A Urna Eletrônica, a Lei de Benford e o Voto Impresso (2)

No dia 27 de junho de 2017, o programa “Entre Aspas”, exibido na Globo News, convidou o Dr. Diego Aranha¹ para falar sobre os testes que ele e sua equipe fizeram na urna eletrônica.

As palavras do entrevistado deixarão claro o nível de vulnerabilidade encontrado no software da urna:

“(...) a gente também sabe que esse sistema já foi demonstrado vulnerável em vários testes do TSE. Eu coordenei a equipe que venceu os testes de 2012. A gente trabalhou sob condições completamente restritas, a gente teve que analisar esse código fonte sem tomar notas em papel; tinha que memorizar pedaços do código para tentar usar isso, para demonstrar vulnerabilidades posteriormente; e, nos primeiros cinco minutos de analise, a gente encontrou uma vulnerabilidade no sigilo do voto que permitia quebrar o sigilo apenas com informação pública; inclusive depois da eleição. Todos os testes que o TSE organizou – que são desejáveis, são favoráveis, são importantes, devem ser mantidos – revelaram vulnerabilidades no sistema. Então, é importante que a gente implante o voto impresso conjunto com o voto eletrônico para permitir produzir uma evidencia que o eleitor confere no ato de votar que há um registro correto do voto dele, para auditoria posterior e conferência, por amostragem ou não (...)” – transcrição direta. ( https://www.youtube.com/watch?v=twSQAp4n2lA)

Sem poder tomar anotações e enfrentando condições completamente restritas, a equipe do Dr. Diego invadiu as urnas eletrônicas em cinco minutos. Segundo ele, todos os testes realizados nas urna eletrônicas revelaram vulnerabilidades de segurança. Todos!

Um dos leitores de meu primeiro artigo disse:

• “ótimas elucidações, Dr. [nome ocultado]. O autor deturpa vários pontos das pesquisas e descontextualiza outros, visando embasar seus devaneios. Uma lástima. Nosso sistema eleitoral é seguro e jamais foi fraudado. Estamos, mais uma vez, desvirtuando o foco de nossas eleições, que deveria estar voltado às propostas dos candidatos.” – colchetes nosso.

Nosso sistema eleitoral é seguro, mas um grupo de especialistas conseguiu invadir o software das urnas em cinco minutos. Cinco minutos! Sem poder usar caneta, só usando a memória e sob restrições rígidas. Vamos imaginar: você me dá todo o seu dinheiro e eu coloco em um conta bancária que pode ser invadida em cinco minutos! Pergunto-lhe, você estaria disposto a deixar seu dinheiro comigo? Em minha conta bancária “segura”? Note-se, na entrevista estava presente o Secretário de Tecnologia da Informação do TSE, o Sr. Giuseppe Janino; ele não contestou o fato da invasão ter ocorrido no tempo apontado pelo Dr. Diego. As urnas foram invadidas em cinco minutos mesmo. Imagine alguém que tivesse o tempo a seu favor o que poderia fazer. Mas como disse o caro leitor, somente estou devaneando.

Antes de tratar sobre como seria possível efetuar uma fraude em larga escala, preciso falar um pouco mais sobre as vulnerabilidades encontradas nas urnas eletrônicas brasileiras. Faço uso da entrevista concedida pelo Dr. Diego Aranha ao programa “The Night” em 19/08/2014:

• “(...) o que nós descobrimos foi o seguinte: executamos um experimento, primeiro tivemos acesso ao código fonte da urna, que é o que os programadores escrevem, buscamos nesse código fonte vulnerabilidades muito bem conhecidas na área; conhecidas, na época, há 17 anos. E, encontramos uma vulnerabilidade fundamental no único mecanismo que protegia o sigilo do voto (...) durante os testes, nós descobrimos que reverter esse embaralhamento era muito fácil, dependia apenas de informação pública.
• (...)
• Danilo Gentili: Agora eu como leigo, mais uma vez, daqui me parece que tudo não são problemas difíceis de concertar. São problemas que existem há dezessete anos na urna; são problemas que merecem uma satisfação e que ninguém concerta, ninguém dá uma satisfação. Daqui onde eu estou de leigo, me parece que um motivo tem por trás. Você como especialista, o que te parece?
• Diego Aranha: O que eu observei, esses problemas, essas vulnerabilidades, não são tecnologicamente avançadas; são coisas que eu ensino para meus alunos de graduação a não cometer.
• Danilo Gentili: Estudantes em formação conseguiriam resolver os problemas da urnas eletrônicas que há dezessete anos o TSE não resolveu?
• Diego Aranha: Sim! Talvez não da melhor forma, mas as soluções estão nos livros textos, não são soluções tecnologicamente sofisticadas. (https://www.youtube.com/watch?v=xATaNCsre9Q – Transcrição direita)

Um grupo composto por alguns dos maiores especialistas em criptografia do país, disse que é fácil invadir as urnas eletrônicas, nas palavras deles “era muito fácil”; não é uma questão de ser fácil, é uma questão de ser muito fácil. Deve-se notar que as falhas de segurança encontradas nas urnas eletrônicas são de tal primariedade que os alunos de graduação do Professor Diego são ensinados a não cometer. É o “beabá” da computação. Mas, como disse o caro leitor, nosso sistema eleitoral é seguro e eu estou devaneando.

Perceba, o Dr. Diego disse que conseguiu invadir a urna eletrônica em 5 minutos, utilizando de informação pública. Informação pública. Ou seja, como essas informações estão disponíveis, qualquer hacker, em tese, poderia utilizá-las, para saber como invadir as urnas eletrônicas assim como a equipe do Dr. Diego fez.

Prossigo:

• “basicamente o que protege o software de votação, que é instalado nas urnas país afora, é uma chave criptográfica, é um segredo. Idealmente, a gente deve ter um segredo distinto para cada urna; que é exatamente a mesma analogia das chaves. A gente não compartilha segredo de chaves de portas de casas distintas. Cada porta tem a sua chave. O que a gente observou é que meio milhão de equipamentos, todas as urnas eletrônicas, compartilham o mesmo segredo, e esse segredo ainda era armazenado de maneira completamente insegura; que novamente voltando aquela analogia, remete a você colocar a chave debaixo do tapete e confiar que como a chave está debaixo do tapete ninguém vai descobrir que ela está lá” (Transcrição Direita - Entrevista concedida pelo Dr. Diego Aranha ao programa “The Night” em 19/08/2014)

Segundo um dos maiores especialistas em criptografia do país, o segredo de segurança da urna eletrônica e armazenado de “maneira completamente insegura”, mas o caro leitor disse que nosso sistema eleitoral é seguro. Oh iluminados!

Entendeu? Se uma agente mal-intencionado conseguir quebrar a chave criptográfica de uma urna, ele terá conseguido acesso a todas elas, porque, nas palavras do Dr. Diego, todas as urnas usam a mesma chave criptográfica. Isso poderia ser considerado como uma chave mestra que abre todas as portas. Esse é um dos pontos chaves para se entender como efetuar uma fraude em larga escala na urnas eletrônicas. Mais a frente, de posse de todas as informações apresentadas pelo Dr. Diego e outros especialistas, criaremos um cenário hipotético de como isso seria possível.

Nas palavras do Dr. Diego, quando a informação sobre ser usada mesma chave criptográfica para 500 mil urnas eletrônicas veio a público, o TSE se manifestou publicamente como sendo essa uma decisão de projeto que fazia sentido; ou seja, o TSE acredita que faz sentido usar a mesma chave de segurança em mais de meio milhão de urnas eletrônicas. Com certeza! Na casa do leitor dever assim; a mesma chave que abre o portão, abre todas as portas. Se perder essa chave, a casa toda estará comprometida. É, com certeza, faz todo o sentido mesmo... oh oráculos!

• Danilo Gentili: Sigilo facílimo de quebrar segundo os testes. Agora, alterar, manipular os votos, alterar o resultado de uma eleição através da urna. Fácil ou difícil?
• Diego Aranha: Exato. Nós encontramos as condições que permitem a um agente, tanto externo como interno manipular o software que é executado nas urnas eletrônicas; não necessariamente com intervenção manual em cada sistema, mas em alguns pontos, às vezes, que distribuem o software para várias urnas.
• Danilo Genlili: Para quem é mais leigo como eu, o que é um agente interno e o que é um agente externo?
• Diego Aranha: Agente interno é alguém que trabalha na Justiça Eleitoral. Então ele tem certa prerrogativa, certo privilégio de acesso ao sistema.
• Danilo Gentili: Que seria no caso um infiltrado de um partido ou do governo, ou de outro partido que vai lá e altera?
• Diego Aranha: Poderia ser sim! Um agente malicioso que tem acesso privilegiado.
• Danilo Gentili: E o externo?
• Diego Aranha: Pode ter sido um ex-programador, um ex-funcionário da Justiça Eleitoral, mas ele é financiado por um partido político. Ele não está dentro da Justiça Eleitoral. É um autônomo. Alguém que pode ser pago para fraudar uma eleição. (Transcrição Direita - Entrevista concedida pelo Dr. Diego Aranha ao programa “The Night” em 19/08/2014)

Nesse ponto, o cenário hipotético perfeito para uma fraude em larga escala, nas urnas eletrônicas, começa a ser delineado.

O paralelo entre as colocações do Dr. Diego e do Dr. Graaf é evidente. Exemplificando os Estados Unidos, o segundo deles diz que “um único programador inteligente e desonesto que trabalha em uma empresa de máquinas de votação poderia burlar uma eleição em todo um estado” – americano. O Dr. Diego diz que em nosso caso, seria necessário um servidor público do Tribunal Superior Eleitoral ou alguém que já tivesse sido, e agora estivesse sendo financiado por um partido político. Danilo Gentili usou o termo “infiltrado”, ao que o entrevistado respondeu “exato!”.

Pergunto: quanto um partido político estaria disposto a pagar para um servidor do TSE? Vamos além, quando um partido político estaria disposto a pagar para que alguém passasse num concurso público do Tribunal Superior Eleitoral e pudesse agir como um infiltrado seu? Por quanto um ex-servidor do TSE estaria disposto a se corromper?

Deve-se ressaltar que não há a necessidade de uma intervenção física em todas as urnas. O Dr. Diego deixa isso claro. Nas palavras dele: “não necessariamente com intervenção manual em cada sistema, mas em alguns pontos, às vezes, que distribuem o software para várias urnas”. Esse é um outro ponto que usaremos para criar o cenário hipotético para uma fraude em larga escala das urnas eletrônicas.

Contrapondo-se as palavras do expert, um dos leitores explicitou:

• Por exemplo, o Prof. Diego Aranha disse, em audiência pública no Congresso, que, embora entendesse ser possível a fraude, ela seria improvável, justamente por conta da necessidade de o ataque externo depender da conexão de um computador a cada urna a ser alterada.

Entenda; usei a citação do Dr. Diego e apontei a referência onde pode ser encontrada cada uma de suas falas. O caro leitor não. Disse somente que o Dr. Diego teria dito, numa suposta audiência pública, ser necessário uma conexão em cada urna a ser alterada. Como o caro leitor não deu meios de verificação de suas alegações, simplesmente apontou o Dr. Diego como autor dessas supostas alegações, crendo que apenas por dizer deveria se fazer crível, somente posso desconsiderar. O que, diga-se de passagem, é um erro crasso a quem se pretenda à credibilidade. Velho jargão jurídico diz, “a quem alega, cabe o ônus da prova”. O Dr. Diego disse isso? Simples, prove.

O mesmo leitor prossegue:

• Por fim, é bom consignar que o autor deixou de considerar justamente os fatos: em 22 anos de utilização, não houve nenhum indício sério de fraude nas urnas. A menos que o autor, por sua nítida parcialidade, já esteja por considerar os boatos de WhatsApp, que só servem a revelar erros de operação por parte do eleitor, jamais uma violação da urna.

É mesmo?! Do alto de seu conhecimento de criptografia, o interlocutor, que provavelmente é um especialista no assunto, diz: “em 22 anos de utilização, não houve nenhum indício sério de fraude nas urnas.” Contrapondo-se a esta afirmação, trago à baila as alegações proferidas, em audiência pública realizada na Comissão de Constituição e Justiça do Senado Federal em 06/03/2018, por Pedro Dourado de Rezende², Professor da Universidade Federal de Brasília, candidato a PhD em Matemática Aplicada, especialista em criptografia e segurança da informação:

• “(...) acho que me cabe neste momento, diante da manifestação já exarada pela plateia, apresentar um pequeno contraditório técnico a respeito do que foi dito aqui na abertura. Em relação ao BU (Boletim de Urna) é um instrumento que serve apenas para uma etapa do processo de votação que é o de totalização, onde os BU’s que vem das urnas eletrônicas são somados. O BU impresso pelo urna pode fazer a verificação de que a totalização está correta, mas ele tem absolutamente nenhum efeito para verificar se o software está contabilizando os votos que foram praticados naquela urna corretamente. Para isso, a auditoria eletrônica é um jogo de gato e rato que quem entra para fiscalizar já sabe que o jogo está perdido, porque o software que vai na urna para fazer a trapaça, ele sabe como verificar se ele está sendo fiscalizado ou se ele está ali em uma eleição verdadeira. E, ele, em podendo alterar a soma dos votos computados naquela urna, ele vai apagar o rastro (...)” – parênteses nosso – transcrição direta (https://www.youtube.com/watch?v=sLeFsOPQSco)

O caro leitor, entendendo do assunto como ele entende, deve saber que o Boletim de Urna (BU) é a maneira de se auditar as urnas eletrônicas no que se refere a contabilização dos votos. Contudo, o especialista em criptografia da UnB, diz que se uma fraude tiver ocorrido, esse sistema já estaria comprometido. Ou seja, a única maneira de verificação é completamente vulnerável a ataques. Se, por acaso, alguém já tiver conseguido fraudar uma urna eletrônica, jamais saberemos, porque a ferramenta de verificação e auditoria já teria sido comprometida.

Uma vez que tenha havido fraude nas urnas, seria impossível descobri-la, porque explorando o tipo de falha de segurança constante da urna eletrônica, o software “hacker” usado para fraudá-la não deixaria rastro! Não sou eu que falei isso, é um Professor de Computação, especialista na área, docente de uma das maiores universidades federais do Brasil.

Voltemos ao exemplo das cédulas. Eu desconfio que alguém me pagou com notas falsas. Peço para que haja verificação. Mas o pagador incinera as notas. Então alguém diz que nunca houve indícios de pagamento fraudulento. Mas é claro gênio, as notas foram queimadas! Como seria possível ter provas, se foram destruídas? Como é possível afirmar que não há provas de fraude nas eleições, se esse tipo de fraude, como dito pelo expert, não deixaria rastro? Como é possível fazer essa afirmação, se é impossível fazer uma recontagem segura dos votos, tendo em vista que o software “hacker” já teria comprometido o Boletim de Urna? O caro leitor deve ter razão; as alegações do expert devem ter sido proferidas em grupos de whatsapp que costumam espalhar boatos. Puxa vida, esqueci de ver se algum dos senadores estava teclando!

Novamente, gostaria de utilizar as palavras do candidato a PhD, Pedro Dourado de Rezende, desta feita, em entrevista concedida ao programa “Cidadania” da TV Senado em 04/10/2012:

• “Qual fraude é pior? A que é visível ou a que é invisível? O fato de que hoje ninguém consegue provar que há fraude, não significa necessariamente que elas não mais existam. O que aconteceu com aqueles que antes fraudavam? Foram para casa vestir pijama e assistir o resultado da votação na televisão? (...)” https://www.youtube.com/watch?v=Zi6wDsqXBiI

Você pode decidir. De um lado temos um candidato a PhD, dissertando sobre o assunto no qual é especialista; e do outro, o citado interlocutor que nos brinda com sua incomensurável sabedoria ao dizer “em 22 anos de utilização, não houve nenhum indício sério de fraude nas urnas.”. Por gentileza, alguém o indique ao Nobel, uma inteligência dessa magnitude não pode passar desapercebida. Se por acaso não der para ganhar o Nobel, sugiro que vá para casa vestir pijama e assistir televisão. Nessas discussões não há lugares para amadores.

Para chegar à conclusão desse segundo artigo, preciso falar sobre o código-fonte das urnas eletrônicas:

• “(...) todos os softwares ficam disponíveis não só no momento do teste público de segurança, eles são abertos seis meses antes da eleição. Então, é possível sim, se verificar linha por linha de cada programa, desde que haja interesse. E se, (interrupção da parte contrária) esse tempo não for suficiente, pode, a partir daí, continuar analisando (...) Estamos falando de dois eventos. Primeiramente é o processo de desenvolvimento da solução como um todo. Todos os sistemas são desenvolvidos no TSE e seis meses antes das eleições eles já ficam abertos para análise dos interessados: partidos políticos, Ordem dos Advogados, Ministério Público, universidades, Polícia Federal e todas as instituições que estão credenciadas lá no TSE para verificar linha por linha do programa. Inclusive, se permite que empresas sejam contratadas especificamente para analisar os códigos. Então, eles ficam seis meses abertos e ao final desses seis meses eles são lacrados e blindados e distribuídos pelas regionais estaduais para colocarem nas urnas eletrônicas (...)” – Transcrição Direita – Entrevista concedida pelo Secretário de Tecnologia da Informação do TSE, Sr. Giuseppe Janino, ao programa “Entre Aspas” da Globo News, no dia 27 de junho de 2017. ( https://www.youtube.com/watch?v=twSQAp4n2lA)

Perceberam? Segundo o fala do próprio secretário de tecnologia do TSE, os softwares ficam disponíveis para a verificação pública seis meses antes das eleições. Esse será mais um ponto importante para, na continuação desse artigo, delinearmos um cenário hipotético, para uma fraude em larga escala das urnas eletrônicas. Para conseguir criar uma fraude em larga escala é necessário tempo e dinheiro. Com relação ao dinheiro já tratamos. Na entrevista se começa a vislumbrar a questão do tempo. Vocês perceberam que ele falou partido político?

Na mesma entrevista, o Dr. Diego se contrapõe ao secretário:

• “(...) tem um problema formal aí em determinar se o software que foi auditado em todas essas organizações foi o mesmo de fato instalado nas urnas eletrônicas no dia da eleição. Há um passo aí, uma logística que é difícil de também mapear e controlar, mas que pode, oferece, seus próprios riscos do ponto de vista de segurança. O modelo atual de auditoria do código, cria uma figura bem interessante: um fiscal de um partido, por exemplo, que é malicioso, ele pode ir ao TSE, observar o código, encontrar vulnerabilidades para fazer uso numa eleição posteriormente. E o termo de sigilo não vai impedi-lo de vazar essas informações para o partido, para eles de fato [operarem uma fraude – vozes sobrepostas] – Transcrição Direita – Colchetes nosso – Programa “Entre Aspas” da Globo News do dia 27 de junho de 2017.

O interlocutor que deve ser um especialista em criptografia da envergadura do Dr. Diego Aranha diz:

• Aqui, quem faz a programação é o próprio TSE. E o código é sempre auditado por vários órgãos (PF, MPF, Partidos Políticos) e nunca viram nenhuma linha maliciosa nele.

De um lado temos o Dr. Diego Aranha, especialista reconhecido internacionalmente em segurança da informação, que afirma que falhas foram encontradas no código fonte das urnas e que as auditorias realizadas por essas organizações não são seguras porque não se poderia “determinar se o software que foi auditado em todas essas organizações foi o mesmo de fato instalado nas urnas eletrônicas no dia da eleição.” Do outro o leitor, que deve conhecer profundamente de segurança da informação, dizendo “nunca viram nenhuma linha maliciosa nele”. Eu acho incrível como há tantas “mentes iluminadas” neste país. Porque será que o prêmio Nobel é tão raro entre nós, senão inexistente, com tantas pessoas tão inteligentes assim? Qualquer fraudador inteligente, substituiria os softwares, o original pelo adulterado, nos moldes propostos pelo Dr. Diego: após as auditorias desses órgãos.

Na audiência pública realizada no dia 06/03/2018 no Senado Federal, o Professor Pedro Dourado de Rezende fez um alerta gravíssimo no que se refere a postura do TSE com relação a segurança das urnas eletrônicas:

• “(...) Senador, infelizmente, eu acho que é muito pior que isso. Porque o edital que foi feito, a pretexto de cumprir a lei, que terceirizou praticamente tudo, basicamente, abriu o cofre de segurança do sistema eleitoral brasileiro em troca de um simples termo de sigilo, para que um empresa estrangeira, que ganhou a licitação, pudesse conhecer todo o nosso sistema, inclusive o material criptográfico; que é digamos, o alicerce do mecanismo de proteção que a Justiça eleitoral alega ter construído no seu sistema, para que essa empresa possa desenvolver um sistema de impressão do voto integrado ao sistema que existe hoje ‘pras’ urnas eletrônicas. Sendo que não haveria nenhuma necessidade de entregar o código do sistema eleitoral para um empresa que tem como responsáveis três venezuelanos e um português, que não tem nenhum compromisso com a legislação brasileira, inclusive de cumprir o tal termo de sigilo sobre o conteúdo do material dos sistemas que eles receberiam a pretexto de desenvolver o voto impresso. Isso, o que está no edital de licitação para o voto impresso nesse ano, a meu ver, é um ato de traição a soberania nacional (...)” - https://www.youtube.com/watch?v=sLeFsOPQSco

Na mesma audiência pública o Professor Dourado de Resende diz que essas chaves criptográficas foram negadas a técnicos brasileiros que queriam aperfeiçoar os sistemas de segurança da urna eletrônica, contudo, pasmem, o TSE estava disposto a entregá-las a estrangeiros. O Professor alerta sobre as graves consequências que poderiam ser geradas:

• “com esse material criptográfico, programas stealth, (camuflados) capazes de, nas 95% das seções que não está prevista a impressão do voto, fraudar percentualmente as votações de forma indetectável sob as regras atuais de fiscalização externa (...) os quais poderiam ser anteriormente confeccionados e plantados, à sorrelfa, para a inserção por terceiros, inclusive desavisados do risco como se fossem programas legítimos; pois passarão como tal perante os dispositivos internos de autenticação ao longo de qualquer dos pontos da cadeia de custódia dos componentes do referido sistema, com o efeito nefasto de contaminá-lo para fins inconfessáveis (...)” – Audiência Pública realizada no dia 06/03/2018 – Comissão de Constituição e Justiça do Senado Federal.

Mas como disse o “Einstein”: nossas eleições são seguras! Por sinal, é corrente que entreguemos as chaves de nossas casas para estranhos na rua. Nada mais normal!

Diante do disparate de entregar as chaves de segurança das urnas eletrônicas a estrangeiros, o Comitê Multidisciplinar Independente (CMInd) ³ encaminhou sete petições ao TSE questionando a legalidade do citado edital. Você sabe o que o TSE respondeu? Nas palavras do professor, a resposta foi a seguinte: “Tá no edital, mas não vai ser feito!”. Oh man, no way! Are you Kidding me? Don’t screw up everything!

Não sei o porquê, mas isso me faz lembrar do Chapeleiro...

Você percebeu alguma coisa estranha? Por que a empresas estrangeiras e não nacionais? Venezuela?! O Dr. Pedro Dourado disse abertamente no audiência do Senado Federal que, por meio do edital 106/2017, o TSE entregou ou entregaria as chaves criptográficas das urnas eletrônicas nas mãos de estrangeiros. Três venezuelanos. Porque como sabemos, a Venezuela é um exemplo de democracia, suas últimas eleições foram elogiadas no mundo inteiro pelo nível de transparência e o povo venezuelano está feliz e bem nutrido. diga-se de passagem. Que tal você entregar as chaves de sua casa para um desconhecido? Entretanto, como dito pelo interlocutor, as nossas eleições são seguras e eu estou devaneando.

Você se lembra que o Dr. Graaf disse com relação aos Estados Unidos? Que um único técnico mal intencionado, que trabalhasse em uma das empresas que fabrica a urna, poderia fraudar eleições em todo um estado. Já temos um empresa estrangeira que venceu a licitação, por quanto será que um de seus técnicos estaria disposto a se corromper? Milhões? Será que algum partido político no Brasil tem essa quantia?

Eis aí nossas eleições completamente seguras!

Num próximo artigo, construirei um cenário hipotético para uma fraude em larga escala das urnas eletrônicas e sobre a postura do TSE no que se refere. Contudo, como bom religioso que sou, antes de encerrar, ofereço minha prece:

“Oh oráculos! Baluartes do escrutínio universal! Detentores de sabedoria acima dos reles mortais! Iluminai-me neste caminho que lhes é recalcitrante! Peço que sejai-me propício, para que porventura, não vós esteja provocando a ira ao ‘atentar contra a democracia.’ Entregamo-nos, confiantes e incondicionalmente, a vossa proteção e salvaguarda, oh salvadores da pátria! Amém!”

Por