Michael Stanton - Artigos

Ano 2001 Página Inicial (Índice)

29/07/2001
• Urnas eletrônicas 2002: a corrida contra o tempo

Com o estouro do escândalo do painel de votação do Senado há alguns meses, a sociedade aprendeu que a informática é um instrumento que pode ser usado para o bem ou para o mal, e que é possível projetar sistemas informatizados que possam ser subvertidos por pessoas mal intencionadas, à revelia dos seus usuários (v. coluna de 23 de abril). O caso do painel foi salutar, pois trouxe de volta à consciência nacional o assunto da segurança das urnas eletrônicas, meio esquecido no meio da celebração da primeira eleição 100% eletrônica no País em outubro de 2000, logo antes da confusão da eleição presidencial nos Estados Unidos no mês seguinte. Há semelhança imediata entre o caso do painel do Senado e das urnas eletrônicas: no caso de votação secreta não há nenhuma maneira do votante ter certeza que seu voto foi dado de acordo com sua vontade.

A questão nos dois casos é função da absoluta ausência da auditoria do seu voto pelo responsável. No painel, numa votação secreta só são mostrados os totais dos votos contados. Na urna, é a mesma coisa. Em caso de dúvida, não seria possível ser realizada uma recontagem dos votos. Têm razão os críticos deste projeto hermético adotado pelo Tribunal Superior Eleitoral: não é cabível substituirmos o voto em papel por uso de uma caixa preta eletrônica, cujo funcionamento é mantido secreto por seus projetistas e administradores.

A auditoria do voto foi uma das questões fundamentais examinadas pelo Projeto de Tecnologia de Votação, criado pelas universidades tecnológicas norte-americanas MIT e Caltech, para examinar a reforma da votação nos EUA depois do fiasco que foi a eleição presidencial de 2000 nesse país (www.vote.caltech.edu). Este projeto, com o envolvimento de onze cientistas de renome e coordenado pelos presidentes das duas universidades, já havia publicado em março seu relatório preliminar sobre a eficácia de diferentes tecnologias de votação, e este relatório foi discutida na nossa coluna de 2 de maio. Seu levantamento exaustivo do panorama norte-americano mostrou que a tecnologia mais eficiente era a contagem de votos em papel, e que máquinas de votar, inclusive as eletrônicas, tinha taxas maiores de votos em branco e nulos, o que era considerado critério adequado de comparação.

Acaba de ser publicado em 16 de julho o relatório final deste projeto, chamado "Voting - What is, what could be" (Votação - o que existe, o que poderia existir) (www.vote.caltech.edu/Reports/index.html). Além de incluir e expandir o levantamento comparativo de tecnologias incluído no relatório preliminar, o relatório final aponta caminhos. É generoso com a experiência brasileira, louvando o esforço para melhorar o sistema eleitoral realizado ao longo da última década, e sugerindo que os EUA adote também o modelo de investimento público em pesquisa em sistemas de votação. Entretanto, a parte mais importante do relatório está contida nas páginas 58 a 64, onde se propõe uma arquitetura modular de votação, que deva servir de base para o projeto de equipamentos de votação.

Embora não seja essencial que os futuros equipamentos sejam eletrônicos, isto será muito provavelmente o caso, e então a arquitetura proposta trata de evitar os problemas conhecidos de segurança dos equipamentos eletrônicos atuais, tais como as urnas brasileiras. Estes incluem, primeiro, a ausência de mecanismos de auditoria dos resultados, por não ser produzida uma representação física de cada um dos votos dados. Em segundo lugar, concentrar toda a funcionalidade em um único equipamento "monolítico" (integrado) implica num projeto complexo, e complexidade excessiva tende a comprometer a segurança.

Portanto, a arquitetura proposta mantém claramente separados os dois passos distintos seguidos pelo eleitor na votação tradicional e segura, na qual ele gera seu voto marcando um papel, e registra este voto colocando-o numa urna. Na nova arquitetura, o eleitor primeiro geraria seu voto com o auxílio de um equipamento eletrônico. Este equipamento, externamente semelhante à urna atualmente usada nas eleições no País, permitiria escolher candidatos para todas as vagas sendo contestadas. Porém, ele produziria uma representação física da vontade do eleitor, podendo ser este impressa em papel, ou gravada em um cartão magnético. A segunda fase consistiria, primeiro, em permitir o eleitor verificar que ele havia gerado corretamente seu voto. Caso tivesse sido impresso em papel, esta verificação seria direto, pelo menos para o eleitor que não estivesse visualmente deficiente, e depois o voto seria registrado, colocando o papel numa urna convencional, e os votos seriam contados convencionalmente. Caso o eleitor discordasse com o voto gerado no papel, este papel seria destruído, e o eleitor voltaria ao equipamento eletrônico para gerar o voto novamente.

Se tivesse sido usada a representação magnética, considerada a opção mais provável no relatório, então o voto gerado seria verificado e registrado num segundo equipamento, independente do primeiro. Este equipamento permitiria a leitura, mas não a modificação do cartão magnético, e a visualização do voto gerado nele. Caso não estivesse satisfeito com seu voto, o eleitor voltaria a fase de geração do voto, para corrigi-lo. Se estivesse satisfeito, então o voto seria registrado eletronicamente, e o cartão seria selado fisicamente, para impedir futura modificação indevida, e então guardado para possibilitar futura auditoria do voto.

Esta separação em dois equipamentos distintos torna a arquitetura mais segura e mais flexível. É mais segura, porque a geração da representação física do voto permite a auditoria independente do resultado da eleição. Adicionalmente, o equipamento crucial, do ponto de vista da segurança do voto, é o segundo, que registra o voto, e ele teria um projeto muito mais simples do que o primeiro, pois apenas trata de contar votos previamente gravados em formato padrão. Este equipamento poderia ser projetado e implementado de forma publicamente aberta, e reutilizado sem necessitar modificação da sua programação a cada eleição. Evidentemente o boletim de urna seria fechado e assinado digitalmente, para autenticar seu conteúdo. A chave criptográfica da urna seria fornecida, por exemplo num cartão inteligente, apenas quando usada numa eleição. A flexibilidade da arquitetura proposta se deve aos poucos requisitos impostos no primeiro equipamento, cuja segurança não é crítica ao sistema de votação, e que pudesse ser até um microcomputador pessoal qualquer, desde que gerasse saída no formato padrão.

Este projeto de arquitetura ideal poderá ser usado como um padrão pelo qual podemos medir a adequação de soluções propostas para corrigir os defeitos identificados nas urnas eletrônicas usadas no Brasil. Por enquanto, a única proposta em discussão pública é o projeto do senador Roberto Requião, atualmente em pauta na Comissão de Constituição e Justiça (CCJ) do Senado. Embora tenha tido apressada a discussão na CCJ do projeto do senador Requião no rastro do escândalo do painel de votação do Senado, seu progresso foi prejudicado pelo tumulto causado no Senado pelas investigações posteriores dos senadores envolvidos com o painel, e mais recentemente pelo afastamento do atual presidente do Senado. Apesar disto, no último dia 26 de julho o senador Requião demonstrou no Senado uma implementação do seu projeto (http://www.senado.gov.br/agencia/noticias/2001/7/not263.asp). Também esteve presente nesta demonstração o ex-governador Leonel Brizola, que mais tarde levou o equipamento para o Tribunal Superior Eleitoral, onde foi também exibido para seu presidente, o ministro Nelson Jobim (www.mail-archive.com/voto-eletronico%40pipeline.iron.com.br/msg04918.html).

O projeto do senador acopla uma impressora à urna atual, e, antes de registrar o voto do eleitor, demonstra a este seu voto impresso em papel. Se o eleitor concordar com o voto impresso, ele o confirma, o que o registra eletronicamente, como hoje, e ato contínuo guarda o papel impresso de forma segura, para permitir auditoria do voto eletrônico. O projeto de lei do senador prevê que uma amostra de 3% das urnas terá seus votos auditados, através da contagem dos votos em papel. Evidentemente, esta proposta mantém semelhanças à arquitetura ideal concebida pela projeto MIT-Caltech, e representaria um passo no sentido de dar maior segurança à eleição eletrônica.

A legislação eleitoral no País exige que mudanças nas eleições sejam aprovadas pelo menos um ano antes da realização do pleito. Temos portanto pouco mais de dois meses para chegar a uma conclusão sobre a melhor forma de dar segurança à votação nas eleições gerais de 2002. Com a palavra o Congresso Nacional e o Tribunal Superior Eleitoral.