'Não há evidênciabet dofraude': Diego Aranha, professor defensor do voto impresso, rebate discurso bolsonarista:bet do

Depois, uma amostra estatisticamente relevante poderia ser conferida com o resultado eletrônico para auditar a votação.

Ele ressalta, porém, que esse procedimento melhoraria a auditagem da etapabet dovotação na urna. A fasebet docontabilizaçãobet dovotos, diz, já é perfeitamente auditável, o que desmonta, segundo ele, os argumentosbet doBolsonaro sobre suposta fraude na contabilização dos votos na eleição presidencialbet do2014, quando Dilma Rousseff (PT) derrotou Aécio Neves (PSDB).

"Não faz sentido, primeiro, sugerir um mecanismo (de voto impresso) com discursobet dofraude, porque isso contamina a origem do debate. E,bet dosegundo lugar, sugerir o voto impresso como maneirabet docoibir fraudes na transmissão e na totalização, onde já existe um procedimentobet doauditoria que funciona. Então esses dois pontos comprometem o debate como ele vem sendo discutido hoje", critica.

Para o professor, a adoção do voto impresso é positiva como ferramenta para neutralizar rapidamente discursosbet do"alegações vaziasbet dofraude" como obet doBolsonaro ou o adotado pelo ex-presidente americano Donald Trump, após perder a eleição para Joe Biden no ano passado.

Ele ressalta, porém, que jamais defendeu que todos os registros sejam contados um a um pelo Brasil, como propõem os bolsonaristas. Além disso, Aranha reforça que a implementação do voto impresso teria que ser gradual, começando com testesbet dopoucas urnas, sendo impossívelbet doadoção segura para a eleição presidencialbet do2022.

Quando era professor da Universidadebet doBrasília (UnB) e da Universidade Estadualbet doCampinas (Unicamp), Aranha participoubet dotestesbet dosegurança das urnas eletrônicas promovidos pelo Tribunal Superior Eleitoral (TSE)bet do2012 e 2017. Na ocasião, equipes coordenadas por ele identificaram vulnerabilidades no sistema, posteriormente corrigidas pela Corte.

Foi essa experiência que o tornou defensor do voto impresso, recurso que é usadobet dooutros países com sistema eletrônico, como Índia e parte dos Estados Unidos. Já o TSE afirma que o sistema brasileiro tem inúmeras etapasbet dosegurança e auditagem, que asseguram a integridade das eleições.

Alémbet docriticar os bolsonaristas, Aranha também faz ressalvas à atuação da Corte Eleitoral, como a posturabet donegar as evidências técnicasbet dovulnerabilidade produzidas nos testes.

A proposta do voto impresso se tornou nas últimas semanas o epicentrobet douma crise institucional, com Bolsonaro atacando ministros do TSE e do Supremo Tribunal Federal. Em reação, as duas Cortes abriram investigações contra ele, uma delas com potencialbet dobarrar o presidente da eleiçãobet do2022.

Nesta terça-feira (10/08), uma propostabet doemenda à Constituição (PEC) deve ser votada na Câmara dos Deputados para tentar implementar o voto impresso no próximo pleito, mas a expectativa é que será rejeitada.

Confira a seguir os principais trechos da entrevista com Aranha.

bet do BBC News Brasil - bet do O senhor bet do é um antigo defensor do voto impresso, mas tem criticado a forma como a pauta é defendida por Bolsonaro e seus apoiadores. Gostaria que explicasse o que é o voto impresso que defende e por que considera que essa mudança seria positiva.

bet do Diego Aranha - Essa é uma questão que foi discutida por um bom tempo na comunidade técnico-científica, e aí eu incluo tanto a prática internacional do voto eletrônico, mas também pesquisadoresbet dooutros países que trabalham no tema, e nós adotamos uma definição chamada princípiobet doindependência do software.

Então, o sistemabet dovotação é considerado transparente e seguro se os resultados produzidos por aquele sistema podem ser verificadosbet domaneira independente do software. A justificativa para se fazer isso é que se você utiliza registros eletrônicos que são produzidos por um software,bet dorepente se esse software foi adulterado pra se comportarbet domaneira maliciosa, pode ser que os registros produzidos por ele não sejam mais íntegros. Então, não faria sentido utilizar esses registros para auditá-los.

Essa noção determina a práticabet dovoto eletrônicobet dotodos os países do mundo que utilizam máquinasbet dovotar,bet doparticular para eleições nacionais, e é o que tem sido proposto desde os anos 1990 para adoção no caso brasileiro. E o debate foi evoluindo na medidabet doque houve tentativas (preliminaresbet do2002)bet doimplementação desse registro pelo próprio TSE. Houve a aprovaçãobet doleis que determinavam a implantação desse registro ao longo do tempobet domúltiplas ocasiões (não foi adotado porque o STF declarou essas leis inconstitucionais), e ultimamente esse debate ganhou contornos,bet docerta forma, político-partidários, que distorceram a versão original do debate.

Então, a versão que pesquisadores defendem é que sistemasbet dovotação devem ter um registro físico para que uma vulnerabilidade não detectada na tecnologia que dá suporte a esse sistemabet dovotação não possa produzir erros ou falhas indetectáveis nos resultados.

Na maioria dos países que também utilizem voto eletrônico e têm uma população grande e alguns desafios como o caso brasileiro, essa implantação também demorou muito tempo. Você observa o caso da Índia e o caso dos Estados Unidos, há processos da ordembet douma década para se migrarbet dosistemasbet dovotação eletrônicos que não tinham registro físico do voto para sistemas com algum tipobet doregistro físico do voto.

E, nesse processo, evidentemente, (teve que) resolver questõesbet dousabilidade, determinar quais são os protocolosbet doauditoria para se utilizar essa evidência física para se confirmar resultados eletrônicosbet doeleição e assim por diante. Isso é algo muito importante e não faz sentido se considerar uma experiênciabet douma eleição para outra, (que) num período muito curto essa alteração fosse realizada.

A ideia é o eleitor, ao votar, poder observar a produçãobet doum registro físico com as suas escolhas que seja verificávelbet domaneira independente e que permaneça na seção eleitoral. Obviamente, o eleitor não leva esse registro físico consigo porque isso violaria o sigilo do voto. Esse registro permanece na seção eleitoral para uma eventual auditoria, uma conferência com o registro eletrônico, muitas vezes por amostragem, para que esse procedimentobet doauditoria seja eficiente.

bet do BBC News Brasil - Qual é abet dodivergência com o discurso bolsonaristabet dodefesa do voto impresso hoje?

bet do Aranha - O voto impresso, ou qualquer registro físico implementado num sistemabet dovotação, é implementado para transparência, para que seja possível uma auditoria do resultado eletrônicobet domaneira acessível, por auditores, inclusive sem especialização.

O que é muito complicado nessa última proposta do voto impresso no Brasil é que foi introduzida e vem sendo discutida sob a justificativabet doque há fraude. E o país acompanhou na última semana (no dia 29bet dojulho) uma apresentação (do presidente Bolsonaro) onde a ideia era apresentar evidênciasbet dofraude.

Há dois grandes problemas aí (na argumentaçãobet doBolsonaro): a questãobet doserem evidênciasbet dofraude ou não, e serem evidênciasbet dofraude num ponto do processobet dovotaçãobet doque o voto impresso faria alguma diferença (como a fasebet docontabilização dos votos).

Esse procedimento (o voto impresso) faz sentido para auditoria do procedimentobet docoleta dos votos. A ideia é auditar o comportamento do softwarebet dovotação quando o eleitor deposita seu voto numa máquinabet dovotar, numa urna eletrônica no caso brasileiro. Então, desse pontobet dodiante, após a máquinabet dovotar produzir um conjuntobet doresultados parciais para aquela seção eleitoral, que no caso do Brasil é chamado boletimbet dourna, o voto impresso já não faz mais sentido.

O procedimentobet dotransmissão da versão eletrônica do boletimbet dourna ebet dototalização desses boletinsbet dourna do país inteiro, das parciais do país inteiro para produzir o resultado oficial, esse é um procedimento posterior que já é auditado no Brasil, exatamente usando essa mesma ideia da comparação do boletimbet dourna físico com o boletimbet dourna digital, um impresso pela urna no dia da eleição com outro recebido pelo TSE após a eleição.

Essa confrontação é um processobet doauditoria independente. Se a gente olha para o processo eleitoral, há duas fasesbet doque os resultados são produzidos: a fasebet dovotação, onde o voto impresso funciona com um mecanismobet doauditoria, e a fasebet dotransmissão e totalização que é posterior, onde a confrontação do boletimbet dourna impresso com o boletimbet dourna digital funciona com um mecanismobet doauditoria.

Não faz sentido, primeiro, sugerir um mecanismo com discursobet dofraude, porque isso contamina a origem do debate. E,bet dosegundo lugar, sugerir o voto impresso como maneirabet docoibir fraudes na transmissão e na totalização, onde já existe um procedimentobet doauditoria que funciona no mesmo princípio.

Então esses dois pontos comprometem o debate como ele vem sendo discutido hoje.

bet do BBC News Brasil - Como bet do o sr. bet do destacou, um dos argumentos do presidente Bolsonaro para defender o voto impresso é dizer que há indíciosbet dofraudes na contabilização dos votos. Ele cita, por exemplo, uma pretensa análise matemática que indicaria manipulação na contagem dos votos do segundo turnobet do2014,bet doque Dilma Rousseff foi reeleita. Como o boletimbet dourna já permite fazer uma auditoria da contagem, essa suposta fraude na contabilização que o presidente aponta é um argumento que não se sustenta?

bet do Aranha - Não, não há evidência (de fraude na contabilização) e esse procedimento, como eu argumentei, já é auditável e já foi auditado. No último pedidobet doauditoria, após as eleiçõesbet do2014, o relatório dos auditores naquela ocasião é conclusivo, ele é bem claro nesse ponto do sistema,bet doque a transmissão e a totalização permitem, por amostragem, coletar evidência verificávelbet doque os resultados foram transmitidos e totalizadosbet domaneira correta.

A experiênciabet doauditoria dessa eleição (de 2014, realizada pelo PSDB) encontrou problemas e dificuldades para auditoria do softwarebet dovotação. E naquela ocasião os auditores também recomendaram a implantaçãobet doregistro físico, novamente seguindo o que é consenso científico atual e prática internacionalbet dovoto eletrônico.

bet do BBC News Brasil - Embora parte da comunidade científica defenda o voto impresso para auditoria da partebet dovotação do software, bet do o sr. bet do concorda que,bet dofato, não há evidênciasbet dolarga escalabet dofraudes nas últimas eleições?

bet do Aranha - Concordo com essa afirmação. Evidentemente, a comunidade técnica sempre fez reclamações do pontobet dovistabet dotransparência, mas não há um conjuntobet doevidências, que possa ser analisado, que indique fraudebet doeleições anteriores. E, novamente, o discurso técnico sempre foi na direçãobet doaumentar a transparência do sistema, para que, exatamente quando esse tipobet doalegação seja produzida, que seja rápido determinar se ela é verdadeira ou não com basebet doum conjuntobet doevidências que seja verificável e acessível até para um auditor sem especialização.

Então, um ponto que vem sendo discutido na comunidade técnica, especialmente após as eleições nos Estados Unidos, onde processo semelhante apareceu, onde candidatos antes da eleição alegaram fraudebet doresultados anteriores e resultados futuros, é que é importante ter um procedimentobet doauditoria que rapidamente invalide alegações vaziasbet dofraude, que não se arraste, não se delongue, porque tudo isso corrói a confiança do eleitorado no processo.

A possibilidadebet dovocê contar uma amostra estatisticamente significativa dos votos, dependendo da vantagem do primeiro candidato para o segundo candidato, e rapidamente esvaziar essas alegações, é algo importante porque evita esse processobet docorrosãobet dofato aconteça.

bet do BBC News Brasil - Se não há indíciosbet dofraudes, por que mexer num sistema, digamos, que está ganhando? Os defensores da urna eletrônica dizem que fraudes que existiam no tempo do votobet docédula ficaram para trás, e o sistema se mostrou exitoso para a democracia, com alternânciabet dopoder no Brasil nos últimos anos.

bet do Aranha - Por uma questãobet dotransparência. Realizar uma auditoria conclusiva no sistema atual brasileiro é um procedimento difícil. Há dificuldades claras. Para dar um exemplo, o softwarebet dovotação que é instalado nas urnas é um componentebet dosoftware bastante complexo. Nos testes públicosbet dosegurança a gente observou que a quantidadebet docódigo que faz parte desse sistema tem é da ordembet dodezenasbet domilhõesbet dolinhas. É muito difícil para um auditor externo, até pra um auditor interno, da equipebet dodesenvolvimento, ter completo controle sobre toda essa base a pontobet dovocê conseguir determinar que não há presençabet donenhum defeito malicioso ou não, proposital ou não, naquele conjuntobet docódigo-fonte.

Os procedimentosbet doauditoria oubet dotransparência que existem hoje têm certa cobertura do que a gente chamabet dosuperfíciebet doataque, das possibilidades que um fraudador teriabet doprovocar um comportamento malicioso no sistema, mas eles também têm as suas limitações.

Fala-se muito do testebet dointegridade, que é aquela eleição simulada que o TSE organiza para determinar que o sistema conta os votosbet domaneira correta. Mas tem algumas premissas embutidas aí: esse procedimento faz uma eleição simulada utilizando equipamento real, selecionadobet doseções eleitorais na véspera (da votação). Isso faz sentido se, primeiro, o númerobet doequipamentos analisados é significativo. Tem que ser uma amostra, novamente, que seja estatisticamente significativa, e esse é um número bastante grande para um Estado, por exemplo, como São Paulo, que tem um parquebet dournas muito grande. Cobrir essa amostra é desafiador.

E, além disso, se o objetivo desse procedimento é determinar se o software se comportabet domaneira honesta, não pode haver nenhuma diferença nessa eleição simulada da eleição real, que permitiria a um software adulterado malicioso detectar que ele está funcionando numa eleição simulada.

Mas há várias características dessa eleição simulada que são bastante diferentesbet douma eleição real. Um exemplo muito simples é que nessa eleição simulada os eleitores não têm biometria, até porque são auditores que estão simulando esses eleitores. Isso é uma questão hipotética, obviamente não estou argumentando que isso acontece ou vai acontecer, mas é simplesmente uma premissa que está embutida no procedimento, mas é difícilbet dosatisfazer. Se o softwarebet dovotação fosse adulterado para ser malicioso, se ele verifica que os eleitores não têm biometria cadastrada, muito provavelmente (ele identifica que) aquela urna está numa simulação. Fazendo essa distinção, o software poderia se comportarbet douma maneira honesta numa eleição simulada, ebet domaneira desonesta numa eleição real. Então, é uma limitação que o testebet dointegridade, como ele está concebido, não consegue satisfazer.

Além disso, tem uma simples questãobet doacessibilidade, como eu argumentei anteriormente. A ideiabet doter um registro físico permite um auditor que não entendebet dotecnologia,bet doprogramação,bet docomo o softwarebet dovotação é organizado, poder observar com uma evidência tangível que o resultado está correto.

A principal propriedadebet dosegurançabet doum sistemabet dovotação nem é exatamente entregar o resultado. Mais importante que entregar o resultado correto é convencer o perdedor quebet dofato ele perdeu, que há um conjuntobet doevidências que possa ser analisadobet domaneira independente para que um perdedor simplesmente chegue à conclusãobet doque a eleição foi honesta, o resultado está correto e ele perdeu. E é isso que geralmente gera confiança no eleitorado.

bet do BBC News Brasil - Então, o voto impresso seria uma barreira para discursos como obet doBolsonaro, para dissuadir pessoas que levantem dúvidas sobre a integridade da eleição?

bet do Aranha - Exatamente. E pelo menos esse fenômeno foi observado nos Estados Unidos: alegações similares foram colocadas por lá e, nos Estados que adotavam algum procedimentobet doverificação do registro físico com registro eletrônico por amostragem, rapidamente terminaram seus procedimentos e confirmaram o resultado.

Aqueles Estados (sem voto impresso) onde se fez perícia na máquina, verificação no software, onde as regrasbet doauditoria foram mudando ao longo do tempo, com interações entre pedidosbet doevidências e respostas das autoridades responsáveis por coordenar o processo, aqueles se arrastaram por muito mais tempo. Exatamente porque as condiçõesbet doauditoria não ficam claras e o procedimento termina sendo contaminado. Então, na experiência americana, ter um procedimentobet doauditoria por amostragem sobre um registro físico permitiu invalidar essas alegaçõesbet dofraudebet domaneira mais rápida.

Uma experiência interessante do pontobet dovistabet doauditoria também é na Índia, que adota um registro físico nas suas máquinasbet dovotação. A Índia também foi um país pioneirobet doimplementar voto eletrônico. Após uma análisebet dosegurançabet do2009 encontrar uma sériebet doproblemas na concepção e na implementação desses equipamentos, uma trilha físicabet dopapel foi implementada como mecanismobet dotransparência. Num processobet dodez anos, esse mecanismo atingiu todas as sessões eleitorais, e lá é feito uma verificação por amostragem por precaução.

Então, assim que o resultado é publicado, já se sorteia uma fração de, se não me engano, 1,5% das sessões eleitorais para se confrontar o registro físico e o registro eletrônico, se confirmar o resultado eletrônico e aí já esvaziar qualquer pedido desnecessáriobet doauditoria por ter um procedimento que, por precaução, invalida alguma alegação que seja feita para fins político-partidários.

bet do BBC News Brasil - O sr. aponta que o voto impresso seria mais um mecanismobet dosegurança para termos mais certezabet doque o software dentro da urna está funcionando adequadamente. Outro acadêmico defensor do voto impresso, o professor Paulo Matias, do Departamentobet doComputação da Universidade Federalbet doSão Carlos, reconhece que não seria algo trivial fazer isso: invadir a urna e adulterar o software. O sr. concorda que, dados os mecanismosbet dosegurança que o TSE adota hoje, como criptografia e assinatura digital, é difícil corromper a urna eletrônica e fazer uma fraudebet dolarga escala que afete os resultados das eleições?

bet do Aranha - Eu gostobet doanalisar a possibilidadebet dointervenção no sistema sob dois diferentes prismas. Existe o que a gente chamabet doum atacante externo, alguém que não tem acesso privilegiado e está fora da infraestrutura da Justiça Eleitoral e das próprias eleições. Você pode pensarbet doalguém alterando ou tentando alterar resultados remotamente ou,bet dorepente, no dia da eleição tentar sabotar a urna eletrônica dabet doprópria seção eleitoral. Então, a gente observa que o sistema é projetado para resistir (a ataques desse tipo). Nos testesbet dosegurança (que participeibet do2012 e 2017), a gente pôde encontrar problemasbet dosegurança que inicialmente permitiam esse tipobet doataque e foram sendo corrigidos ou aprimorados ao longo do tempo.

Então, atualmente esse tipobet doataque, eu diria que é bem difícilbet doser implementado com sucesso, especialmente sem permitir detecção. Entretanto, do pontobet dovistabet doum atacante interno, alguém que tem acesso privilegiado ao sistema, ao softwarebet dovotação, eu entendo que ainda há lacunasbet dosegurança na concepção e implementação do sistema que poderiam fragilizar o processo.

E é importantebet doeleições considerar esses dois atacantes porque a gente também observa quebet dooutros tiposbet dosistemas,bet dosistemas bancários,bet dosistemasbet doórgãosbet dointeligênciabet dooutros países, os ataques com maior sucesso e que provocaram maior estrago tinham a colaboração e a participaçãobet doum atacante interno. Evidentemente, eu não estou alegando que funcionários da Justiça Eleitoral sejam mal-intencionados ou tenham esse objetivo. Eu estou pensando friamente do pontobet dovistabet doanálisebet dorisco, que é a tarefa que a gente faz como pesquisador na áreabet dosegurança.

E no casobet doeleições, o risco,bet docerta forma, é amplificado, porque acontecembet doum dia e precisam produzir o resultado correto dentro daquela janelabet dotempo. Qualquer desvio — seja acidental, seja causado por uma tentativabet dofraude — do esperado para o processo eleitoral, isso gera desconfiança e termina minando aí talvez o principal recursobet doum sistemabet dovotação que tenha sucesso. A gente observou esse fenômeno, por exemplo, acontecendo com simples atrasos na totalizaçãobet doeleições anteriores, que geram teoriabet doconspiração, geram desinformação e geram, novamente, alegações vaziasbet dofraude.

Nesse ponto, eleições são muito mais críticas do que sistemas bancários ou até órgãosbet dointeligência, porque um banco pode terbet dosegurança comprometida, mas no dia seguinte ele pode restaurar seus sistemas e voltar a operar. Então, ele pode perder clientes, talvez, ele possa até ir a falência, mas não há um dano social, ao tecido social, que seja talvez até permanente e permita inspirações pouco democráticas por quem concorre nas eleições.

bet do BBC News Brasil - Segundo o TSE, o que evita ataques internos é que apenas uma equipe pequena tem acesso ao sistema da urna eletrônica e tudo que elas fazem fica registrado no sistema. Isso não seria suficiente para afastar esses riscos?

bet do Aranha - Eu diria que não, observando também eventosbet dooutros tiposbet dosistemabet dooutros contextos. A gente tem relatosbet doprecedentesbet dooutras organizações que também adotavam sistemabet docontrole e versão, processosbet dodesenvolvimento rigorosos e que também conseguiram ser atacados com sucesso. Há exemplos documentados.

Um procedimento, por exemplo, que é extremamente crítico e que poderia, se atacado, causar um estrago ou um impacto importante, é o procedimentobet docompilação (do software). Então, existe um procedimento na geração do softwarebet dovotação onde todo código escrito pelos programadores do TSE é extraído para uma máquina e lá ele é transformado nos (códigos) binários que vão ser instalados na urna.

Esse procedimento ocorre após o desenvolvimento e ele não gera rastros que ficam visíveis no sistemabet docontrole e versão do software, por exemplo. Então, uma intervenção neste pontobet doparticular poderia,bet dotese, novamente estou fazendo análisebet dorisco e não alegando que isso aconteça, tenha acontecido ou vá acontecer, mas uma intervenção naquele ponto poderia contaminar o softwarebet dovotação que sai do TSE na origem com algum tipobet dode código malicioso que permitiria violar sigilo ou a integridadebet doresultados.

Uma outra possibilidade também é um simples erro acidental ou proposital que venha da equipebet dodesenvolvimento. Escrever código seguro é difícil, é uma áreabet dopesquisa bem estabelecida, mas que ainda tem muito a evoluir. Nenhum software é 100% seguro, 100% perfeito. Então, uma intervenção maliciosa ou um errobet doprogramação acidental no sistema, no softwarebet dovotação no TSE, poderiabet dorepente introduzir uma vulnerabilidade que é explorada pelo técnico que está na outra ponta, às vezes ébet douma empresa contratada para receber o software que o TSE emite para os TREs (tribunais regionais eleitorais) e gravar esse softwarebet docartõesbet domemória que vão instalar o software nas urnas.

Nos testes públicosbet dosegurançabet do2017, a gente observou uma lacuna na verificaçãobet dointegridade do softwarebet dovotação, naquele procedimentobet doque a urna verifica se os programas lá instalados estão íntegros, que permitiria a alguém que está gerando os cartõesbet domemória que instalam software na urna injetar código intruso nesses cartões antes do software ser instalado. E como esses cartões instalavam 50 urnas cada, existia um fatorbet doescala que funciona a favor do fraudador. Se ele consegue a possibilidadebet doadulterar o software armazenadobet doum destes cartões, esse cartão contaminaria 50 urnas posteriormente com software (malicioso).

A gente, nos testes, mostrou algumas formasbet dointroduzir comportamento malicioso, como alterar mensagens na tela pra deixar claro que o software não mais seguiriabet doprogramação original. A gente tinha código intruso, mas, que do pontobet dovista do operador do sistema, o sistema se comportoubet domaneira indistinguível ao sistema real. Conseguimos instalar o software, executar as rotinasbet doautoteste, começar uma eleição, simular uma eleição, e o sistema funcionou como esperado do pontobet dovista do operador. Então, por mais que esses problemas tenham sido corrigidos ou mitigados após os testes públicosbet dosegurança, eu não consigo ignorar o risco dissobet dorepente acontecer.

Mas a minha justificativa principal para implantação do registro físico do voto é, novamente, para um mecanismobet dotransparência, para que haja uma maneira acessível e eficientebet dose confirmar que os resultados da eleição estão corretos sem necessitarbet doespecialização técnica, que sejam auditores com treinamento na tecnologia eleitoral oubet dosegurança da informação, que permitam rapidamente esvaziar alegaçõesbet dofraude.

bet do BBC News Brasil - Um dos principais argumentos contra o voto impresso que o presidente do TSE, Luiz Roberto Barroso, adota é o risco ao sigilo do voto. Ele já disse, por exemplo, que num país onde há áreas dominadas por milícias, pelo tráficobet dodrogas, isso seria perigoso. Por que, nabet dovisão, isso não é uma vulnerabilidade?

bet do Aranha - A implantaçãobet doum registro físico eventualmente seria feita,bet doprimeiro lugar, gradualmente. A implementação gradual permitiria iniciar essa implementação por regiões menos sensíveis, onde a população não é vulnerável e há democracia plena no sentidobet donão haver intervençãobet doum poder local paralelo, alheio às instituições democráticas.

Você pode começar o processo por seções eleitorais onde a população não é tão vulnerável, observar como a população interage com aquele mecanismo novo. Até porque a população teria que ser instruída a verificar o registro físico que é apresentado durante a eleição, os protocolos para se comparar esse registro físico com o resultado eletrônico precisariam ser aprimorados também. Eles não iriam funcionar 100% da primeira vez. É importante lembrar que a própria implantação da urna eletrônica do Brasil não foi uma etapa única. Foi divididabet dotrês eleições consecutivas,bet do1996 ao ano 2000, exatamente porque é preciso haver uma salvaguarda caso alguma parte do sistema não funcione como esperado.

A implantação gradual permitiria,bet doprimeiro lugar, projetar e validar um mecanismo quebet dorepente pudesse ser mais confiável e funcionar melhor,bet domaneira mais robusta no dia da eleição. Essa é uma etapa importante do processo.

Além disso, é possível implementar um registro físico do voto que preserve o anonimato e o sigilo do voto como um requisito constitucional. Então, no que se propõe para ser implementado no Brasil, esse exame do registro físico do voto acontece dentro da cabine indevassávelbet dovotação e seria apresentado ao lado da tela da urna eletrônica,bet douma impressora acoplada à urna eletrônica, dentro da cabine.

Eu vejo bastante esse argumento nas redes sociais: "Ah, mas seria possível fotografar, seria possível coletar algum tipobet doevidência". Mas estes mesmos argumentos se aplicam à tela da urna. Seria possível para um eleitor que foi coagido entrar na sessãobet dovotação e filmarbet dointeração inteira com o equipamento. Esse comportamento (filmarbet dovotação) é ilegal segundo o Código Eleitoral no Brasil, mas o riscobet doviolação do sigilo (do voto impresso) é o mesmo que se aplica à tela da urna. Esse é o primeiro ponto.

Com esses registros físicos coletados na sessão eleitoral e armazenados numa urna física convencional, precisa-se projetar um protocolo que preserve a integridade dessa evidência até o ponto da auditoria, e uma forma simples, antiga, para se desvincular a ordem que esses papéis foram impressos da ordembet dovotação é você misturar essa urna física.

Um outro ponto importante na proposta do registro físico é que o TSE construiu um protótipo que satisfaz os requisitos desse mecanismo. Ele foi inclusive publicado num evento nacionalbet dotecnologia eleitoral, um evento científico, foi revisado por pares, é um bom projeto inicial para se tentar um esforço, novamente, com implementação gradual, estudosbet dousabilidade, num esforçobet dolonga duração. E nesse protótipo do TSE, há uma característica muito interessante que a urna eletrônica autentica esses registros físicos. Então, ela produz uma assinatura digital provando que aquele registro foi produzido durante a eleição especificamente por aquela urna.

Evidentemente não seria possível uma pessoa imprimir um montebet dovotos a maisbet docasa e introduzir estes votos a mais nas urnas físicas porque não teriam essa autenticação produzida pela urna eletrônica durante a eleição. Ao mesmo tempo, outros tiposbet dointervenção nestes registros físicos seriam detectados pela falta ou pela validade deste autenticador que a urna produz. Então, a trilha física aqui seria verificável pelo eleitor, porque é um pedaçobet dopapel observado dentro da cabine indevassável, mas também autenticado pela urna para que abet dointegridade possa ser verificada também.

Um último ponto, que também vem sendo discutido, seria a necessidadebet dose contar todos esses registros físicos do país inteiro. Essa não é a prática internacional e não é também o que se propõe na literatura científica. A ideia sempre é fazer uma auditoria, uma verificação por amostragem, exatamente para que não seja possível, com custo muito baixo (para o fraudador), se invalidar o resultadobet douma sessão eleitoral.

Uma preocupação, por exemplo, seria se alguém com acesso a essa trilha física faz desaparecer um dos registros físicos para poder alegar que houve fraude. Se a contagem é por amostragem, a quantidadebet doregistros físicos que teriam que desaparecer ou terbet dointegridade comprometida para poder se anular o resultado da eleição seria muito grande o que tornaria inviável um esforço dessa magnitude para um fraudador até bem equipado.

bet do BBC News Brasil - A propostabet dovoto impressobet dodiscussão na Câmara estábet doacordo com o que o sr. defende?

bet do Aranha - Eu sei que há várias versões (da propostabet dovoto impresso sendo discutidas na Câmara). Eu observei a versão original da proposta (da deputada Bia Kicis) e havia questõesbet doredação. Por exemplo, ela falavabet docédulas físicas. Eu acho isso complicado porque já há uma confusão enorme sobre o que é voto impresso. Não é nem difícil encontrar, por exemplo, referências ao termo voto impressobet doveículosbet doimprensa que sãobet doqualidade no país utilizando como sinônimobet dovotobet docédulas, quando são coisas diferentes.

Eu tenho inclusive utilizado o registro físico para tentar tornar mais específico o que se propõe. Utilizar a redaçãobet docédulas físicas eu acho que cria confusão e cria facilmente argumentos contra, porque as pessoas iam associar às antigas eleições baseadasbet docédulas.

Eu não sou um jurista, mas do pontobet dovista técnico, o que faz sentido é fixar um conjuntobet dorequisitos, porque especificarbet domaneira demasiada este mecanismobet douma emenda constitucional engessa a forma como ele pode ser evoluído ao longo do tempo. O que eu entendo que poderia ser proposto é uma cristalizaçãobet dorequisitosbet dosegurança e transparência que devem ser satisfeitos pelo sistemabet dovotação. O sigilo do voto é um destes requisitos que já existe na Constituição. A gente poderia pensarbet doum mecanismobet dotransparência, por exemplo, que capturasse essa ideiabet doindependência do software como requisito, e a partir daí, sabendo quais são os requisitos (previstos na Constituição), trabalhar nesse espaçobet dosoluções possíveis que satisfaçam esses requisitos da maneira mais eficiente possível.

bet do BBC News Brasil - Como o sr. já disse, mesmo que o voto impresso venha a ser aprovado agora, não dá pra aplicá-lo para o próximo ano. Seria uma adoção gradual?

bet do Aranha - Correto. Uma intenção sincerabet dose implementar o voto impresso para que ele cumpra o que se espera, que ele se torne um mecanismo transparente que aumenta a confiança da população nos resultados, ao invésbet dosimplesmente um mecanismo que crie mais ruído, é a implementação gradual, cuidadosa com a submissão desse mecanismo novo a testesbet dousabilidade, a testesbet dosegurança, como já acontece com o sistemabet dovotação, para que ele possabet domaneira controlada e cuidadosa atingir todas as sessões eleitorais, exatamente como foi a implementação da urna eletrônica nos anos 1990.

Essa é a única forma possívelbet dose fazer uma mudança dessa natureza no sistemabet dovotação, sem criar riscos maiores do que as vantagens que o mecanismo poderia trazer.

bet do BBC News Brasil - O sr. vê problemas no discurso bolsonarista sobre voto impresso, mas também vê problemas historicamente na postura que o TSE adotou nesse tema. Qualbet docrítica a forma como o tema foi conduzido no TSE?

bet do Aranha - Sim. Eu gostariabet doresponder issobet donome da comunidade técnica porque essa não é uma reclamação apenas minha. Especialmente entre 2009 e 2014, quando as primeiras edições dos testes aconteceram, havia uma reclamação muito grande com transparência nas posturas do Tribunal Superior Eleitoral.

É importante lembrar: o sistema foi implantado no Brasilbet do1996 e a primeira vezbet doque ele pôde ser testado com exame do código-fonte do sistema por especialistas independentes foibet do2012. E mesmobet do2012, quando eu coordenei uma equipe que naquela ocasião encontrou uma vulnerabilidade no embaralhamento dos votos que permitiria fragilizar o sigilo do voto utilizando apenas informação pública, mesmo naquela ocasião vários pesquisadores da nossa equipebet doparticular reclamaram das condiçõesbet dotrabalho dos testes. Você pega um procedimento extremamente adversarial, onde as condições dos pesquisadores nem sempre eram priorizadas, onde havia um controle muito forte da narrativa do que acontecia nos testes pelo próprio tribunal.

Depois dos testes acabarem, por um bom tempo a gente ainda precisoubet domaneira bem incisiva se manifestar na imprensa, nas oportunidades que apareceram pra isso, simplesmente para confirmar os nossos resultados, porque existe uma postura muito grande do tribunalbet donegar aqueles resultados técnicos.

Na própria forma como o TSE fala sobre a experiênciabet dovoto eletrônicobet dooutros países, a gente também observa uma postura que não é exatamente transparente. O TSE sempre se manifesta listando o númerobet dopaíses que utilizam algum tipobet dodispositivo eletrônicobet dosuas eleições, mas muitas vezes omite que vários destes países utilizam também o registro físicobet doconcomitância ao registro eletrônico como mecanismobet dotransparência. Há,bet docerta forma, uma versão do tribunal que é muito difícilbet dose colocarbet dodiscussão pela posturabet doque essa versão é apresentada.

Então, poderia haver aprimoramentos tanto na comunicação do tribunal com a sociedade, que privilegiasse a transparência, o reconhecimento da áreabet dopesquisa e da prática internacional do voto eletrônico, como também na relação com a comunidade técnica na medidabet doque esses sistemas são disponibilizados para exame independente.

Um ponto, por exemplo, que está sendo discutido e foi inclusive promessa do tribunalbet do2018 e ainda não satisfeita é a abertura do código-fonte. Eu não consigo entender porque um sistema crítico que é utilizado no país para um dos seus procedimentos mais importantes, um dos alicerces da democracia, que estábet doprodução há 25 anos e que o tribunal defende como talvez o melhor sistemabet doapuração eleitoral do mundo, porque ele não pode ser examinadobet domaneira conveniente fora das dependências do Tribunal Superior Eleitoral por pesquisadores independentes.

Se o sistema tem esse nívelbet domaturidade que é alegado pelo tribunal e tem essa históriabet do25 anosbet dosucesso como um sistema crítico, ele já deveria estar pronto há muito tempo para o examebet dopesquisadores externos.

Então, tá aí uma sugestãobet doum mecanismo simples, que dá tempobet doser satisfeito até as próximas eleições, e que eu entendo aumentariambet domaneira substancial a transparência no sistema: a publicação do código-fonte para que ele possa ser examinado por especialistas que não representam partidos ou não participambet dotestes públicosbet dosegurança com a janelabet doanálise inclusive muito mais longa, com a possibilidadebet dointeração maior.

bet do Já assistiu aos nossos novos vídeos no YouTube bet do ? Inscreva-se no nosso canal!