Uma urna que qualquer pessoa pode conferir

Imagine que cada voto vai para uma caixinha trancada. Para cada candidato, a caixa guarda um número: 1 se o eleitor votou nele, 0 se não votou. Quem olha a caixa por fora vê só um amontoado de números que parecem sorteados. Uma caixa com 1 e uma caixa com 0 parecem iguais.

Essas caixas têm uma propriedade rara. Dá para juntar duas caixas trancadas e obter uma terceira caixa, também trancada, que guarda a soma das duas. Ninguém precisou abrir nada. Juntando as caixas de todos os eleitores de uma seção, sai uma única caixa com o total de votos de cada candidato.

No fim do dia, abre-se só essa caixa do total. Os votos individuais nunca são abertos. A urna também não guarda nenhuma contagem por candidato: ela nem sabe, depois que o eleitor sai, quantos votos cada um teve.

Se o total só sai quando alguém abre, quem tem a chave? Se fosse uma pessoa só, ela poderia abrir cada caixa individual e ver o voto de cada eleitor. O próximo capítulo resolve isso.

A chave que abre as caixas nunca existe inteira em lugar nenhum. Ela nasce repartida entre alguns guardiões, que são organizações diferentes. Nos exemplos desta página são três, chamados de guardião 1, 2 e 3. Num caso real seriam, por exemplo, o TSE, a OAB, uma universidade e partidos de lados opostos.

A regra é "dois de três": quaisquer dois guardiões, juntos, conseguem abrir uma caixa. Um sozinho não consegue nada, nem adivinhar. A ideia vem de um fato que se aprende na escola: por dois pontos passa uma única reta, mas por um ponto passam infinitas.

Escondemos o segredo como a altura em que uma reta corta o eixo vertical. Cada guardião recebe um ponto dessa reta. Com dois pontos, desenha-se a reta e lê-se o segredo. Com um ponto só, qualquer altura é possível, e todas com a mesma chance.

E quem inventou a reta? Ninguém. Cada guardião sorteia a sua própria reta secreta e manda um ponto dela, em envelope lacrado, a cada um dos outros. A reta da eleição é a soma de todas. Para descobri-la, seria preciso que todos os guardiões revelassem as suas. Isto se chama cerimônia de chaves, e tudo o que os guardiões publicam nela vai para o mural, com provas de que ninguém trapaceou.

Os guardiões também nunca juntam os pedaços num lugar só. Cada um aplica o seu pedaço à caixa do total, em casa, e publica o resultado parcial com uma prova de que usou o pedaço certo. Juntar os resultados parciais revela o total. A chave inteira continua sem existir.

As caixas trancadas trazem um perigo. Se ninguém vê o que tem dentro, uma urna desonesta poderia trancar o número 500 numa caixa do candidato B. Ao somar, o candidato B ganharia 500 votos de uma vez, e ninguém perceberia.

Então cada caixa precisa vir com uma prova de que guarda 0 ou 1. Parece pedir o impossível: convencer alguém de que a caixa tem 0 ou 1 sem contar qual dos dois. Este capítulo mostra como se faz isso, em três passos. Primeiro, como provar que se conhece um segredo sem contá-lo. Depois, como provar "isto ou aquilo" sem dizer qual. Por fim, como trocar o juiz por uma conta que qualquer um refaz.

Primeiro passo: a caverna com porta mágica

Imagine uma caverna em forma de anel. A entrada fica embaixo, e dela saem dois corredores, o da esquerda e o da direita, que se encontram lá no fundo numa porta de pedra. A porta só abre com uma senha. A urna diz que sabe a senha, e um juiz quer ter certeza sem ouvir a senha.

Eles fazem assim. O juiz espera do lado de fora. A urna entra e escolhe um corredor, sem que o juiz veja qual. Então o juiz vai até a entrada e grita: "saia pela esquerda!", ou "pela direita!", ao acaso. Quem sabe a senha sai sempre pelo lado pedido: se estiver no outro corredor, abre a porta e passa. Quem não sabe só acerta se, por sorte, já estava no corredor certo, ou seja, metade das vezes.

Uma rodada não prova muito. Vinte rodadas seguidas sem erro, sim: a chance de um impostor acertar vinte vezes por sorte é de uma em um milhão (meio vezes meio, vinte vezes).

E o juiz não aprende a senha. Tudo o que ele viu foi a urna saindo pelo lado que ele mesmo pediu. Repare no ponto mais importante: fingir é fácil quando se conhece a pergunta antes. Se o impostor soubesse que o juiz ia gritar "esquerda", bastaria entrar pela esquerda. Por isso um vídeo da prova não convence ninguém de fora, porque dá para gravar as rodadas combinando o lado antes. Só convence quem sorteou a pergunta depois que a urna já tinha entrado. A prova vale para o juiz e não carrega nenhum segredo junto.

Segundo passo: duas cavernas, uma senha

Agora a ligação com a caixa. Ao trancar o voto, a urna usou um número secreto, uma espécie de senha da caixa. A matemática da tranca tem uma propriedade curiosa: se a caixa guarda 0, esse número abre a porta de uma "caverna do 0"; se guarda 1, abre a de uma "caverna do 1". Uma caixa com 500 tem senha que não abre nenhuma das duas. Provar "a caixa tem 0 ou 1" é, portanto, provar "eu sei a senha de pelo menos uma das duas cavernas", sem dizer de qual.

A urna entra nas duas cavernas ao mesmo tempo, e a regra muda assim:

1. A urna entra num corredor de cada caverna, sem que o juiz veja.
2. O juiz joga uma moeda: dá iguais ou diferentes.
3. A urna anuncia por que lado vai sair em cada caverna, obedecendo à moeda: se deu "iguais", o mesmo lado nas duas; se deu "diferentes", lados opostos.
4. O juiz confere que ela sai pelo lado anunciado nas duas cavernas.

Veja como a urna honesta, com um 1 na caixa, passa sempre. Ela sabe a senha só da caverna do 1. Então, na caverna do 0, ela entra num corredor qualquer e decide desde já que vai anunciar aquele lado: lá ela sai por onde entrou, sem precisar de senha. Quando a moeda cai, o lado da caverna do 1 fica obrigado pela regra (igual ou oposto ao da caverna do 0). Pode ser que não seja o corredor em que ela está, mas ali ela tem a senha e atravessa a porta.

A urna trapaceira, com 500 na caixa, não tem senha nenhuma. Precisa sair, nas duas cavernas, pelo corredor em que já está. Os dois lados ficaram decididos antes da moeda, e eles são iguais ou diferentes. A moeda concorda com isso só metade das vezes. Em vinte rodadas, ela é pega quase com certeza.

E o juiz descobre qual caverna era a verdadeira? Não. Ele vê a urna sair pelo lado anunciado nas duas, em toda rodada, seja a caixa 0 ou 1. A caverna "fingida" e a verdadeira deixam rastros idênticos. O truque inteiro está numa liberdade só: a urna pode escolher uma das respostas antes da moeda, mas não as duas. Com uma escolhida, ela engana a caverna cuja senha não tem. A outra fica presa à moeda e exige a senha de verdade.

Terceiro passo: sem juiz, com um sorteio que ninguém controla

Numa eleição não dá para ter um juiz jogando moeda para cada caixa de cada eleitor. E, como vimos, uma prova gravada não convence quem não sorteou a pergunta. A saída tem duas partes.

Os lados viram números enormes. Em vez de esquerda ou direita, a "pergunta" é um número entre zero e um número de 76 algarismos. Acertar por sorte deixa de ser meio e passa a ser uma chance em ≈ 10⁷⁵. Uma rodada basta.

A moeda vem de uma impressão digital. A urna primeiro escreve, em números, "por onde entrou" em cada caverna. A pergunta é então calculada por uma função de hash aplicada a tudo o que está escrito: a caixa, as entradas nas cavernas, a eleição, a cédula. O hash funciona como um sorteio que todo mundo pode refazer e ninguém consegue prever: mudar uma vírgula na entrada muda a pergunta por completo. Para a urna trapaceira acertar, teria de tentar entradas diferentes até o hash cair do jeito que lhe convém. Mesmo com todos os computadores do mundo trabalhando juntos, isso levaria bilhões de anos. Na conta exata, levaria muito mais do que a idade do universo.

O resultado é um punhado de números anexado a cada caixa. Qualquer pessoa, depois, refaz o hash, confere as duas "saídas" e soma as perguntas, em milésimos de segundo. Ninguém precisa ter estado lá.

Um voto por cargo, nem mais nem menos

Falta uma coisa. Cada caixa ter 0 ou 1 não impede a urna de pôr 1 em dois candidatos a presidente. Por isso a urna também prova que a soma das caixas de um cargo é exatamente 1, com o mesmo tipo de caverna: ela conhece a senha da caixa-soma, que é a soma das senhas das caixas. Branco e nulo são caixas como as outras, então também entram na conta. Se cada caixa tem 0 ou 1 e a soma é 1, só sobra uma possibilidade: exatamente uma opção marcada. No senado, com duas vagas, a soma tem de ser 2.

O mesmo tipo de prova aparece em todo lugar da apuração. Os guardiões provam que geraram a chave direito. Cada guardião prova que usou o seu pedaço verdadeiro ao abrir o total. O embaralhador prova que não trocou nenhum voto (capítulo VIII). Uma prova que não confere é rejeitada, e quem a assinou fica exposto.

O que nenhuma dessas provas garante é que o 1 está no candidato que você digitou. Uma urna adulterada pode trancar o candidato B quando você escolheu o candidato A, com provas perfeitas de que a caixa tem um voto só. Para isso existe o próximo capítulo.

As provas do capítulo anterior garantem que a caixa tem um voto válido. Elas não garantem que é o voto que você escolheu. Uma urna adulterada poderia trancar o candidato B quando você digitou o candidato A, com uma prova perfeita de que a caixa tem um voto só.

A defesa é a do cozinheiro que não sabe qual prato o cliente vai provar. Depois que você escolhe, a urna tranca o voto e mostra um código na tela. Só então ela pergunta: depositar ou auditar?

• Depositar (CONFIRMA): o voto vale e a urna apaga o segredo que usou para trancar. Você leva um papel com o código de rastreamento, e só isso: ele não diz em quem você votou, nem serve para provar o voto a ninguém.
• Auditar (tecla AUDITAR): a urna é obrigada a mostrar o que trancou e o segredo usado. Esse voto é descartado, nunca é contado, e você vota de novo. O recibo de auditoria vai para casa com você.

A urna precisa trancar o voto antes de saber se você vai auditar. Se trapacear, arrisca ser pega toda vez que alguém audita. Com o recibo, qualquer celular ou computador refaz a caixa a partir do segredo revelado e confere se ela é igual à que está no mural. A própria urna nunca pode ser quem diz "está tudo certo", porque uma urna desonesta diria isso de qualquer jeito.

A escolha auditada se torna pública e fica no mural logo antes do voto que você depositou em seguida. Isso, por si só, não revela o seu voto: ninguém sabe se você auditou a mesma escolha que depois depositou. Você pode auditar qualquer escolha, e o voto depositado continua trancado.

Mas há uma tensão. O jeito natural de conferir o seu voto é auditar a sua escolha de verdade, e uma urna esperta poderia trapacear só contra um candidato; auditar outra escolha não testa esse caso. Quem audita a escolha real deixa uma pista, não uma prova: alguém que saiba quem estava na cabine naquela hora poderia apostar que o voto depositado é igual. Por isso a especificação prefere que as auditorias sejam feitas por fiscais, em sessões só de teste ao longo do dia, sem eleitor real envolvido. A seção Onde ainda há problemas volta a isso.

O papel que você leva para casa traz só um código, algo como K7QD-3XMA-9PRT-2BHW-6YCN. Não é um comprovante do voto: não tem nome de candidato, número nem horário. O código é uma impressão digital da sua caixa trancada, e quem o lê não descobre em quem você votou. Serve para você procurar a sua caixa no mural e ver que ela está lá, igual.

Há um detalhe: cada código é calculado a partir da caixa e do código anterior da mesma urna. Os votos da urna ficam presos uns aos outros, como os elos de uma corrente. Tirar um voto do meio, trocar a ordem ou mexer em uma caixa muda todos os códigos que vêm depois, e os eleitores que já levaram os seus comprovantes notam a diferença.

Como cada código depende de tudo o que veio antes na mesma urna, dois eleitores nunca recebem o mesmo código. Isso fecha uma trapaça esperta: a urna dar a dois eleitores com o mesmo voto a mesma caixa, e usar a caixa que sobrou para um voto inventado.

Tudo o que a eleição produz vai para um mural público: as regras da eleição, a cerimônia de chaves, cada caixa de cada urna, cada prova, cada boletim e o resultado. O mural só aceita acréscimos. Nada pode ser apagado ou trocado.

Quem garante? O mural é organizado como uma árvore genealógica de impressões digitais. Cada folha é uma entrada; cada galho guarda a impressão digital dos dois galhos de baixo; a raiz, lá em cima, resume o mural inteiro em 32 letras e números. O mural assina essa raiz com data e tamanho.

Isso protege contra um mural desonesto que mostra uma versão a você e outra ao fiscal. Por isso existem espelhos: cópias do mural mantidas por várias instituições, como partidos, universidades e a própria Justiça Eleitoral. Os espelhos comparam as raízes assinadas. O aplicativo de conferência do eleitor confere a raiz com mais de um espelho.

Os brasileiros já conhecem dois papéis da seção eleitoral: a zerésima, impressa antes do primeiro voto para mostrar que a urna está vazia, e o boletim de urna (BU), impresso no fim com os votos de cada candidato. A urna deste caderno mantém os dois, com uma diferença.

Zerésima, de manhã

Mostra a urna, a seção, o programa que está rodando e um número de abertura. Mesários e fiscais assinam e guardam uma cópia. Ela prova que a urna começou vazia, e é o primeiro elo da corrente do capítulo V.

Pré-boletim, no fim da votação

A urna não sabe quantos votos cada candidato teve, porque os votos estão trancados. Então ela imprime o número de eleitores que assinaram o caderno de votação, quantas cédulas foram depositadas e auditadas, e uma impressão digital da soma trancada. Fiscais assinam e guardam cópia antes do envio.

Boletim de urna, depois da apuração

Os guardiões abrem a soma trancada daquela seção. O BU traz os votos de cada candidato, brancos e nulos, e a mesma impressão digital do pré-boletim. O fiscal compara as duas com o papel que guardou.

O pré-boletim fecha uma brecha antiga: depois que o fiscal tem a impressão digital no papel, ninguém pode trocar o pacote da urna no caminho até o mural sem que a diferença apareça. E uma seção que abriu de manhã e não mandou pacote fica listada como ausente.

Às vezes não basta somar. Num cargo com muitos candidatos, ou em regras que precisam ver cada cédula inteira, os votos têm de ser abertos um por um. Abrir na ordem em que chegaram seria revelar quem votou em quem, porque a ordem do mural segue a fila da seção.

A solução é embaralhar antes de abrir, como um maço de cartas que passa de mão em mão. Cada guardião embaralha o maço inteiro e troca a "tranca" de cada caixa por outra, de modo que ninguém reconheça a caixa depois. Basta que um dos embaralhadores seja honesto para que a ordem final não tenha relação com a fila.

E se um embaralhador trocar uma carta por outra, em vez de só embaralhar? Cada um publica uma prova de que a saída é exatamente a entrada em outra ordem, sem nenhuma caixa nova e sem nenhuma a menos. A prova não revela a ordem.

No fim, qualquer pessoa pode baixar o mural inteiro e rodar um programa verificador. Ele não precisa de senha nem de chave. Refaz cada conta e cada prova a partir do que está publicado, em dezesseis passos: confere a árvore do mural, as regras, a cerimônia de chaves, cada pacote de cada urna, se faltou alguma seção, cada voto auditado, cada soma, cada embaralhamento, cada abertura, cada boletim, a contagem, a distribuição de cadeiras e o resultado final.

O último passo é diferente: um relatório de independência. Ele lista quem são os guardiões e de que bloco, quais espelhos existem, e quais seções não tiveram nenhum fiscal assinando a zerésima ou o pré-boletim. Ou seja, ele mostra com clareza onde a conferência ficou incompleta, para que todos saibam onde olhar.

A especificação é pública. Um partido, uma universidade ou um estudante pode escrever o seu próprio verificador, em outra linguagem, e chegar ao mesmo veredito. É isso que tira a necessidade de confiar.

É a pergunta certa a fazer, porque tudo o que este caderno descreve acontece dentro de um programa. A resposta tem duas partes: o que acontece se o programa for outro, e como se confere que é o programa certo.

Um programa adulterado não muda a contagem sem ser pego

Suponha o pior: alguém troca o programa de uma urna por uma versão adulterada. Para mudar o resultado, essa versão teria de fazer uma destas coisas, e cada uma é pega por uma conferência que não roda na urna:

• trancar um voto diferente do escolhido: pego pelas auditorias, conferidas num aparelho independente (capítulo IV);
• trancar 500 votos numa caixa: a prova de 0 ou 1 não fecha (capítulo III);
• sumir com votos ou inventar outros: os códigos dos eleitores e o pré-boletim do fiscal não batem (capítulos V e VII);
• mexer na soma: o verificador refaz a conta a partir do mural (capítulo IX).

Ou seja, a contagem não depende de confiar no programa da urna. Ela depende das provas e de que eleitores e fiscais façam as conferências.

O sigilo, esse sim, depende do programa. A urna vê o voto enquanto o eleitor escolhe, e um programa adulterado poderia guardar ou vazar escolhas. Por isso é preciso conferir também que o programa da urna é o programa publicado. Isso é feito em cinco camadas.

As cinco camadas

1. Código aberto e compilação reproduzível. O programa de computador nasce de um texto, o código-fonte, que é transformado no arquivo que a urna executa. A compilação é reproduzível quando qualquer pessoa que fizer essa transformação a partir do mesmo código obtém exatamente o mesmo arquivo, byte a byte, e portanto a mesma impressão digital. É como uma receita tão precisa que dois cozinheiros diferentes produzem bolos idênticos até o último grão. Uma versão só é publicada depois que pelo menos dois grupos independentes chegam à mesma impressão digital.

2. Assinaturas de vários blocos. Uma versão só é aprovada com um número mínimo de assinaturas de organizações diferentes: partidos, universidades, a OAB, a Justiça Eleitoral. Assim como os guardiões da chave, nenhum bloco tem assinaturas suficientes para aprovar sozinho. Quem assina declara que compilou o código e chegou à mesma impressão digital.

3. Um registro público de versões. Todas as versões e assinaturas vão para um registro que funciona como o mural do capítulo VI: só aceita acréscimos e é copiado por várias instituições. Não pode existir uma versão "secreta", aprovada sem que todos vejam. Depois da abertura da votação, a lista de versões aprovadas fica congelada.

4. A urna declara o programa, e um chip confirma. A zerésima e o pacote de cada urna trazem a impressão digital do programa que rodou, e o verificador rejeita pacotes de programas não aprovados. Mas um programa adulterado poderia mentir sobre a própria impressão digital. Por isso a urna tem um chip de segurança que mede o programa no momento em que ele é carregado, por conta própria, e assina essa medição com uma chave que o programa não alcança. A assinatura inclui um número sorteado pelo terminal do mesário na abertura, e outra é feita no encerramento, presa ao último código do dia. Assim ela não pode ser preparada antes. E, como o chip conta quantas vezes a urna foi reiniciada, trocar o programa no meio da votação e voltar ao original deixaria marca.

5. Perícia por sorteio. Depois da eleição, um sorteio público escolhe urnas para inspeção. Peritos de várias instituições comparam o programa e o diário de cada urna sorteada com o que foi aprovado e publicado.

Até onde isso vai

As três primeiras camadas garantem que o programa aprovado é exatamente o código que todos podem ler, e que não há outro. A quarta liga cada urna a esse programa. O elo mais fraco é o próprio chip: confiar na medição é confiar no fabricante do chip e na guarda física das urnas. A especificação define o formato da atestação, mas, nesta versão, ainda não a torna obrigatória nem fixa as regras de conferência do chip. Isso está listado na seção seguinte.

Nenhum sistema de votação é perfeito, e desconfie de quem diz o contrário. Estes são os limites conhecidos desta urna. Os mais graves vêm primeiro.

• A urna vê o seu voto enquanto você escolhe

  Toda urna eletrônica presencial vê a escolha na hora em que ela é digitada. Uma urna adulterada poderia guardar ou transmitir escondido quem votou em quem. Isso afeta o sigilo, nunca a contagem: uma urna que mexe na contagem é pega pelas auditorias e provas.

  Defesas: programa que qualquer um recompila e confere, assinado por partes interessadas e pela Justiça Eleitoral; atestação do equipamento; sorteio público de urnas para perícia depois da eleição (capítulo X). A atestação ainda não é obrigatória nesta versão da especificação, e confiar nela é confiar no fabricante do chip.

• As auditorias só funcionam se alguém auditar

  Uma urna que troca votos só é pega se eleitores ou fiscais auditarem e conferirem os recibos num aparelho independente. Se ninguém fizer isso, a troca passa. O verificador público sozinho não percebe: o voto trocado tem uma prova válida.

  Defesas: sessões de auditoria dos fiscais o dia todo, e pedidos de auditoria sorteados entre eleitores.

• O voto auditado fica público

  A escolha auditada fica no mural logo antes do voto que a pessoa depositou. Não prova nada sobre o voto depositado, mas, se o eleitor auditou a própria escolha (o jeito natural de conferir o seu voto), quem souber quem estava na cabine pode apostar que os dois são iguais.

  Defesa: preferir auditorias feitas por fiscais, sem eleitor real envolvido.

• Uma urna desonesta pode escolher mal seus números secretos

  Para trancar, a urna sorteia números. Uma urna adulterada poderia "sortear" números combinados com alguém de fora, que depois abriria as caixas. A auditoria não detecta isso.

  Defesas: gerador de números aleatórios certificado e atestado; numa versão futura, sorteio feito junto com outro aparelho.

• Cada seção precisa de pelo menos uma pessoa honesta olhando

  A zerésima e o pré-boletim só protegem se um mesário ou fiscal honesto conferir e guardar a cópia. Uma seção em que todos os presentes estivessem combinados, e sem fiscal de partido, poderia inventar comparecimento até o número de eleitores inscritos.

  Defesas: o verificador lista as seções sem assinatura de fiscal, para que todos vejam onde olhar. E a identificação biométrica, que o Brasil já usa: se cada voto liberado exigir a digital de um eleitor inscrito naquela seção, inventar comparecimento passa a exigir os dedos de quem não foi votar. Sobram as liberações sem digital, quando a leitura falha; o número delas pode ser publicado por seção, e um número fora do comum chama atenção. A digital fica no terminal do mesário e nunca vai para a urna, para que não haja como ligá-la ao voto.

• Guardiões em conluio poderiam abrir cédulas, mas sem nomes

  Com a regra "dois de três", dois guardiões mal-intencionados juntos poderiam abrir caixas individuais, e não só as somas. A contagem continua conferível. O que eles veriam é uma lista anônima: "o 37º voto da seção tal foi para o candidato A". A urna não registra quem votou nem a que horas.

  Para ligar um voto a uma pessoa, seria preciso saber também a ordem em que os eleitores entraram na cabine naquela seção, por exemplo com alguém anotando a fila. Isso é possível numa seção visada, não em centenas de milhares de seções ao mesmo tempo.

  Defesas: mais guardiões, de blocos que não se aliam, com o verificador publicando quem é cada um; não anotar a ordem nem o horário dos eleitores.

• Computadores quânticos

  Um computador quântico grande, se um dia existir, poderia abrir todas as caixas já publicadas. Seria a mesma lista anônima do item anterior: sem a ordem dos eleitores de cada seção, os votos não têm nome. A contagem já conferida continua correta.

• Votos raros podem ser reconhecidos

  Quando os votos são abertos um por um depois do embaralhamento, alguém poderia exigir de um eleitor uma combinação incomum de escolhas e procurá-la na lista. Por isso cada cédula embaralhada deve ter poucas escolhas.

• Esta é uma proposta em rascunho

  A especificação ainda não passou por revisão externa, nem pela revisão jurídica das regras eleitorais brasileiras. Nada disto deve ser usado numa eleição de verdade sem muito mais revisão.

A página Técnico traz cada um desses limites com a referência exata da especificação.