Objetivo foi verificar se foram realizados os aprimoramentos necessários para reforçar a confiabilidade do sistema eletrônico de votação
Os investigadores responsáveis pelos cinco planos de ataque considerados bem-sucedidos no último TPS 2021, retornaram ao Tribunal para repetir, em uma versão ajustada do sistema, os testes que identificaram vulnerabilidades em novembro do ano passado. O Teste de Confirmação, que começou na última quarta-feira (11), está previsto no artigo 37 do Edital do TPS.
Ao final do teste, sem contestação à excelência técnica das equipes, nenhum dos grupos obteve sucesso que comprometesse a violação da integridade ou o sigilo dos votos em uma eleição, principal objetivo do TPS. A partir de agora, o TSE trabalhará para implementar as soluções a tempo das Eleições 2022, e discutirá internamente outros aprimoramentos que poderão contribuir para a segurança das eleições.
A atual edição contou com a participação de 26 investigadores, entre eles duas mulheres. Reunir especialistas em Tecnologia e Segurança da Informação para executar planos de ataque aos softwares e hardwares da urna é o reconhecimento público da importância da participação popular no processo eleitoral do país.
Evento permanente do calendário de preparação de cada eleição e um dos principais marcos do processo de desenvolvimento dos sistemas eleitorais, o Teste ocorre, preferencialmente, no ano que antecede o pleito, na sede do TSE, em Brasília. Ao longo dos anos, os sistemas são aprimorados, dando ainda mais segurança e robustez ao processo eleitoral brasileiro. Essa edição do TPS foi a maior já realizada, com número recorde de inscritos e mais tempo para execução dos planos para verificação dos códigos-fonte da urna eletrônica.
Planos e soluções
Confira abaixo um resumo dos cinco planos que integraram o Teste de Confirmação, assim como a solução proposta pela Comissão Avaliadora do TSE:
Verificação do Comportamento do Parâmetro Urna: Mcriptografar
Investigador individual: André Luiz de Matos (Lagoa Santa-MG)
Plano: o primeiro achado se refere à possibilidade de gerar Boletim de Urna (BU) não criptografado. Isso não traz consequência para a eleição, uma vez que o BU é disponibilizado às 17h, ou seja, ao fim da votação.
Por padrão, todos os BUs são gerados de forma criptografada. No entanto, há um parâmetro na urna que permite a geração de BU sem criptografia exclusivamente para eleições comunitárias. Dessa forma, as entidades que solicitarem o empréstimo das urnas podem conduzir a própria totalização da eleição. Foi nesse ponto que o grupo concentrou o ataque.
Solução: o sistema foi ajustado para não receber BU não cifrado. Assim, quando um boletim chega, o sistema verifica se ele está cifrado. Se estiver, continua o processamento normal. Se não, o sistema o rejeita automaticamente.
Keylogger Não Intrusivo
Equipe: Marcos Roberto dos Santos, Adroaldo Leão Souto Júnior, Gabriel Sordi Damo, Juliano Ribeiro Poli e Vinícius Borges Fortes (Carazinho-RS)
Plano: trata da possibilidade de substituir o teclado da urna por um novo. Essa estratégia consistiu em colocar um invólucro (confeccionado por impressora 3D) sobre o teclado da urna. Mediante sensores, esse equipamento captaria a digitação do voto e encaminharia as informações, por meio de uma rede wi-fi, para um banco de dados em tempo real.
Solução: possibilidade de diminuir o tamanho da cabina de votação e inclusão de procedimentos de inspeção do ambiente da urna pelo mesário periodicamente.
Extração de Dados e Configurações do Kit JE Connect
Equipe: Herrmann Wanner, Ivo de Carvalho Peixinho e Galileo Batista de Sousa (Brasília-DF)
Plano: está relacionado ao JE Connect (JEC), sistema de transmissão de dados que não está ligado diretamente à urna eletrônica. A equipe, usando tecnologia reversa, burlou alguns controles do aplicativo. Mas isso não resultou em quebra de sigilo ou alteração de destinação do voto.
Soluções: sobre os achados relacionados à obtenção do acesso às partições criptografadas e certificados digitais, serão retiradas as mensagens que indicam o andamento da inicialização do sistema. Importante ressaltar que as camadas de segurança se sobrepõem de forma a evitar que qualquer atacante, mesmo contaminando um Kit JEC, tenha acesso à rede da Justiça Eleitoral sem ser detectado e bloqueado de forma automatizada.
Segurança do JE-Connect e do Firefox
Investigador individual: Felipe de Lima e Lima (Rio de Janeiro-RJ)
Plano: também relacionado ao JE Connect, especificamente sobre o uso de teclas de atalho na interface do JEC e a conexão à rede da Justiça Eleitoral.
Soluções: serão feitos mapeamentos de teclas e bloqueio de toda a interface, de forma a não aceitar combinação de teclas não padronizadas, e atualização da versão do navegador utilizado pelo JEC. Também serão retiradas as mensagens que indicam o andamento da inicialização do sistema, de forma a impedir acesso a partições criptografadas e certificados digitais.
Para as ações relacionadas à conexão à rede da Justiça Eleitoral, propõe-se a criação de dois perímetros de segurança fora do JEC (realizado pela infraestrutura do Tribunal) para detectar a tentativa de conexão de um JEC adulterado.
Violar o Sigilo do Voto
Equipe: Ian Martinez Zimmermann e Carlos Alberto da Silva (Campo Grande-MS)
Plano: esse achado está ligado à saída do fone de ouvido da urna, que fica na parte traseira do equipamento. Um investigador conectou um transmissor Bluetooth que transmitia o áudio com o voto do eleitor a um mecanismo externo. O áudio, no entanto, é habilitado somente para eleitores com deficiência visual. Ainda assim, esse ataque é de fácil identificação, uma vez que a parte de trás da urna fica visível a todos.
Solução: inclusão de procedimentos de inspeção periódica do ambiente da urna pelo mesário. Destacam-se, ainda, dois pontos: ataque semelhante já foi feito em outra edição do TPS e o conector e o fio ficam à mostra na face traseira da urna. Ressalta-se, por fim, que hoje já é apresentada mensagem na tela da urna informando para o eleitor que o áudio está ativado, o que permite ao eleitor verificar se há algo estranho caso não tenha solicitado a ativação desse recurso.
Relatório da Comissão Avaliadora
No fim do mês, a Comissão Avaliadora, que acompanha o trabalho do TPS, vai entregar um relatório sobre a etapa do Teste de Confirmação, realizada durante três dias.
O colegiado é composto por 11 membros: Sandro Nunes Vieira, juiz auxiliar da Presidência (TSE); Patricia Sumie Hayakawa (MPF); Robson Paniago de Miranda (Congresso Nacional); Rodrigo Lemgruber (OAB); perito criminal Thiago de Sá Cavalcanti (PF); auditor André Luiz Furtado Pacheco (TCU); Rodrigo de Souza Borges (CONFEA); professor doutor Rafael Timóteo de Sousa Júnior (SBC); professor doutor Mamede Lima-Marques (Comunidade Acadêmica); doutor Osvaldo Catsumi Imamura (Comunidade Acadêmica); e professor doutor Jamil Salem Barbar (Comunidade Acadêmica).
Confira mais informações no site do evento.
