Nota do autor: Em nenhum momento durante esse artigo pende para um lado ou para outro, justamente por isso ele saiu mais de 1 ano depois do período de testes e do período eleitoral. Além disso, este artigo está redigido com base no termo de confidencialidade assinado por todos os participantes.
Tudo tem um começo.
Bem, essa jornada começou em 06 de Setembro de 2021 quando eu recebi um e-mail da newsletter da The Hack falando que as inscrições para os testes de segurança estavam abertas – como assim você não conhece a The Hack? Clica aqui e se inscreve -, li a matéria e por um momento, por mais que eu tenha achado interessante, acabei não ligando muito.
Entro algumas horas depois no LinkedIn e vejo outra fonte falando sobre o mesmo assunto, automaticamente minha mente pensa:
“De novo isso aqui bicho? Quer saber de uma coisa? Eu vou me inscrever nesse negócio e ver o que sai.”
Li o que precisava e mandei todos os documentos, ironicamente fiz isso em uma manhã de 7 de Setembro. Depois disso só me restava a paciência de esperar o resultado da inscrição. Admito que por um momento eu não tinha tanta fé, ora, eu só tinha o meu técnico em informática e ainda estava no começo da graduação, impossível me chamarem.
Li o que precisava e mandei todos os documentos, ironicamente fiz isso em uma manhã de 7 de Setembro. Depois disso só me restava a paciência de esperar o resultado da inscrição. Admito que por um momento eu não tinha tanta fé, ora, eu só tinha o meu técnico em informática e ainda estava no começo da graduação, impossível me chamarem.
Bem… e saiu o resultado, e meu nome estava na lista dos selecionados. Eu já tinha ouvido a respeito das façanhas que algumas pessoas fizeram nos testes das urnas, mas nem nos meus melhores sonhos eu imaginei ser um dos que faziam os testes.
Mas que diabos significa TPS?
Antes da gente continuar a gente precisa explicar algumas coisas. Não, TPS não é uma disciplina da faculdade.
Foi criado com a proposta de melhorar o processo eletrônico de votação, o Teste Público de Segurança (TPS) é um evento de caráter permanente no calendário da Justiça Eleitoral.
É realizado na maioria das vezes preferencialmente 1 ano antes das eleições, traz a participação e colaboração de especialistas, sociedade civil e universidades na tentativa de encontrar problemas ou fragilidades.
Diego Aranha e as urnas.
Antes de realmente os testes acontecerem eu pedi algumas orientações por e-mail ao Diego Aranha, que prontamente me deu algumas ideias e conselhos.
Mas quem é Diego Aranha?
Aranha é Bacharel em Ciência da Computação pela Universidade de Brasília, Mestre e Doutor em Ciência da Computação pela Universidade Estadual de Campinas.
Foi o responsável por coordenar a primeira equipe de investigadores independentes que buscou detectar e explorar vulnerabilidades no software da urna eletrônica.
Diego virou referência na questão da segurança do voto eletrônico devido aos seus inúmeros trabalhos na segurança das urnas, em especial quando conseguiu recuperar a sequência de votos armazenados.
E lá vamos nós…
Nossa jornada começa dia 17 de Outubro saindo de Fortaleza em direção a capital do país.
Nossos trabalhos começaram no dia seguinte (18), na sala de abertura do código fonte, e ali começava uma jornada de 5 dias das 8 até 18 horas…
Ficamos na sala da foto abaixo durante todo o período, no subsolo, sem nenhum equipamento eletrônico ou objeto (apenas caneta e alguns papéis cedida pela organização) e com os horários de saída e entrada sendo gravados.
Estrutura dos testes.
Devido a pandemia, os investigadores (como a gente era chamado) foram divididos em dois grupos que analisaram em semanas diferentes, os investigadores poderiam ser de maneira individual (meu caso), equipe ou de partidos. Eu fui o único que representou o Ceará e a Universidade Federal do Ceará – acredito que no primeiro grupo eu também era o único.
Antes mesmo do deslocamento para Brasília recebemos um vídeo explicando e mostrando sobre todos os componentes e estrutura no processo de votação, além de detalhes técnicos que seriam valiosos para nós.
Durante a janela de testes o processo de desenvolvimento é congelado e recebemos todo o trabalho feito até o momento para análise. Sendo congelado novamente no período de re-teste e antes da eleições durante a implantação dos softwares nas urnas.
Nosso objeto de análise foram os seguintes sistemas:
- UENUX, um Linux modificado feito especialmente para a urna;
- SIS – Subsistema de Instalação e Segurança, responsável por instalar, atualizar e desinstalar as aplicações seguras nas máquinas da Justiça Eleitoral, bem como garantir a segurança nessas operações;
- JE-Connect, responsável pela transmissão de resultados apurados nas urnas eletrônicas a partir de equipamentos da Justiça Eleitoral.
Cada um dos investigadores recebeu uma máquina Windows e uma máquina virtual Linux, cada uma com os códigos fontes do sistemas citados anteriormente.
O TPS se dividiu em 3 fases:
- Inspeção do código fonte;
- Baseado na análise de código criação dos planos de ataques em que todo o sistema era posto à prova;
- Validação se o problema foi corrigido após um plano de ataque bem sucedido.
Sim, se sua curiosidade de chegar até aqui era em que linguagem esses sistemas eram feitos, então lá vai: havia muito C, C++. Java e Python no meio dessa enxurrada de sistemas.
Experiências além de código.
Tivemos uma oportunidade onde somente a gente e o Iberê do Manual do Mundo pôde experimentar: ver uma urna totalmente desmontada.
Todos a urna foi desmontada com o objetivo de conhecer os componentes integrantes da urna e sua funcionalidade, além disso buscávamos verificar a possibilidade de ataques a nível de hardware para possíveis planos de ataque.
Fomos os primeiros a ver e conhecer a nova urna eletrónica – que já começou a operar nas eleições de 2022 -, produto esse produzido em terras tupiniquins pela Positivo Tecnologia. Na foto abaixo podemos ver ela durante a sua apresentação e testes que estavam sendo feitos.
Tivemos a oportunidade de conhecer o datacenter, salas cofre e o SOC (centro de operações de segurança) do TSE, ns qual era possível monitorar toda a estrutura da Justiça Eleitoral e as tentativas de fraudes em tempo real. Infelizmente não obtivemos a autorização para tirar fotos.
Além disso conhecemos peritos da PF e da profissionais ABIN que auxiliaram os testes ou participaram ativamente deles.
Minhas opiniões.
Eu gostei da experiência, eu admito, mas nem tudo nessa vida são somente flores, uma grande reclamação minha e dos outros participantes foi a impossibilidade de usar outros softwares para testes mais apurados e únicos, e a proibição de execução dos softwares naquele momento.
Além disso tinhamos a questão referente a criação dos planos de ataque, como fomos o segundo grupo a fazer o tempo era muito curto para criar um relatório, ao contrário do primeiro grupo que teve 1 semana a mais de tempo.
A gente levou essas dores para a organização no final da semana de testes que entederam plenamente e esperamos que as próximas edições contém com os nossos pontos de melhorias.
Os resultados e relatórios de 2021 já se encontram disponíveis, basta você clicar aqui e aqui.
Fim da análise.
No dia 22 encerrei meu ciclos nos testes e sai com a certeza de dever cumprindo e também com alguns questionamentos.
Conclusão.
Isso foi um pouco da minha experiência e uma passada rápida sobre alguns aspectos. Detalhes técnicos e entre outras questões não foram abordados para evitar que esse texto ficasse grande demais.
