Urna eletrônica pode ser fraudada?

A urna eletrônica usada no Brasil não é totalmente confiável, está sujeita a fraudes internas e externas e não permite auditoria, segundo especialistas ouvidos peloUOL. Isso significa que seu voto pode ir a outro candidato e não necessariamente o crime será descoberto.

No último teste público do equipamento promovido pelo TSE (Tribunal Superior Eleitoral), em 2012, uma equipe de especialistas em computação da UnB (Universidade de Brasília) descobriu uma lacuna no sistema de segurança. O tribunal não permitiu novos exames públicos e não respondeu por que não realizou mais avaliações. 

\"Atualmente votamos com confiança incondicional na autoridade eleitoral e seus processos, algo que não faz qualquer sentido do ponto de vista de segurança\", afirmou Diego Aranha, professor de computação da Unicamp (Universidade Estadual de Campinas) e da UnB, que liderou o grupo de especialistas em segurança e tecnologia da informação que encontrou a brecha na urna.

O grupo conseguiu quebrar o sigilo da urna e desembaralhar a ordem dos votos fictícios registrados  no equipamento. \"Em um sistema com registro puramente eletrônico dos votos, como o brasileiro, há o perigo constante de fraude em larga escala via software e sem possibilidade de detecção. Uma fraude sofisticada pode inclusive eliminar os próprios rastros, tornando-se indetectável até em uma auditoria posterior nas memórias internas dos equipamentos\", explicou Aranha.

Para o professor Pedro Rezende, do Departamento de Ciência da Computação da UnB, a votação no Brasil continua podendo ser fraudada mesmo depois de ser informatizada. \"Não há sistema informatizado invulnerável. Qualquer interessado em fraudar um complexo sistema informatizado buscará o caminho que lhe ofereça melhor relação entre o esforço ou dificuldade de execução, e o risco de ter o efeito da fraude desvelado e anulado ou a sua autoria rastreada e punida.\"

 Questionado sobre a segurança da urna brasileira, o TSE (Tribunal Superior Eleitoral) tergiversou. \"A confiabilidade não é determinada pela razão, mas pela percepção que uma ou mais pessoas têm sobre algo (equipamento, processo, governo, cliente, fornecedor, etc). No entanto, a segurança deve ser garantida por barreiras impostas tendo como base a realidade e não em aspectos subjetivos da percepção\", afirmou Giuseppe Janino, secretário de Tecnologia de Informação do tribunal.

O TSE também afirmou que tem buscado bloquear possíveis ataques, mas reconhece que \"tais barreiras nem sempre \'garantidamente\' impedem uma fraude\". Segundo Janino, o fraudador \"com grande margem de certeza\" deixa marcas que permitem sua identificação. O secretário, no entanto, não explicou que meios utiliza para manter a segurança dos dados nas eleições e fiscalizar supostas sabotagens nas urnas. Também não informou o percentual do que chama de \"margem de certeza\".

Críticas e modelos de urnas

Uma das recomendações dos membros do Fórum do Voto Eletrônico é a introdução do voto impresso complementar para que o eleitor possa conferir se seu voto foi registrado corretamente na urna para permitir a auditoria independente da apuração do TSE. A iniciativa ocorre na Argentina, Israel, Estados Unidos, Equador, Bélgica, Canadá e Peru, de acordo com os especialistas.

A Justiça Eleitoral brasileira implantou a urna eletrônica em 1996 e utiliza desde então um modelo de equipamento que os especialistas em segurança da informação chamam de sistema de 1ª geração, que é exclusivamente eletrônico. Já foram criadas as de 2ª e 3ª geração, que incluem uma versão impressa auxiliar ao meio eletrônico.

O equipamento usado no Brasil é do modelo DRE (Direct Record Electronic) foi criado em 1991. Ele conta votos eletronicamente, mas não permite a verificação ou a recontagem independente de software. Isso quer dizer que se a votação ou a apuração for violada dificilmente será identificada e sua auditoria não é possível, apontam especialistas.

Há também equipamentos de 2ª geração como o modelo VVPT (Voter-Verifiable Paper Audit Trail) criado em 2000. Esse sistema exige um registro impresso do voto digital para que seja possível uma auditoria independente do software da máquina. \"Alguns tipos de urna requerem o registro material [de papel] na entrada da coleta eletrônica, onde uma cédula é escaneada, enquanto outros geram o registro material como saída, imprimindo uma cédula correspondente ao voto digital coletado\", explicou Rezende. Segundo o professor da UnB, esse modelo é passível de sabotagem também porque se houver discrepância entre a contagem eletrônica, automática, e a física, com o papel do voto, a auditoria não consegue  descobrir qual delas foi violada.

Os especialistas destacam o modelo E2E (End-to-End auditability) que é de 3ª geração como o mais transparente. Essas máquinas começaram a ser usadas em 2006 na Argentina e em regiões dos Estados Unidos. O modelo concentra as duas versões de voto, a impressa e a digital. O voto é eletrônico, mas gera um papel com voto e um chip com o registro do voto eletrônico. Assim, caso haja alguma discrepância entre uma contagem eletrônica e do voto impresso, é possível identificar a origem do erro ou da fraude.

\"Votação puramente eletrônica e votação puramente em papel são sistemas vulneráveis a vários ataques. Combinar as duas tecnologias exige que o fraudador seja capaz de manipular não apenas as cédulas eleitorais, mas também a contagem eletrônica de votos, para que ambos os registros sejam compatíveis, o que termina por aumentar o custo de ataque substancialmente\", afirmou Aranha. \"A imensa maioria das máquinas de votar em operação em outros países obedecem a esses princípios, para que os resultados não dependam unicamente do software de votação. Em sistemas com registro físico dos votos, tentativas de manipular o resultado se tornam visíveis, e, portanto passíveis de detecção por eleitores ou fiscais de partido.\"

Os especialistas consultados pelo UOL explicam que a fraude no sistema exclusivamente eletrônico é difícil de ser identificada porque não há outra maneira de contagem de votos que identificaria um erro ou sabotagem. Se o voto eletrônico fosse combinado com o impresso seriam duas contagens que precisariam ser correspondentes e uma funcionaria como auditoria da outra. Em caso de fraude, ficaria muito mais difícil ao responsável pela sabotagem corromper os dois meios de votação, impresso e eletrônico.

\"Uma solução interessante é adotada na Argentina: cada cédula de votação carrega o registro impresso (para verificação pelo eleitor) e eletrônico (para apuração rápida) de um voto individual\", defendeu Aranha.

 FONTE: Bruna Borges
Do UOL, em Brasília