O que diz a comissão do TSE sobre as tentativas de “hackear” as urnas

Votação eletrônica

Por
Renan Ramalho
Brasília

Urna eletrônica durante Teste Público de Segurança do TSE: sistema é maduro, mas pode melhorar, segundo relatório final da comissão| Foto: Abdias Pinheiro/SECOM/TSE

Juristas e técnicos de informática reunidos pelo Tribunal Superior Eleitoral (TSE) para avaliar testes de segurança realizados nas urnas eletrônicas entregaram, na última terça-feira (30), um relatório em que apontam “maturidade” do sistema de votação. Ainda assim, recomendaram à Corte melhorias ligadas à tecnologia e à operação das máquinas e softwares.

O grupo é formado por servidores da cúpula do TSE e especialistas do Ministério Público Federal, Tribunal de Contas da União, Polícia Federal, Sociedade Brasileira de Computação e de universidades que examinaram cinco tentativas de invasão do sistema ou de quebra no sigilo da votação, durante o Teste Público de Segurança (TPS), realizado em novembro do ano passado, e no qual a Corte convidou hackers para apontar vulnerabilidades nas urnas.

Em maio último, os hackers voltaram ao tribunal para confirmar os ajustes realizados, a partir das falhas encontradas na segurança. A comissão do TSE avaliou essa última fase, considerada crucial para certificar a blindagem dos equipamentos usados e softwares instalados.

“Observa-se ao longo dos eventos do TPS realizados de 2009 até o momento, que os resultados apresentados demonstram a maturidade dos sistemas eleitorais. Todavia, nota-se, em alguns testes, que os avanços obtidos pelos investigadores demonstram também a relevância dos subsistemas e componentes que, isoladamente, ainda apresentam espaços para melhoria nos quesitos relativos à qualidade do projeto e à dependência dos mecanismos de segurança externos ao mesmo (riscos internos e externos)”, diz o relatório final.

Desde o ano passado, o TSE tenta aplacar uma crescente desconfiança nas urnas, motivada, sobretudo, por críticas do presidente Jair Bolsonaro (PL) à votação eletrônica. Ao receber na terça o relatório da comissão avaliadora do TPS, o presidente da Corte, Edson Fachin, saudou a análise feita pelos técnicos.

“É uma contribuição feita à sociedade brasileira, que desenvolve um plano de melhorias. E as contribuições do TPS fazem parte do presente e do futuro da Justiça Eleitoral”, afirmou o ministro.

Um dia depois, ele adotou tom mais enfático, em defesa do sistema, durante pronunciamento para embaixadores chamados ao tribunal para conhecer o sistema – neste ano, diante de reiteradas críticas de Bolsonaro, Fachin tem buscado apoio de observadores da comunidade internacional, para que, na eventualidade de questionamentos ao resultado da eleição, possam ficar ao lado do TSE e certificar a lisura do pleito.

De forma indireta, sem citar o presidente, o ministro comparou suas declarações contra as urnas, ecoadas por apoiadores, a um vírus.

“Estou me referindo ao vírus da desinformação sobre o sistema eleitoral brasileiro, que, de maneira infundada e perversa, procura incessantemente denunciar riscos inexistentes e falhas imaginárias. Este Tribunal Superior Eleitoral, e toda a Justiça Eleitoral, tem de trabalhar diuturnamente para desmentir boatos sobre o funcionamento do sistema eletrônico de votação e preservar a confiança que nele deposita a grande maioria da população”, afirmou.

Comissão sugeriu retirar criptografia dos boletins de urnas eletrônicas
O relatório do Teste Público de Segurança resume os cinco ataques bem-sucedidos realizados por técnicos externos chamados ao TSE no ano passado. A comissão aprovou as melhorias realizadas, mas não deixou de apontar o que ainda pode ser aperfeiçoado.

Em relação ao primeiro ataque, relatou que o técnico conseguiu, com a ajuda da equipe do TSE, retirar a criptografia dos dados do boletim de urna que são enviados ao TSE. O boletim de urna é o documento impresso emitido após a votação que soma os votos daquela máquina – uma cópia digital é enviada ao tribunal para compor a totalização que gera o resultado oficial.

A criptografia, por sua vez, é uma forma de ocultar os dados, de modo a preservá-los contra adulterações. O TSE reconheceu que, sem a criptografia, o invasor conseguiu modificar seu conteúdo, mas, mesmo assim, esse arquivo foi “rejeitado por inconsistência durante a verificação da sua assinatura digital no processo de transmissão”.

A assinatura digital é outro mecanismo de segurança, que certifica a origem autêntica do documento, e que impediu a recepção do arquivo adulterado. A retirada da criptografia, por outro lado, não impediu que o arquivo original, sem modificações, fosse recebido. “Foi percebido que o BU original era recebido e validado mesmo sendo transmitido em claro [sem a criptografia], somente com a sua assinatura digital”.

A equipe do TSE explicou à comissão que a configuração da urna permite retirar a criptografia. Os avaliadores concluíram que uma mudança nesse sentido não causaria “anomalia” no comportamento do sistema de transmissão e recepção do boletim de urna, porque ainda haveria o mecanismo de verificação da assinatura digital. Registrou que, se o sistema conseguir constatar que o arquivo transmitido é o mesmo recebido, isso bastaria para atestar a segurança, e dispensaria a criptografia, que abriu brecha para modificar o boletim.

A sugestão foi de retirar a criptografia para minimizar o risco. “Cabe à Justiça Eleitoral analisar e registrar os riscos associados ao uso da criptografia nas eleições oficiais e avaliar a necessidade da cifração do BU. Apesar de ser uma questão pontual, a decisão deverá ser consistente com todo o processo”, afirmou a comissão avaliadora do TPS.

Num outro ataque, um técnico externo conseguiu acessar o sistema de transmissão dos votos de um navegador de internet e, segundo a comissão, “conseguiu navegar na rede com sucesso”. “A vulnerabilidade foi bem explorada pelo investigador”, registrou ainda.

Segundo a comissão, os ajustes do TSE reduziram “sensivelmente a superfície de ataque disponível”. Apesar disso, “foi percebida uma degradação no desempenho do JE Connect [o sistema de transmissão] por conta dos ajustes realizados. Recomenda-se uma revisão e avaliação de impacto durante as eleições”.

Você acha que as eleições para presidente em 2022 terão segundo turno?*
Sim. Apesar da polarização que se vê neste momento, nenhum candidato terá maioria dos votos em 2 de outubro
Não. A polarização estimulará o voto útil e teremos uma decisão ainda em 1º turno

Técnicos externos conseguiram senhas no sistema de transmissão
Em outro ataque bem sucedido realizado no TPS, técnicos externos conseguiram obter senhas de acesso à “VPN” do TSE, uma rede protegida, a partir do sistema de transmissão do votos. Com isso, conseguiram obter também “chaves gravadas internamente no sistema” e “controle de acesso às partições do disco do computador alvo”.

O risco, para a comissão avaliadora, estaria no fato de um usuário interno, da própria Justiça Eleitoral, com acesso ao sistema de transmissão, “chegar a partes do sistema que deveriam estar protegidas”. De qualquer modo, no teste, mecanismos de segurança teriam impedido que o invasor pudesse “observar os detalhes da porta conectada no destino”.

Ainda assim, a comissão afirmou que “o teste demonstrou uma vulnerabilidade de acesso à rede que, mesmo estando protegida por outros mecanismos e contendo a invasão exclusivamente no ambiente definido pelo canal da VPN, pode permitir o desenvolvimento de ações que podem gerar novos riscos de ataques”.

Foi registrado que, após o teste, o TSE realizou um “ajuste para atuação mais robusta dos módulos que monitoram e controlam o acesso à VPN e as operações realizadas para a transferência do BU aos sistemas de recepção e totalização, rejeitando os acessos não previstos e revogando as credenciais autenticadas e habilitadas inicialmente”.

No novo teste, realizado em maio, os invasores não conseguiram invadir a VPN, o que, segundo a comissão, atestou que o TSE tornou o acesso à rede interna mais seguro. Ainda assim, houve sugestão de melhorias. “Há necessidade de uma revisão geral para avaliar novamente as vulnerabilidades e os riscos associados tanto nos módulos de conexão e transmissão como de recepção e tratamento das transações na rede”, afirmou a comissão avaliadora.

Tentativas de quebrar o sigilo dos votos
Os outros dois ataques ao sistema realizados no TPS tentaram quebrar o sigilo do voto. Num deles, a equipe desenvolveu uma capa acoplada ao teclado que captava os votos digitados e transmitia os dados. No outro ataque, era possível saber os votos por meio do áudio emitido pela urna para pessoas com deficiência visual.

Nos dois casos, o TSE estudou mudanças na cabine de modo que os mesários possam sempre verificar se aparelhos externos estão sendo instalados nas urnas, mas aparentemente, o problema ainda não foi solucionado.

“Foi evidente que a redução da altura da cabine de votação aumenta a dificuldade para colocar um invólucro sobre os teclados da urna, mas não suficiente para impedir o ato […] Os TRE, que efetivamente operacionalizam as eleições nas seções eleitorais, devem manter estudos e discussões continuadas para o aprimoramento dos processos”, diz o relatório.

Em relação à captação do áudio, a comissão avaliou que “os reforços no treinamento dos mesários mostraram-se suficientes para inibir este tipo de ataque”.

Outras recomendações sobre o modelo de testagem das urnas eletrônicas
No final do documento, a comissão avaliadora fez mais recomendações. Sugeriu, por exemplo, que todas as facilidades dadas aos técnicos externos convidados para invadir o sistema sejam documentadas.

Depois, ao constatar que eles ficam próximos da imprensa e de observadores externos, propôs uma revisão do espaço, para que eles trabalhem com mais privacidade em relação ao público externo. “O objetivo é a realização dos testes de forma reservada e em ambiente controlado.”

Em relação ao sistema de transmissão, que foi invadido no teste, a recomendação foi de adoção de um “modelo centralizado de conexão dos agentes remotos para facilitar a identificação de tentativas de acesso indevido e manter um registro centralizado de eventos no envio dos dados de apuração provenientes das urnas”.

Outra sugestão é exigir que agentes internos da Justiça Eleitoral usem certificados digitais (que identifiquem a pessoa) no momento de enviar os boletins de urna. Caso ele esteja adulterado, a máquina poderá verificar o responsável pelo envio.

Por mais uma vez, o relatório recomendou retirar a criptografia do arquivo digital do boletim, a partir da brecha encontrada para adulterar seus dados. Por outro lado, recomendou-se ampliar a divulgação do documento, para facilitar a totalização por outras entidades.

Outra sugestão é a participação do TSE em eventos como “hackathon” ou “Defcon”, em que centenas de hackers são chamados para competir pela invasão de sistemas. A comissão ainda sugeriu premiação para os que conseguirem e apontarem soluções.