Análise de um sistema eleitoral eletrônico | Observatório da Imprensa
Em 2003, quatro professores da Johns Hopkins University e da Rice University publicaram uma análise sobre a segurança do sistema eleitoral eletrônico, equivalente às nossas urnas eletrônicas, fornecido pela empresa americana Diebold, em relação ao risco de fraudes [Rubin, Aviel D., Kohno, T.,Stubblefield, A. e Wallach, D. S., 'Analysis of an Electronic Voting System'. Consultado em 10 de janeiro de 2004 em: http://avirubin.com/vote.pdf]. A análise foi desenvolvida sobre um software obtido na internet, publicado anonimamente, e os autores concluíram pela existência de inúmeras falhas de segurança neste sistema que, se exploradas nos momentos oportunos, poderiam alterar o resultado eleitoral. Ao tentar impedir judicialmente a divulgação da análise, a empresa poderia estar implicitamente admitindo a autenticidade do material analisado pelos professores da John Hopkins e Rice.
Em março de 2004, durante as eleições primarias norte-americanas, problemas em máquinas eletrônicas de votação voltaram a ocorrer e, após estudo publicado em abril, o Secretário de Estado da Califórnia, Kevin Shelley, considerando também estudos técnicos feitos pelos estados de Maryland e Ohio, decidiu descredenciar o uso das máquinas da Diebold na Califórnia para as próximas eleições de 2004 [Shelley, K., 'Decertification and Whitdrawal of Approval of Accuvote-TSx Voting System'. Secretaria de Estado da Califórnia. Abril de 2004. Consultado em 02 de maio de 2004 em: http://www.ss.ca.gov/elections/ks_dre_papers/decert.pdf]. Segundo notícia publicada no New York Times [Schwartz, J., 'High-Tech Voting System Is Banned in California' . New York Times. Publicado em 01 de maio de 2004 em: http://www.nytimes.com/2004/05/01/national/01VOTE.html], em 1 de maio de 2004, entre os motivos alegados para o descredenciamento figurava o fato da Diebold ter trocado parte dos programas do sistema por software não pré-qualificado e de ter mentido aos Oficiais de Estado tentando esconder os problemas durante sua avaliação.
Esta decisão do Secretário de Estado da Califórnia surpreende a muitos brasileiros, já que, entre nós, parece comum um alto grau de confiança no sistema eleitoral informatizado aqui em uso, através do qual somos obrigados a votar. Uma das revelações desta decisão, todavia, é que a confiança do público brasileiro nas eleições eletrônicas aqui já conduzidas baseia-se mais no fascínio pela modernidade, explorado pela propaganda dos fornecedores e operadores do sistema, do que em procedimentos e dados técnicos objetivos. Isto ficou evidente, quando menos, pela forma atabalhoada e canhestra com que foi votada a mais recente lei federal destinada a regulamentar o processo eleitoral brasileiro, registrada no artigo 'A Seita do Santo Byte ' [Rezende, P. A. D., 'A Seita do Santo Byte'. Consultado em 20 de fevereiro de 2004 em: http://www.cic.unb.br/docentes/pedro/trabs/azeredo.htm] e em análise do Fórum do Voto Eletrônico [Fórum do Voto-E: 'Lei do voto virtual às cegas' http://www.brunazo.eng.br/voto-e/textos/PLazeredo.htm: 'O dep. Moroni Torgan afirmou, em discurso do plenário da câmara, que o voto impresso é perigoso porque permite ao eleitor vender seu voto de posse do recibo do voto impresso'. (www.brunazo.eng.br/voto-e/arquivos/collares2.rm). A Lei 10.408/02, que introduziria o voto impresso, sendo banida pelo PL em votação, nada fala de recibo de voto.].
A natureza dos estudos e análises técnicas independentes que até o momento foram oficialmente permitidos sobre o sistema. (seguindo a norma de segurança da International Standard Organization – ISO – denominada 'Common Criteria', o PT solicitou ao TSE, em agosto de 2000, permissão para a realização de teste de penetração no sistema, que foi negada sem explicações)
Trata-se de uma análise técnica de parte essencial de um sistema eleitoral informatizado, que tudo indica ser o brasileiro de 2000, em relação ao risco de fraudes de parte. Começamos analisando, no capítulo 2, a plausibilidade de ser autêntica a origem desse novo material. No capítulo 3, fazemos um esboço da arquitetura do sistema de segurança das urnas eletrônicas brasileiras, que emerge das descrições oficiais em documentos publicados pelo TSE e em artigos técnicos apresentados em congressos acadêmicos de computação.
No dia 28 de fevereiro de 2004, mensagens quase simultâneas foram divulgadas em duas listas de debate sobre voto eletrônico na Internet, anunciando a novidade. A saber, na lista internacional UPA-EVOTING <http://groups.yahoo.com/group/upa-evoting/ > e na lista brasileira FÓRUM do VOTO-E <http://www.votoseguro.org/forum.htm >, informando que o código de programa do SETUP.BAT [Seixas, I., Paglerani, R. B., Gonçalves, M. J. [?], 'Setup.FI – Setup da urna usado para a Eleição Oficial do Tribunal Superior Eleitoral'. Setembro de 2000. Consultado em 1º de março de 2004 em: http://www.angelfire.com/journal2/tatawilson/ue2000.zip], utilizado nas urnas eletrônicas brasileiras de 2000, e que o relatório da Fundação COPPETEC [Rocha, A. R. C., Travassos, G. H., Souza, G. S., Mafra, S. [?], 'Relatório de Avaliação do Software do TSE'. Fundação COPPETEC, COPPE/UFRJ, agosto de 2002. Consultado em 01 de março de 2004 em: http://www.angelfire.com/journal2/tatawilson/coppe-tse.pdf], de avaliação da documentação do software do sistema eleitoral brasileiro de 2002, estavam disponíveis no endereço <http://www.angelfire.com/journal2/tatawilson>.
Apesar da complexidade, a lógica de transição entre suas diversas partes internas é coesa, não ocorrendo casos de desvios sem destino útil, ou de trechos com desenvolvimento incompleto, o que revela um longo trabalho de desenvolvimento e depuração. O código-fonte é rico em comentários que fazem referência a processos, componentes, equipamentos e periféricos todos compatíveis e coerentes com os nomeados nas especificações oficiais para as Urnas-E 2000, conforme distribuídas em Edital de Licitação mediante Concorrência nº 27/99 do TSE [Tribunal Superior Eleitoral. 'Edital de Licitação, mediante Concorrência, nº 27/99'. Diretoria Geral do Tribunal Superior Eleitoral, julho de 1999, Disponível em: http://www.votoseguro.org/arquivos/EditalUE2000.zip], licitação vencida e executada pela Procomp/Diebold. Esta complexidade, aliada à coerência interna e às especificações oficiais do sistema, sugere tratar-se de documento autêntico.
Porém, é sabido que esses alegados autores, se verdadeiros, estão legalmente comprometidos em seus contratos de trabalho com o sigilo do mesmo. Se não pelas práticas trabalhistas e negociais comuns às empresas contratadas e subcontratadas para fornecimento, manutenção e operação do sistema eleitoral brasileiro, ao menos indiretamente, pelas cláusulas jurídicas impostas aos que teriam, por lei, direito de fiscalizar esse trabalho, cláusulas estas de caráter absoluto e irrevogável [Graaf, J. V., Custódio, R. F., 'Tecnologia Eleitoral e a Urna Eletrônica'. Sociedade Brasileira de Computação. 2002. Disponível em: http://www.sbc.org.br/ArquivosComunicacao/TSE.pdf] (comentários em [Rezende, P. A. D., Brunazo F., A., e outros 'Burla Eletrônica'. Livro Eletrônico sobre experiências fiscalizatórias com o sistema eleitoral eletrônico brasileiro. Disponível em: http://www.cic.unb.br/docentes/pedro/trabs/BurlaEletronica.pdf]). E também por justificativas já apresentadas pela Justiça Eleitoral ao restringir tal direito, baseado na Lei 9.504/01, aos fiscais dos partidos políticos que tentassem cumprir a bom termo técnico a sua missão [Brunazo F., A., 'Lei do Voto Eletrônico' revista eletrônica Consultor Jurídico, 17/12/2001. Acessado em http://www.cic.unb.br/docentes/pedro/trabs/e-voto.htm: O dep. Moroni Torgan afirmou, em discurso do plenário da câmara, que o voto impresso é perigoso porque permite ao eleitor vender seu voto de posse do recibo do voto impresso. (http://www.brunazo.eng.br/voto-e/arquivos/collares2.rm). A Lei 10.408/02, que introduziria o voto impresso, sendo banida pelo PL em votação, nada fala de recibo de voto.].
Descrições do fluxo de informação dentro do sistema eleitoral brasileiro podem ser encontradas em [Brunazo F., A., 'A Segurança do Voto na Urna Eletrônica Brasileira' in Seminário de Segurança em Informática, SSI'99, ITA. Anais… São José dos Campos, SP, Brasil, 1999. Disponível em: http://www.votoseguro.org/arquivos/SSI99int.zip] e [Tozzi, C. L. et alli. 'Avaliação do Sistema Informatizado de Eleições (Urna Eletrônica)'. UNICAMP, maio de 2002. Disponível em: http://www.tse.gov.br/servicos/download/rel_final.pdf]. Simplificadamente, o processo eleitoral pode ser subdividido em cinco etapas subseqüentes:
O acúmulo das etapas 2 e 3 numa mesma máquina introduziu risco adicional e em princípio evitável ao sistema, que é o fato de duas informações que não poderiam nunca ser juntadas, o voto e a identidade do votante, estarem disponíveis no mesmo equipamento. Se este equipamento tiver sua função ampliada, poderá refazer a relação entre esses dados, violando o princípio constitucional do sigilo do voto. Por este motivo é que o Relatório da Sociedade Brasileira de Computação [Graaf, J. V., Custódio, R. F., 'Tecnologia Eleitoral e a Urna Eletrônica'. Sociedade Brasileira de Computação. 2002. Disponível em: http://www.sbc.org.br/ArquivosComunicacao/TSE.pdf] afirma em suas conclusões que:
'O projeto da urna não elimina a possibilidade de que a identidade do eleitor seja vinculada a seu voto.'
O relatório da SBC se referia ao sistema eleitoral do TSE de 2002, mas esta sua conclusão se aplica sem restrições ao sistema de 2000, visto terem ambas versões exatamente a mesma arquitetura neste aspecto. O chamado relatório Unicamp [Tozzi, C. L. et alli. 'Avaliação do Sistema Informatizado de Eleições (Urna Eletrônica)'. UNICAMP, maio de 2002. Disponível em: http://www.tse.gov.br/servicos/download/rel_final.pdf], por sua vez, descreve análise conduzida sobre um sistema eleitoral informatizado fornecido pelo TSE como sendo a versão usada na eleição de 2000. Não se trata, portanto, de análise do sistema em produção, ou seja, feita diretamente em urnas usadas nas eleições de 2000.
O arquivo SETUP.BAT no sistema operacional VirtuOS desempenha a mesma função do arquivo AUTOEXEC.BAT no MS-DOS e em alguns windows: deve conter programa que é sempre o primeiro executado pelo sistema operacional, após este completar a sua própria carga, assim que a máquina é ligada, podendo controlar todo o funcionamento do sistema a partir daí. Tanto no DOS como no VirtuOS, arquivos de extensão .BAT são interpretados como 'lote de comandos', ou batch files.
Escritos em texto pleno, isto é, código ASCII como qualquer arquivo de formato txt, batch files listam comandos a serem executados seqüencialmente pelo interpretador do sistema operacional (shell). Programas que executam diretamente a partir da forma em que são escritos pelo programador (código-fonte), sob a ação de um outro programa que interpreta o código-fonte para a linguagem de máquina subjacente, são ditos interpretados. Batch files são portanto programas interpretados, também chamados de 'scripts'.
Arquivos de função semelhante à do AUTOEXEC.BAT raramente contém mais que umas poucas linhas. No AUTOEXEC.BAT por exemplo, apenas os comandos necessários para chamar as funções que completam a inicialização do sistema básico, tais como tabelas de idioma, cores da tela, primeira chamada a antivírus, etc. O recurso ao scripting é utilizado com parcimônia ainda maior em sistemas de alta periculosidade, como são os sistemas socialmente sensíveis onde se representam mais de dois interesses (num sistema eleitoral: o de cada partido, em ganhar, e o do operador do sistema, para que nenhum deles fraude). Com raras exceções o scripting é usado para controlar mecanismos de proteção essenciais à segurança dos seus agentes, devido à característica limitada de recursos, aliada à facilidade de modificação e de adulteração. Não surpreende, portanto, que os antivírus falhem tanto.
Segundo o edital de fornecimento das urnas [Tribunal Superior Eleitoral. 'Edital de Licitação, mediante Concorrência, nº 27/99'. Diretoria Geral do Tribunal Superior Eleitoral, julho de 1999, Disponível em: http://www.votoseguro.org/arquivos/EditalUE2000.zip], cabia ao fornecedor desenvolver os programas do sistema, o que nos leva a entender que foi a Procomp/Diebold que escolheu utilizar o sistema operacional VirtuOS, como também incluir todo o controle da verificação de integridade de hardware e software da urna em um script de inicialização. Mas cabia à Secretaria de Informática do TSE avaliar, validar, aceitar e homologar, ou não, estas decisões e métodos de programação, obviamente de baixíssima resistência a ataques por parte de quem possa ter acesso privilegiado ao sistema.
No contexto em que sistemas livres, de robustez sobejamente comprovada e superior à dos supracitados, desimpedidos de barreiras jurídicas artificiosas a seu uso, adaptabilidade ou auditabilidade (e.g. propriedade intelectual do fornecedor), configura-se incompreensível e injustificável a validação e aceitação das opções técnicas que vêm sub-repticiamente norteando a informatização do nosso sistema eleitoral, considerando-se o ponto de vista do eleitor interessado no equilíbrio de riscos e responsabilidades de todos os agentes envolvidos [Rezende, P. A. D. 'A Lanterna de Diógenes'. Artigo escrito para um seminário técnico que teria ocorrido no Senado Federal, no esteio do escândalo do painel, mas que nunca foi realizado. http://www.cic.unb.br/docentes/pedro/trabs/paisagem.htm].
O chamado relatório Unicamp [Tozzi, C. L. et alli. 'Avaliação do Sistema Informatizado de Eleições (Urna Eletrônica)'. UNICAMP, maio de 2002. Disponível em: http://www.tse.gov.br/servicos/download/rel_final.pdf] descreve boa parte do que seriam os mecanismos de proteção contra fraude nas urnas eletrônicas de 2000. O sistema de 2000 não produz nenhum documento ou material que permita a recontagem ou conferência da tabulação desses votos (feita na urna), ou da totalização (apuração feita na rede dos tribunais eleitorais) eletrônicas, como permitiria o voto impresso, conferível pelo eleitor, previsto na abortada Lei 10.408/02. Assim, toda segurança contra fraude nas urnas eletrônicas se baseava, e voltou a se basear com a revogação da referida lei, em mecanismos para se garantir a idoneidade e a integridade dos programas que executam, nas urnas ou redes de totalização, durante a eleição.
No presente trabalho se procede a uma análise que corresponderia aproximadamente à etapa de validação do software das urnas-e de 2000. Condições técnicas de se proceder a uma certificação inexistem, uma vez que as urnas eletrônicas utilizadas em 2000 já foram todas reutilizadas em 2002, com as informações pertinentes ao seu uso em 2000 destruídas quando da regravação dos flash-cards utilizados. O chamado relatório Unicamp [Tozzi, C. L. et alli. 'Avaliação do Sistema Informatizado de Eleições (Urna Eletrônica)'. UNICAMP, maio de 2002. Disponível em: http://www.tse.gov.br/servicos/download/rel_final.pdf], em seu capítulo 4.3, informa que, nas eleições de 2000, os partidos políticos, fiscais oficiais do sistema eleitoral, também não teriam condições técnicas de certificar o software utilizado nas urnas eletrônicas, ao afirmar:
'… não há mecanismos simples e eficazes que permitam que representantes de algum partido, em qualquer lugar do país, possam confirmar que os programas usados nas Urnas-E correspondem fielmente aos mesmos que foram lacrados e guardados no TSE.'
Uma perícia nas urnas eletrônicas utilizadas na eleição de Camaçari, Bahia, em 2000 [Teixeira, M. C. et alli. 'Parecer sobre o Laudo Técnico da Perícia das urnas Eletrônicas de Camaçari – 2000'. Partido Popular Socialista, Processo n.º 41/01 da 171ª Zona Eleitoral da Bahia. Disponível em: http://www.votoseguro.org/textos/camacari2.htm], revelou que o software nelas utilizado durante aquela eleição não era o mesmo que havia sido validado pelos partidos políticos em agosto de 2000. Ressalte-se, mais uma vez, que o presente trabalho analisa o exemplar de script no SETUP.BAT pressupondo-o idêntico ao utilizado nas urnas eletrônicas de 2000, com lastro nas evidências arroladas na seção 2 e complementadas nas seguintes, mas sem a intenção de assumir ou atestar tal identificação, diferentemente do chamado relatório Unicamp.
Em 2002, tornou-se público o fato de que o sistema não dispunha de nenhum mecanismo de proteção para efetivamente prevenir ou detectar ataques de origem interna, ou seja, ataques perpetráveis por parte de quem conhece o sistema pela necessidade de operá-lo. Os lacres físicos, mandatórios nas urnas eletrônicas, a título de garantia de absoluta inviolabilidade dos programas e dados armazenados nos seus dispositivos eletrônicos internos, como propalado a quatro ventos por vários magistrados da Justiça Eleitoral [Rezende, P. A. D. 'Fiscalização e Garantias'. Entrevista ao jornalista Fabrício Azevedo, do Jornal da Comunidade de Brasília. http://www.cic.unb.br/docentes/pedro/trabs/entrevistaJCBSB.htm], não serviam a tal propósito, como restou provado numa perícia judicial nas urnas usadas na eleição de 2000 na cidade de Santo Estevão, Bahia, . Nesta, o perito nomeado pelo Poder Judiciário constatou:
A lacração da urna periciada em Santo Estêvão cumpria rigorosamente a resolução da Justiça Eleitoral que detalhava com precisão a posição em que quatro lacres de papel adesivo deveriam ser afixados, entre a tampa e o chassi da urna. Como deveriam ser afixados em todas as urnas eletrônicas, da mesma forma que em eleições anteriores, por outras resoluções. Ocorre que o posicionamento dos lacres demandado pela resolução era tal que violações do tipo desvelada por essa perícia seriam sempre possíveis na quase totalidade das urnas, através da remoção da módulo de impressão de boletins, seguido da retirada de parafuso posicionado por detrás do mesmo, como se constatou naquela perícia .
Ou seja, a garantia dos lacres era, efetivamente, a de que ataques de origem interna, por parte de custodiantes de urnas lacradas que conhecessem os detalhes, não seriam detectados pelo mecanismo supostamente projetado para detectá-los. Ao contrário do que alardeavam a quatro ventos alguns magistrados da Justiça Eleitoral [Rezende, P. A. D. 'Fiscalização e Garantias'. Entrevista ao jornalista Fabrício Azevedo, do Jornal da Comunidade de Brasília. http://www.cic.unb.br/docentes/pedro/trabs/entrevistaJCBSB.htm], enquanto nenhum perito nomeado por parte interpelante foi jamais autorizado a periciar uma urna eletrônica, em processos de impugnação. Enquanto solicitações de testes de segurança, recomendados pelo OSI, foram sequer respondidos ao partido solicitante. Temos que reconhecer, todavia, que a inversão de sentido na garantia dos lacres, entre o anunciado e o efetivo, pode ter ocorrido por algum lapso do autor da resolução que regulamentava a lacração.
Segundo a descrição oficial do sistema, dois algoritmos de cálculo de 'Resumo Criptográfico' (hash) são utilizados para produzir, cada um, uma espécie de impressão digital de cada arquivo do sistema, armazenadas num arquivo como 'assinaturas', para posterior comparação com o recálculo das mesmas no momento da verificação. Um desses era o algoritmo conhecimento publicamente por MD5, enquanto o outro seria de arquitetura fechada, supostamente desenvolvido pelo fornecedor do sistema operacional VirtuOS e, portando, desconhecido fora de sua esfera de proteção ao sigilo. Mas, segundo o tal relatório, em sua seção 4.5, o esquema de autoverificação da integridade usado em 2000 seria o seguinte:
'Usando o algoritmo convencional (MD5), é calculado um resumo criptográfico para cada arquivo da árvore de diretórios da aplicação de votação. Os nomes dos arquivos e seus resumos são gravados, um por linha, num arquivo com extensão .CRC. Para prover um nível extra de segurança, é calculado também o resumo criptográfico (com o algoritmo ASSINA) de cada arquivo .CRC, o qual é guardado em um outro arquivo com extensão .SIG.
Conclui-se que a combinação do uso das técnicas públicas e proprietárias de resumo criptográfico torna muito difícil o sucesso de qualquer tentativa de modificação posterior dos programas executáveis sem que tal tentativa seja detectada. Toda a segurança do mecanismo de verificação de integridade e autenticidade empregado se baseia no segredo do algoritmo de resumo criptográfico ASSINA responsável pelos 256 bits guardados nos arquivos .SIG.'
Comecemos por examinar, na citação anterior do referido relatório, uma primeira fragilidade do mecanismo de autoverificação da integridade dos programas das urnas eletrônicas. A que se revela no fato desse mecanismo e o resultado a ser verificado estarem, ambos, no próprio dispositivo cuja integridade se quer assim verificar (flash-card interna, ou FI). Esta mesma fragilidade foi também encontrada nas urnas eletrônicas americanas da Diebold, conforme aponta o estudo dos professores das Universidades de John Hopkins e Rice [Rubin, Aviel D., Kohno, T.,Stubblefield, A. e Wallach, D. S., 'Analysis of an Electronic Voting System'. Consultado em 10 de janeiro de 2004 em: http://avirubin.com/vote.pdf].
Um levantamento sobre o referido relatório, de autoria do engenheiro Amílcar Brunazo Filho [Brunazo F., A., 'O Relatório TSE-FUNCAMP – Um Laudo, Duas Conclusões'. Fórum do Voto Eletrônico. Disponível em: http://www.votoseguro.org/textos/relfuncamp1.htm#1.4], revela, outrossim, que o programa ASSINA (o do algoritmo restrito) era de fato produzido pelo CEPESC, órgão subordinado à Agência Brasileira de Inteligência, ABIN, tendo sido apenas encapsulado pela Microbase, para integrar a versão do VirtuOS fornecido ao TSE. E que o algoritmo encapsulado seria, na realidade, o algoritmo público conhecido como SHA1. Mais uma informação técnica obscurecida, afetando uma propalada garantia, desvelada apenas ao final de criteriosa e paciente investigação.
Depois do detalhe dos quatro lacres, agora o de que bastava calcular o hash MD5 de um arquivo e 'reassiná-lo' com o SHA1, trocando, no arquivo de 'assinaturas', as do arquivo original pelas da respectiva versão adulterada. Quem e como poderia trocar, veremos adiante. Por enquanto, observemos que a 'segurança baseada no segredo do algoritmo' era, para não dizer um jogo de palavras, apenas mais uma garantia cuja efetividade estava invertida. Pois o segredo não era do algoritmo, era do nome do algoritmo. Não seria preciso ter acesso legítimo e controlado ao ambiente onde um algoritmo secreto de assinaturas estaria implementado, para se poder modificar programas com o aval da autoverificação. Bastaria o nome. Mais um acidente lingüístico, ou, mais um cata-vento para tentações assopradas pelo modelo obscurantista, inadequadamente empregado sob condições estruturais de alto risco de conluio.
Sustentada a hipótese de origem autêntica do material aqui analisado, outra fragilidade tampouco citada no referido relatório é o fato da maior parte do esquema de autoverificação de integridade ser controlado por script profusamente comentado. Portanto, ainda mais facilmente adulterável por qualquer agente com acesso legítimo às urnas, a um editor de texto qualquer e a conhecimento mínimo do sistema para operá-lo. Em sistemas com alto risco de fraude de origem interna, como devem ser classificados, de acordo com práticas saudáveis [Brunazo F., A., 'Critérios para Avaliação da Segurança do Voto Eletrônico' in Workshop em Segurança de Sistemas Computacionais, Wseg'2001, UFSC. Anais… Florianópolis, SC, Brasil, 2001. Disponível em: http://www.votoseguro.org/arquivos/Wseg2001.zip], os sistemas eleitorais informatizados, esta prática contraria o mais elementar bom senso, não precisando um profissional mediano da informática se arvorar especialista em segurança de computadores para percebê-lo.
Listamos alguns dos comentários explicativos encontrados no exemplar do arquivo SETUP.BAT para ilustrar o que se diz acima. Vale lembrar que, no código-fonte dos shells DOS, comentários são formados pelas letras 'REM' – de 'remark' – no início da linha, servindo o restante para informar o leitor humano, ignorado pelo programa interpretador do script. Logo no início do script em exame, são apresentadas explicações para os nomes dos parâmetros utilizados no restante do programa para a identificação dos diretórios; identificação esta necessária, por exemplo, para a alteração ou inserção de novos comandos neste mesmo script, quer com o intuito de fazer o sistema funcionar conforme a especificação oficial, quer com o intuito de violá-la sorrateiramente:
REM * %FI% — raiz da FI
REM * %FI%aplic — software aplicativo
REM * %FI%virtuos — software basico
REM * %FI%	rab — arquivos de trabalho da eleicao
REM * %FI%
esul — arquivos de resultados da eleicao
REM * %FI%asedado — arquivos de dados para a eleicao
Para ilustrarmos a gravidade do risco de ataque interno a que estaria exposto um sistema com tal forma de controle da proteção, buscamos exemplo na última eleição realizada com o sistema eleitoral brasileiro, a de 2002. Nela, este controle estaria nas mãos de mais de 10 mil operadores terceirizados pela fornecedora para operar a eleição, de quem os fiscais de partido não conseguem da Justiça Eleitoral sequer os nomes, ou nas mãos de quem os instruía em tarefas que lhes eram opacas. Para entendermos como, e como esse controle poderia ser malversado, examinemos o trecho do script no SETUP.BAT onde seria acionada a verificação da integridade dos programas instalados no flash-card interno das urnas eletrônicas.
ckpack c:
aiz.crc c: > nul
O Comando 'diskfix' é chamado para verificar o disco C: (flash-card interna) sendo que o resultado desta verificação não é apresentado na tela da urna por causa do parâmetro '> nul'. Em seguida, o script verifica se o comando encerrou corretamente ou se houve erro na verificação de integridade. Se houve erro (if errorlevel), a execução da inicialização se desvia (goto) para o endereço 'TentaRecuperar', senão segue adiante para o comando 'chpack', que verifica se as assinaturas recalculadas sobre os arquivos no diretório raiz da flash-card interna (disco C:) são as mesmas que estão gravadas no arquivo 'raiz.crc'.
Um dos arquivos no diretório raiz é o próprio SETUP.BAT, de forma que a sua autoverificação seria facilmente burlável, de maneira imperceptível por quem usa a urna, pelo simples acréscimo da diretiva 'REM' em posições adequadas. Assim, a inserção de apenas oito letras no script de inicialização do sistema operacional, conforme descrito abaixo, faria com que as assinaturas dos programas instalados na urna deixasse de ser recalculado e comparado aos valores no arquivo de assinaturas. Inclusive, obviamente, a do próprio arquivo SETUP.BAT contendo este script, não sendo necessário ao fraudador nem mesmo trocar as assinaturas previamente gravadas nos arquivos .crc:
REM – if errorlevel 1 goto TentaRecuperar
REM – if errorlevel 1 goto ebatger
Isto poderia ser feito por quem tivesse, por exemplo, acesso físico ao flash-card interno. A partir desse acesso, poder-se-ia contaminá-lo com programas embusteiros, antes ou depois de carregado com os softwares eleitorais, bastando editar as duas linhas do arquivo SETUP.BAT, conforme descrito acima, e alterar o processo que tabula votos sufragados na urna. A maneira mais simples de alterar a tabulação de votos seria através de um pequeno programa que age como Robin Hood. Inserido entre os arquivos da urna, ao final da votação ele interceptaria a gravação do boletim de urna para alterar, de forma balanceada, porcentagens pré-programadas nos totais de votos de candidatos, indexados pelo número que lhe foi designado desde o registro da candidatura, meses antes [Rezende, P. A. D. 'A Lanterna de Diógenes'. Artigo escrito para um seminário técnico que teria ocorrido no Senado Federal, no esteio do escândalo do painel, mas que nunca foi realizado. http://www.cic.unb.br/docentes/pedro/trabs/paisagem.htm].
Esse programa 'Robin-Hood' poderia ser acionado por uma linha de comando tão simples como as citadas anteriormente, inserida em posição adequada no script do SETUP.BAT, já hackeado para não verificar alterações nos arquivos. Se o programa 'Robin-Hood' for bem feito, sua última tarefa será deletar a si mesmo, e as alterações no script SETUP.BAT que permitiram o seu silencioso acionamento. Com isso, apagaria seus rastros depois do boletim de urna ser alterado, tornando a fraude indetectável até por eventuais auditorias, após a divulgação do resultado da eleição.
Formas de fraude eletrônica de varejo e de origem interna sem abrir a urna serão explicadas; mas antes, cumpre relembrar que o detalhamento aqui oferecido não constitui denúncia de fraude no sistema eleitoral brasileiro, muito menos incitação à fraude. Seu objetivo, a quem o queira interpretar como denúncia, será somente sobre a inadequação do modelo obscurantista de segurança adotado. Mesmo porque não se tem como fato, mas como hipótese, a origem do exemplar do arquivo SETUP.BAT aqui analisado.
Em outras palavras, este detalhamento busca, unicamente, explicar de forma didática o porquê dos conceitos de autoverificação e autocertificação serem totalmente inócuos para proteção geral de sistemas informáticos que operam em circunstâncias onde o conluio seja uma possibilidade teórica no modelo de confiança a ele adequado [Rezende, P. A. D. 'A Lanterna de Diógenes'. Artigo escrito para um seminário técnico que teria ocorrido no Senado Federal, no esteio do escândalo do painel, mas que nunca foi realizado. http://www.cic.unb.br/docentes/pedro/trabs/paisagem.htm]. No caso, adequado pela ocorrência de mais de dois interesses potencialmente conflitantes em cena. A saber, os interesses de pelo menos dois partidos, concorrentes a um pleito, e os da Justiça Eleitoral, que executa esse pleito com tal sistema e julga o resultado com seu poder de Justiça.
ckpack c:aplicapl_elei.crc c:aplic > nul
E o de ataques que requeiram alteração em componentes eletrônicos da urna, já que a verificação de integridade da BIOS (Binary Input-Output system), também é controlada pelo mesmo script: A BIOS é um programa de inicialização de hardware que vem embarcado em chip removível e que controla o acionamento e a intercomunicação entre os diferentes dispositivos eletrônicos de um computador tipo PC
ckpack c:asedadocandidat.crc c:asedado > nul
ckpack c:asedadoelelocal.crc c:asedado > nul
Com a inserção da diretiva 'REM' à frente dos comandos 'ckpack' ou dos comandos de desvio ('if'), burlar-se-ia invisivelmente a verificação da integridade da base de dados da urna.
Também a verificação de integridade feita por outros programas da urna, como o próprio programa de votação por exemplo, poderiam ser eventualmente burladas, por quem detivesse acesso privilegiado na inseminação do software, conhecimento do segredo sobre o verdadeiro sentido da inviolabilidade dos quatro lacres, ou do algoritmo de assinatura de 'arquitetura fechada'. A do aplicativo de votação, por exemplo, como sugerido por Teixeira e Brunazo [11, cap. 6.3].
A ativação, em momento oportuno, de um programa residente embusteiro, como o já citado 'Robin-Hood' seria simples. Basta incluir, em posição adequada, uma nova linha no script do SETUP.BAT com o seu nome e caminho, junto com a neutralização (comentando o script) ou atualização (trocando assinaturas) da autoverificação. Entretanto, a fragilidade talvez mais grave ainda não foi apontada.
O calcanhar de Aquiles da arquitetura de segurança que emerge do encaixe das peças em exame, que são o script de inicialização analisado e as descrições oficiais do sistema eleitoral brasileiro de 2000, está no fato de muitas autoverificações se darem com base na checagem da existência, ou não, de arquivo com determinado nome em determinado dispositivo, independentemente do seu conteúdo. Por exemplo, a decisão do script do SETUP.BAT de verificar os arquivos de teste é tomada pela existência ou não de um arquivo com o nome de 'eleicao' no diretório raiz:
if exist c:eleicao goto bypassa_teste_integridade
aiz2000.crc c: > nul
Para burlar verificações controladas por arquivos cujo único propósito é sinalizar um caminho de execução ao sistema, bastaria renomear o arquivo apontado, não importa o seu conteúdo. Não seria necessário nem que se adulterasse o script do SETUP.BAT. Além disso, o uso desses arquivos pode servir de 'esconderijo'. Usados para abrigar programas embusteiros, chamados a executar por algum comando introduzido nalgum script, como o do SETUP.BAT. Em momento oportuno, e sem chamar a atenção pela existência de arquivos inesperados na flash-card interna. Como o hipotético programa 'Robin-Hood', do exemplo inicial.
REM log 02 – A LIGADA JA É LOGADA NA SUBIDA DO PROPRIO DRIVER DE LOG
if not exist c:
ovo.sb goto JaLogouCarga
ovo.sb
O comando 'log 07' é que registra a mensagem de 'carga com sucesso'. Comentar este comando (colocar as letras REM no início da linha) faria o script seguir adiante sem que nada se registre no arquivo de log. Aliás, tal adulteração poderia ser feita em qualquer ponto onde um eventual registro de log se tornasse indesejável. Ou, ao contrário, poder-se-ia forçar no log o registro de um evento que não se realizou. Nesta seqüência de comandos se vê, novamente, a fragilidade em se decidir por um caminho do processo com base na existência de um arquivo. No caso anterior, determinado 'novo.sb'. Bastaria brincar de esconde-esconde como tal arquivo, renomeando-o lá e cá, para que o comportamento do sistema, como registrado nos logs, entre com Alice no país das maravilhas.
Em outras palavras o arquivo de log, como instrumento de auditoria das urnas eletrônicas, seria ineficaz, visto que se poderia adulterar dinamicamente a sua função, via script do SETUP.BAT, tornando-o uma peça ficcional. Todas estas fragilidades apontadas por uma breve análise do script em exame facilitariam e viabilizariam inúmeras formas de ataque de origem interna ao sistema eleitoral, e de rastros também facilmente apagáveis antes da divulgação dos resultados fraudados. Possibilidades estas antes já sinalizadas, só que de forma mais hipotética em [Teixeira, M. C. e Brunazo Filho, A., 'Reflexões sobre Confiabilidade de Sistemas Eleitorais'. Fórum do Voto Eletrônico. Janeiro de 2001. Disponível em: http://www.votoseguro.org/textos/reflexoes.htm] e [Rezende, P. A. D. 'A Lanterna de Diógenes'. Artigo escrito para um seminário técnico que teria ocorrido no Senado Federal, no esteio do escândalo do painel, mas que nunca foi realizado. http://www.cic.unb.br/docentes/pedro/trabs/paisagem.htm], e solenemente ignoradas, talvez pelo caráter especulativo.
if exist a:disco9 goto ConsisteBaseCandidatos
Verifica-se se no disquete existem arquivos com nomes: 'disco15', 'eleicao' e 'instala.bat' ;
Se existir o arquivo 'instala.bat', este arquivo é copiado para o disco C: e em seguida executado;
Se não existir, o aplicativo 'roda_t1' é executado.
No caso do exemplo anterior, bastaria dar o nome instala.bat ao arquivo com este pequeno script e ligar a urna com o disquete nela inserido, para se ter uma urna transformista. Tal situação é precária porque esse tipo de janela – emoldurada na greta para o disquete – pode levar a urna ao país das maravilhas mesmo com seu trinco fora do script de inicialização.
Com isso, a arquitetura de segurança que emerge do encaixe dos peças do material analisado continuaria permitindo os mesmos ataques de origem interna, independente de onde estejam os controles. Mesmo que esses passem para um programa executável compilado, por exemplo. A medida 'de segurança adicional' de impressão das assinaturas dos arquivos da urna, por exemplo, mudaria apenas na forma de se obter a informação sobre como funciona o trinco da janela de Alice, mas nada nas paisagens dos dois lados dessa janela. Janela pela qual poderia passar um disquete tirado de um bolso sem crachá, por um terceirizado sem nome, sem vínculo trabalhista com a Justiça, enquanto as urnas vão sendo inseminadas na ausência do juiz da Zona, como na 1a. eleitoral de São Paulo em 2002, em seu próprio fórum.
'Qualquer modificação feita em algum arquivo da UE que não seja acompanhada pela correspondente modificação dos arquivos .CRC e .SIG será detectada'.
Tal assertiva seria patentemente falsa com respeito ao arquivo SETUP.BAT. Através da análise acima oferecida, fica claro como seria fácil, a quem tiver acesso legítimo à urna, eliminar a citada detecção pela inserção de apenas oito letras no script, e com isso modificar qualquer dos programas nela instalado, sem detecção. A verificação de integridade do sistema pode ser facilmente neutralizada se, ao conceito de integridade, incluirmos o modo mais relevante para sistemas com a missão social daquele analisado por profissionais da Unicamp. A saber, a integridade relacionada à possível associação entre má-fé e abuso de poder, por parte de quem o controla. Nessa assertiva, os autores do relatório omitem uma predicação essencial, do tipo 'por agentes que ignorem o script de inicialização' ou 'por agentes que desconheçam os controles do mecanismo de verificação', ao substantivo 'qualquer modificação feita'.
Esta omissão compromete a cientificidade da assertiva e, em conseqüência, da generalidade excessiva na linguagem que abre sua seção 'Conclusões', eleita 'resumo executivo' pela grande mídia. A segurança do sistema eleitoral brasileiro foi ali menosprezada no que tange a esse modo de integridade, se não ignorada. Desleixo explicável apenas, dada a competência dos profissionais contratados para a tarefa de avaliação relatada, pela sua acrítica aceitação dos objetivos impostos à tarefa pelo contratante, conforme analisado em [Rezende, Pedro A. D. 'Análise do relatório Unicamp' http://www.cic.unb.br/docentes/pedro/trabs/relunicamp.htm]. Tarefa esta que teria custado aos cofres públicos R$ 450 mil, e cujo nebuloso valor semiológico foi creditado, ao menos pela grande mídia e por tabela pelo leigo, ao nome da instituição científica que os contratados integram.
No contexto geral, a ambigüidade nas conclusões do referido relatório poderia se justificar pela acriticidade. Por exemplo, argumentando-se que 'algum arquivo' não pretendia significar 'qualquer arquivo', embora seja este o sentido que o contexto semântico da frase selecione, na ausência de predicado à ação 'qualquer modificação feita' [Rezende, Pedro A. D. 'Análise do relatório Unicamp' http://www.cic.unb.br/docentes/pedro/trabs/relunicamp.htm]. Mas não se justificaria eticamente, pela importância social do sistema e pelas potenciais conseqüências de uma semiose enganosa. Se a base ética do menosprezo aos riscos à integridade em modo citado, quer na arquitetura de segurança do sistema, quer em avaliações oficiais tidas por independentes, for a aristotélica – a ética da virtude no caráter da autoridade –, na democracia esta ética só se realiza pela transparência, estratégia oposta à obscurantista adotada, paradoxalmente à guisa da necessidade de segurança.
Uma das contribuições adicionais que esta presente análise pode oferecer é a de colocar o referido relatório em perspectiva. Para que não se lhe atribuam, em citações apressadas ou desleixadas, mais do que a tarefa relatada em sua introdução se propôs a alcançar, independentemente da linguagem imprecisa – e nada científica – que possa ser encontrada em incautos arroubos e frouxidões semânticas ali lavradas, dedutivamente ou a título de conclusão. Segurança é controle da proteção, e proteção não existe sem sujeito e predicado. Se estão implícitos, como na introdução no relatório, isto não significa que sejam universais. Resumindo, não se deve confundir segurança contra a fraude com segurança para a fraude, muito menos induzir leigos a confundi-las.
5.2 'It's not a bug, it'a feature!'
As fragilidades aqui apontadas dizem respeito ao sistema que teria sido produzido pela Diebold/Procomp, não se aplicando diretamente às urnas com sistema operacional Windows CE fornecidas pela Unisys. Mas poderiam, potencialmente,ainda ser aplicadas às 350 mil urnas que vêm mantendo o sistema operacional VirtuOS e às outras, devido à arquitetura do sistema como um todo. Como por exemplo, ataques de Alice-no-país-das-maravilhas com disquetes e arquivos sinalizadores, por mãos terceirizadas que operam eleições cumprindo ordens. Nesse contexto, antes que se sofisme sobre a desatualização do material em exame, como fez a Diebold na grande mídia dos EUA, examinemos o que mais pode ser dito acerca de versões posteriores, tendo em vista a última eleição já transcorrida no Brasil, em 2002.
Sabe-se que técnicos da COPPE foram contratados para produzir um relatório sobre o sistema eleitoral brasileiro de 2002, mas não se tem notícias de sua publicação oficial. Como foi dito na introdução, junto com o script aqui analisado foi também publicado um relatório cuja autoria original é atribuída à Fundação COPPETEC, ligada à COPPE [Rocha, A. R. C., Travassos, G. H., Souza, G. S., Mafra, S. [?], 'Relatório de Avaliação do Software do TSE'. Fundação COPPETEC, COPPE/UFRJ, agosto de 2002. Consultado em 01 de março de 2004 em: http://www.angelfire.com/journal2/tatawilson/coppe-tse.pdf]. Este relatório aponta a baixa qualidade e imaturidade no desenvolvimento do software eleitoral, que seria o brasileiro de 2002, predizendo que, daquela forma como fora desenvolvido, o comportamento do sistema seria imprevisível. Esta afirmação, anonimamente atribuída à análise que a equipe da COPPETEC teria feito sobre a documentação oficial do sistema brasileiro, foi corroborada por fatos.
Nas eleições de 2002, devido aos inúmeros problemas apresentados no 1º Turno, incluindo um momentâneo mergulho da apuração oficial do candidato Lula em território negativo (menos 41 mil votos), resolvido com o desliga-religa de computadores e explicações do seu presidente na linha 'foi erro de formatação e não se fala mais nisso', o TSE promoveu um reparo de emergência nos programas entre o 1º e o 2º Turnos. Curiosamente, as alterações nas urnas eletrônicas forma introduzidas pela via de duas das fragilidades contra fraudes internas aqui apontadas: a possibilidade de alteração dos dados e programas pela simples inserção de um disquete ou flash-card devidamente preparado, e a possibilidade de controle do arquivo de log para registrar apenas os eventos desejados. Fato que ademais corrobora a plausibilidade da origem autêntica do material aqui analisado (ainda bem que o sistema em questão não era o da Venezuela!).
A primeira, como já explicado. E a segunda (a impressão dos valores das assinaturas dos arquivos da urna), para saber como burlá-la, basta notar a forma como ela é acionada. Se novamente por Alice, pela presença em disquete quando a urna é ligada, de arquivo de programa com um determinado nome, bastará a um eventual fraudador interno reescrever o programa que imprime as assinaturas dos arquivos, fazendo-o imprimir não os valores que possam estar no arquivo de assinaturas da urna, nem os de lá recalculados quando da verificação, nem ambos, apenas os valores esperados por quem esteja 'fiscalizando'.
As conclusões desta análise, no que tange ao arquivo SETUP.BAT supostamente desenvolvido pela Diebold/Procomp para as eleições brasileiras de 2000, são muito semelhantes àquelas dos técnicos e acadêmicos norte-americanos que analisaram software de funcionalidade e origem semelhantes [Rubin, Aviel D., Kohno, T.,Stubblefield, A. e Wallach, D. S., 'Analysis of an Electronic Voting System'. Consultado em 10 de janeiro de 2004 em: http://avirubin.com/vote.pdf], supostamente oriundas das máquinas de votar da Diebold americana.
A arquitetura de segurança do sistema eleitoral informatizado parece ter sido relegada, lá e cá, a segundo plano, tratada antes como opção de projeto da alçada de empresas ou consultorias contratadas para o seu desenvolvimento [Rezende, P. A. D. 'A Lanterna de Diógenes'. Artigo escrito para um seminário técnico que teria ocorrido no Senado Federal, no esteio do escândalo do painel, mas que nunca foi realizado. http://www.cic.unb.br/docentes/pedro/trabs/paisagem.htm], ou a obscuros lobbies legislativos [Brunazo F., A., 'Lei do Voto Eletrônico' revista eletrônica Consultor Jurídico, 17/12/2001. Acessado em http://www.cic.unb.br/docentes/pedro/trabs/e-voto.htm], do que como tema político da mais alta sensibilidade e importância cívica, que precisa seguir seu próprio curso. Cá, com o agravante do mais próximo resgate – o processo de fiscalização eleitoral – vir sendo tratado como atividade lúdica, performance na qual uma cinderela chamada opinião pública dança em fabuloso salão, lotado de belas teses hermenêuticas positivistas, encerado com uma mistura pastosa de fobia e desdém pelo saber técnico como poder difuso. Chamar a si, para delegar a poucos, tamanha responsabilidade pode ser um erro, pois, no poder, aparência de má fé é contagiosa.
Contra este tipo de ameaça aos princípios democráticos, parece que os cidadãos norte-americanos estão mais dispostos a se defenderem do que os nossos compatriotas, ainda embriagados de ingênuo ufanismo por nossa 'conquista tecnológica', ainda sem bem entender quem nela é conquistador e quem é conquistado. Assim nos parece pelas notícias que nos chegam. De lá, sobre a crescente mobilização popular contra o poder excessivo de quem fabrica e/ou opera as novas caixas-pretas da cidadania. De cá, pela forma atabalhoada e canhestra como foi aprovada a última lei eleitoral brasileira no Congresso Nacional, em 1/10/2003 [4, 17]. E como esta lei vem sendo regulamentada e aceita, ademais agora que o grande líder desta luta cívica entre nós se foi, homenageado póstumo desta singela contribuição à causa.
Leonel Brizola deve, porém, ser antes visto como exemplo de brio e digna tenacidade, do que como nosso último bastião de vigilância cívico-democrática, tombado pela inexorabilidade da morte. Morte irônica, já que o velório teve mais eleitores por ele chorando do que sua última eleição os teve nele votando, para senador da República. É a mágica dessas urnas eletrônicas, conquista tecnológica cantada em prosa e verso pela grande mídia, como na capa da revista Veja de 16 de outubro de 2002.
No destaque jornalístico lastreado em deboche e ofensas a esse baluarte da vida pública brasileira, ali execrado em duvidosas companhias, apesar de modelo de brasilidade que a história há de reverenciar, faltou ao grande veículo do absolutismo tecnoneoliberal na mídia explicar algo: como foi tirado de circulação o único politicossauro desenhado com as quatro patas firmes no chão. Os outros, é fácil intuir, teriam tropeçado em suas próprias contas e explicações obscuras, mas e o velho Briza? No texto atrás da capa, apenas a verdade absoluta e meteórica das maravilhosas urnas eletrônicas brasileiras. Subentendida, mas agora distoante das lágrimas do adeus.
Brizola nunca desistiu de lutar pela transparência dessa maravilha. Ele, o então senador Roberto Requião e alguns brancaleones, espicaçados como conspiracionistas retrógrados, lutaram e conseguiram, com a ajuda do fugaz mal estar que o escândalo do painel do senado nos causou, a aprovação da lei 10.408/02, introduzindo meios para recontagem de votos impressos, posteriormente atabalhoada e canhestramente banida. Banida em meio a piruetas semânticas de magistrados potencialmente atingíveis, a achincalhes circulados por essa espécie de mídia, entrelaçadas a cínicas mentiras como as enunciadas do plenário da Câmara dos Deputados, em 1º de outubro de 2003 [Brunazo F., A., 'Lei do Voto Eletrônico', revista eletrônica Consultor Jurídico, 17/12/2001. Acessado em http://www.cic.unb.br/docentes/pedro/trabs/e-voto.htm].
E agora, onze meses depois da grotesca farsa democrática desse banimento, e dois meses de enterrado quem chamou de fóssil político, esta mesma espécie circulante volta à carga. Até em telejornais de campeã audiência, regurgitando diariamente irresponsáveis denúncias vazias de 'monstruosas fraudes', sem nenhum embaraço pela farsa da renúncia de Chávez orquestrada em abril de 2002, ela agora insiste num sagrado direito democrático. Mas não nosso: o de abusados perdedores em país vizinho, inconformados com uma surra diferencial de 17% em referendo presidencial. Qual direito? O de fazerem auditoria do sistema eleitoral eletrônico, através da recontagem dos votos impressos, lá disponíveis. Seria a firmeza das quatro patas brizolistas um ato falho do inconsciente coletivo no artista gráfico da Veja, a denunciar tão deslavada e nauseabunda hipocrisia?
Independente de suas últimas escolhas eleitorais terem sido boas ou más para o mundo, o povo irmão norte-americano ainda tem lições de cidadania a dar, a uma sociedade globalizada pelo cerco cada vez mais ubíquo e sinistro da aliança entre poder econômico e domínio tecnológico. Aliança que coopta o poder político sob o véu de inevitabilidade com que o poder midiático – operado por essa espécie circulante – hipocritamente lhe cobre, enquanto dela se nutre.
Lá, onde leis eleitorais são estaduais, vários estados vêm modificando as suas, de sorte a impor a seus processos eleitorais mecanismos de recontagem por meio de registro material dos votos, no rastro do escândalo dos softwares da Diebold e da última eleição presidencial, sob pressão de grupos de cidadãos organizados contra o risco de fraudes eleitorais. Justamente lá, no tear dessa tessitura de nova ideologia e nova religião, que é o absolutismo tecnoneoliberal. Sua inevitabilidade, caros leitores, é apenas mais um véu sobre a face do destino humano. Pode parecer maravilhoso, especialmente a Narcisos, mas é um véu que um dia cairá, para revelar o próximo.
ATC PhD em Matemática Aplicada pela Universidade de Berkeley, professor de Ciência da Computação da Universidade de Brasília (UnB), coordenador do programa de Extensão Universitária em Criptografia e Segurança Computacional da UnB, representante da sociedade civil no Comitê Gestor da Infra-Estrutura de Chaves Públicas Brasileira. Site: www.cic.unb.br/docentes/pedro/sd.htm