Como nasce uma urna: por trás da máquina, o esforço para essa produção da inteligência humana

Segunda matéria da série destaca o hardware do equipamento, invenção 100% brasileira

TSE

Antes de você digitar o número das candidatas e dos candidatos de sua preferência, clicar na tecla “CONFIRMA” e ouvir aquele barulhinho típico de voto registrado em uma eleição, uma complexa cadeia de produção da Justiça Eleitoral (JE) mobiliza trabalhadoras e trabalhadores responsáveis por fazer o equipamento físico da urna eletrônica chegar, em perfeitas condições de uso e sem violações, a todos os locais de votação do Brasil.

Fabricada e configurada com sofisticados mecanismos de segurança e amplamente testada, essa máquina faz a democracia girar, a partir do esforço de profissionais capacitados e por meio de um processo industrial de união de peças e de conhecimento técnico especializado.

O resultado dessa criação da inteligência humana é o hardware da urna eletrônica, cujo sistema de produção e funcionamento você conhecerá por um novo ângulo nesta reportagem da série “Como nasce uma urna”, na voz de pessoas que, atuando ontem ou hoje no Tribunal Superior Eleitoral (TSE), dão depoimentos testemunhais. A longa jornada para tornar realidade a urna – invenção tecnológica 100% brasileira – passa por áreas como concepção, licitação, fabricação, inovações, testes, peças, certificação, segurança e confiabilidade. Confira!

A origem

A concepção da urna eletrônica, que utiliza tecnologia de ponta, contou com a participação de profissionais do TSE, representantes dos tribunais regionais eleitorais (TREs) e integrantes de órgãos como Instituto Nacional de Pesquisas Espaciais (Inpe), Instituto de Estudos Avançados da Aeronáutica, Telebras, Exército e Marinha. O equipamento foi criado no período de 1994 a 1996. O voto informatizado surgiu para agregar mais qualidade, agilidade, transparência, segurança e robustez ao processo eleitoral, permitindo um efetivo combate às fraudes.

Um dos envolvidos nesse processo inicial foi o servidor do Inpe Antonio Esio Marcondes Salgado, o Toné. Sua participação no projeto da urna começou porque ele e alguns colegas já faziam, desde 1993, trabalhos no TSE de apoio à informatização da JE. Havia, no começo dos anos 1990, dificuldade na contagem dos votos nas eleições. Em 1995, o ministro Carlos Velloso propôs a criação de um equipamento para fazer a coleta dos votos das eleitoras e dos eleitores e chamou especialistas em tecnologia de várias entidades.

“Como eu e mais alguns colegas do Inpe estávamos já trabalhando juntos no TSE, o Inpe também participou [do desenvolvimento da urna]. Havia uma questão crítica no final dos anos 1980, começo dos anos 1990: a dificuldade de controlar a contagem dos votos. Nessa totalização, a gente viu alguns escândalos nos estados, e a ideia do ministro Velloso era dar um jeito de fazer a coleta dos votos de maneira correta, impedindo qualquer tipo de erro, e depois poder contar esses votos de maneira fiel. Ele idealizou que a gente tivesse um equipamento para isso, e foi aí que surgiu o coletor eletrônico de votos, o CEV, que acabou se transformando na urna eletrônica”, afirma Toné. 

Confira a evolução dos recursos tecnológicos.

A cada eleição, a urna e o sistema eletrônico de votação recebem melhorias, em um processo dinâmico e contínuo de evolução e inovações. Embora de aparência simples, quase inalterada desde a criação, a urna eletrônica esconde sistemas complexos que evoluem e são atualizados a cada nova versão. Além disso, conta com um hardware criptográfico exclusivo, que somente permite a execução de softwares oficiais e desenvolvidos no TSE, incluindo o sistema operacional.

Cada urna eletrônica dispõe de um hardware criptográfico que lhe confere uma identidade individual, assegurando que as informações dela advindas sejam autênticas e com garantia de origem.

Segundo Toné, não existe uma maneira de corromper, ou forçar uma urna eletrônica, ou qualquer coisa do tipo: ela registra o que o eleitor quer. Quanto ao hardware, ele destaca alguns elementos positivos, como a inclinação da urna em 45 graus para o eleitor ter a visão mais ajustada da tela, sem reflexo, a fim de não precisar abaixar ou levantar para ver nada.

Já quanto à bateria da urna, ele conta que, na primeira versão, já havia a exigência de uma autonomia de ao menos mais de 10 horas, “até que se chegou à conclusão de que uma melhor bateria seria uma equivalente a de um nobreak de sete ou nove ampere-hora, 12 volts, para alimentar a urna durante o período de 10 a 14 horas. E deu certo. Houve um esforço também muito grande para que os componentes da urna não gastassem tanta energia”, lembra.

Sobre a memória da urna eletrônica, ele ressalta uma grande evolução. Além da memória interna, há aquela em que são registrados os dados a serem utilizados no aparelho, bem como os votos registrados pelo eleitor. “A gente usava um tipo de cartuchinho, o flashcard, que era igual ao de máquina fotográfica à época. E hoje existe um modelo de memória que é usado para inserir os dados e coletar os dados da urna, como se fosse um pendrive customizado para a Justiça Eleitoral. Isso foi evoluindo ao longo do tempo, até chegar a uma memória atual de mais alta densidade”, explica Toné.

O servidor do Inpe ainda relata que a primeira edição da urna eletrônica contava com um teclado de membrana, que não proporcionava sensibilidade tátil para o eleitor. “Então, a pessoa apertava, de uma vez, a tecla para poder senti-la e, às vezes, a urna até caía da mesa”, recorda. Assim, a segunda versão da urna passou a contar com teclas muito parecidas com as de hoje, com retorno tátil: você sente que a tecla está sendo apertada e que faz um “clique”. “O teclado da urna, para não ser algo diferente do comum, usado em outros instrumentos, copiou o do telefone. Desde sempre, o teclado de telefone na tecla 5 tem um ressalto, justamente para indicar que era o número 5, para a pessoa que tem deficiência visual. Então, o cego se orienta pela tecla 5 e consegue identificar todo o teclado a partir dela”, conclui.

Licitação

As urnas são fabricadas por meio de licitação pública realizada pelo TSE. Conforme o contrato em vigor, além da produção das urnas, a empresa vencedora, Positivo Tecnologia, é responsável por vários produtos e serviços. Eles englobam: fornecimento de peças de reposição da UE2022 (versão mais recente); desenvolvimento dos modelos dos equipamentos e do software básico; garantia das urnas fabricadas; além de mídias de aplicação e de resultado. Envolvem também elaboração do projeto para a embalagem das máquinas, documentos técnicos de especificação, bem como treinamento, por meio de kits de desenvolvimento de firmwares.

Funciona assim: durante o processo licitatório, a Comissão Permanente de Licitação do TSE recebe da empresa Positivo três envelopes exigidos no edital – o primeiro contendo os documentos de habilitação; o segundo uma proposta técnica acompanhada de uma unidade do Modelo de Engenharia (ME) da UE2022; e o terceiro a proposta de preços.

Saiba como funciona a licitação e as exigências feitas às empresas.

Na avaliação da proposta técnica e dos componentes do modelo de engenharia do equipamento, o protótipo da urna desenvolvido pela Positivo foi submetido a mais de 100 testes, como autonomia da bateria, qualidade das telas de LCD, segurança criptográfica, eficiência do leitor biométrico e do módulo mesário, entre outros, estipulados no edital. A aprovação nos testes é prerrequisito para a análise da proposta de preços, terceira e última etapa do processo.

A servidora Mara Nubia Dellinghausen trabalha no TSE há quase 28 anos. Atualmente, está lotada na Coordenadoria de Tecnologia Eleitoral, responsável pelo hardware e software eleitoral da urna eletrônica, desde a sua concepção e a sua fabricação até o seu descarte ambientalmente correto. Ela ressalta que faz parte de uma equipe de servidoras e servidores competentes e com um comprometimento intenso.

“Sinto-me orgulhosa em todos os momentos. Isso torna as atividades mais prazerosas, mas não afasta os desafios cotidianos. Afinal, não é fácil servir ao eleitorado brasileiro fazendo uma urna eletrônica que abarque toda a tecnologia disponível, mantendo a premissa de segurança do voto e os demais requisitos legais, e que não ultrapasse os limites orçamentários”, destaca a servidora.

Segundo ela, o setor ainda tem de calcular, adquirir e acompanhar a entrega de todos os suprimentos relacionados à urna necessários para a realização de uma eleição, como bobinas de papel, mídias, baterias, peças de reposição. “Manter o equipamento funcional entre um pleito e outro é desafio constante, que foi resolvido com o que chamamos de manutenção preventiva: a exercitação de todos os componentes da urna a cada quatro meses”, destaca.

Parque renovado

Com a licitação vigente, o TSE executa um processo de modernização do parque de urnas da JE e de complementação da quantidade do equipamento destinada a suprir o aumento do eleitorado. Dentro desse projeto de renovação, a Corte já enviou aos TREs novos aparelhos para a realização das Eleições Municipais 2024. As urnas eletrônicas UE2022 substituirão as dos modelos 2009, 2010 e 2011, que estão no fim da vida útil de 10 anos – ou seis eleições consecutivas. Após esse período, os equipamentos antigos são ecologicamente descartados.

Moderno, ágil, seguro e ergonômico, o modelo 2022 conta com as mesmas inovações da urna eletrônica 2020. Além de processador mais potente, que o torna 18 vezes mais rápido que o modelo de 2015, os novos equipamentos contêm mecanismo de criptografia aprimorado, com o uso do algoritmo criptográfico do tipo E521 (ou EdDSA), considerado um dos mais apurados do mundo.

Saiba mais: o que é hardware?

• Hardware é todo componente físico – interno ou externo – de um computador ou celular, por exemplo.
• A parte física desses equipamentos é que os sustenta e determina do que um dispositivo é capaz e como se pode usá-lo.
• Na urna eletrônica, as suas teclas, a tela e o coletor biométrico são exemplos de hardware.
• O hardware da urna, por exemplo, tem chaves criptográficas protegidas em um circuito eletrônico que tanto permitem que a urna funcione apenas com sistemas oficiais da JE quanto conferem uma assinatura única para cada uma das mais de meio milhão de urnas do país.
• Um Boletim de Urna somente pode ter sido assinado por essa determinada urna, conferindo, além da autenticidade, a origem dos dados gerados.

Projeto da urna

O projeto da urna eletrônica é definido pelo TSE, que detalha sua arquitetura. Uma equipe de servidores do Tribunal estabelece todos os requisitos necessários de segurança e de acessibilidade. Também são fixadas todas as regras para garantir a produção segura dos equipamentos, incluindo as auditorias feitas pelo TSE durante a produção.

Depois de contratrada a empresa, o TSE acompanha todo o desenvolvimento do projeto eletrônico da urna. Para isso, a Corte conta com o auxílio do Centro de Tecnologia da Informação (CTI) Renato Archer, vinculado ao Ministério da Ciência, Tecnologia e Inovação (MCTI).

Quando o projeto é finalizado, são construídas algumas unidades chamadas de “modelo de produção”, sendo a referência para todas as urnas produzidas de uma determinada versão.

Urnas na fábrica: veja reportagem no canal do TSE no YouTube.

Fabricação supervisionada

Todo o processo de produção na sala segura, na integração e na montagem final é acompanhado de perto por uma equipe de servidores liderada pela Coordenadoria de Tecnologia Eleitoral (Cotel) do TSE.

Série Como Nasce uma urna – Produção de urnas eletrônicas – 14.05.2024

Série Como Nasce uma urna – Produção de urnas eletrônicas, Ilhéus (BA) – 14.05.2024

Aprovadas nos testes funcionais e finais, as urnas são embaladas e identificadas conforme o lote de produção. Depois disso, ainda passam por uma auditoria realizada por servidoras e servidores do TSE na unidade fabril da empresa Positivo, em Ilhéus, na Bahia.

O grupo supervisiona os testes e todas as demais exigências do edital de licitação, para garantir que os equipamentos serão entregues aos TREs em perfeito estado de funcionamento. Assim que são qualificadas nos testes, as urnas recebem as tampas externas, sendo embaladas e identificadas conforme o lote de produção. Depois disso, ainda passam por uma auditoria realizada por servidores do Tribunal no local de fabricação.

Abrir mão de estar com a família e estar longe do conforto de casa e das pessoas que amamos durante muitas e muitas semanas é o grande ônus do trabalho executado pelo servidor do TSE Ivanildo Soares Pereira, que, pela 11ª vez, participou de todo o processo de fabricação das urnas eletrônicas.

Contudo, segundo ele, estar à frente de uma equipe tão comprometida com todas as etapas desse projeto árduo e que exige muito rigor técnico e ético é bastante gratificante, pois foi graças à dedicação de toda a equipe presente na fábrica desde o primeiro até o último dia da produção que, durante alguns meses, as servidoras e os servidores do TSE chegaram a trabalhar três turnos distribuídos nas 24 horas do dia.

“Posso afirmar, como chefe da Seção de Tecnologia de Urnas Eletrônicas do TSE, que nossa missão foi concluída com sucesso. Não foi fácil, mas o resultado final nos deu bastante orgulho, pois sabemos da importância que as urnas eletrônicas têm para a democracia brasileira”, enfatiza Pereira.

Hardware de segurança 

Uma arquitetura de hardware específica garante que, no dia das eleições, as urnas eletrônicas usem o mesmo sistema de software. Em evento posterior à Cerimônia de Assinatura Digital e Lacração, o software único é carregado nas urnas. A partir daí, toda vez que a urna for ligada, um conjunto de microprocessadores denominado “hardware de segurança” verificará se o sistema executado corresponde ao que foi assinado e lacrado na cerimônia pública.

Isso é possível graças à chamada “cadeia de confiança baseada em hardware”. Em resumo, o hardware de segurança – resinado na placa-mãe da urna eletrônica durante a fabricação – verifica a assinatura digital de todos os componentes de software, que, gradativamente, vão sendo carregados em memória. Dessa forma, qualquer tentativa de execução nas urnas de um sistema estranho ao desenvolvido pela JE é inviável.

Confira vídeo sobre o tema no canal do TSE no YouTube.

Caso o hardware de segurança não consiga verificar a assinatura de algum dos elementos de software carregados em memória, ele interromperá, automaticamente, o fornecimento de energia elétrica, fazendo com que a urna desligue.

O documento Premissas estruturantes do processo eleitoral informatizado brasileiro reúne os cinco princípios que garantem a proteção, a transparência e a inviolabilidade do sistema eletrônico de votação brasileiro, entre eles o do “hardware de segurança”. Essa sistemática baliza a atuação de excelência da Justiça Eleitoral na missão de assegurar a democracia no Brasil.

A urna eletrônica foi criada para garantir a segurança do voto, bem como facilitar a coleta dos votos e garantir a votação do eleitor, explica o colaborador do TSE Saulo Alessandre de Lima. Segundo ele, esse pensamento de segurança e facilidade continuou e continua sempre no foco da Justiça Eleitoral. Assim, o hardware de segurança surgiu a partir do processo de melhoria da segurança do voto.

“Nós sempre fomos questionados – e também nos questionamos – sobre o que fazer para garantir a segurança [da urna] em diversos pontos, até concluirmos que a segurança do voto exigia algo mais: garantir que somente uma urna da Justiça Eleitoral seria capaz de rodar os programas feitos exclusivamente pela Justiça Eleitoral após ela ser recebida no seu destino [uma zona eleitoral, um TRE ou o próprio TSE]. E, assim, surgiu a ideia do hardware de segurança, juntamente com o processo de certificação”, conta Lima, destacando esses mecanismos que tornam a urna diferente de um computador normal.

Certificação

As novas urnas UE2022 também têm perímetro criptográfico certificado pela Infraestrutura de Chaves Públicas Brasileira (ICP Brasil). Isso significa que, ao avaliar o programa embarcado e o código-fonte, um laboratório certificado pelo Instituto Nacional de Pesos e Medidas (Inmetro) atestou o pleno atendimento aos requisitos estabelecidos pelo Instituto Nacional de Tecnologia da Informação (ITI), que define as regras da ICP-Brasil. Os equipamentos já saem da fábrica protegidos por esse novo equipamento certificado.

Além disso, a urna eletrônica funciona de forma isolada, ou seja, não há nenhum mecanismo que possibilite sua conexão a redes de computadores, como a internet. A segurança e o isolamento das urnas vêm desde o seu processo de fabricação. O único cabo que ela tem é o de energia e, se for necessário, ela poderá ficar ligada somente na bateria por mais de dez horas, por exemplo, caso falte luz. 

Ao falar sobre sua contribuição para o aprimoramento do sistema eletrônico de votação, o doutor em ciência da computação Roberto Gallo – cuja tese de doutorado foi justamente sobre a urna eletrônica – afirma que foi uma oportunidade incrível. “Conseguimos colocar o que havia de mais avançado em segurança em um sistema que é um instrumento importantíssimo para a nossa democracia e usado por quase todos os brasileiros”, destaca.

Ele conta que, à época, atuou no TSE como pesquisador em criptografia e segurança cibernética e ressalta que tem muito orgulho do trabalho realizado com a equipe do Tribunal, quando pôde “testemunhar o compromisso sério com a melhoria contínua do nosso sistema de votação”.

O que compõe a urna

De forma ilustrativa, pode-se dizer que a urna eletrônica é um microcomputador de uso específico para as eleições (funciona somente na hora e na data de cada processo eleitoral), com as seguintes características: resistente, de pequenas dimensões, leve (apenas oito quilos), com autonomia de energia e diversos recursos de segurança.

Dois terminais compõem a urna eletrônica: o terminal do mesário, onde o leitor é identificado e autorizado a votar; e o terminal do eleitor, onde se registra o voto nos candidatos. Os programas executados pela urna eletrônica são todos desenvolvidos pela equipe do TSE.

A urna dispõe também de componentes importantes:

• Hardware criptográfico – Dispositivo que confere identidade individual às máquinas, assegurando a integridade e a origem de seus dados, além de garantir que a urna execute apenas sistemas oficiais e assinados pela JE.
• Mídias de votação – Durante a votação, a urna grava os dados em cartões de memória flash (um interno e outro externo), o que garante redundância, caso um dos cartões sofra algum dano. 
• Mídia de resultado – Espécie de pendrive de uso exclusivo para gravação e transmissão dos dados de resultado da votação, projetado para se conectar à urna pela entrada USB.
• Impressora térmica – Para a emissão da zerézima e do Boletim de Urna.
• Alimentação – Rede elétrica (bivolt) e bateria de 12V.
• Bateria interna – A bateria tem duração de até 10 horas e é acionada quando há falta de energia elétrica no local de votação.
• Bateria externa – Se faltar energia elétrica na seção e a carga da bateria interna se esgotar, há essa terceira opção de alimentação, com duração semelhante à da bateria interna.
• Áudio para deficientes visuais – A urna brasileira dispõe de mecanismos para proporcionar total acessibilidade. A saída de áudio é compatível com fones de ouvido comuns, permitindo que o eleitor com deficiência visual ouça o número digitado e o nome do candidato. 
• Sistema braile e identificação da tecla 5 – Mais um mecanismo de acessibilidade. O teclado utiliza o sistema braile e a identificação da tecla 5, permitindo a localização das demais teclas.
• Terminal do mesário – Tem a função de habilitar os eleitores para a votação e de realizar o acompanhamento e controle do processo de votação. Terminada a votação, o mesário digita o código de encerramento para imprimir os BUs.
• Lacres – Quando a urna está pronta para a votação, ela recebe lacres de segurança em material autoadesivo fabricados pela Casa da Moeda, que evidenciam qualquer tentativa de violação. Os lacres são colados em vários pontos da máquina: tampa do compartimento da mídia de votação; tampa do compartimento da mídia de resultado; tampa do compartimento do conector USB; teclado alfanumérico; gabinete do terminal do eleitor; e compartimento do conector do terminal do mesário.

Parte importante da linha de frente do projeto da urna, Marcos Pimentel, do CTI, afirma que o trabalho envolve muita responsabilidade e emoção. Ele explica que o CTI avalia se a urna tem qualidade – ou seja, se atende a todos os requisitos do edital do TSE – e confiabilidade – isto é, por quanto tempo continua servindo com aptidão sem perder nenhuma das suas funções.

De acordo com ele, o Tribunal tem um calendário eleitoral muito rígido. “Então, nossos relatórios com resultados dos ensaios, nossos pareceres sobre como está a urna têm que ser entregues em datas predeterminadas. Sempre que algum problema é detectado durante o ensaio, é aberta nova frente de trabalho para resolvê-lo, e correndo contra o tempo”, diz.

Pimentel destaca que a urna eletrônica é concebida para durar 10 anos, enquanto um produto comercial dura no máximo três. Isso significa que a escolha dos componentes é muito criteriosa. “Os ensaios são altamente rigorosos para atender à especificação da licitação do TSE e entregar à sociedade um produto extremamente confiável. Portanto, o projeto assegura que o recurso público investido nas urnas eletrônicas é totalmente consciente e responsável, para que o produto final seja de altíssima qualidade e confiabilidade”, reforça.

Ele ainda conta que a equipe do CTI simula, em laboratório, condições extremas de operação da urna, visando detectar, antes da eleição, eventual problema, para reduzir ao máximo o risco de impactos negativos. “Ressalto também que a equipe do TSE é altamente capacitada. Aprendemos e interagimos muito com eles. O CTI tem por missão atender demandas de políticas públicas. O sistema eletrônico de votação é uma política pública extremamente relevante, e o CTI se sente honrado de poder participar desse trabalho”, finaliza.