Um boletim. Verificável do início ao fim.
Acompanhe um único voto desde a mão do eleitor até a um resultado que qualquer pessoa no mundo pode confirmar. Quatro zonas, uma regra: o boletim em papel é a verdade, e os dados só saem de uma máquina de votação em suportes selados e assinados, transportados manualmente — nunca por rede.
Votado como pretendido
Vê e verifica o seu próprio boletim impresso antes de o colocar na urna.
Registado como votado
O boletim em papel é o registo. A máquina apenas o lê e contabiliza.
Contado como registado
Cada total é assinado digitalmente e pode ser conferido por qualquer pessoa contra o papel.
A viagem do boletim
Leia da esquerda para a direita. Repare no que falta: nenhuma ligação volta para trás a uma máquina de votação, e nada toca na internet até ao fim.
Como ler este diagrama
Software que qualquer pessoa pode inspecionar
Antes de uma eleição, o software é construído de forma aberta para que os especialistas possam confirmar o código que irá contar os votos.
- 1Compilações públicas e reproduzíveis — qualquer pessoa pode reconstruir o software e obter exatamente a mesma impressão digital.
- 2Cada versão é assinada digitalmente por vários responsáveis por chaves (um Certificado de Garantia de Software).
◆ Versão de software assinada + impressão digital da compilação
✓ Recompilar a partir do código-fonte; confirmar que a impressão digital corresponde
O centro de votação
Onde vota. Todas as máquinas estão seladas, com proteção contra adulteração e completamente desligadas da rede.
- 1Registo: um funcionário confirma que é elegível e emite um boletim de uso único.
- 2Marcação: a unidade de marcação imprime um boletim em papel que pode ler e verificar.
- 3Verificação e entrega: confirma que o papel está correto e deposita-o na urna.
- 4Contagem: o leitor ótico lê o papel e mantém um total acumulado assinado e protegido contra adulteração.
◆ Boletim em papel na urna + totais assinados dos dispositivos
✓ Cada boletim existe em papel, independentemente de qualquer máquina
Sede do município / estado
Os resultados selados são transportados fisicamente até aqui, verificados, somados e certificados.
- 1Importação: os suportes selados de cada centro chegam com um registo de cadeia de custódia.
- 2Verificação: cada assinatura de dispositivo e certificado é validado antes de qualquer número ser contabilizado.
- 3Agregação e certificação: os totais são combinados e o resultado oficial é assinado.
- 4Publicação: é preparado um Pacote de Verificação Pública para o mundo inteiro.
◆ Apuramento municipal assinado + pacote de verificação pública
✓ Some os totais assinados de cada assembleia por sua conta
Verificação pública
A única parte que toca a internet — e só pode publicar, nunca controlar seja o que for.
- 1Os resultados, certificados e relatórios de auditoria são publicados de forma aberta.
- 2Um registo de transparência imutável torna impossível alterar silenciosamente um resultado já publicado.
- 3Um verificador gratuito e de código aberto permite que qualquer pessoa confirme as assinaturas e os totais.
◆ Resultados públicos + provas do registo de transparência
✓ Execute o verificador aberto — confie na matemática, não no mensageiro
Voting center
O que é, na prática, uma unidade de votação
Cada máquina num centro de votação é o mesmo computador reforçado e de uso único — concebido para provar que não foi adulterado.
Sem ligação à rede, nunca
Sem Wi-Fi, sem Bluetooth, sem Ethernet. Os dados circulam apenas em suportes físicos selados transportados por uma pessoa.
Inviolabilidade garantida pelo hardware
Sensores monitorizam a caixa, as portas e os selos. Qualquer intrusão ativa um sinalizador irreversível e retira a unidade de serviço.
Chaves protegidas (TPM)
As chaves da máquina só são desbloqueadas se o software não tiver sido modificado e não tiver sido detetada nenhuma adulteração.
O papel é o registo oficial
A unidade imprime um boletim que verifica com os seus próprios olhos. O papel — não o ecrã — é o que é contado.
Registo de auditoria em cadeia de hash
Cada ação é registada num diário imutável que não pode ser reescrito a posteriori.
Assinado no fecho
No fecho da votação, a unidade produz um pacote de exportação assinado e selado — o único dado que alguma vez a abandona.
Três funções, uma base comum reforçada
Unidade de registo — confirma a elegibilidade e emite o código de voto de uso único.
Unidade de marcação — imprime o boletim de papel que verifica e deposita.
Digitalizador / contador — lê o papel e mantém os totais assinados.
Como pode verificar o resultado — sem ter de confiar em nós
Verificabilidade significa que não tem de acreditar na palavra de ninguém. Eis o que qualquer cidadão, jornalista ou partido pode confirmar de forma independente.
Verifique o software
Recompile o código-fonte público e confirme que a sua impressão digital corresponde à versão assinada que correu nas máquinas.
Compare a contagem com o papel
Os boletins em papel são a verdade de referência. Uma auditoria de limitação de risco compara uma amostra aleatória de papel com os totais divulgados.
Verifique as assinaturas
Descarregue o Pacote de Verificação Pública e execute o verificador gratuito e de código aberto para confirmar que cada total está devidamente assinado.
Confirme que os dados não podem ser alterados
O registo de transparência imutável garante que um número, uma vez publicado, não pode ser alterado discretamente sem que todos o percebam.
Explore a frequência de cada falha
Veja como as eleições atuais se saem face a estas salvaguardas nas jurisdições que analisámos.
A mesma sequência, por palavras
Uma explicação simples e acessível a leitores de ecrã do diagrama acima.
- 1
Antes das eleições, o software de votação é desenvolvido de forma transparente e assinado digitalmente, para que os especialistas possam confirmar exatamente o que vai ser executado.
- 2
No centro de votação — completamente offline — faz o registo de presença e recebe um código de voto de uso único.
- 3
A máquina imprime um boletim de voto em papel. O eleitor lê-o, confirma que está correto e deposita-o na urna.
- 4
Um leitor ótico conta os boletins em papel e mantém um total acumulado assinado e resistente a adulteração.
- 5
No fecho das urnas, cada máquina gera um ficheiro exportado, assinado e selado. Este é transportado fisicamente para a sede — nada é enviado pela rede.
- 6
A sede verifica todas as assinaturas, soma os totais, certifica o resultado e publica um pacote de verificação pública.
- 7
Qualquer pessoa, em qualquer lugar, pode descarregar os resultados e usar um verificador gratuito — e os boletins em papel ficam disponíveis para auditoria.