acrescida a grave possibilidade de violação sistemática do voto por um programa
desonesto, que antes não existia.
Na etapa de votação diminuiu-se
bastante a fraude conhecida como voto-de-cabresto, mas manteve-se a
possibilidade de indução do voto e de mesários votarem por eleitores ausentes.
O TSE adotou a identificação eletrônica conectada a urna para eliminar este
tipo de fraude apesar dela "aumentar os
custos do sistema" (Camarão, 1997, pg. 81, item 1) mas o problema não foi
resolvido e os custos aumentaram inutilmente.
Por outro lado, eliminou-se o voto
em separado, que permitia que eleitores especiais, como militares em serviço,
autoridades e candidatos, pudessem votar em outra seção eleitoral que não a sua
própria, e impediu-se a existência de mais de uma urna por seção, fazendo que
eleitores lentos prendessem os demais em fila. No 1º turno de 1998, onde se
votava para cinco cargos diferentes, formaram-se filas de espera de mais de 3
horas e em algumas seções o horário de votação teve que ser prorrogado até as
20 h. Este problema não se deve ao despreparo dos eleitores como chegou a ser
alegado, mas sim à existência de apenas uma urna por seção, que é imposta pela
identificação eletrônica integrada à urna visto que tecnicamente só pode haver
um único centro eletrônico de identificação por seção.
Na etapa de apuração, foram
eliminadas as fraudes de troca e adulteração de votos e se acelerou
consideravelmente o processo. Mas é aqui que foram introduzidas as duas maiores
falhas de segurança do voto com a urna eletrônica:
1- O eleitor não tem como conferir se seu voto foi apurado corretamente ou se foi desviado.
2 - Não existe forma de se auditar a apuração.
A etapa de totalização, após publicação da
BU, é equivalente à votação tradicional e os partidos podem auditá-la da mesma forma.
6. AS FALHAS APONTADAS
Resumindo o que foi mostrado nas
seções precedentes, lista-se a seguir as principais
falhas de segurança no
projeto e implantação da urna eletrônica brasileira:
1 - A legislação sobre o voto eletrônico é pouco detalhada, permitindo interpretações
"liberais" que desvirtuam a segurança.
2 - O conhecimento apenas dos programas-fonte pelos técnicos dos partidos
não valida o software real carregado na urna.
3 - A ausência de fiscalização externa ao TSE na compilação e carga dos programas.
4 - O teste de certificação das urnas é invalidado pela alteração do conteúdo da urna
antes e depois do teste.
5 - É impossível se proceder à fiscalização ou recontagem da apuração de uma urna.
6 - O eleitor não tem como conferir se o seu voto foi dado ao candidato escolhido.
7 - O conteúdo do voto e a identificação do eleitor estão disponíveis simultaneamente
na mesma memória de computador.
8 - O TSE não permitiu que fossem feitos nem auditoria nem testes com o
programa real da urna em funcionamento normal.
7. AS SOLUÇÕES
PROPOSTAS
Para resolver estas falhas propõe-se o
esquema da Figura 3, que foi desenvolvido depois de debates no
Fórum do Voto Eletrônico.
Este fluxograma é praticamente
idêntico ao da Figura 1. A diferença é que a área circundada que identificava os
pontos inseguros no voto tradicional é substituída pela nova Urna Eletrônica
Segura, que é assim chamada pelo seguinte:
·
Inibe o voto-de-cabresto.
·
Inibe as fraudes na apuração.
·
Permite ao leitor conferir para quem foi dado o seu voto.
·
Elimina a possibilidade de violação do voto atenuando a vulnerabilidade do eleitor à
pressão psicológica.
·
Permite a recontagem e conferência da apuração quando necessário.
·
Permite a auditoria de urnas durante o seu funcionamento.
Esta nova urna segura unifica
apenas duas etapas do processo eleitoral, a Votação e a Apuração, mantendo prudentemente isolada a etapa de
Identificação do Eleitor, inibindo qualquer possibilidade de violação
sistemática do voto.
Apesar de isolada, a Identificação do
Eleitor também poderia ser feita com o auxílio de máquinas eletrônicas desde
que estas não permitam a gravação da ordem de chegada dos eleitores em memória
permanente e, obviamente, não tenham conexão elétrica ou eletrônica com as
máquinas que forem receber os votos. Mas não se vislumbra vantagem em utilizar
a eletrônica na identificação do eleitor uma vez que a Folha de Votação nunca
poderá ser eliminada, conforme acabou constatando Camarão (1997, pg. 81, item
1). A Folha de Votação é a lista impressa, enviada a cada Seção Eleitoral, com
os dados dos eleitores e com os seus comprovantes de comparecimento, utilizada
para a identificação do eleitor e controle de quem já votou.
Uma vez identificado e liberado
para votar, o eleitor recebe uma cédula vazia, que até poderia servir como
senha liberadora da urna para receber um novo voto. O voto, depois de
confirmado pelo eleitor, seria impresso nesta cédula.
As cédulas preenchidas com o voto
devem primeiro ser mostradas para conferência pelo eleitor, para depois serem depositadas
automaticamente
numa urna convencional sem que o eleitor a manipule, evitando-se o voto-de-cabresto.
Estas urnas convencionais serão apuradas na sua totalidade ou apenas em parte,
dentro de uma programação de auditoria do software
real
da urna.
Desta forma se unem as vantagens do voto
tradicional, a saber, a impossibilidade de violação do voto e a possibilidade
de auditoria da apuração, com as vantagens do voto eletrônico, a saber, a
rapidez na apuração, a inibição do voto-de-cabresto e das fraudes na apuração.
Também são eliminados alguns defeitos da urna eletrônica, como a necessidade de
preparação diferente para seções diferentes e a impossibilidade de múltiplas
urnas por seção.
Quase todas estas características aqui
propostas foram incorporadas ao Projeto de Lei do Senado,
PLS 194/99
(Requião,1999), pelo Senador Roberto Requião, que optou pela conferência parcial com a
recontagem dos votos impressos de 3% das urnas, a serem escolhidas pelos
fiscais dos partidos políticos, para efeito de auditoria.
8. CONSIDERAÇÕES SOBRE O VOTO ELETRÔNICO
A análise aqui feita sobre a urna
eletrônica brasileira pode ser estendida para o voto eletrônico em geral,
inclusive para o voto pela Internet.
O problema da identificação do eleitor no
mesmo equipamento que recebe o seu voto é importante e é praticamente
impossível se garantir que a violação do voto nunca irá ocorrer, seja por meio
de invasores externos ou por agentes internos desonestos que programem a
violação. Outros problemas na identificação do eleitor, como cadastros falsos,
não são resolvidos pelo voto eletrônico.
O problema da ausência de um comprovante
impresso do voto também é grave. Esta ausência elimina a possibilidade de
auditoria da apuração. Algumas soluções já foram propostas, tais como:
· Certificar o programa utilizado
· Gravar o voto virtual com uma assinatura eletrônica do eleitor
·
Publicar o voto junto com uma senha de conhecimento apenas do eleitor
Mas estas são sugestões que acabam
falhando em garantir a honestidade da apuração ou falham em garantir a
inviolabilidade do voto. Isto reforça a necessidade de se manter o voto virtual
e o voto impresso em paralelo, mas daí surge a dúvida sobre o que fazer quando
houver divergência entre eles.
Já o voto pela Internet apresenta problemas
adicionais, tais como:
· A volta do voto-de-cabresto, uma vez que não há como se fiscalizar todos os pontos de votação
· O mau uso da assinatura eletrônica por terceiros
· O controle para se garantir que cada eleitor vote apenas uma vez.
Recentemente a Sra. Deborah M. Phillips,
presidente do The Voting Integrity Project,
publicou uma longa avaliação denominada
“Are We Ready for Internet Voting?”
(Phillips, 1999), onde enumera os problemas não resolvidos e alerta contra a
precipitação dos estados que estão querendo implantar o voto pela Internet.
Também continuam abertas diversas questões
econômicas e jurídicas, tais como:
·
É conveniente financiar o projeto da urna eletrônica com capital externo, visto que aumenta a
dívida externa sem melhorar nossa produtividade e sem diminuir o chamado
custo Brasil?
·
Quem banca o custo de cartórios eleitorais on-line de assinaturas eletrônicas?
·
Quem paga a auditoria externa?
·
A acumulação de poderes pelo TSE numa eleição atende ao ideal democrático?
·
Quem representa o eleitor numa auditoria?
·
A quem cabe o ônus da prova da segurança da urna? Ao TSE ou ao eleitor que a conteste em juízo?
Enfim, adaptando-se o pensamento da Sra.
Kim Alexander, presidente da California
Voter Association e membro da "California Internet Voting Task Force", que é uma comissão
governo californiano para estudo do voto pela Internet, publicado pelo jornal
The New York Times no dia 14 de agosto de 1999, pode-se dizer:
"Se você pensa em informatizar o voto por cinco minutos, você pondera: 'Por que
não?'. Mas se você pensa por algumas horas você acaba descobrindo uma porção de
razões do porquê não."
9. CONCLUSÃO
Todas estas questões não resolvidas sobre o
voto eletrônico levam à conclusão de que o Brasil não está na linha de frente da
tecnologia de informatização do voto e sim que ultrapassou esta linha de forma
imprudente e precipitada.
Depois da implantação parcial da urna
eletrônica em 1996 e 1998, o TSE já vem dando andamento à terceira fase da
implantação do voto eletrônico no Brasil, que prevê a utilização da urna
eletrônica em todas as seções eleitorais do Brasil na eleição do ano 2000. Em
Maio de 1999 o TSE publicou o
Pré-edital
de Especificação da Urna Eletrônica 2000, onde todas
as falhas aqui apontadas continuam presentes, pois o TSE tem ignorado
por completo o projeto de lei PLS 194/99 e as sugestões do Fórum do Voto Eletrônico.
É chegada a hora da
comunidade acadêmica brasileira assumir a responsabilidade de discutir a
política de segurança do voto eletrônico, sob pena de deixarmos para os nossos
filhos um Brasil com um arremedo de democracia, onde o eleitor não tem como
saber em quem votou e a oposição é impedida de conferir a apuração dos votos,
como hoje já está ocorrendo.
AGRADECIMENTOS
O autor agradece a colaboração dos colegas
Dr. Daniel Kao Sun Ting (IPEN-USP) e
Eng. José Claudio Barmak (TD Tecnologia Digital)
pela discussão e revisão deste trabalho, ao
Prof. Dr. José Sidnei Colombo Martini (PCS-EPUSP)
pela ajuda para trazer este tema para dentro da universidade brasileira, a todos os assinantes do
Fórum do Voto Eletrônico
na Internet, que nos últimos dois anos e meio contribuíram com as opiniões e sugestões
que enriqueceram a tese ora apresentada e à amiga e companheira
Ingrid Fernandes Zamboni pelo estímulo e
paciência ao longo deste tempo.
REFERÊNCIAS
BIBLIOGRÁFICAS
CAMARÃO, Paulo César Bhering.
O Voto Informatizado: Legitimidade Democrática. - São Paulo: Empresa das Artes, 1997.
FERREIRA, Pinto.
Código Eleitoral Comentado. - São Paulo: Editora Saraiva, 1991.
PHILLIPS, Deborah M.
Are We Ready for Internet Voting?. - Arlington, VA, USA: The Voting Integrity Project, 1999.
PRICE, Roberto Tom.
Votação Informatizada: Projeto UFRGS. - Porto Alegre: Instituto de
Informática da Universidade Federal do Rio Grande do Sul, 1995.
REQUIÃO, Roberto.
PLS 194/99 – Projeto de Lei do Senado. - Brasília: Senado do Brasil,
1999.
