01 / 10Use ← → para navegar
Estudos e análise documental · ALAS TECHNOLOGY
Um guia técnico sobre hardware, software e o processo eleitoral brasileiro, com ilustrações, estudos publicados e fontes consultáveis. Análise apartidária para esclarecer fatos e limitações, independentemente do governo, das candidaturas ou do resultado.
Leitura técnica
Fontes completas e ressalvas no dossiê abaixo. As imagens identificam as fontes pelo título.
Estudo ALAS TECHNOLOGY / versão 1.2
Pesquisa e análise documental da ALAS TECHNOLOGY, de caráter apartidário, sem vínculo com governo, partido, candidatura ou resultado eleitoral. O foco é o ecossistema completo: hardware, software, pessoas, operação e evidências. Pesquisas independentes fundamentam os critérios de segurança; normas descrevem o acesso formal. Este trabalho é documental, sem inspeção direta de urnas ou código.
A proposta é disponibilizar código sob licença aberta, histórico, dependências e instruções de compilação, além de equipamentos representativos para equipes independentes públicas e privadas. Acesso supervisionado ao código não equivale a um projeto aberto com revisão contínua.
Financiamento, documentação e acesso efetivo são necessários para transformar disponibilidade em cobertura. Achados devem ser reproduzidos, corrigidos e retestados; alterações eleitorais exigem versionamento e gestão de mudanças.
O relato ANT-2026-CM0TCREP atribui a Claude uma descoberta no Linux, com triagem humana e correção: CVE-2026-43074. O próprio relato indica introdução em julho de 2025, portanto este exemplo não é uma falha de décadas. A Mozilla também confirma achados assistidos por IA no Firefox. Há relatos separados de falhas antigas em outros projetos; não se deve transferir sua idade para o caso Linux.
A evolução das ferramentas sustenta reavaliações periódicas. Não demonstra vulnerabilidade aplicável a uma urna específica sem verificar versão, configuração, acesso e condições de exploração.
[35] [38] [39] [40]Uma permissão não comprova acesso efetivo. Um teste executado não comprova cobertura total. Uma correção anunciada não comprova reteste independente. Esses são critérios de leitura deste dossiê, aplicados a organizadores, fiscalizadores, fornecedores e pesquisadores. O posicionamento político ou o prestígio da fonte não decide a validade do resultado.
| Tipo de informação | Uso nesta análise | Verificação necessária |
|---|---|---|
| Norma ou edital | Identificar permissões, restrições e prazos formais. | Atas, pedidos deferidos e negados, acesso concedido e relatórios de execução. |
| Comunicado institucional | Registrar o que a instituição afirma ter realizado. | Dados, método, versões, resultados e documentação técnica que sustentem o comunicado. |
| Pesquisa com ataque demonstrado | Avaliar a propriedade comprometida nas condições publicadas. | Pré-condições, alvo, versão, materiais, reprodução e comparação com a configuração operacional. |
| Reteste | Avaliar se o ataque conhecido ainda funciona na versão ajustada. | Presença dos investigadores, roteiro, evidências e testes de regressão e variantes. |
| Hipótese ou recomendação | Orientar investigação e melhorias. | Não apresentar como falha encontrada ou medida de segurança já implementada. |
O acesso a equipamentos disponibilizados pelo organizador não estabelece, por si, seleção independente de unidades da frota operacional. A análise de Aranha e colaboradores descreve restrições da metodologia e ataques que comprometeram propriedades de segurança no cenário examinado. A crítica ao alcance do laboratório tem fundamento técnico; sua representatividade precisa ser demonstrada. [2] [5]
Proposta de avaliação independente: definir o universo elegível, registrar exclusões, permitir participação independente na seleção, identificar cada unidade e preservar seu estado antes de qualquer preparação para o teste. Documentar intervenções, imagens e versões, responsáveis, transferências e condições de acesso. Essas são recomendações desta análise, não uma descrição de procedimentos já comprovados.
Para examinar o estado operacional, uma preparação que substitui software ou apaga registros pode remover justamente a evidência procurada. Para testar um ataque de forma reproduzível, preparar um ambiente controlado pode ser necessário. O relatório deve declarar qual desses objetivos foi atendido e quais alterações ocorreram. A exigência tecnicamente verificável é rastrear e limitar intervenções, em vez de presumir que nenhum agente teve contato anterior com o equipamento.
Registros produzidos pelo mesmo componente podem compartilhar a mesma falha. Em uma AccuVote-TS americana, Feldman e colaboradores demonstraram alterações com registros internamente consistentes. O caso fundamenta essa classe de ameaça; não constitui achado em urna brasileira. [34] A independência de software trata da possibilidade de detectar alterações no resultado mesmo quando o software falha. [13]
Limite desta revisão: foi revisada a redação dos dez temas e do dossiê, com reconferência de fundamentos em fontes primárias. A ALAS TECHNOLOGY não inspecionou equipamentos, não reproduziu ataques e não verificou a execução em todas as seções. Os limites da cobertura documental permanecem identificados. Não é possível atestar a realidade operacional completa apenas por publicações.
O critério central é a evidência produzida, não a declaração de uma autoridade. Um edital informa o que pode ser testado. Uma avaliação de engenharia pergunta quais ameaças foram examinadas, quais condições o teste reproduz e quais conclusões seus resultados permitem. A ausência de dados neste dossiê é marcada como não verificada, não como ausência automática de controle.
Feldman, Halderman e Felten analisaram hardware, software e operação de uma AccuVote-TS americana. Demonstraram em laboratório ataques por acesso físico/mídia e registros adulterados que permaneciam consistentes entre si. O estudo fundamenta a análise de custódia, propagação e dependência dos registros; seu equipamento não é o brasileiro. [34]
No Brasil, os trabalhos de Aranha e colaboradores oferecem evidência diretamente associada às versões que testaram. O relato de 2017 mostra por que chaves, bibliotecas e carregamento de código precisam ser avaliados em conjunto. [5]
A pesquisa sobre builds reproduzíveis trata da reconstrução do mesmo artefato a partir de fontes, instruções e ambiente identificados. Isso torna verificável uma parte do vínculo fonte a binário. [35] [37]
O argumento completo ainda precisa cobrir compiladores, firmware, chaves, instalação e execução. Duas compilações idênticas não demonstram que o programa é correto; uma imagem assinada tampouco demonstra que sua lógica foi suficientemente revisada.
O relatório científico Securing the Vote recomenda avaliar processos e resultados, incluindo cadastro, preparação, votação e divulgação, com dados de auditoria que permitam reprodução e protejam o eleitor. É uma referência metodológica estrangeira, não uma medição do Brasil. [36]
Como registrar cada conclusão: alvo e versão → ameaça → acesso obtido → método → resultado reproduzido → correção → reteste → limites de generalização. Classificações úteis: demonstrado, mitigado sob teste, hipótese de ameaça, não examinado e sem dados suficientes.
A matriz abaixo é uma proposta de escopo técnico. Ela não afirma que os procedimentos tenham sido executados no Brasil nem que estejam ausentes. Para avaliar sua realização, seriam necessários os artefatos de cada etapa. Não existe prazo universal dedutível do número de linhas: esforço depende do acesso, equipe, versões, automação e profundidade.
| Etapa / ativo | O que investigar | Evidência a exigir |
|---|---|---|
| Arquitetura e governança | Integridade, sigilo, disponibilidade, acessibilidade; atacantes externos, internos e fornecedores; segregação de funções. | Modelo de ameaças, fluxos, responsabilidades, critérios de aceitação e conflitos de interesse dos avaliadores. |
| Fabricação e componentes | Revisões de placas, microcontroladores, memórias, interfaces de depuração, periféricos e substituições de componentes. | Lista de materiais de hardware, rastreabilidade de lotes, inspeção independente por modelo e relatórios de ensaios. Testes destrutivos podem exigir unidades reservadas. |
| Firmware e inicialização | Raiz de confiança, validação antes da execução, atualização, retorno a versão antiga, interfaces de manutenção e falhas induzidas. | Versões, imagens extraídas quando autorizadas, ensaios negativos, cobertura por modelo e registros de atualização. A raiz de confiança também precisa de avaliação. |
| Fonte e dependências | Lógica de voto, parsers, bibliotecas transitivas, criptografia, memória e módulos privilegiados. | SBOM, versões e procedência; revisões, análise estática, fuzzing e testes de integração com cobertura e falhas documentadas. |
| Build, distribuição e chaves | Correspondência fonte a binário, compilador, ambiente de geração, acesso às chaves, assinaturas e revogação. | Receita de build, artefatos e referências independentes, registros de assinatura, controle por múltiplos responsáveis e reprodução por terceiros. |
| Cadastro e configuração eleitoral | Eleitores habilitados, seções, candidaturas, números e regras da eleição; mudanças autorizadas e dados inconsistentes. | Rastreabilidade de alterações, reconciliação com fontes autorizadas, testes de limites e proteção de dados pessoais. |
| Geração de mídias e carga | Estações preparadoras, conteúdo das mídias, arquivos aceitos/rejeitados e associação correta entre urna e seção. | Versões por estação e urna, resultados de verificação, atas, exceções e testes de rejeição de conteúdo inválido. |
| Transporte, guarda e contingência | Acessos físicos, lacres, armazenamento, manutenção e troca de equipamento; intervalo entre conferência e uso. | Identificadores, responsáveis, horários, registros de abertura e substituição; procedimentos para desvios e preservação. |
| Operação na seção | Habilitação, interface, sigilo, confirmação, acessibilidade, energia, falhas, recuperação e comportamento dos operadores. | Testes operacionais, observação independente, reconciliação de participação, logs e tratamento de incidentes sem associar eleitor ao voto. |
| Apuração e saída da seção | Coerência de BU, RDV e logs; encerramento, reimpressão, substituições e preservação dos originais. | Boletins coletados no local, arquivos assinados, histórico de incidentes e identificação da origem. Coerência interna precisa ser distinguida de evidência independente. |
| Transmissão, servidores e totalização | Autenticação, duplicação, omissão, rejeição, processamento, permissões administrativas, banco de dados e disponibilidade. | Inventário de sistemas, registros de recepção e exceções, trilha administrativa e recomposição independente dos totais a partir de entradas autenticadas. |
| Divulgação, auditoria e contestação | Correspondência entre resultado calculado e publicado; critérios de amostra, divergências, ampliação e correção. | Dados verificáveis, método publicado, relatórios reproduzíveis e, em arquiteturas que os forneçam, registros independentes do voto para auditoria do resultado. |
| Arquivo, manutenção e descarte | Retenção, preservação forense, pedidos pendentes, acesso posterior e eliminação de dados. | Inventário de evidências, hashes e custódia, cópias preservadas, prazos e comprovação de descarte autorizado. |
Auditabilidade de ponta a ponta: nenhuma transição deve ficar sem responsável, referência e evidência. Inspeção lógica de todos os arquivos, ensaio de uma amostra física e auditoria estatística do resultado têm custos e alcances diferentes. O desenho deve justificar essas escolhas e a confiança residual em cada componente.
| Questão técnica | O que a documentação permite afirmar | Evidência ainda necessária |
|---|---|---|
| Periodicidade, acesso e duração das avaliações. | O TPS teve oito edições entre 2009 e 2025; a inspeção institucional é outro canal. [22] [21] | Tempo nominal de acesso não informa esforço, equipe ou cobertura. |
| Quem define os objetos e seleciona as unidades? | No TPS, o edital delimita os objetos. Na preparação e nas auditorias de funcionamento, há participação das entidades na escolha e sorteios. [2] [1] | A escolha dentro de um conjunto disponibilizado não equivale à seleção independente de qualquer unidade da frota. É preciso distinguir o escopo do laboratório da representatividade operacional. |
| Autonomia para escolher as unidades e verificar sua preparação no TPS. | O TPS utiliza equipamentos disponibilizados pelo TSE, dentro de um escopo definido. Não oferece às equipes retirada irrestrita de qualquer urna da frota operacional para teste independente. Seleções e sorteios de outras auditorias são procedimentos distintos. [2] [21] [1] | Testar equipamentos fornecidos para um evento não equivale a selecionar unidades de produção sob custódia independente. A procedência, a preparação e a equivalência com a frota precisam de evidências verificáveis. Isso limita a generalização dos resultados; não comprova manipulação prévia dos equipamentos. |
| Qual é a cobertura da totalização e da fiscalização posterior? | A norma prevê verificações no TSE e posteriores. A comparação de BUs examina a correspondência entre registros e publicação. [1] [20] | Demonstrar acesso efetivo, sistemas e versões examinados, testes de processamento e permissões, exceções e reprodução independente dos resultados. |
| Quais falhas foram demonstradas e como foram retestadas? | Há achados técnicos documentados pelos investigadores, inclusive nos trabalhos de 2012 e 2017. [4] [5] [6] | Publicar versões, pré-condições, correções, reprodução independente e testes de regressão para avaliar o tratamento de cada falha. |
| Quais ameaças permanecem sem conexão à internet? | Ataques por mídia, acesso físico e cadeia de fornecimento não exigem internet na urna. [5] [28] | Possibilidade de uma classe de ataques não prova exploração de um modelo atual. |
| Como tornar o registro físico uma evidência independente? | Um registro conferido pelo eleitor e preservado pode sustentar uma auditoria independente do software de votação. [13] [14] [15] | Conferência, custódia, sigilo, reconciliação, acessibilidade e auditoria continuam essenciais. |
“Auditoria” abrange atividades distintas. A matriz separa busca de vulnerabilidades, verificação de arquivos, observação de procedimentos e validação de resultados. Os poderes concretos dependem de credenciamento, instrumento e edição. [1] [2] [19] [21]
O art. 6º inclui partidos, federações e coligações; OAB; Ministério Público; Defensoria Pública; Congresso; CGU; Polícia Federal; SBC; Confea; CNJ; CNMP; TCU; entidades do Sistema Indústria/Sistema S; entidades brasileiras sem fins lucrativos de fiscalização e transparência credenciadas; e departamentos de TI de universidades credenciadas. Entidades podem se consorciar. STF e Forças Armadas constam como incisos revogados em 2023: a participação histórica da Defesa em 2022 não deve ser apresentada como direito vigente em 2026. [1]
| Via / público | Capacidade ou evidência | O que não demonstra |
|---|---|---|
| TPS/TPU · inscritos selecionados | Ataques controlados a objetos definidos, segundo planos aprovados. [2] | Segurança universal, cobertura de produção ou de componentes excluídos. |
| Confirmação · autores dos achados | Repetição dos testes nas versões ajustadas. [2] | Ausência de outras falhas ou regressões fora do teste. O item 18.5 admite considerar ajuste pelo TSE se o investigador não comparecer; isso não é uma reprodução independente. |
| Inspeção de código · entidades legitimadas | Leitura e análise estática em ambiente supervisionado; ferramentas sujeitas às regras de uso. [1] [21] | Não é disponibilização pública irrestrita do repositório. Restrição de extração reduz colaboração e reprodução externa. |
| Cooperação acadêmica · instituições conveniadas | Acesso e testes conforme o acordo. A USP descreveu acesso a equipamento, código e binários. [19] [27] | O acesso de uma equipe não prova acesso equivalente para todas. |
| Hardware e fornecimento · avaliações por objeto | Examinar especificações, firmware, perímetro criptográfico e ensaios dos modelos. [2] [10] | Uma certificação de componente não certifica todo o sistema, cada unidade ou a cadeia de fabricação. |
| Compilação e assinatura · fiscalização credenciada | Acompanhar a geração e registrar referências para os programas. [1] | Assinar um programa não elimina erros. Sem reprodução independente, compilador e ambiente permanecem na base de confiança. |
| Geração de mídias e preparação | Conferência de programas, correspondência e lacres; verificações amostrais. [1] [21] | Não cobre automaticamente cada transição posterior da custódia. |
| Transporte e guarda | Rastrear responsáveis, números de lacres, eventos de abertura e substituições. [16] [17] | Um lacre sem divergência observada não é análise de firmware ou prova física de impossibilidade de acesso. |
| Teste de autenticidade | Comparar programas com referências na seção selecionada, antes da votação. [1] | Não exercita todos os caminhos lógicos, todo o hardware nem comportamento durante o restante do dia. |
| Teste de integridade | Confrontar entradas conhecidas de uma votação de teste com a saída; há modalidade com biometria. [1] [30] | Não reconta a eleição real. Depende da representatividade das condições e do método de seleção. |
| BUs e dados publicados · participação cidadã | Comparar boletins coletados no local com resultados publicados e recompor somas. [20] | Não recupera votos individuais de uma fonte independente da urna. |
| Pós-eleição · requerimentos e perícias | Dados, logs, verificações e preservação conforme justificativa e prazos. [1] [16] [21] | Não é permissão geral de desmontagem, posse ou alteração de qualquer urna por qualquer interessado. |
Uma revisão independente da execução exigiria atas, solicitações, decisões, logs de acesso, inventário das versões, cadeia de custódia e relatórios por local. Este dossiê mapeia os mecanismos e suas limitações; não certifica sua execução em todas as seções.
O próprio pesquisador reúne sua produção no projeto Electronic Voting in Brazil (eVotingBR), com artigos e apresentações. Essa documentação permite examinar resultados técnicos e críticas ao método a partir de quem participou das investigações. [41]
| Contribuição | Resultado ou relato | Consequência para a auditoria |
|---|---|---|
| 2012: sigilo | Recuperação da ordem dos votos na eleição simulada, explorando a geração pseudoaleatória usada no RDV. [4] | Verificar a proteção do sigilo, as fontes de aleatoriedade e as possibilidades de correlação. |
| 2017: integridade do software | Chaves presentes no código e bibliotecas sem autenticação permitiram execução de código intruso no cenário estudado. [5] | Avaliar conjuntamente chaves, mídias, carregamento e cadeia de instalação; conferir versões e correções. |
| 2018: condições de investigação | Na entrevista, Aranha relata poucos dias para muito código, supervisão, restrições de anotações e equipamentos próprios, além do tempo consumido na preparação do ambiente e em formulários. [42] | A duração formal do evento superestima o tempo útil se tarefas administrativas e configuração consumirem parte da janela. É necessário registrar o esforço efetivo. |
| Você Fiscal: estudo publicado em 2016 | Fotografias de boletins foram comparadas aos resultados publicados. Para a experiência de 2014, os autores reportam cobertura de 1,6% dos boletins e 4,1% dos votos. [43] | Uma conferência cidadã de transmissão e publicação, com cobertura mensurada. Não reconstitui cada escolha por registro independente do software da urna. |
Na mesma entrevista de 2018, Aranha destacou que o desenvolvimento continuava entre o teste e a eleição seguinte. Inferência de engenharia: a confiança obtida em uma versão precisa ser reavaliada quando código, dependências ou configuração mudam; exige comparação de alterações e testes de regressão. [42]
Sobre uma possível saída por limitações: as fontes consultadas documentam participação, achados e críticas, mas não estabelecem que ele tenha abandonado um projeto específico por essa razão. Não atribuímos essa motivação sem um relato identificável. O foco aqui são as evidências técnicas e as restrições descritas, com suas datas.
Segundo o histórico do organizador, a tentativa de captar emissões do teclado com rádio identificou uma tecla, a aproximadamente cinco centímetros; não demonstrou quebra completa do sigilo. O documento integral da equipe não foi obtido nesta consulta. A descrição é, portanto, atribuída ao TSE e não generalizada para um ataque remoto atual. [22]
Aranha e colaboradores mostraram uma fragilidade no embaralhamento do Registro Digital do Voto: a geração pseudoaleatória permitia recuperar a ordem dos votos no cenário testado. Relacionar essa ordem à ordem dos eleitores ameaça o sigilo. Isso é diferente de demonstrar alteração da contagem. Os slides dos autores também discutem limitações de acesso e tempo. [4]
O balanço reconheceu descobertas. O histórico técnico do portal descreve adulteração de um BU usado como entrada do Sistema de Apuração, produzindo outro BU válido com totais alterados nesse fluxo de recuperação/apuração; não era demonstração de troca de votos em todas as urnas em operação. Relata também risco pelo áudio de acessibilidade e mudanças no autenticador do BU e na ativação de áudio. [23] [22]
O artigo dos investigadores descreve chaves criptográficas inseridas no código e compartilhadas entre equipamentos. Foram identificadas falhas na verificação de assinaturas e bibliotecas sem assinatura complementar, permitindo execução de código no cenário controlado. Foram comprometidas propriedades de sigilo e integridade. Os autores registram que as condições de teste restringiram a investigação. [5]
Na confirmação de 2018, o TSE relatou mudanças e mitigação das vias identificadas. A proteção das chaves recebeu solução diferente da inicialmente proposta pelo grupo. A avaliação da correção exige vincular cada achado à versão ajustada, ao procedimento de reprodução e ao resultado do reteste. O comunicado do organizador não substitui esses artefatos. [26]
O grupo de peritos da Polícia Federal recuperou material para acessar o volume cifrado do SIS e interferiu na geração de dados pelo GEDAI. O relato técnico informa fornecimento de senhas e relaxamento de barreiras, caracterizando um cenário de atacante interno. Foram alterados dados de UF e município, assinados e aceitos pela urna; alterações em dados de candidatos e eleitores foram rejeitadas por outras assinaturas. A obtenção de chave não equivalia, sozinha, à capacidade de assinar livremente: o fornecimento da ferramenta de assinatura foi negado. [32]
A Comissão Avaliadora documentou dez planos executados e seus resultados, distinguindo testes sem sucesso e contribuições. Esse caso mostra tanto limites do teste quanto a importância de explicitar barreiras removidas: condições favoráveis ao ataque também podem existir no laboratório. [33]
O relatório final da Avaliadora documenta cinco planos e a confirmação de 11 a 13/05/2022. No plano 6, uma sobreposição com sensores no teclado capturou as teclas. A mudança na altura da cabine dificultou sua colocação, mas não impediu o ato; a mitigação depende também de procedimentos e observação dos mesários.
Nos planos 12 e 16, o documento descreve acesso indevido em componentes do JE-Connect e medidas de controle verificadas. Registra necessidade de revisão mais ampla e impacto de desempenho. O plano 20 tratou da saída de áudio e treinamento dos mesários.
As recomendações incluem documentar as barreiras facilitadas para os testes e descrever o ambiente entregue ao investigador. Trata-se de evidência de que as condições de execução precisam acompanhar a divulgação dos resultados. [45]
O relatório lista sete supostos achados, cinco encaminhados para confirmação. Na UE2020, um dispositivo de laboratório permitiu alterar o bootloader entre a validação da assinatura e sua execução, revelando uma chave de decifração do kernel: um caso concreto de TOCTOU. A correção relatada unificou o acesso à mídia e restringiu o carregamento de módulos. Houve também achados em BitLocker/SIS e JE-Connect. Alterar o bootloader não equivale a demonstrar adulteração de uma eleição. No reteste de 15 a 17/05/2024, foram registrados ajustes e termos de confirmação. [6]
O relatório parcial da Reguladora registra 109 planos apresentados, 38 aprovados, 29 executados, seis supostos achados e três planos recomendados naquele estágio. Esses números descrevem etapas diferentes. [7]
O relatório final da Avaliadora aborda quatro planos na confirmação de maio de 2026:
A comissão recomenda ambientes que representem as diferentes etapas da eleição. Aponta que o ambiente único impõe restrições desnecessárias e recomenda complementar a documentação técnica. [44]
Análise: aceitação de uma explicação, revisão documental e repetição experimental têm alcances diferentes. Os relatórios devem permitir identificar qual evidência sustenta cada conclusão; a indicação de quatro planos não significa quatro ataques reproduzidos após correção.
A Unicamp descreveu três meses de trabalho e uma conclusão favorável dentro dos tópicos examinados. A USP descreveu acesso por cooperação e publicou análise técnica de alegações, com procedimentos de conferência. Esses trabalhos mostram que pesquisadores não se limitam necessariamente à semana de TPS. [19] [27]
A Defesa registrou limitações para compreender código e bibliotecas, mencionando mais de 17 milhões de linhas. Sua nota também informa que não apontou fraude. Não excluir todas as possibilidades não demonstra ocorrência. [18]
O TCU comparou 4.161 BUs do primeiro turno com a publicação dos resultados e relatou correspondência. A comparação examina a correspondência entre os BUs amostrados e a publicação. Ela não mede, por uma fonte independente, se cada escolha foi registrada corretamente antes da emissão do BU. [20]
Cobertura histórica: as oito edições do TPS/TPU são identificadas, com aprofundamento dos casos para os quais foram obtidas evidências utilizáveis. Não é um inventário exaustivo de todas as perícias, relatórios acadêmicos, pedidos judiciais ou auditorias regionais desde 1996. Edições antigas não herdam automaticamente regras de 2026.
O Contrato 48/2022 do TRE-AL tem como objeto examinar e validar a organização, condução e conclusão do Teste de Integridade. Prevê acompanhamento na véspera e no dia da eleição, relatório conclusivo e demonstrativo das horas trabalhadas. [46]
Interpretação técnica: esse objeto contratual é diferente de revisar código-fonte, extrair firmware ou examinar fisicamente toda a frota. Para avaliar o que foi executado, devem ser confrontados contrato, plano, horas, relatórios, exceções e evidências. A contratação de uma empresa externa não demonstra, isoladamente, autonomia irrestrita ou cobertura de todos os componentes.
O acervo nacional de 2022 reúne relatórios dos dois turnos. Ele constitui uma fonte para examinar a execução por local, e não uma conclusão nacional pronta. Este estudo não apresenta uma consolidação de todos os relatórios estaduais. [30]
| Momento | Referência temporal | Implicação técnica |
|---|---|---|
| Inspeção do ciclo 2026 | Acesso antecipado a partir de 12 meses antes, até a compilação. [21] | Planejar equipe, ferramentas, módulos críticos, dependências e comparação de versões. |
| TPS 2025 | Inscrições: 30/06 a 18/07. Inspeção: 06 a 17/10. Execução: 01 a 05/12/2025. [3] | Publicar horas efetivas, equipe, alvos, restrições, testes executados e cobertura obtida; o calendário não mede esses resultados. |
| Confirmação | 13 a 15/05/2026. [3] [8] | Confirmar o teste corrigido, registrando condições e presença dos autores. |
| Seleção das auditorias do dia | Véspera, 7h a 12h. Primeiro turno: 03/10; segundo: 24/10/2026. [1] [9] | Examinar escolhas, sorteios, elegibilidade e substituições. |
| Votação | 04/10/2026 e eventual segundo turno em 25/10. [9] | Guardar BUs coletados e registrar incidentes com seção, horário e evidências. |
| Requerimento pós-eleição | Art. 51: até cinco dias antes da data-limite de manutenção dos lacres. [1] | Apresentar fatos, indícios e plano de trabalho; solicitar preservação quando necessária. Não esperar a formatação. |
| Preservação ordinária | Urnas de votação e mídias indicadas: até 12/01/2027, segundo o art. 272, com exceções. [16] | Prazo de retenção não é promessa de perícia integral nem prazo único para toda medida judicial. |
Contagem de linhas não mede segurança. Uma revisão precisa definir a base computacional de confiança: aplicação, kernel, bibliotecas, compilador, firmware, componentes criptográficos e ferramentas de geração. Código não executado, duplicação e código gerado alteram o denominador. Um cálculo de horas por linha, sem método e inventário, seria especulativo.
O caminho útil é publicar uma lista de materiais de software (SBOM), versões fixadas, procedência, dependências transitivas, testes de interfaces, análise estática e dinâmica, fuzzing, revisão criptográfica e reprodução do build. Essas são recomendações; não afirmações de que nenhuma delas é praticada.
Há uma diferença entre o instante da verificação e o instante de uso: o problema conhecido como time-of-check to time-of-use (TOCTOU). O argumento de segurança deve explicar o que impede ou evidencia mudanças nesse intervalo, incluindo manutenção, transporte, abertura e troca de equipamentos.
Também é necessário perguntar quem produz a medida. Um verificador executado sobre uma plataforma comprometida pode depender da mesma raiz de confiança que pretende avaliar. Isso exige análise da arquitetura real; não implica que toda conferência de hash seja ineficaz.
Modelo ilustrativo: P = 1 − (1 − p)n, com seleções independentes (ou aproximação para população grande) e detecção perfeita quando a unidade afetada é selecionada. Não estima a segurança das eleições brasileiras. Seleção sem reposição exige distribuição hipergeométrica; estratificação, exclusões e ataques que distinguem o teste mudam a análise. Incluir uma unidade afetada tampouco implica sempre detectar a falha.
| Classe de ameaça | Condições a demonstrar | Controle e evidência desejável |
|---|---|---|
| Fonte ou dependência maliciosa | Entrada na cadeia de desenvolvimento, revisão insuficiente ou origem comprometida. | Revisão por terceiros, procedência, versões fixadas, SBOM, build reproduzível. Assinatura sozinha autentica inclusive um defeito autorizado. |
| Binário ou mídia substituída | Capacidade de produzir conteúdo aceito ou de contornar a verificação. | Assinaturas, proteção de chaves, validação no carregamento, registro de versões e testes negativos. |
| Implante físico / firmware | Acesso ao dispositivo ou à fabricação e capacidade de sobreviver às inspeções. | Inspeção por modelo/lote, cadeia de custódia, abertura supervisionada e avaliação de firmware. Não é provado apenas pela idade do equipamento. |
| Software que reconhece ambiente de teste | Um sinal distinguível e controle do código que o utiliza. | Reduzir diferenças observáveis, documentar randomização e limites. É uma hipótese de ameaça, não um mecanismo malicioso encontrado nesta pesquisa. |
| Emissão eletromagnética / acústica | Acoplamento físico, sinal, alcance e relação mensurável com dados relevantes. No RAMBO, malware prévio gera sinais de rádio pelo barramento da memória RAM. [12] | Ensaios de canal lateral em modelo específico. O receptor externo dispensa conexão à internet para captar os dados; o experimento pressupõe comprometimento inicial. |
| Ataque a equipamento “desligado” | Subsistema ainda alimentado, implante ou energia acoplada e vulnerabilidade compatível. | Medir estados de energia e interfaces reais. Documentar separadamente equipamento sem rede e equipamento sem alimentação elétrica. |
| Totalização/publicação incorreta | Divergência de recebimento, processamento, inclusão ou soma dos resultados. | Recompor totais a partir de BUs coletados independentemente, verificar assinaturas, pendências e cobertura. |
As classes acima são um modelo de ameaças. Exemplos concretos em urnas brasileiras aparecem nas pesquisas históricas; hipóteses não testadas não recebem o mesmo status. [5] [6] [28]
O fluxo ilustrado, com conferência através de visor e depósito automático em recipiente lacrado, evita entregar ao eleitor um comprovante legível de seu voto. Isso remove uma via de apresentação do recibo a terceiros. Não elimina todos os riscos de coerção, vinculação da ordem, falhas de impressão, troca ou perda de registros.
Uma evidência física efetivamente conferida pelo eleitor pode permitir verificar o resultado mesmo se o software de votação estiver errado. Esse é o objetivo da independência de software. Há também linhas de pesquisa em verificação criptográfica de ponta a ponta; a propriedade não se reduz ao uso de papel. [13] [29]
Uma RLA limita a probabilidade de encerrar a auditoria sem corrigir um resultado incorreto, sob suas hipóteses. O limite de risco não é “probabilidade de fraude”. O tamanho da amostra depende da margem, do método, dos erros encontrados e da regra eleitoral; pode chegar à contagem completa. [14]
Conferência acessível; rejeição e correção de impressão divergente; tratamento de atolamento; texto legível; inexistência de identificação do eleitor; proteção contra reconstrução da ordem; conciliação entre registros emitidos, anulados e depositados; lacres e inventários; guarda sob observação; sorteio público; adjudicação e recontagem.
O estudo de Appel e colaboradores alerta que eleitores nem sempre verificam ou percebem alterações em registros produzidos por máquinas. Não se deve transferir uma taxa observada em outro país para o Brasil, mas o problema de usabilidade precisa ser testado. [15]
Malotes, papel-moeda e envelopes com proteção são resistentes à adulteração ou deixam vestígios. A expressão “inviolável” exige uma garantia absoluta que esses mecanismos não fornecem. Um papel autêntico também pode conter um voto impresso incorretamente.
A ilustração é uma proposta de arquitetura, não descrição do procedimento brasileiro atual nem análise de viabilidade jurídica, orçamento ou cronograma de implantação. Nas urnas eletrônicas aqui tratadas, imprimir o BU não é imprimir cada voto para conferência individual.
O inventário anunciado para 2026 apresenta UE2013, UE2015, UE2020 e UE2022. A soma de UE2020 e UE2022 corresponde a 439.468 unidades, ou 77,9% das 563.910 anunciadas. Este é cálculo próprio sobre as quantidades da fonte, não medição do parque instalado. [9]
A tabela técnica distingue memória, processador e perímetro criptográfico. UE2013/UE2015 e UE2020/UE2022 não devem ser tratados como hardware idêntico. Tampouco se pode presumir que um defeito de uma geração afete outra sem verificar sua implementação. [10] Há planejamento documental de substituição de UE2013 e UE2015 a partir de 2028. [31]
Para avaliar a hipótese regional, seria necessário obter dados por eleição → turno → UF → zona → seção → número da urna → modelo → versão/hash → substituição. Esta pesquisa não obteve um inventário nacional completo por seção de 2026. Assim, não produz mapa colorido que sugira uma distribuição não medida.
Uma comparação entre modelo e votação ainda exigiria controlar urbanização, renda, localização e composição do eleitorado. Equipamentos não distribuídos aleatoriamente podem gerar correlações por fatores demográficos; correlação de modelo com preferência política não identifica fraude.
Autoria e escopo: a ALAS TECHNOLOGY reúne e analisa fontes publicadas, organiza a síntese técnica e produz as ilustrações. Os experimentos citados foram realizados pelos autores identificados em cada referência. Este material não é um laudo pericial nem uma certificação de segurança.
Posicionamento apartidário: o conteúdo não apoia nem contesta governo, partido, candidatura ou vencedor. A análise aplica os mesmos critérios a qualquer resultado. Independência de investigação é avaliada pelo acesso, autonomia de método, reprodutibilidade, divulgação de conflitos de interesse e liberdade de relatar achados; não apenas pelo nome da instituição.
Normas e editais foram usados para estabelecer permissões e procedimentos, não como prova de invulnerabilidade. Relatórios e artigos dos pesquisadores foram usados para caracterizar achados. Comunicados do TSE, da Defesa, do TCU e de universidades aparecem identificados como relatos institucionais, com escopo limitado. A autoridade da instituição, favorável ou crítica, não substitui evidência reproduzível.
Foi adotado o texto compilado vigente para 2026, com atenção às alterações de 2024 e 2026. Não foram executados testes em hardware, inspeção do código, reprodução de exploits ou perícia de eleição. Não se afirma revisão de todos os relatórios estaduais ou de todas as auditorias históricas. A análise inclui o relatório final da Comissão Avaliadora de 2025/2026. A revisão do relatório final da Comissão Reguladora, do compêndio e a consolidação dos relatórios estaduais permanecem fora da cobertura documental concluída.
Uma equipe pode não encontrar uma falha porque o componente está bem protegido, porque o ataque não é viável, porque faltaram condições, tempo ou acesso, ou porque o teste não exercitou aquele comportamento. A causa precisa ser demonstrada caso a caso. Não é válido atribuir todo resultado negativo às restrições; também não é válido convertê-lo em prova de ausência de vulnerabilidades.
Conclusão editorial: criticar os limites da auditabilidade é tecnicamente legítimo. Acusar adulteração de votos, afirmar inviolabilidade ou prometer ausência completa de risco exige evidências que este levantamento não oferece.
A revisão de 16/09/2026 confrontou as afirmações centrais com as referências citadas, distinguiu redações vigentes das revogadas e recalculou os percentuais da frota. Não constitui garantia de ausência de erros nem validação independente dos experimentos.
| Tema | Base conferida | Limite da conclusão |
|---|---|---|
| Permissões, sorteios e prazos | Resolução 23.673 compilada, edital e calendário do TPS. | A previsão normativa não demonstra execução em cada local. |
| Frota anunciada | 29.377 + 95.065 + 222.323 + 217.145 = 563.910. Modelos de 2020 e 2022: 77,9%. | Inventário anunciado, sem mapeamento nacional por seção. |
| Achados históricos | Trabalhos dos pesquisadores e relatórios identificados por edição. | Não houve reprodução dos ataques pela ALAS TECHNOLOGY. |
| RAMBO e IA | Publicações dos pesquisadores, relato da Anthropic e confirmação da Mozilla. | Não demonstram aplicabilidade automática às urnas brasileiras. |
| Ciclo 2025/2026 | Calendário, relatório parcial da Reguladora e relatório final da Avaliadora. | Aceitação documental e reteste experimental são evidências distintas; a análise não reproduziu os ensaios. |
O escopo documental está identificado nas referências. Relatórios de uma edição, local ou amostra não certificam toda a frota. A avaliação nacional da execução exige uma matriz por UF, turno, unidade, procedimento, resultado e exceção; esta versão não apresenta essa consolidação.
Consulte o TRE da sua unidade da Federação para os editais de cerimônias e auditorias. A observação pública e a atuação como entidade fiscalizadora têm permissões diferentes. Para uma avaliação técnica, registre a eleição, turno, seção, modelo, versão, objeto examinado, equipe, método, resultado e limitações.
O art. 60 permite agrupamento regional para representatividade e exclusões logísticas acordadas. O art. 60-A exige publicação da relação das urnas selecionadas e dados de identificação. O art. 61 permite acompanhamento do transporte. Esses registros ajudam a avaliar continuidade e cobertura; não equivalem a uma revisão exaustiva de todas as unidades. [1]
Após a votação, a comparação entre BUs coletados na seção e resultados publicados verifica sua correspondência. Não equivale a recontar registros independentes de cada voto. Pedidos formais de fiscalização posterior seguem os requisitos e prazos da resolução. [1] [20]
Fontes identificadas pelo título nos slides. Os números abaixo organizam as referências do dossiê. Consulta: 16 de setembro de 2026. Links externos abrem o documento original. As observações indicam exatamente como cada fonte foi utilizada.
45 referências disponíveis.
Regra de fiscalização. Consultar redações vigentes, descartando dispositivos riscados ou revogados. Não comprova, isoladamente, execução em cada local.
Itens 1.4 a 1.6, 7, 18.5 e 19.1: objetos, exclusões, inspeção e confirmação.
Inscrições, inspeção e execução do ciclo 2025/2026. Datas planejadas não equivalem a horas efetivamente utilizadas.
Fonte dos próprios pesquisadores: recuperação da ordem de votos e limitações do teste de 2012.
Artigo sobre o teste de 2017: chaves no código e bibliotecas sem autenticação. Resultado histórico, não diagnóstico da versão de 2026.
Páginas 33 a 35: achados, condições e correções. O nome de um plano expressa seu objetivo, não necessariamente seu resultado.
Relatório parcial: 29 planos executados; 6 supostos achados; 3 planos recomendados nesse relatório parcial.
Relata quatro testes selecionados para confirmação e melhorias validadas. É comunicação institucional, não reprodução independente dos testes.
563.910 equipamentos anunciados; não é inventário comprovado de instalação por seção. O texto diz 77%; a soma publicada permite calcular 77,9%.
Ficha técnica oficial; diferencia hardware, memória, processadores e perímetro criptográfico.
Pesquisa apresentada no NordSec 2023, com preprint depositado em 2024. Demonstra exfiltração por emissões do barramento de memória em computador isolado, previamente comprometido, com recepção por rádio a distância.
Artigo conceitual de 2006: alterações não detectadas no software não devem produzir alterações indetectáveis no resultado.
Método estatístico de auditoria de registros físicos; não é o desenho do teste de integridade brasileiro.
Artigo de 2020: falhas de conferência pelo eleitor em ballot-marking devices. Evidência de outros sistemas, não medição de um projeto brasileiro.
Art. 272: preservação até 12/01/2027, com exceções e procedimentos específicos.
Lacres numerados, material de segurança e fabricação pela Casa da Moeda. Evidência de violação, não inviolabilidade.
Relato do fiscalizador: mais de 17 milhões de linhas e restrições de acesso. A mesma nota diz que não apontou fraude; não é contagem independente do código de 2026.
Comunicação da universidade sobre três meses de análise e conclusões restritas aos tópicos examinados. Cooperação institucional tem acesso diferente de TPS e fiscalização ordinária.
Auditoria da correspondência entre boletins e publicação. Não é recontagem da intenção individual do eleitor.
Muda a amostragem da preparação para até 6%, mantém restrições de extração e disciplina verificações posteriores.
Índice de oito edições: 2009, 2012, 2016, 2017, 2019, 2021, 2023 e 2025. Há estatísticas e textos de períodos diferentes na mesma página.
Balanço institucional preliminar que reconhece descobertas; não detalha exploração completa.
Comunicação e acesso ao relatório da edição; não confundir ausência de comprometimento demonstrado com prova universal.
Relata 29 planos, cinco com achados relevantes e reteste em maio de 2022.
Correções e mitigação descritas pelo organizador; inclui observações de Aranha sobre a mudança na proteção de chaves.
Texto dos pesquisadores, com acesso ao relatório e tutoriais. Descreve acesso a código, binários e equipamento em colaboração específica.
Pesquisa sobre ameaças via mídias e limites de sistemas implantados; não demonstra exploração de uma urna brasileira atual.
Alternativa criptográfica: verificar inclusão e apuração preservando sigilo. Depende de protocolo, implementação e usabilidade, não apenas de assinatura digital.
Repositório de relatórios dos dois turnos. A existência do acervo não equivale a revisão de todos os relatórios nesta pesquisa.
Documento prevê substituição de UE2013 e UE2015 a partir de 2028; planejamento de aquisição não é instalação concluída.
Descreve acesso a SIS/GEDAI, condições de ataque interno, dados alterados e barreiras remanescentes.
Escopo, resultados por grupo, barreiras e recomendações.
Estudo de uma AccuVote-TS dos EUA: ataques por acesso físico e mídia, propagação e consistência de registros adulterados. Não é teste da urna brasileira; fundamenta classes de ameaça e método.
Pesquisa sobre correspondência verificável entre fontes e artefatos binários; inclui o ambiente e a cadeia de compilação.
Relatório científico multidisciplinar. Recomendações 5.5 a 5.10 abrangem processos, cadastro, votação, resultados e auditoria posterior. Contexto dos EUA; não comprova condições brasileiras.
Referência técnica do projeto: reconstrução de artefatos idênticos a partir das fontes e do ambiente especificado.
Relato primário de descoberta assistida por Claude, triagem humana e correção de use-after-free no Linux; introdução indicada em julho de 2025.
A mantenedora confirma bugs verificáveis identificados com assistência de IA e testes reproduzíveis.
Relato de falhas antes não identificadas em projetos abertos; alguns defeitos antigos. A idade e o alcance dependem de cada achado.
Página do pesquisador: publicações, projeto e apresentações sobre segurança do voto eletrônico brasileiro.
Depoimento direto do participante, publicado em 17/10/2018. Restrições relatadas naquele contexto, sem extrapolação automática para 2026.
Estudo do Você Fiscal: comparação distribuída de fotografias dos boletins com resultados publicados em 2014; cobertura e limites do método.
Seções 2 e 3: planos 09, 26, 31 e 33; modalidades de confirmação e recomendações sobre o ambiente.
Seções 2 e 3: achados, retestes, medidas operacionais e documentação das barreiras.
Cláusulas primeira, segunda e quarta: objeto contratado, acompanhamento, relatório e registro de horas.
ALAS TECHNOLOGY · Urnas Brasil · Estudo documental apartidário e ilustrações esquemáticas.
Recomenda-se manter as ressalvas e as referências ao adaptar o carrossel. O dossiê faz parte da fundamentação das imagens.
