O ponto cego da auditoria — por que o papel conferido pelo eleitor fecha o que o software não fecha

01

A hipótese que as checagens internas não fecham

Não é uma alegação de que isto ocorreu. É uma classe de risco reconhecida — e o teste de um bom sistema é o que acontece se ela ocorrer.

1

Um insider compromete a cadeia de compilação e assinatura do software.

2

O código adulterado altera a contagem no momento do registro do voto — desde o primeiro eleitor.

3

O binário é aceito como legítimo, por comprometimento da chave ou por inserção antes da assinatura.

4

O código auditado se comporta normalmente no teste público, mas o binário em produção age diferente.

5

Como a alteração está na origem do registro, o BU impresso, a transmissão e a totalização ficam coerentes entre si. Tudo confere internamente — mas parte de uma contagem já alterada.

A consequência exata Comparar apenas o BU com a totalização não revela a divergência: ambos derivam da mesma fonte. A única checagem capaz de distinguir os dois cenários é um registro gerado fora dessa cadeia de software — conferido pelo eleitor, no papel.

02

Simulador: veja o ponto cego funcionando

Audite um código-fonte limpo. Escolha se a cadeia de build está íntegra ou comprometida. Rode a eleição. Observe todas as checagens internas baterem — e só o papel expor a diferença.

▸ Modelo interativo

Pseudocódigo ilustrativo — não é o código real da urna

1Auditar fonte

2Escolher cenário

3Rodar eleição

4Conferir papel

Código-fonte submetido à auditoria pública

// função de registro — inspecionada por partidos, OAB, MP função registrarVoto(voto, apuracao): apuracao[voto.candidato] += 1 // um voto, um incremento retornar apuracao

✓ Auditoria do código-fonte: lógica correta, sem desvios. Assinatura e hash conferem.

✓Auditoria confirma o resultado eletrônico

O total em papel bate com o eletrônico. A evidência física independente reproduz o resultado anunciado. Não há contradição a resolver: o sistema demonstrou sua correção sem exigir que ninguém confiasse no software.

!Divergência detectada entre papel e eletrônico

O eletrônico registrou A 540 · B 460 (A vence). O papel conferido pelo eleitor registrou A 480 · B 520 (B vence). Todas as checagens internas haviam passado — mas o papel, por ser independente, expôs o desvio de 60 votos que inverteu o vencedor.

É aqui que o sistema se salva. Numa auditoria de risco limitado, essa divergência dispara a ampliação da amostra e, se confirmada, a recontagem integral do papel — e o resultado verdadeiro é recuperado. Sem o papel, essa mesma eleição seria certificada com o vencedor errado, e nenhuma checagem interna acusaria nada.

A tabela é o argumento inteiro: as duas primeiras linhas passam nos dois cenários — logo, não conseguem separá-los. Só a terceira linha muda de comportamento. Ela é a única que carrega informação nova.

03

O que a urna já faz bem — e o que essas camadas não fecham sozinhas

Credibilidade exige reconhecer o que existe. O sistema brasileiro já tem defesas reais. O ponto não é que elas sejam fracas — é que nenhuma delas, isolada ou somada, produz independência de software.

Código-fonte aberto à inspeção

Partidos, OAB e Ministério Público podem examinar o código nos meses que antecedem o pleito.

O que não fechaAuditar o fonte não garante que o binário assinado e executado seja o mesmo. É o gap fonte→produção.

Teste Público de Segurança (TPS)

Investigadores tentam explorar o sistema em ambiente controlado antes da eleição.

O que não fechaCódigo malicioso pode detectar condição de teste e se comportar de forma diferente em produção.

Assinatura digital e hash

Garante integridade contra alteração após a assinatura.

O que não fechaNão protege contra inserção antes da assinatura, nem contra comprometimento da própria chave.

Votação paralela

No dia da eleição, urnas sorteadas são votadas publicamente com votos conhecidos e o resultado é conferido.

O que não fechaÉ uma amostra pequena, em condições observáveis; malware sofisticado pode evitar o desvio quando percebe que está sob teste.

Registro Digital do Voto (RDV)

Permite reconferir a apuração de cada urna a partir do próprio registro eletrônico.

O que não fechaO RDV nasce dentro da mesma cadeia de software. Se a origem foi adulterada, o RDV herda a adulteração.

A peça que falta

Um registro fora da cadeia de software, conferido pelo eleitor, contra o qual se possa auditar o eletrônico por amostragem estatística.

O que ela fechaExatamente a linha que muda de comportamento na tabela acima. Fecha o gap fonte→produção de forma independente da confiança.

04

A correção: dois componentes, não um

Papel sozinho não basta — pilha de papel sem método é só custo. O valor vem do par: registro verificável + auditoria estatística rigorosa.

Componente A

Registro impresso conferido pelo eleitor

O eleitor vê e confere um registro físico da própria escolha antes de ele ser depositado. O sigilo é preservado por desenho:

Sem contato manual — cai automaticamente em urna indevassável.
Serve de trilha de auditoria, não de cédula recontada à mão a cada eleição.
É independente da lógica de contagem do software — essa é toda a sua força.

Componente B

Auditoria de risco limitado (RLA)

Método estatístico que confere uma amostra do papel para dar confiança definida (ex.: 99%) de que o vencedor anunciado realmente venceu.

Se a amostra é consistente, encerra barato e rápido.
Se aponta divergência, amplia a amostra — até recontagem integral se necessário.
Mantém o eletrônico como contagem primária; o papel só arbitra quando a estatística exige.

Não é ficção legislativa O desenho que preserva sigilo já aparece no debate do novo Código Eleitoral (PLP 112/2021): registros impressos conferidos pelo eleitor e depositados, de forma automática e sem contato manual, em urnas indevassáveis. O papel deste material é dar a parlamentares o argumento técnico — não inventar um caminho novo. (Verifique o estágio atual da tramitação.)

05

As objeções — enfrentadas de frente

Um material honesto antecipa as críticas mais fortes. Estas são reais e merecem resposta técnica, não retórica.

P."Imprimir o voto reabre a fraude manual e a violação do sigilo."

RespostaSó se mal implementado. O desenho correto tira o papel das mãos do eleitor (queda automática, sem manuseio) e o mantém como trilha auditada por amostra, não como cédula contada a olho. O eletrônico segue sendo a contagem principal; o papel não o substitui.

P."Prevalência do impresso sobre o eletrônico é substituir a urna."

RespostaPrevalência não significa recontar tudo à mão sempre. Significa que, quando a auditoria estatística detecta divergência material, a evidência física independente arbitra. Sem esse critério de desempate, a divergência simplesmente não teria como ser resolvida.

P."A urna nunca teve fraude comprovada — para que mudar?"

RespostaAusência de fraude comprovada é ótimo — mas é diferente de impossibilidade demonstrável. A independência de software transforma "confie que está tudo certo" em "verifique que está tudo certo". O ganho é para a legitimidade do resultado, inclusive do vencedor.

P."É caro e logisticamente inviável."

RespostaCusto é real e deve ser dimensionado com franqueza. Mas a RLA foi desenhada justamente para ser barata: audita-se uma amostra, não o universo. O custo relevante é o de imprimir e custodiar — não o de recontar tudo.

Resumo executivo · para levar ao Congresso

O pedido, em uma página

Não se pede desconfiar da urna. Pede-se elevá-la ao padrão que a ciência de segurança eleitoral já define como estado da arte: um resultado que se prova por evidência física independente, sem depender da palavra de quem opera o sistema.

01Registro impresso conferido pelo eleitor, depositado sem contato manual em urna indevassável — sigilo preservado por desenho.

02Auditoria de risco limitado como procedimento oficial de conferência por amostragem, com critérios estatísticos públicos.

03Eletrônico permanece como contagem primária; o papel arbitra apenas quando a estatística aponta divergência material.

04Aproveitar o veículo já em tramitação (novo Código Eleitoral) em vez de reabrir a discussão do zero.