A urna eletrônica completa 30 anos em 2026. À primeira vista, o dispositivo que você vai usar em outubro para votar em presidente, governador, senadores e deputados pode parecer um computador arcaico com botões grandes. Mas saiba que o dispositivo é um baita projeto de engenharia.
Saiba, também, que engenharia não é a única área envolvida. A urna eletrônica é a parte visível de um ecossistema complexo que também envolve desde software exclusivo até logística, passando por pessoas, claro. Para você ter ideia, as eleições municipais de 2024 – as últimas nas quais usamos urnas eletrônicas – mobilizaram mais de 155 milhões de eleitores e cerca de dois milhões de mesários. Juntando tudo, foi o maior pleito informatizado do mundo, segundo o Tribunal Superior Eleitoral (TSE).
Do sistema operacional customizado baseado em Linux à arquitetura com chips criptográficos dedicados em cada periférico, o Olhar Digital te explica a engenharia que blinda o hardware contra ataques físicos e digitais.
Por dentro das urnas eletrônicas: UEnux e o isolamento de periféricos
O ecossistema de segurança da urna eletrônica envolve software especializado e proteção via hardware. Isso garante que o terminal funcione de maneira isolada.
Para começar: a urna eletrônica usa UEnux, sistema operacional baseado em Linux desenvolvido para o Tribunal Superior Eleitoral (o nome junta “urna eletrônica” e “Linux”). O sistema, adotado oficialmente a partir do modelo de urna UE2008, é enxuto – só tem as aplicações estritamente necessárias para as eleições ocorrerem. Por isso, não tem terminal de comandos exposto, nem drivers ou dispositivos físicos de rede (como placas de Wi-Fi ou entradas para cabos de internet).
“Sempre que a gente diminui um software, a gente reduz a possibilidade de bugs e outros tipos de falhas”, explicou Jéferson Campos Nobre, professor do Instituto de Informática da Universidade Federal do Rio Grande do Sul (UFRGS), em entrevista ao Olhar Digital. “Essa ideia de manter o software o mais enxuto possível é um princípio de cibersegurança”, acrescentou o especialista, que também é membro do Instituto dos Engenheiros Eletricistas e Eletrônicos (IEEE).
Por ser um sistema exclusivo, ele suporta apenas o hardware oficial da urna. E impede a instalação de programas externos. Seu núcleo (kernel) tem mecanismos que validam a assinatura digital de tudo que for executado, o que garante que apenas softwares oficiais e íntegros rodem nele.
O ecossistema de segurança da urna eletrônica envolve software especializado e proteção via hardware – Imagem: Abdias Pinheiro/TSE
Como você já deve ter notado, a engenharia da urna vai além do software. Ela também usa componentes físicos para impedir substituições e adulterações. Isso acontece em três frentes:
Autenticação de periféricos: Componentes cruciais (teclado, leitor biométrico e impressora térmica) possuem chips criptográficos próprios. Eles só operam se forem reconhecidos por assinatura digital pelo sistema oficial do TSE. Assim, caso uma peça seja substituída por uma genérica ou não autorizada, a anomalia é detectada na hora;
Travamento de segurança: Equipamento possui camadas de segurança que provocam uma reação do sistema em caso de tentativa de ataque físico ou digital. Na prática, elas “travam” o programa para impedir o acesso de agentes externos;
Chip de segurança: Um chip físico, chamado Módulo de Segurança Embarcado (MSE), atua junto ao sistema interno e funciona como uma “caixa-forte” de chaves criptográficas. Esse módulo é responsável por encriptar os dados e assinar digitalmente o Boletim de Urna (BU) e o Registro Digital do Voto (RDV). Na prática, isso cria uma barreira contra fraudes, protegendo o sigilo e a integridade do voto.
Para o professor da UFRGS, o uso de hardware e sistema operacional criados para o TSE tornou o processo de votação mais rápido, padronizado, acessível e seguro. “Ter hardware com mecanismos de segurança evita que outros tipos de software sejam executados na urna”, disse Nobre. “Isso evita, por exemplo, que uma versão pirata do sistema operacional da urna seja executada nela.”
Ainda sobre a parte de software, o membro do IEEE explicou o seguinte: “Desenvolver um sistema operacional próprio – ou seja, ter acesso ao código-fonte dele – ajuda porque o Brasil não fica à mercê de um fabricante que tenha código fechado – por exemplo: a Microsoft com o Windows. É até uma questão de soberania.”
O que isso significa na prática? “Você tem o conhecimento total do sistema e, assim, evita que uma empresa – e, especialmente nesse caso, uma empresa estrangeira – detenha controle sobre uma porção do software que vai ser executado na urna”, explicou Nobre.
Por isso, é importante que esses mecanismos sejam integrados direto no hardware. Desde o início da operação do equipamento, você tem garantias de segurança. Jéferson Campos Nobre, professor do Instituto de Informática da UFRGS e membro do IEEE, em entrevista ao Olhar Digital.
Criptografia e a matemática por trás da ‘lacração’ do código
Uma parte importante do processo é a inspeção do código-fonte do TSE. Trata-se de uma auditoria obrigatória na qual a Justiça Eleitoral abre as linhas de comando dos sistemas eleitorais e da urna eletrônica para a averiguação por instituições externas.
“Essa verificação possibilita identificar vulnerabilidades, conferir mecanismos de criptografia e assinatura digital e assegurar que o software execute apenas as funções previstas”, disse o especialista membro do IEEE.
Após quase um ano de auditoria pelas instituições, os sistemas eleitorais são selados e protegidos por meio de assinaturas digitais de gestores do TSE, da Procuradoria-Geral da República e da Ordem dos Advogados do Brasil (OAB). Esse é o momento da “lacração”, ocorrido bem antes das urnas chegarem aos locais de votação. Na Cerimônia de Assinatura Digital e Lacração dos Sistemas Eleitorais, os programas são compilados, assinados por autoridades e trancados em mídias, que, então, são guardadas na sala cofre do TSE.
Nessa fase, os programas são blindados para garantir que o código-fonte verificado por entidades externas seja o mesmo a ser executado em campo. A integridade do sistema é sustentada por um chip – sim, aquele que funciona junto ao software para gerar chaves criptografadas exclusivas.
Ao ser ligada na seção eleitoral, o sistema de inicialização (boot) da urna faz uma checagem algorítmica. Em outras palavras, é uma conferência matemática. Como? Por meio daqueles mecanismos do kernel que validam a assinatura de tudo que é executado. Se a assinatura do sistema não bater com as chaves oficiais, a urna trava e não inicia de forma alguma. Isso também ocorre caso haja qualquer tentativa de ataque.
Isolamento do hardware da urna eletrônica permanece intacto mesmo após o fim da votação – Imagem: Fernando Frazão/Agência Brasil
Vale reforçar: o processo de validação ocorre de forma isolada, pois a urna não possui conexão com a internet nem a redes de dados durante a votação. É eletrônica, sim. Até digital, você poderia dizer. Mas completamente off the grid. E o isolamento do hardware permanece intacto mesmo após o fim da votação.
Quando o pleito é encerrado, o dispositivo gera o Boletim de Urna (BU) impresso e digital. O arquivo criptografado e assinado digitalmente vai para a Mídia de Resultado (MR). É uma espécie de pen drive da Justiça Eleitoral. Essa mídia é removida da urna e levada para um ponto de transmissão (JE Connect). Este usa uma VPN criptografada e uma rede privada de dados via satélite ou fibra dedicada, isolada da internet pública mundial. Por meio dessa rede exclusiva da Justiça Eleitoral, se transmite os dados a serem usados na totalização dos votos.
Aliás, o sigilo do seu voto é outro ponto assegurado pela engenharia. O Registro Digital do Voto (RDV) armazena os votos de forma embaralhada, o que impede qualquer associação entre o eleitor e a escolha registrada. “O que é transmitido não são votos individuais, mas os totais consolidados do Boletim de Urna, somados automaticamente”, explicou Nobre.
“Isso garante tanto a agilidade da apuração quanto a preservação do sigilo”, acrescentou o professor. E, assim, nossa democracia segue. O post 30 anos da urna eletrônica: entenda a engenharia que blinda seu voto apareceu primeiro em Olhar Digital.