TecMundo: E depois de tudo isso as urnas passaram por alguma atualização?
Diego Aranha: Sim, o software mudou. Fisicamente é praticamente a mesma urna, mas algumas coisas mudaram. Em 2012, havia dois modelos principais: um que não tinha um módulo de segurança em hardware e outro que tinha esse módulo, mas não era usado para tarefas importantes. Esse módulo gera números aleatórios, exatamente para realizar esse embaralhamento de maneira segura; e também há um espaço para armazenar chaves para encriptar a mídia de maneira segura, mas não era usado assim... com o aparente argumento de que "se nem todas as urnas têm, nenhuma pode usar", o que não faz qualquer sentido em termos de segurança.
Desde então, a fração das urnas com esse módulo em hardware com certeza aumentou. As urnas antigas vão saindo de operação e as novas já têm esse recurso. É claro que, entendo e acredito, que o TSE integrou alguns desses mecanismos, que já estavam lá e já haviam sido comprados, nas versões mais novas do software. Eu não tenho evidências disso, mas seria algo natural — foi até o que recomendamos no relatório. Todos esses equipamentos são custeados por impostos, é o mínimo que podem fazer.
TecMundo: Os hackers estão cada vez mais jovens e o hacker brasileiro tem um certo costume de invadir sites por diversão, mesmo que falte um conhecimento técnico alto como atacante. Chegando para as urnas, é fácil se tornar um atacante desse sistema em específico?
Diego Aranha: O que observamos é o seguinte: os mecanismos de segurança que estavam no sistema não ofereciam custo proibitivo para algum atacante minimamente sofisticado. Um atacante de eleições é um atacante muito bem equipado, politicamente e financeiramente, tanto que possuem milhões para comprar votos.
Evidentemente eu também não sei se os atacantes de eleições brasileiras, como os políticos da velha guarda, possuem interesse real em fraudes tecnológicas. Eles têm vencido eleições do jeito antigo desde que o Brasil é Brasil. Não temos como especular. Mas, ao mesmo tempo, eu acho que não deveríamos estar nessa posição, até porque do ponto de vista custo-benefício, é um ponto tentador de ataque. Se você compromete alguém, por exemplo, que esteja dentro do TSE para escrever software que vai roubar votos para alguém, isso tem (em tese) custo muito mais barato do que comprar 100 mil votos em uma cidade. É um ponto tentador de ataque, que concentra risco. Eu não sei se os partidos e os políticos já perceberam ou se preocupam com isso, até porque eles encontram outras formas de ganhar eleições. Mas o que é evidente é o seguinte: infelizmente, temos uma comunidade muito profícua em produção de software malicioso e fraude financeira. As condições técnicas, caso sejam transportadas para as eleições, estão lá — ou estavam lá em 2012.
TecMundo: Ocorrem outros tipos de fraude?
Diego Aranha: Nós temos outros tipos de fraude menos tecnológicas nas eleições brasileiras, mas se fala pouco a respeito. A fraude do mesário, em que ele vota no lugar de pessoas que não foram votar. Então, quando a pessoa justifica a falta, percebe-se posteriormente que já votaram no lugar dela. Esse tipo de coisa acontece. Isso porque os mesários também concentram risco nas eleições, eles têm acesso privilegiado ao equipamento.
TecMundo: Mas como isso acontece, especificamente?
Diego Aranha: O mesário opera o equipamento e um eleitor que justificou o voto, por estar em outra cidade, observa posteriormente que o voto foi computado para o título de eleitor dele. O Tribunal Superior Eleitoral fez um cruzamento recentemente e acharam um volume, se não me engano, de dezenas de milhares de votos justificados, mas que receberam votos, que foram contabilizados. O TSE se manifestou de maneira inconclusiva, como se fosse uma questão dúbia. É evidente que foi uma fraude de mesários votando por pessoas que não foram votar.
Então, temos fraude eleitoral no Brasil. Temos compra de votos, temos fraude de mesário, temos modalidades menos tecnológicas de fraude eleitoral que ainda não são devidamente discutidas. Há uma preocupação excessiva com a urna, até porque o equipamento representa maior risco, mas existe fraude eleitoral no Brasil.
E quando a gente fala de dezenas de milhares de votos, estamos falando de algo decisivo em eleições de menor porte. Basta olhar para as recentes e diferentes eleições, como os resultados estão cada vez mais divididos e ao mesmo tempo apertados, como a eleição presidencial passada. Isso pode interferir nos resultados de uma eleição.
TecMundo: Fraudes menores passam despercebidas, certo? E com as eleições cada vez mais apertadas, isso pode fazer uma grande diferença...
Diego Aranha: As pessoas quando pensam em fraude, pensam em um cenário fictício e espetaculoso para uma fraude eleitoral. Mas, na verdade não é isso, às vezes são 500 votos que separam o primeiro do segundo turno. Aí tem um escândalo de corrupção prestes a estourar que vai fazer o candidato perder a eleição no segundo turno. Se ele consegue resolver ainda no primeiro, a vantagem é enorme. Então, sim, pode ser uma fração bem pequena de votos que decide os resultados.
Você apontou muito bem: a eleição presidencial passada e as nossas eleições daqui para frente serão muito polarizadas. A sociedade está se polarizando cada vez mais e fica cada vez mais complicado resolver disputas em resultados eleitorais, por isso transparência é tão importante.
As nossas eleições sempre vão ser muito disputadas. Se não tivermos um sistema minimamente auditável e transparente, isso só dificulta e atrapalha as coisas.
TecMundo: E o que poderia ser feito para aumentar a segurança das urnas e também tornar o processo eleitoral transparente?
Diego Aranha: No Brasil, utilizamos um sistema de votação com registro puramente eletrônico dos votos. Uma consequência direta desse fato é que tanto o sigilo do voto quanto a compatibilidade entre os resultados da eleição e a intenção do eleitorado dependem diretamente da qualidade do software de votação e de sua resistência contra manipulação por agentes internos e externos. Dessa forma, o aprimoramento do sistema passa não apenas pelo incremento de segurança do software de votação e de seus processos de auditoria, mas também da implantação de mecanismos que permitam ao eleitor verificar se o sistema registra sua intenção corretamente. Isso deve acontecer a partir de 2018, quando o TSE começará a implantar o voto impresso em 6% das urnas eletrônicos. É importante acompanhar esse processo para ver qual será o impacto no sistema.
Também descobrimos que os mecanismos que protegem o software contra manipulação sofriam de falhas de projeto fundamentais. Todas as urnas compartilham o mesmo segredo para proteger o software de votação e isso está diretamente inserido no código-fonte do equipamento. Então, tem ao menos 500 mil cópias dessa informação às claras em cartões de memória, não dá nem para chamar isso de segredo. Mas não tivemos tempo de realizar um ataque em tempo real sobre essa vulnerabilidade, nos deram apenas três dias. Dois dias ficamos realizando ataques no sigilo do voto e o terceiro para montar o relatório e negociar com o TSE o que entraria no relatório. Então, tiveram vulnerabilidades que descobrimos, não atacamos ou exploramos, mas documentamos.
TecMundo: E depois de tudo isso as urnas passaram por alguma atualização?
Diego Aranha: Sim, o software mudou. Fisicamente é praticamente a mesma urna, mas algumas coisas mudaram. Em 2012, havia dois modelos principais: um que não tinha um módulo de segurança em hardware e outro que tinha esse módulo, mas não era usado para tarefas importantes. Esse módulo gera números aleatórios, exatamente para realizar esse embaralhamento de maneira segura; e também há um espaço para armazenar chaves para encriptar a mídia de maneira segura, mas não era usado assim... com o aparente argumento de que "se nem todas as urnas têm, nenhuma pode usar", o que não faz qualquer sentido em termos de segurança.
Desde então, a fração das urnas com esse módulo em hardware com certeza aumentou. As urnas antigas vão saindo de operação e as novas já têm esse recurso. É claro que, entendo e acredito, que o TSE integrou alguns desses mecanismos, que já estavam lá e já haviam sido comprados, nas versões mais novas do software. Eu não tenho evidências disso, mas seria algo natural — foi até o que recomendamos no relatório. Todos esses equipamentos são custeados por impostos, é o mínimo que podem fazer.
TecMundo: Os hackers estão cada vez mais jovens e o hacker brasileiro tem um certo costume de invadir sites por diversão, mesmo que falte um conhecimento técnico alto como atacante. Chegando para as urnas, é fácil se tornar um atacante desse sistema em específico?
Diego Aranha: O que observamos é o seguinte: os mecanismos de segurança que estavam no sistema não ofereciam custo proibitivo para algum atacante minimamente sofisticado. Um atacante de eleições é um atacante muito bem equipado, politicamente e financeiramente, tanto que possuem milhões para comprar votos.
Evidentemente eu também não sei se os atacantes de eleições brasileiras, como os políticos da velha guarda, possuem interesse real em fraudes tecnológicas. Eles têm vencido eleições do jeito antigo desde que o Brasil é Brasil. Não temos como especular. Mas, ao mesmo tempo, eu acho que não deveríamos estar nessa posição, até porque do ponto de vista custo-benefício, é um ponto tentador de ataque. Se você compromete alguém, por exemplo, que esteja dentro do TSE para escrever software que vai roubar votos para alguém, isso tem (em tese) custo muito mais barato do que comprar 100 mil votos em uma cidade. É um ponto tentador de ataque, que concentra risco. Eu não sei se os partidos e os políticos já perceberam ou se preocupam com isso, até porque eles encontram outras formas de ganhar eleições. Mas o que é evidente é o seguinte: infelizmente, temos uma comunidade muito profícua em produção de software malicioso e fraude financeira. As condições técnicas, caso sejam transportadas para as eleições, estão lá — ou estavam lá em 2012.
TecMundo: Ocorrem outros tipos de fraude?
Diego Aranha: Nós temos outros tipos de fraude menos tecnológicas nas eleições brasileiras, mas se fala pouco a respeito. A fraude do mesário, em que ele vota no lugar de pessoas que não foram votar. Então, quando a pessoa justifica a falta, percebe-se posteriormente que já votaram no lugar dela. Esse tipo de coisa acontece. Isso porque os mesários também concentram risco nas eleições, eles têm acesso privilegiado ao equipamento.
TecMundo: Mas como isso acontece, especificamente?
Diego Aranha: O mesário opera o equipamento e um eleitor que justificou o voto, por estar em outra cidade, observa posteriormente que o voto foi computado para o título de eleitor dele. O Tribunal Superior Eleitoral fez um cruzamento recentemente e acharam um volume, se não me engano, de dezenas de milhares de votos justificados, mas que receberam votos, que foram contabilizados. O TSE se manifestou de maneira inconclusiva, como se fosse uma questão dúbia. É evidente que foi uma fraude de mesários votando por pessoas que não foram votar.
Então, temos fraude eleitoral no Brasil. Temos compra de votos, temos fraude de mesário, temos modalidades menos tecnológicas de fraude eleitoral que ainda não são devidamente discutidas. Há uma preocupação excessiva com a urna, até porque o equipamento representa maior risco, mas existe fraude eleitoral no Brasil.
E quando a gente fala de dezenas de milhares de votos, estamos falando de algo decisivo em eleições de menor porte. Basta olhar para as recentes e diferentes eleições, como os resultados estão cada vez mais divididos e ao mesmo tempo apertados, como a eleição presidencial passada. Isso pode interferir nos resultados de uma eleição.
TecMundo: Fraudes menores passam despercebidas, certo? E com as eleições cada vez mais apertadas, isso pode fazer uma grande diferença...
Diego Aranha: As pessoas quando pensam em fraude, pensam em um cenário fictício e espetaculoso para uma fraude eleitoral. Mas, na verdade não é isso, às vezes são 500 votos que separam o primeiro do segundo turno. Aí tem um escândalo de corrupção prestes a estourar que vai fazer o candidato perder a eleição no segundo turno. Se ele consegue resolver ainda no primeiro, a vantagem é enorme. Então, sim, pode ser uma fração bem pequena de votos que decide os resultados.
Você apontou muito bem: a eleição presidencial passada e as nossas eleições daqui para frente serão muito polarizadas. A sociedade está se polarizando cada vez mais e fica cada vez mais complicado resolver disputas em resultados eleitorais, por isso transparência é tão importante.
As nossas eleições sempre vão ser muito disputadas. Se não tivermos um sistema minimamente auditável e transparente, isso só dificulta e atrapalha as coisas.
TecMundo: E o que poderia ser feito para aumentar a segurança das urnas e também tornar o processo eleitoral transparente?
