Eleições Eletrônicas na Unicamp

Em maio de 2003, foram realizadas na Unicamp eleições internas para o Conselho Universitário (CONSU), o órgão colegiado máximo da universidade. A votação para o CONSU dura dois dias. Em várias unidades, incluindo o Instituto de Computação (IC), foi usada votação eletrônica via Internet. O equipamento usado foi um PC comum, rodando sistema operacional Windows; o software usado foi um browser padrão (IE ou Netscape). O eleitor indicava seus votos num formulário eletrônico, que era enviado na hora ao Centro de Computação (CCUEC), onde os votos foram tabulados. Nesta ocasião no IC, foi utilizada uma máquina que normalmente é a estação de trabalho de um funcionário administrativo. A máquina foi instalada num canto da secretaria de alunos do nosso Instituto. Um secretário ficou encarregado de identificar e anotar os votantes, e iniciar o acesso à página de votos; cada docente digitava sua senha (previamente distribuida pelo CCUEC, por formulário-envelope) e escolhia os candidatos num formulário HTML. O sistema todo foi aparentemente desenvolvido, implantado e gerenciado por técnicos do próprio CCUEC. Este é um órgão da administração central da Unicamp, encarregado de serviços gerais de informática como folha de pagamento, operação da rede universitária, apoio a unidades etc. O CCUEC é subordinado à Reitoria, e seu diretor é nomeado pelo Reitor. Tanto o diretor atual quanto o anterior são docentes do IC, mas não sei dizer se eles, ou outras pessoas externas ao CCUEC, participaram do desenvolvimento do sistema em questão. A única fonte de informação pública que consegui obter sobre esse sistema é o próprio regulamento da eleição[1]. O regulamento especifica que as transações sejam logadas na servidora, e que os logs sejam protegidos por senhas tríplices. O regimento tambem permite que eleitores individuais que não quiserem ou não conseguirem usar o sistema eletronico depositem sues votos em papel numa urna central, na Reitoria. Esta foi a segunda vez que a votação para o CONSU foi realizada de forma eletrônica. Na eleição anterior, em 2001, eu não dei muita importância ao fato: a controvérsia sobre a segurança da urna do TSE ainda não tinha explodido, e pensei que a eleição do CONSU via Internet era apenas uma experiência que seria oportunamente availada e discutida. Porém, infelizmente, a votação eletrônica acabou sendo instituída em caráter permanente pelo próprio CONSU, sem nenhum debate público. Na verdade, o regulamento do CONSU permite que cada faculdade/instituto opte entre o método eletrônico ou tradicional; mas, no nosso caso, a escolha foi feita (pelo Diretor?) sem consultar ninguém. Deve-se observar que, tanto nesta votação quanto na anterior, havia docentes do IC entre os candidatos ao Conselho. Desta vez, estando eu mais sensibilizado para os perigos da votação e eltrônica, recusei-me a depositar o voto no sistema, e registrei meu protesto por escrito ao representante local da comissão eleitoral. Uma vez que a votação era obrigatória para docentes e funcionários, enviei uma carta de justificativa (ao Reitor, conforme especifica o regulamento). A título de informação para a comunidade, transcrevo abaixo a parte técnica da mesma.

Referências

[1] Resolução CONSU-Unicamp ???/??? [No momento o site WWW da Unicamp está fora do ar, de modo que não posso fornecer o apontador para o texto. Por favor confira esta página novamente daqui a alguns dias.]
Ao Prof. Dr. Carlos H. B. Cruz Magnífico Reitor da Universidade Estadual de Campinas Ref. Votação para o CONSU - Justificativa. Prezado Senhor Reitor, Apresento aqui minha justificativa por não ter votado na última eleição para representantes docentes junto ao CONSU, e portanto solicito que não me sejam aplicadas quaisquer penalidades regimentais que sejam decorrentes desse fato. Conforme acredito tenha sido registrado na ata da eleição, eu compareci ao local de votação no dia 08/maio, mas recusei-me a submeter meu voto pelo sistema disponivel para esse fim. Nessa ocasião, entreguei ao representante da Comissão local, Prof. Dr. Rodolfo Azevedo, uma declaração explicando o motivo da minha recusa (cópia em anexo). Minha recusa foi motivada pela constatação de que o sistema de votação utilizado não oferecia garantias mínimas de que os votos não seriam adulterados, nem de que o sigilo dos votos seria respeitado. Na verdade, o sistema não permite nem a fiscalização efetiva do processo de votação por terceiros, nem a recontagem independente dos votos. Em primeiro lugar, houve falhas técnicas na condução da votação no IC que poderiam ter permitido a pessoas estranhas ao processo manipulassem os votos e/ou obtivessem o registro dos votos lançados. Entre outros problemas, na noite entre os dois dias de votação, o PC usado para submissão dos votos permaneceu na sala da secretaria de cursos. Há pelo menos meia dúzia de docentes e funcionários que possuem cópias da chave dessa sala, e outras cópias estão acessíveis a estagiários e faxineiros. Nessa noite (e/ou possivelmente em outros horários) não seria difícil para um intruso substituir o browser da máquina, usado para votação, por uma versão adulterada que modificaria e/ou registraria os votos lançados, antes de criptografá-los e enviá-los à servidora central. Tal browser poderia automaticamente apagar o código adulterado ao fim do processo, escapando assim de eventuais auditorias posteriores. Obviamente seria impossível detectar tal tipo de fraude examinando-se os logs da servidora. Para citar mais um dentre vários outros problemas, a conexão entre o PC e a rede da Unicamp utilizava em parte a rede do IC, passando por vários cabos de difícil inspeção, e uma ou mais máquinas roteadoras situadas numa sala de servidoras, à qual várias pessoas têm acesso. Nesse caminho haveria várias oportunidades para desviar a conexão através de uma máquina maliciosa, que poderia facilmente enganar tanto a servidora do CCUEC quanto o PC de votação. Vale ressaltar que ataques como os descritos acima --- e de muitos outros tipos --- não são meras hipóteses remotas. Eles estão plenamente dentro da capacidade técnica de muitos hackers, e são na verdade muito comuns. A experiência cotidiana dos administradores de sistemas mostra que é muito mais fácil invadir um sistema do que protegê-lo contra invasões. Vale notar também que, durante os feriados da última Semana Santa, foi furtado um laptop do escritório dos analistas do IC, que estava supostamente trancado e vigiado; e que, num fichário nessa mesma sala, há uma pasta contendo as senhas de administração de todas as máquinas do IC. Essas falhas técnicas --- que, provavelmente, se repetiram em outras unidades --- já seriam suficientes para caracterizar o sistema como extremamente inseguro. Mas o problema mais sério é que nenhum sistema eletrônico de votação pode oferecer proteção séria contra ataques dos implementadores e operadores do sistema. Estes sempre terão amplas oportunidades para manipular os resultados e/ou quebrar o sigilo dos votos, com risco mínimo de serem detectados, no ato ou poseriormente. Infelizmente, a história mostra que são justamente os operadores do sistema (e seus superiores) os que têm mais motivação, tempo, e recursos para cometer fraudes. Este fato foi demonstrado contundentemente pela quebra do sigilo numa recente votação do Senado, que só foi descoberta porque um dos envolvidos decidiu revelar o feito. A lição deveria ter sido clara: contra uma ordem ``de cima'', não há criptografia ou senhas que resistam. Este defeito não é uma característica do projeto do sistema da Unicamp em particular: ele é um problema inerente à natureza dos computadores e dispositivos digitais. Esta conclusão não é apenas uma opinião técnica informada, nem apenas um fato comprovado por inúmeros exemplos. Trata-se de um teorema matemático, bem conhecido de todos os especialistas do assunto, e registrado em artigos e relatórios técnicos publicados e circulados internacionalmente. Num sistema em que o voto é registrado apenas eletronicamente, não é humanamente possível impedir ou detectar, com um mínimo de confiança, a adulteração dos resultados. Num sistema em que os votos são submetidos individualmente a um computador, não é humanamente possível detectar ou impedir quebra do sigilo. Vale notar ainda que um sistema eletrônico de votação é (literalmente) milhões de vezes mais complexo do que o sistema tradicional. Qualquer fraude neste último exige a presença e intervenção física do fraudador, no curto intervalo entre o início da votação e o fim da apuração; e uma fraude significativa exigiria a manipulação de um grande número de urnas e votos, que deixaria vestígios materiais e poderia ser detectada por qualquer mesário ou fiscal. Em contraste, numa votação eletrônica é possível armar uma fraude com meses de antecedência, para ser executada automaticamente, sem a intervenção física ou virtual do fraudador; a deteção de fraudes eletrônicas, mesmo das mais grosseiras, exige muito mais informações, conhecimentos técnicos e tempo do que dispõem a maioria dos fiscais, mesários e candidatos; e um único fraudador pode realizar em instantes alterações arbitrárias nos resultados, sem deixar vestígios. Em suma, enquanto que no sitema tradicional a probabilidade e a severidade de fraudes são comparáveis às de outros riscos socialmente aceitos, num sistema eletrônico é impossível até mesmo estimar a magnitude do risco de fraude. Houve fraude nesta eleição, ou na anterior? Eu não sei, e não tenho como saber; mas o pior é que o mesmo vale, não só para os eleitores e candidatos, mas inclusive para os implementadores e operadores do sistema. A confiança no resultado de uma votação eletrônica é um exercício de fé cega, sem base experimental ou racional. É importante observar que, mesmo que não haja fraude, a mera desconfiança do eleitor de que o sigilo de voto poderia ser violado já é suficiente para coagir os eleitores e viciar irremediavelmente a votação. É por essa razão que uma das propriedades fundamentais que devem ser satisfeitas por qualquer sistema de votação é a transparência completa do processo, não só para os especialistas que gerenciam o sistema mas para todo eleitor leigo. Se eu depositasse meu voto nesse sistema, com todas suas falhas incidentais e fundamentais, eu estaria em primeiro lugar fechando os olhos à possibilidade de fraudes virtualmente indetectáveis na eleição do CONSU, e às conseqüências que isso poderia ter para a Universidade. Mas, o que seria pior, eu estaria manifestando implicitamente minha aprovação, ou no mínimo aceitação, do conceito de voto eletrônico. Ora, como professor titular desta universidade pública e especialista em computação, eu tenho uma obrigação de alertar a comunidade sobre perigos advindos de mau uso da tecnologia de informática, e de me posicionar claramente contra os mesmos -- no caso, a tentativa de instalar na Universidade um sistema de votação eletrônica que é inerentemente e extremamente inseguro. Considerei que minha responsabilidade profissional, se não a ética mais elementar, me impedia de compactuar com esse infeliz projeto, mesmo que apenas lançando meu voto pelo sistema. Noto aliás que a possibilidade de lançar meu voto pelo meio tradicional é um paliativo inócuo --- pois, obviamente, de nada adianta que meu voto seja contado corretamente, se os demais votos para meus candidatos puderem ser arbitrariamente alterados. Além disso, se apenas um ou dois votos forem depositados por esse meio, os apuradores poderão, com grande probabilidade, determinar os meus votos. [...] Sinceramente, Jorge Stolfi Prof. Titular - 24633-6 IC - Unicamp