O que o teste das urnas eletrônicas no TSE revelou sobre a segurança da votação

O Tribunal Superior Eleitoral (TSE) realizou na última semana de novembro a sexta edição do Teste Público de Segurança (TPS), evento no qual técnicos são chamados a Brasília para tentar invadir e burlar o funcionamento normal das urnas eletrônicas. Com acesso facilitado aos sistemas e dispositivos eletrônicos internos da máquina, eles buscam encontrar falhas de segurança para que, posteriormente, os técnicos do próprio tribunal possam corrigi-los antes das eleições. Desta vez, foram encontrados cinco "achados" – nome que o TSE dá às brechas encontradas, dependendo do "ataque" realizado contra as urnas.

Das brechas encontradas nos testes, duas afetam a transmissão dos votos; duas, em tese, poderiam comprometer o sigilo da votação; e uma captou os dados que compõem o boletim de urna, documento impresso que cada seção emite contendo os totais de votos dados a cada candidato.

Na apresentação desses resultados, no último dia 29, o presidente do TSE, Luís Roberto Barroso, afirmou que o teste deste ano não revelou falhas "graves", classificadas como aquelas que poderiam comprometer uma eleição, por meio de desvio de votos ou adulteração do resultado. "Ninguém conseguiu invadir o sistema e oferecer risco para o resultado das eleições", enfatizou o ministro em entrevista à imprensa, ao detalhar o que conseguiram os técnicos que participaram do teste.

Participaram do TPS de 2021 um total de 26 especialistas, que apresentaram ao tribunal 29 planos de ataque. Destes, apenas 5 tiveram sucesso e, segundo o TSE, terão agora os métodos analisados para que as falhas estejam corrigidas. Em maio, os especialistas voltarão ao tribunal para tentar realizar os ataques novamente, para verificar se as correções foram efetivamente realizadas.

Apesar disso, a Gazeta do Povo ouviu especialistas que criticam o TSE pela forma como realiza os testes e pelo fato de não dar acesso pleno ao código-fonte das urnas eletrônicas para que mais falhas no sistema eventualmente sejam descobertas. Essas críticas à Justiça Eleitoral são recorrentes.

Invasão da transmissão dos votos das urnas eletrônicas ao TSE

Na própria entrevista à imprensa, Barroso disse que apenas um ataque foi considerado "relevante", por ter conseguido ultrapassar barreiras de segurança da transmissão dos dados da votação ao TSE. Esse plano foi executado por peritos da Polícia Federal (PF) e consistia em extrair dados e configurações do "Kit JE Connect", sistema que transmite os resultados da eleição. Técnicos do tribunal ressaltaram que não havia como mexer na votação dos candidatos.

"O ataque dos peritos não almejou a alterar a destinação dos votos, almejou realmente identificar vulnerabilidades na nossa rede de dados. Existem outras camadas de segurança, que mesmo tendo eles conseguido entrar na rede de dados da Justiça Eleitoral, eles não conseguem alterar os resultados. Existem outras camadas que impedem essa alteração", disse o secretário de Tecnologia da Informação do TSE, Julio Valente.

Os dados da votação são enviados ao TSE por uma rede interna. Eles saem da urnas diretamente para cartões de memória, que são levados aos Tribunais Regionais Eleitorais (TREs), que então os repassam ao TSE nessa rede fechada. Valente explicou que mesmo que os dados da votação fossem alterados na transmissão, os resultados não bateriam com os números que são impressos no boletim de urna imediatamente após o fim da votação em cada seção eleitoral.

"Quando a urna eletrônica imprime o boletim de urna, ali é o resultado daquela seção. Mesmo que exista algum ataque posterior à transmissão ou efetivamente a um dado totalizado, depois, quando o TSE publica os dados que foram utilizados na totalização, qualquer divergência seria rapidamente percebida", disse o secretário.

Além dos peritos da PF, uma outra equipe conseguiu acessar a transmissão. Mas, segundo o TSE, não chegaram a invadir a rede do tribunal. "Conseguiram saltar a rede de transmissão, mas pararam na barreira de segurança da entrada da rede do TSE. Mas o fato de terem conseguido pular a barreira e chegado até a porta da rede é uma preocupação e os técnicos vão estudar como evitar que isso possa acontecer", disse.

Tentativas de quebra do sigilo de votos

No teste deste ano, também foram considerados bem-sucedidos alguns planos que visavam quebrar o sigilo da votação. Duas equipes usaram artifícios físicos para isso. Um deles conseguiu acoplar ao teclado da urna um invólucro com sensores que registrava as teclas apertadas pelos eleitores para conseguir, então, identificar em quem eles votaram. Os dados eram transmitidos numa rede de internet sem fio.

Outra equipe conseguiu instalar na saída de áudio da máquina um dispositivo de bluetooth, que transmitia a descrição falada dos votos, reproduzida para eleitores com deficiência visual. Para ouvir seus votos, eles precisam conectar a essa saída um fone de ouvido.

As duas formas de burlar o segredo da votação foram consideradas "relevantes" pelo TSE – ainda que não graves, por não interferirem no resultado. Segundo Barroso, o tribunal estudará formas de evitar que isso aconteça.

"Para que isso seja feito é preciso que alguém entre com um painel do tamanho da urna escondido nas vestes, consiga colocá-lo na urna sem que ninguém veja, e que depois um novo eleitor consiga retirá-lo, para que não se saiba que isso foi feito. É uma situação bastante contrafactual, bastante improvável. Mas nós vamos pensar alguma medida que possa minimizar o risco de alguém ter esse tipo de comportamento. Basta que haja capacidade de visualização, não da votação, mas que o mesário possa ver se alguém está colocando alguma coisa ali em cima", disse o ministro.

Quanto à instalação do dispositivo bluetooth na saída de áudio, Barroso disse que isso também poderia ser verificado por mesários, uma vez que ela fica na parte de trás das urnas.

O quinto ataque foi considerado menos relevante. Ele consistia em desembaralhar os dados que compõem o boletim de urna. Segundo Barroso, o embaralhamento era feito quando não existia uma assinatura digital do documento (que permite verificar sua autenticidade) e não é mais um procedimento necessário para a segurança. A tendência é que ele não seja mais realizado. "Qual a consequência? Nenhuma. Inclusive porque os dados do boletim de urna são públicos. Às 17 horas, a urna imprime o boletim com o resultado das eleições e a partir daí, não há como ter fraudes", afirmou o ministro.

Teste anterior encontrou falha mais grave nas urnas eletrônicas

O teste de 2017 encontrou falhas mais graves na urna eletrônica. Uma equipe conseguiu alterar os resultados da votação simulada. O TSE informou que a falha de segurança foi corrigida. Em 2019, a equipe de peritos da PF também conseguiu capturar dados internos da urna.

Integrante da equipe de 2017 que conseguiu alterar a votação, o professor Paulo Matias, do Departamento de Computação da Universidade Federal de São Carlos, disse à reportagem que não participou do TPS deste ano por causa da necessidade de se deslocar a Brasília – ele está evitando viagens de avião pelo risco de contaminação pela Covid. Além disso, ele é consultor da equipe do Laboratório de Arquitetura e Redes de Computadores, da USP, que foi contratada pelo TSE para fazer o pré-teste das urnas. "Participar do TPS acabaria sendo redundante", afirmou.

Ele, no entanto, ainda critica o fato de o TSE não disponibilizar os códigos-fonte da urna de forma permanente na internet. Até as eleições de 2020, eles eram disponibilizados seis meses antes das eleições. Neste ano, passou a ser liberado um ano antes, sobretudo por causa das críticas levantadas contra a segurança da votação durante a discussão da proposta de emenda à Constituição (PEC) que previa a volta do voto impresso para auditar as eleições. A PEC foi rejeitada pela Câmara.

Para Matias, as restrições de acesso são "bastante incômodas". "Com o código aberto de forma irrestrita, as pessoas teriam oportunidade de se planejar melhor para o TPS", afirma o pesquisador. O TSE diz que planeja fazer isso de forma "gradual". Mas, para Matias, isso é desnecessário. "Se eles abrissem tudo de uma vez agora, não haveria prejuízo para o processo eleitoral e aumentaria a percepção de transparência por parte do público", afirmou.

"As restrições para acesso ao código-fonte da urna continuam sendo bastante incômodas. O TSE tem planos de abrir o código-fonte para o público por meio da internet, mas eles parecem querer ir abrindo aos poucos de forma 'gradual'. Eu acho totalmente desnecessário fazer isso de forma 'gradual', acredito que se eles abrissem tudo de uma vez agora, não haveria prejuízo para o processo eleitoral e aumentaria a percepção de transparência por parte do público. Mas infelizmente não é todo mundo que compartilha dessa opinião", disse Matias.

A Gazeta do Povo apurou que outros pesquisadores renomados recusaram-se a participar do TPS neste ano por discordarem da forma como o TSE divulga os resultados, sem detalhar de forma precisa falhas graves encontradas, como a de 2017. Outros temem retaliações. Um deles, por exemplo, passou a ser investigado pelo ministro do STF e do TSE Alexandre de Moraes no inquérito sobre o vazamento de uma investigação sigilosa da PF sobre a invasão hacker da rede interna do TSE em 2018. O relatório foi divulgado pelo presidente Jair Bolsonaro neste ano, numa entrevista ao lado do deputado Filipe Barros (PSL-PR) – parlamentar que relatou a proposta do voto impresso e que é crítico do sistema de votação puramente eletrônico.