10 ANOS DE URNA ELETRÔNICA !! Você conhece os programas utilizados na urna eletrônica?

Question

Trabalho no TRE-MG há oito anos. Sou concursado e nunca me envolvi em política. Posso garantir que não há fraudes nas urnas porque: 1 - os partidos, a OAB, os candidatos e o Ministério Público fiscalizam cada etapa da confecção dos programas até a lacração deles e a inseminação nas urnas. 2- Várias urnas são sorteadas horas antes da eleição para serem auditadas em audiência pública. 3 - Todas as informações gravadas na urna são criptografadas e nenhuma urna está on-line, ou seja, todas funcionando de maneira inependente. 4 - A totalização no TRE e no TSE podem ser comparadas aos boletins de urna impressos e divulgados no final da vortação em cada seção. 5 - Nunca houve motivos para se acreditar em fraude em eleição. 6 - Há outros argumentos técnicos mostrados no laudo realizado pela UNICAMP quem quiser verificar, basta entrar no site do TSE. 7 - Quem já foi mesário sabe disso, porque conhece alguns dispositivos de segurança da urna. 8 - A Urna funciona bem em diversos países

Answer 1

Permita-me comentar em sua sábia pergunta, não seus programas para funcionamento, mas sim, o que ela nos reservou, após esse último pleito.
Aqui no Paraná esse sistema, acabou elegendo alguns deputados que já tinham sido banido do Congresso Nacional, entre os quais permita-me citar um entre outros, o sr Reinold Sthefanes, que já fora Ministro da Previdência, inclusive, e ao ser abordado na saída da cerimônia de diplomação, deu prova suficiente do carater que desses novos eleitos.
Incomodado com a fúria de manifestantes,. e protegido por truculentos seguranças, agrediu uma senhora, desferindo-lhe um tapa no rosto.
Atitudes como essa, na minha opinião, na precisa motivo para ser caçado"banido" da política pública, pois um homem com larga experiência, na vida pública, toma essa atitude diante. mostra-nos de que ao desempenhar suas obrigações com congressistas, não medirá esforços para lesar o erário público.
Espero que a TRE/Pr, solicite cópia da fita de vídeo gravado nesse episódio, e tome medidas enérgicas, é o que penso.
Sou eleitor a mais de 30 anos, nunca vi coisa semelhante, estou indignado!

Answer 2

caro colega, ser funcionário do TSE, sem mencionar que cargo vc ocupa, se é ou não relacionado à área responsável pelo software, não confere capacidade técnica a ninguém, só demonstra que vc está tentando impor respeito e mostrar conhecimento em um assunto que foge da sua área. Muito menos ser mesário, o fato de vc sugerir que por alguém ser um simples mesário tenha alguma capacidade técnica sobre penetração de urnas já põe em risco a credibilidade de tudo que vc disse;

leia mais em:
http://observatorio.ultimosegundo.ig.com.br/artigos.asp?cod=382ENO001

Answer 3

Infelizmente descordo de voce em gênero número e grau.
Não confiono sistema. Penso que existe sim possibilidade de fraude, se é que já não aconteceu.
Sou favoravel que após a confirmação dos votos seja impresso o mesmo e que seja depositado em uma urna para que possa ser conferido num futuro para apuração real desses votos.
Pior é que não existe mais voto secreto. Há possibilidade de identificar o voto de cada eleitor.
Só pode o eleitro ir para a cabine e votar após o número do título dele ter sido digitado. Esse ritual é repetido pra cada eleitor. Pensem o que quiser, mas que a mutreta anda solta, anda sim.

Answer 4

Euder, se você me permite, gostaria de contestar algumas coisas: 1 - Pelo que se sabe o código é secreto até para os partidos e para a OAB. Eles podem fiscalizar o processo, mas não o programa, que é onde mora o perigo. 2 - O sorteio das urnas em tese pode ser dirigido ou o código digitado para liberar a urna pode iniciar a versão “legal” do programa. Eu sou mesário e a urna só é liberada após as 8 da manhã automaticamente. Como ela é liberada antes? 3 - A criptografia garante que os resultados não podem ser alterados depois mas não na hora da gravação dos dados. 4 - A totalização nos tribunais é a soma dos resultados de cada urna. Se os dados foram fraudados na urna a totalização não vai pegar. 5 – Em Osasco todos acreditam que a eleição do prefeito anterior ao atual foi totalmente fraudada. Só que não teve como provar apesar das evidências e a recontagem é impossível. 6 – O TSE jamais iria liberar alguma falha conhecida no processo. 7 – As normas de segurança garantem que a urna não vem com votos nelas – ainda assim há controvérsias – e que na totalização não há como ter um resultado total diferente da soma das urnas. 8 – A urna só foi usada até hoje no Equador, onde deu um rolo imenso e na Venezuela, onde o governo tem um CD que diz em quem a pessoa votou e que o Chavez usa para proibir quem votou contra ele de trabalhar para o governo. Isso ocorre porque o sistema atual vincula o título de eleitor à liberação do voto.
Veja bem, eu não disse que isso acontece, mas se o governo – ainda mais um governo com tendências autoritárias como o atual – conseguir alterar o código fonte ou ter acesso às informações, ele pode perfeitamente influir no resultado eleitoral ou quebrar o sigilo do voto. Acho a urna eletrônica ótima, mas os votos deveriam ser impressos e separados em outra urna e deveria haver uma desvinculação da digitação do título de eleitor com a liberação da urna.

Answer 5

Se você tem tanto certeza porque perguntar ...

O problema que há opiniões fundamentadas dizendo absolutamente o contrário

é curioso que as urnas brasileiras não permitem, notadamente, auditoria da apuração dos votos....


Confere esse artigo ...



Termo de Manutenção de Sigilo
O autor deste artigo, Eng. Amílcar Brunazo Filho, atua como representante técnico de alguns partidos políticos junto a Justiça Eleitoral brasileira, onde teve acesso a informações sobre o projeto interno das urnas eletrônicas. Para tanto teve que assinar um termo de compromisso de manutenção de sigilo de maneira que não pode divulgar informações que obteve dentro daquele órgão oficial.
Desta forma, as informações sobre o projeto das urnas-e brasileiras aqui apresentadas são apenas aquelas que podem ser obtidas em documentos e em procedimentos públicos como:

Resoluções e Instruções do Tribunal Superior Eleitoral (TSE)
Descritivos técnicos incluídos nos editais de concorrência para o fornecimento de urnas eletrônicas
Relatórios técnicos oficiais apresentados por entidades acadêmicas (UNICAMP, SBC e COPPE-UFRJ)
Artigos técnicos de terceiros apresentados em congressos e na Internet
Cerimônias públicas de carga, teste e lacração de urnas eletrônicas
Laudos de Perícias em processos públicos na Justiça Eleitoral

1. Introdução

No dia 11 de maio de 2006, foi tornado público pela ONG Black Box Voting (BBV) a segunda parte do relatório do especialista em informática Harri Hursti contendo análise e testes livres desenvolvidos sobre as maquinas eletrônicas de votar modelos TSx fabricadas pela empresa Diebold e vendidas nos EUA e no Canadá, onde cobrem em torno de 30% daqueles mercados.

Estes tipos de testes livres de ataque são tecnicamente denominados Testes de Penetração e o Relatório Hursti foi separado em 2 partes que descrevem testes diferentes.

A conclusão básica destes relatórios é que existem falhas de segurança nos projetos e construção das máquinas de votar yanque/canadenses da Diebold que permitem que o programa de votação possa ser adulterado para modificar o resultado da apuração dos votos.

A primeira parte do Relatório Hursti, de dezembro de 2005, descrevia como foi possível adulterar os programas das máquinas de votar de Diebold utilizadas no município de Leon na Flórida de forma a fraudar uma votação. A conseqüência imediata da publicação deste relatório foi a demissão do presidente da Diebold que, até então, afirmava ser impossível se fraudar suas máquinas de votar.

A repercussão do segundo relatório na imprensa americana foi rápida e intensa como pode ser visto no The New York Times , no The Register , e no The Beacon Journal .

Como a empresa Diebold possui quase 90% do mercado brasileiro de urnas eletrônicas, onde com a marca Diebold-Procomp produziu 375 mil das 426 mil urnas eletrônicas que serão utilizadas nas eleições presidenciais brasileiras de outubro de 2006, se faz necessário analisar se as falhas de segurança apontadas nos Relatórios Hursti também existem nos modelos de urnas eletrônicas fornecidas no Brasil.


2. A Análise Hursti - Parte 2

A segunda parte do Relatório Hursti foi desenvolvida sobre máquinas de votar TSx da Diebold, fornecidas para o município de Emery no estado de Utah. Foi tornado público com quase 50 expressões censuradas (substituídos pela expressão "redacted") pelos responsáveis da BBV, em virtude de conterem informações que, porventura, poderiam facilitar o uso escuso por terceiros em eleições futuras.

O relatório conclui pela existência de graves falhas de segurança que permitem a adulteração dos programas de votação de forma a fraudarem uma eleição futura.

Os porta-vozes do fabricante estão se defendendo afirmando que:

não existem provas de fraudes já ocorridas em eleições regulares;
as vulnerabilidades encontradas são "teóricas" e são baixas a probabilidade de virem a ser exploradas.
e a "pé****" das tergiversações onde se disse que: "está se supondo que funcionários eleitorais diabólicos introduziriam software malicioso nos equipamentos. Eu não acredito que estes funcionários eleitorais diabólicos existam!"
Pode parecer trivial afirmar que um programa de computador possa ser adulterado com finalidades maliciosas, mas a análise do Sr. Hursti é mais rigorosa e completa, afirmando além disso que as falhas de segurança encontradas nas urnas-E modelos TSx da Diebold:

Permitem que as alterações possíveis não só desviem os votos como também enganem os testes de verificação de integridade regularmente desenvolvidos como as simulações de votação e as verificações de assinaturas digitais e resumos "Hash";
Foram introduzidas, em parte, de forma intencional pelos projetistas para facilitarem os serviços de atualização do software;
Possibilita a modificação dos programas em 3 níveis de controle diferentes (Sistema Inicializador, Sistema Operacional e Programas Aplicativos) de forma que as adulterações possam até sobre-existir a futuras atualizações, recontaminando automaticamente as máquinas.
A possibilidade de modificação dos programas de computador das urnas-e não seria problema grave se estas máquinas propiciassem alguma forma de se auditar o resultado final da contagem dos votos. Por exemplo, o voto impresso conferido pelo eleitor emitido pelas urnas-e modelo SAES3000 da empresa Smartmatic, que foram utilizadas nas eleições de 2004 e 2005 na Venezuela, permitiu a auditoria da apuração eletrônica dos votos solicitada pela OEA e pela Fundação Carter e, se houvesse adulteração dos programas de votação, a fraude teria sido detectada.

Porém, as máquinas da Diebold, tanto as disponíveis nos EUA como as brasileiras, não fornecem esta alternativa de auditoria da apuração dos votos de forma que a confiabilidade do seu software é tudo que poderiam dar como garantia de uma justa apuração.

Assim, se nestas máquinas o software das máquinas pode ser modificado à revelia do fabricante, cai por terra qualquer possibilidade de se afirmar a confiabilidade de tais equipamentos.

Entre as falhas de segurança do modelo TSx da Diebold estão:

o sistema de inicialização (boot) pode ser modificado por software;
é possível se modificar os programas internos por meios digitais externos;
o Sistema Operacional (Windows CE) não possui recursos de segurança fortes;
o sistema de lacres físicos são ineficientes e o gabinete é fácil de abrir sem nada destruir;
é possível se reconfigurar os recursos de segurança por meio de "jumpers" na placa-mãe;
existe um conector interno para cartões de memória "multimédia";
o botão externo de "teste de bateria" pode ser explorado em ataques disparados pelo eleitor;
resultando que são necessários menos de 5 minutos para se contaminar uma máquina sadia.

3. O modelo das urnas-e brasileiras

O projeto dos modelos 98, 2000, 2002, 2004 e 2006 das urnas-e brasileiras são totalmente controlados pelo corpo técnico do TSE de forma que as 51 mil fornecidas pela Unisys (modelo 2002) e as 375 mil urnas fornecidas pela Diebold (demais modelos) possuem exatamente as mesmas características de funcionamento, de usabilidade e de segurança.

Diferente dos modelos TSx americanos que, para interação com o eleitor, possuem tela e teclado integrados (touch-screen), os modelos brasileiros possuem um teclado numérico fixo e uma tela de cristal líquido separados e dispostos num mesmo desenho patenteado pelo seu primeiro projetista, o Eng. Carlos Rocha.

Os modelos 98 e 2000, que representam 2/3 das urnas-e brasileiras, possuem Sistema Operacional VirtuOS, semelhante ao antigo DOS ampliado com funções multi-tarefa, e os modelos seguintes possuem o mesmo Windows CE dos modelos TSx americanos.

Por uma questão de padronização da interface com o eleitor e como o VirtuOS tem recursos visuais muito limitados, todas as urnas brasileiras trabalham com tela totalmente em formato de texto (DOS-like) sem os recursos de "janelas" do Windows.

Esta impossibilidade de configuração da tela como teclado é que provocou as dificuldades durante a votação do Referendo de 2005 porque o teclado fixo não possui as teclas "SIM" e "NÃO" que seriam necessárias.


4. As características de segurança das urnas-e brasileiras

No Brasil, o TSE acumula funções como a regulamentação da fiscalização, a administração do processo eleitoral e o julgamento de qualquer recurso em matéria eleitoral até mesmo aqueles que sejam contra seus próprios atos administrativos.

Devido à natureza humana, este acúmulo de poderes, inexistente em regimes democráticos maduros, naturalmente leva ao autoritarismo e a falta de transparência. Por este motivo, pedidos oficiais de Testes Livres de Penetração nas Urnas-E, apresentados repetidas vezes por alguns Partidos Políticos, têm sido sistematicamente indeferidos por este superórgão eleitoral pelo simples fato de que ele tem poder de centralizar a decisão e impedir tais testes.

Assim, inexistem relatórios no Brasil que sejam similares aos Relatórios Hursti, mas ainda é possível se descobrir as fragilidades das urnas-e brasileiras pela análise de documentos oficiais públicos como as especificações técnicas em concorrências para o fornecimento de urnas e laudos de perícias técnicas ocorridas dentro de processos judiciais.

Desta forma, se pode afirmar que são muito similares os recursos de segurança (e de insegurança) das urnas eletrônicas brasileiras quando comparadas com o descrito do Relatório Hursti sobre o modelo TSx da Diebold, pois:

Não emitem o voto impresso conferido pelo eleitor que permita auditoria da contagem dos votos, de forma que são altamente dependentes da confiabilidade do software;
Possuem chip da BIOS (com inicializador) preso em soquete e regravável por software, como especificado nos editais de concorrência;
Possuem "extensão de BIOS" habilitada por "jumper" na placa-mãe (informação obtida na perícia das urnas-e utilizadas no recadastramento no município de Camaçari, BA, onde a extensão da BIOS estava desabilitada) que permitem a inicialização (boot) a partir do soquete externo para cartão de memória flash-card;
É possível a execução de software "batch file" gravado em disquete conforme descrito no Relatório Unicamp ;
O programa aplicativo que verifica a integridade interna do sistema é extremamente vulnerável a adulterações como revelado na análise do Prof. Pedro Rezende ;
O sistema de lacres e de fechamento do gabinete são simples e permitem acesso ao soquete do cartão de memória interno, conforme descrito no laudo da perícia no município de Sto. Estevão, BA;
Possuem o mesmo botão externo de "teste de bateria" dos modelos americanos.
Este conjunto de características de (in)segurança das urnas brasileiras as tornam tão passíveis de fraudes quanto suas similares americanas.
A possibilidade de inicializar (boot) as urnas-e brasileiras através de cartão de memória instalado no soquete externo é uma enorme falha de segurança pois o programa que comanda o boot pode fazer o que se quiser a seguir, inclusive adulterar todo o software interno anteriormente instalado. Agravando esta situação, este recurso foi implementado propositadamente pelos projetistas do sistema para se poder fazer a atualização simplificada do programa de votação nas urnas-e, como se conclui analisando-se os procedimentos (públicos) de carga e recarga do software, como a seguir descrito:

i) Procedimentos de carga normal das urnas:

É feito por meio de um cartão flash-card "de carga" que é colocado no conector externo das urnas-e. Ao se ligar as urnas com este dispositivo de memória instalado se pode ver que o boot é dado pelo drive D: (conector externo para flash-cards), que então copia todo o software oficial para o flash interna das urnas-e.
Durante esta instalação é apagado tudo que tinha no flash-card interno, exceto (a partir de 2004) o arquivo de log com eventual carga anterior do mesmo sistema.
Neste arquivo de log são lançadas as informações da carga atual pelo próprio programa de instalação (que está gravado no flash-card externo) como se pode deduzir no item (ii) seguinte.
Depois da carga, o flash-card externo é substituído por outro sem sistema de inicialização de forma que, durante a eleição/votação, a inicialização passa a ser controlada pelo software instalado no flash-card interno.
ii) Procedimentos de carga excepcional utilizado em 2002:

Em 2002, o software de votação utilizado no primeiro turno apresentou falhas intermitentes que levaram a modificações para a votação do segundo turno. A instalação deste novo software foi feita de uma forma diferente da instalação normal. Um novo flash-card de carga foi preparado e, quando colocado no soquete externo das urnas-e, apenas trocava o software de votação defeituoso pela nova versão, "preservando-se" todos os demais dados e arquivos gravados no flash-card interno durante o primeiro turno, e lançando no arquivo de log uns eventos diferentes do programa de carga normal.
OBS.: o destaque na palavra preservando-se foi dado porque, naturalmente, os fiscais externos não tinham como saber se os dados anteriores eram mesmo sendo preservados ou não, especialmente depois do caso das "Dança dos Hashs" denunciada por um membro do Fórum do Voto-e, quando se descobriu que havia diferenças entre as assinaturas "hashs" no sistema final instalado nas urnas e o que fora apresentado aos fiscais na sede do TSE antes da nova carga.
Estes dois procedimentos, normal e excepcional, de carga das urnas-e brasileiras demonstram que é perfeitamente possível se instalar software integral ou parcialmente nas urnas-e pelo uso de um flash card externo devidamente preparado e que os registros no tal arquivo de log é totalmente controlado pelo próprio programa no soquete externo.

Para piorar, é este mesmo software externo, que é passado para a memória interma, que comandará a máquina durante a votação, durante a apuração e, pasmem, durante os testes de verificação da assinatura digital permitido aos fiscais externos.

Quer dizer, um programa "bem preparado" instalado via flash-card externo poderá burlar tanto a apuração dos votos como os testes de confiabilidade também...


5. Conclusões

Parece mais que simples coincidência as semelhanças entre as falhas de segurança nas urnas-e brasileiras e americanas da Diebold, que por um lado são tão dependentes da segurança do software mas por outro lado permitem que este software seja adulterado por agentes externos.

No Brasil se desenvolveu uma imagem positiva das urnas eletrônicas, apesar destas não permitirem auditoria da apuração dos votos. Os recursos de segurança aqui aplicados, mesmo não sendo suficientes do ponto de vista estritamente técnico, foram suficientes para convencer os eleitores por meio de publicidade que repetia insistentemente utilizar "avançados recursos tecnológicos de assinatura digital e de criptografia".

O publico leigo não entende direito para o que isto serve mas acreditou nos chavões de que as urnas eletrônicas "são 100% seguras" e que "acabaram as fraudes eleitorais".

A Diebold conhecia o sucesso, até o momento, desta experiência social, onde recursos de segurança eram usados não com eficácia mas apenas como meio de publicidade ilusória. É natural que tentasse a mesma "estratégia" nos EUA.

Mas a inexistência, nos EUA, de um órgão central com superpoderes como a Justiça Eleitoral brasileira parece estar criando dificuldades à estratégia que aqui vingou.

No Brasil, o TSE conseguiu, desde 2000 até hoje, impedir por meio de decisões obscuras e autoritárias que fosse feita qualquer tipo de análise livre se suas urnas, como a análise do Sr. Hursti, e continua escondendo, dos eleitores desatentos, as fragilidades de seu sistema eletrônico de votação.

Answer 6

1 - Os partidos, a OAB, o Ministério Público e os candidatos podem obter chaves de criptografia dos programas e, com ela, verificar a autenticidade do mesmo em qualquer fase do processo. 2 - A auditoria prévia é realizada em urnas sorteadas, como falado, horas antes da eleição e permite verificar a autenticidade e correção dos programas porque é realizada uma votação simulada por cédulas de papel juntamente com a votação eletrônica e os resultados são comparados (as cédulas com o boletim da urna). 3 - A liberação prévia da urna no simulado/auditoria se faz por meio de um programa também construído nos mesmos moldes de segurança dos anteriores e na presença de todos os citados acima. 4 - Os mesários conhecem apenas uma parte dos dispositivos de segurança (lacres externos e impedimento de funcionamento da urna antes do horário prévio, por exemplo). 5 - A digitação do título de eleitor para liberação da urna não é vinculada ao voto gravado. O voto fica registrado em um arquivo chamado "Boletim de Urna" e apenas os títulos NÃO digitados (de eleitores que não compareceram) ficam registrados nos arquivos de faltosos. O sistema é desenvolvido para garantir a não vinculação de títulos aos votos, tanto é assim que nunca houve sequersuspeitas de quebra de sigilo por este meio. 6 - Quando o TSE desenvolve o programa para a urna este programa (o mesmo programa) é inseminado em todas as urnas da circunscrição, portanto, não há como fraudar apenas uma urna. Se houver a tentativa de fraude em todas as urnas, a mesma seria facilmente detectável pelos partidos, Ministério Público e candidatos na auditoria prévia. 7 - As cédulas de papel permitiam milhares de fraudes diferentes, como, por exemplo, o famoso "mapismo". Ou seja, quem contava os votos alterava os mapas de apuração, ou escondia cédulas, ou as adulterava, etc. Com o voto eletrônico, isto é impossível.

Answer 7

Que legal em. Se tem fraude nas urnas e todo mundo tenta convecer que não.

Viramos uma Venezuela e não consiguimos ver isso.

Answer 8

Acredito para não perder o amigo.