[GUFSC] Coluna do prof. Michael Stanton sobre as Urnas Eletrônic as

[Carlos Alberto Brandão Barbosa Leite]

http://www.estadao.com.br/tecnologia/coluna/stanton/2002/set/23/31.htm


Finalmente, as urnas 2002


Durante os últimos dois anos, foram publicadas neste espaço várias colunas
sobre a questão da segurança das urnas eletrônicas adotadas ao longo dos
últimos anos, que apresentam a característica feliz de indicar os vencedores
do pleito em questão de horas. Para um povo como o brasileiro, tão
aficionado de competições esportivas, carnavalescas e semelhantes, cai muito
bem a resolução rápida das eleições. E ele também se orgulha do fato do seu
país ser o primeiro no mundo a adotar inteiramente uma solução tão moderna
como a urna eletrônica quando alguns países do primeiro mundo, como os EUA,
utilizam máquinas mecânicas de votar, com os problemas que todos vimos em
Flórida na última eleição geral de 2000, enquanto outros não usam automação
nenhuma, como é a situação na Europa de modo geral. Entretanto, apesar do
aparente sucesso popular desta inovação nacional, não todos aqui estamos
confortáveis com o invento, e é preciso explicar mais uma vez porquê.


O assunto já foi tratado em colunas anteriores, por exemplo de 29 de julho e
31 de dezembro , ambos do ano passado. A questão fundamental é que o projeto
adotado para a urna não permite que sejam validada a totalização dos votos
dados a cada candidato. Quando o eleitor encerra sua utilização da urna,
apaga-se o registro individual de como ele votou, mantendo-se apenas a soma
de todos os votos dados a cada candidato. Isto torna impossível realizar uma
recontagem dos votos, em caso de necessidade.


Por quê a recontagem pode se tornar necessária? Bem, há dois tipos de
problema, ambos dos quais afetariam o resultado de uma votação. As urnas
são, na verdade, pequenos computadores, bem parecidos internamente aos
computadores de mesa encontrados em toda parte. Entretanto, ao invés de usar
o sistema Windows e programas como Word e Excel, as urnas usam um sistema
chamado VirtuOS, e programas que permitem votar e gravar os resultados do
voto em disquete, para posterior remessa ao TRE. Todos sabemos que os
programas de computador às vezes não funcionam corretamente, causando o
travamento da máquina, ou seu funcionamento errôneo. Isto pode acontecer
também ao computador que é a urna, e seria o primeiro tipo de problema
mencionado. O segundo tipo de problema é mais sério, pois decorre de uma
tentativa de modificar propositadamente o comportamento da urna, para, por
exemplo, desviar votos para um candidato ou partido específico. Neste caso,
devemos supor que esta modificação não seja a intenção do TSE,
necessariamente isento na questão partidária, mas, possivelmente, de uma ou
mais das pessoas que tenha tenham acesso privilegiado ao processo de
confecção dos programas criados para o TSE, ou, eventualmente, às próprias
urnas. No primeiro caso, uma modificação nos programas afetariam um número
maior de urnas, pois os programas distribuídos pelo TSE são instalados em
todas as urnas. No segundo caso, seria mais trabalhoso efetuar a
modificação, e os efeitos seriam mais limitados. Ambos estes problemas
causariam o funcionamento incorreto da urna, ou seja, seu funcionamento não
seria de acordo com os ditames da lei eleitoral.


Quais as precauções possíveis? O TSE oferece poucas. Primeiro, afirma com
toda seriedade que a principal garantia da lisura do processo é sua palavra.
Bem, eu não sei qual é o juiz desse tribunal que pessoalmente tem condições
de dar esta garantia, pois todo o trabalho especializado é feito por
terceiros, ou técnicos do TSE ou de empresas por ele contratadas. Como
segunda precaução outorga a fiscais nomeados pelos partidos políticos a
inspeção dos programas que devem ser usados no dia da votação. Quase. Na
verdade, este ano os partidos somente puderam examinar sem restrição uma
parte dos programas usados nas urnas, pois uma outra parte é declarada ser
sigilosa (pois utiliza métodos criptográficos secretos, desenvolvidos por
uma agência do próprio governo), e o sistema VirtuOS é um produto comercial,
e para ter-se acesso a seus segredos os partidos teriam que desembolsar R$
250.000,00. Para a surpresa de ninguém, nenhum dos partidos quis arcar com
esta despesa estapafúrdia.


Mas há outras dificuldades com esta validação dos programas das urnas. Uma
destes é garantir que o software inspecionado pelos partidos é o mesmo que
acaba sendo usado na urna. É realmente complicado garantir isto num mundo
onde não se pode confiar em todas as pessoas que manuseiam as urnas. Tem
dois mecanismos usados: um deles gera uma espécie de dígito verificador
quando versões executáveis dos programas são criados (na presença dos
fiscais dos partidos), e estes poderiam ser conferidos no dia da votação. O
outro é lacrar as urnas para impedir interferência física com seu
funcionamento interno. Curiosamente, os fiscais do PDT descobriram
recentemente que a maneira de montar a caixa da urna permite ter acesso
físico à placa mãe e às memórias onde se guardam os programas da urna e os
totais dos votos, sem quebrar nenhum dos lacres até então utilizados.
Naturalmente o partido entrou com pedido para providenciar maior número de
lacres para tornar isto impossível, mas ainda não sei se o TSE pretende
tomar alguma providência antes do dia 6 de outubro.


Mesmo se o programa for aquele que foi inspecionado pelos fiscais dos
partidos, ainda existe um problema bem mais sério: os cientistas da
computação já demonstraram logicamente, e também na prática, que o simples
exame de um programa complexo não revela todos os detalhes do seu
comportamento na hora da sua utilização. Ou seja, a inspeção dos programas
pelos fiscais nunca poderá servir para garantir a lisura da votação. O único
remédio conhecido é zelar pelos resultados ao invés do que pelos meios de
gerá-los. Em particular, é essencial poder realizar auditoria dos resultados
da votação. Isto requer demonstrar que estes resultados podem ser
reproduzidos quando computados por pelo menos duas maneiras diferentes.
Tradicionalmente, isto envolve a recontagem, por equipes de escrutinadores
distintos, dos votos dados em cédulas de papel. Na automação, requeremos
algo equivalente.


A solução proposta há alguns anos pelo senador Roberto Requião foi a
modificação da urna para também imprimir numa cédula de papel o voto do
eleitor. O eleitor verificaria que o voto tenha sido impresso corretamente,
e a cédula então seria depositada numa urna "tradicional", sem o eleitor
poder tocar nela. (Esta história que a impressora gera um recibo para o
eleitor poder levar embora é desinformação espalhada por opositores do
projeto do senador.) Posteriormente, poderia ser realizada a recontagem dos
votos totalizados por uma urna eletrônica, contando os votos impressos nas
cédulas de papel acumuladas na urna "tradicional". A proposta do senador
Requião previa que todas as urnas teriam impressoras acopladas, e que seriam
sorteadas uma amostra de 3% das urnas para realizar a recontagem e validar o
processo. Este sorteio seria realizado depois de encerradas as urnas, ou
seja, não seria conhecido antes da votação quais urnas seriam auditadas.


Depois de muita protelação pelo TSE e seus aliados no Congresso da discussão
da proposta do senador, que alegaram ter sido uma preocupação desnecessária,
o escândalo do painel do senado federal em 2001 forçou o TSE a rever sua
posição. Acabou sendo incorporada na lei eleitoral para 2002 uma modificação
da proposta da impressora, que escandalosamente teve o efeito de esvaziá-la
de qualquer sentido. Alegando economia, o TSE enviou para aprovação pelo
Congresso a seguinte variante: o sorteio dos 3% das urnas a serem auditadas
seria realizado antes da realização do pleito. Com isto, somente seria
necessário colocar impressoras nas urnas sorteadas, economizando o uso
"desnecessário" de impressoras nos demais 97% das urnas. Parece ser uma
solução razoável, tanto que foi adotada pelo Congresso Nacional.
Infelizmente, a prévia determinação das urnas a serem auditadas indica
também quais urnas não o serão, e estas seriam candidatas a serem
modificadas indevidamente. Tem mais: se a modificação dos programas fosse
sistêmica, ou seja, incorporado no programa distribuído pelo TSE, estes
programas simplesmente precisariam checar se tem uma impressora acoplada à
urna para descobrir se haverá auditoria ou não. Esta checagem é simples de
ser feita por um programa.


Enfim, a situação não é das melhores, e tem muita gente infeliz com o
desenrolar desta novela. O pior de tudo é que hoje continuamos sem meios de
dirimir as dúvidas que estas pessoas têm sobre a lisura do voto. É esta a
verdadeira razão pela qual a urna eletrônica brasileira ainda não foi
adotada em outros países. Só nos resta a esperança que a vulnerabilidade das
urnas não seja aproveitada pelos eventuais interessados em subverter a
vontade do eleitorado nesta ocasião.


Para finalizar, cabe tecer alguns comentários sobre o processo de votar do
ponto de vista do eleitor. Ao consultar o sítio do TSE (www.tse.gov.br) e
descobre-se que lá se encontra os nomes, partidos, pequeno currículo e
fotografia de todos os candidatos de todos os partidos para todos os cargos
em todos os estados. Passei algum tempo coletando os dados para me ajudar a
decidir meu voto. Voto no Rio de Janeiro, que tem, depois de São Paulo, o
maior número de candidatos: além dos 6 para presidente, tem 10 para
governador, 24 para senador, 601 para deputado federal (um destes acabou
assassinado semana passado numa discussão fútil) e 1.327 para deputado
estadual. Fiquei abismado ao descobrir que partidos menores como a PRONA têm
quase uma centena de candidatos para deputado estadual. Evidentemente alguns
destes candidatos sequer teriam aparecido nos programas eleitorais
gratuitos. Pergunta-se por que eles concorrem nestas condições tão adversas.
Agora tenho apenas um voto a dar para deputado federal e outro para
estadual: é preciso escolher duas pessoas em quase dois mil. Não é razoável
ter que fazer uma escolha desta natureza, pelo menos se a idéia é ter alguma
representatividade do eleitor e responsabilidade do eleito perante o
eleitorado. Isto seria mais facilmente realizado com adoção de votação
distrital, onde o eleitor elege alguém (uma ou mais pessoas) para
representar seu distrito. Cada partido escolheria tantos candidatos quanto
existem representantes pelo distrito. No limite, haveria um representante
por distrito e apenas um candidato por partido.


Voltando à urna eletrônica, é simplesmente horrorosa a interface oferecida
ao eleitor: através de um teclado numérico este precisa digitar
(corretamente) o número do seu candidato. A urna, que poderia ajudar o
eleitor a identificar seu candidato ao invés disto o obriga a trazer uma
lista dos números dos candidatos em que pretende votar. Se errar o número,
azar dele (e do candidato). É fácil imaginar uma alternativa melhor, onde o
eleitor indica o número ou nome do partido, e então seriam-lhe mostrados os
nomes (e fotos) dos candidatos deste partido, para ele poder escolher com
maior confiança. É assim que funcionam a maioria de programas de busca
usados em computadores hoje em dia, onde a opção é indicada usando um mouse.
Uma alternativa ao uso do mouse seriam os botões laterais usados em certos
terminais bancários, ou até uma tela de terminal sensível ao toque, que são
amplamente conhecidos pela população economicamente ativa.


Enfim, a democracia requer constante aperfeiçoamento. A questão do voto é
apenas uma parte disto, embora seja uma parte bastante importante, pois a
confiança no processo eleitoral é essencial para o eleitorado passar para o
governo e seus representantes eleitos a procuração para agirem em seu nome.
Sem esta confiança, é desvirtuada esta procuração.


Michael Stanton (michael@ic.uff.br) , que é professor do Instituto de
Computação da Universidade Federal Fluminense e também Diretor de Inovação
da Rede Nacional de Ensino e Pesquisa (RNP), escreve neste espaço desde
junho de 2000 sobre a interação entre as tecnologias de informação e
comunicação e a sociedade. Os textos destas colunas estão disponíveis