Quatro palavras para esta página.
O resultado de uma seção, impresso ao fim do dia: aptos, comparecimento, votos por candidato, brancos e nulos. Desde 2015 vem com um QR; cinco vias são impressas, e uma fica afixada na porta da seção.
A tabela em que a urna grava cada voto numa linha sorteada, em claro, sem nada que o ligue ao eleitor. É o "embaralhamento" que protege o sigilo. Fica dentro da máquina.
Um selo matemático que só a chave privada da urna produz e qualquer um confere. Está em tudo: no programa que a urna aceita rodar, na tabela de hashes da cerimônia, no boletim. Hoje é de um tipo que um computador quântico grande forjaria.
O que o eleitor leva para casa. Hoje, nada. O TSE argumenta que um papel legível compra voto e coage. Está certo para papel: um recibo que prova sem revelar é outro objeto.
Custódia e assinatura, não criptografia sobre o voto.
Lendo o que o TSE descreve, a segurança da urna é uma cadeia de custódia (a máquina não tem rede, o programa é compilado e lacrado em cerimônia pública, a mídia viaja em mãos) e de assinatura digital (o sistema só executa o que está assinado, o módulo de segurança embarcado guarda a chave, o boletim sai assinado e o servidor descarta o que não confere). O voto em si nunca é cifrado: é gravado em claro numa linha sorteada.
Isso explica por que a criptografia homomórfica, que somamos e vendemos em outras eleições, não entra na urna do TSE. Somar boletins cifrados resolve um problema que o totalizador não tem: ele já só vê agregados por seção, assinados e públicos. Dizemos isso antes de qualquer gancho, para não vender solução sem problema.
O que a cadeia deixa em aberto são três pontos, todos registrados pelo próprio TSE como escolha de desenho: o eleitor não leva prova nenhuma; a auditoria testa máquinas sorteadas, não o resultado; e toda a confiança repousa em assinaturas de um tipo que já tem data para ser forjável. É nesses três que o trabalho de 2026 adere.
O comprovante que não compra voto.
O argumento do TSE contra o comprovante de papel é correto: um papel legível vira prova para quem compra ou coage. O que a criptografia de votação oferece é um objeto diferente. O voto é cifrado na hora do Confirma; o recibo é a impressão digital do voto cifrado, publicada num quadro público encadeado; junto vai uma prova de que o conteúdo é um voto válido, sem dizer qual. O eleitor confere em casa que o seu recibo está no quadro. Não consegue mostrar a ninguém em quem votou, porque o recibo não diz.
Fizemos isso funcionar de ponta a ponta no nosso laboratório: credencial única por título, recibo, quadro encadeado, prova de voto válido e abertura do resultado só por um grupo de guardiões, três de cinco. O RDV já faz o embaralhamento por sorteio de linha, mas em claro e dentro da mesma máquina. O recibo dá ao eleitor a verificação individual que hoje só existe de forma coletiva, pelo boletim.
O limite, dito reto: recibo e prova não zeram a coação se o eleitor puder provar o conteúdo a um terceiro. O desenho mitiga, não elimina. E é exatamente o que vendemos onde não há TSE: sindicatos, assembleias e conselhos, em que hoje a alternativa é a planilha de alguém.
Auditar o resultado, não a máquina.
A auditoria da urna testa máquinas: sorteia-se um lote, vota-se nelas com cédulas conhecidas, confere-se que contaram certo. É uma boa auditoria de equipamento. Não é uma auditoria de resultado: ela não diz, com um risco declarado, que o vencedor proclamado é o vencedor. O próprio TSE chama essa verificação de amostral, e é.
Existe uma família de auditorias desenhada para a outra pergunta, as limitadoras de risco: sorteiam-se registros até que a chance de certificar um resultado errado caia abaixo de um limite escolhido. Medimos duas no nosso laboratório, numa eleição simulada com margem apertada de 1%. A que só conta cédulas precisou de 65.415; a que compara cada cédula sorteada com o registro da máquina precisou de 629, cento e quatro vezes menos. Com o risco declarado de 5%, a certificação indevida observada foi de 0,43% e 1,40%, abaixo do limite.
A condição para isso é ter um registro independente da máquina para comparar. Na urna brasileira, por desenho, ele não existe por eleitor: o boletim na porta da seção é a única cópia independente, e ela é por seção. É aqui que o gancho um alimenta o dois: o recibo publicado no quadro é exatamente o registro que uma auditoria por comparação precisa, sem papel na mão de ninguém.
A assinatura de 2028 não cabe no QR.
Tudo na urna é assinatura digital: o programa que ela aceita rodar, a tabela de hashes da cerimônia, o certificado do módulo de segurança, o boletim. São mais de quatro milhões de certificados emitidos pela autoridade certificadora da Justiça Eleitoral. Pelo verificador independente que lê os arquivos públicos do TSE, a chave de hardware da urna é uma curva elíptica de 521 bits. É forte hoje e está na família que o algoritmo de Shor quebra. Para assinaturas, o risco não é "gravar hoje, abrir depois"; é que qualquer boletim arquivado passa a ser forjável retroativamente, e a comparação boletim da porta contra portal perde o lastro.
O modelo UE2028 está sendo especificado agora, e uma urna serve por dez anos: a de 2015 ainda vota em 2026. Então perguntamos a coisa mais concreta possível: se o boletim fosse assinado com o padrão pós-quântico, ele ainda caberia no QR que o aplicativo do TSE lê? Montamos um boletim municipal no formato de texto do QR e assinamos com seis algoritmos.
| Assinatura | Bytes | Caracteres, em hexadecimal | QRs do boletim (1.100 caracteres cada) | QRs só da assinatura | Verificar 563.910 boletins, 8 núcleos |
|---|---|---|---|---|---|
| Ed25519 (o QR de hoje) | 64 | 128 | 3 | 1 | 11,2 s |
| ECDSA P-256 | 72 | 144 | 3 | 1 | 9,6 s |
| RSA-2048 | 256 | 512 | 3 | 1 | 4,7 s |
| ML-DSA-44 (pós-quântica, nível 2) | 2.420 | 4.840 | 8 | 6 | 4,9 s |
| ML-DSA-65 (pós-quântica, nível 3) | 3.309 | 6.618 | 10 | 8 | 7,3 s |
| ML-DSA-87 (pós-quântica, nível 5) | 4.627 | 9.254 | 12 | 10 | 9,1 s |
Boletim municipal fictício de 1.947 caracteres, 5 candidatos a prefeito e 150 a vereador, no formato chave:valor do manual do TSE. Cada QR leva 1.100 caracteres, dos quais cerca de 934 úteis depois do cabeçalho e do hash; o manual diz que boletins grandes já chegam a quatro QRs hoje. Com a assinatura atual o boletim fictício ocupa três. Com ML-DSA-65, dez: só a assinatura são oito. A hipótese de pôr a assinatura em bytes crus, em símbolos do mesmo tamanho, dá quatro QRs para ML-DSA-44 e cinco para ML-DSA-65, porque o limite é a impressora, não o padrão QR. O tempo é de verificação em um computador comum, para todas as urnas do país: a migração custa tamanho, não tempo.
O envelope de assinatura que a urna grava já tem um campo de algoritmo, com três valores: RSA, curva elíptica e o algoritmo próprio do centro de pesquisa das Forças Armadas. Acrescentar o padrão pós-quântico ao envelope é mudança pequena. O QR não: ou o boletim passa de três para dez símbolos impressos em papel térmico, ou a assinatura vai em QRs à parte, ou o aplicativo passa a buscar a assinatura no portal e o QR carrega só o boletim e a impressão digital dele. Qualquer das três é decisão de especificação para a UE2028, e tem que ser tomada antes de comprar a máquina, não depois. É o que descrevemos em identidade pós-quântica para dispositivos e no relógio do computador quântico.
Três decisões que cabem na especificação, não no dia da eleição.
Dar à UE2028 um módulo de segurança que troca de algoritmo.
O envelope já tem o campo. O que falta é o hardware assinar em ML-DSA e em curva elíptica ao mesmo tempo, durante a transição, e a autoridade certificadora da Justiça Eleitoral emitir certificados híbridos. Comprado sem isso, o módulo é clássico até 2038.
Decidir onde a assinatura grande vai no boletim.
Dez QRs em sequência, QRs à parte só para a assinatura, ou o QR levando só o boletim e a sua impressão digital enquanto a assinatura fica no portal. Cada escolha muda o aplicativo que o cidadão usa. Medir antes, como fizemos acima, custa uma tarde.
Publicar um registro que permita auditar o resultado.
Sem registro independente por eleitor, a auditoria limitadora de risco fica cara ou impossível. O recibo criptográfico publicado num quadro encadeado é esse registro, sem papel. É a única das três decisões que muda a experiência do eleitor, e por isso a mais lenta.
Onde isto pode estar errado.
Não dizemos que a urna é insegura
Não há fraude comprovada em trinta anos, e a cadeia de custódia e assinatura é um desenho sério. Os três ganchos tocam janelas que o próprio TSE descreve como escolhas, não falhas.
O boletim é fictício, o formato não
Usamos o formato chave:valor e o limite de 1.100 caracteres por QR do manual oficial do TSE (edição 2024), mas o boletim é inventado, com 150 candidatos a vereador. Seções reais variam de um a quatro QRs hoje. O número de QRs muda com o boletim; o tamanho da assinatura, que domina a conta, não.
A auditoria barata precisa do que a urna não tem
Os 629 registros valem para uma eleição com registro independente por eleitor. Sem ele, o número não se aplica à urna de hoje. Apresentamos o custo para mostrar o tamanho do ganho, não como algo que o TSE possa fazer amanhã.
O relógio quântico é tese, não data
Que assinaturas de curva elíptica são quebráveis por um computador quântico grande é fato. Quando esse computador existe é a nossa estimativa, e pode estar errada para os dois lados. O argumento da urna não depende da data: depende de a máquina servir dez anos.
Isto se aplica ao seu caso?
Se você organiza eleições fora da Justiça Eleitoral, num sindicato, numa cooperativa, num conselho ou numa assembleia, conte em duas linhas quantos votam e quem precisa confiar no resultado. A primeira conversa serve para ver se um recibo que não compra voto resolve, e, se a sua planilha já basta, dizemos.
← Caderno de pesquisa · Dado trancado (FHE) · Pós-quântico · stickybit.com.br
- Medição nossa (5 out 2026, corrigida em 6 out): boletim municipal fictício de 1.947 caracteres assinado com Ed25519, ECDSA P-256, RSA-2048 e ML-DSA-44/65/87 (biblioteca circl, FIPS 204); verificação de 563.910 boletins em um computador comum de 8 núcleos, mediana de execuções na mesma sessão.
- Formato e limite do QR: "QR Code no Boletim de Urna: manual para a criação de aplicativos de leitura", TSE, 2024. Até 1.100 caracteres alfanuméricos por QR por limitação da impressora térmica, formato chave:valor, hash SHA-512 encadeado entre QRs, assinatura Ed25519 no último QR com uma chave por UF publicada pelo TSE.
- Medição nossa (ago 2026): auditoria limitadora de risco em eleição simulada, margem de 1%, risco declarado 5%: 65.415 registros contando (BRAVO) contra 629 comparando com o registro da máquina; certificação indevida 0,43% e 1,40% em 1.000 auditorias.
- Laboratório de votação verificável: voto cifrado, recibo como impressão digital do voto cifrado, quadro encadeado, prova de voto válido e abertura por guardiões três de cinco; descrito em aplicações do dado trancado.
- Como a urna funciona (custódia, módulo de segurança, sistema que só roda código assinado, RDV, boletim, QR desde 2015, cinco vias, teste de integridade amostral, 563.910 urnas em 2026, UE2028 em especificação): artigo "Como funciona a urna eletrônica brasileira", TabNews, out 2026, com base em material público do TSE.
- Envelope de assinatura dos arquivos de resultado (algoritmos RSA, ECDSA e Cepesc; hash SHA-512; chave de hardware em curva de 521 bits) e arquivos brutos por urna: verificador independente var-ue (GitHub, epicleet) e arquivos públicos de resultado do TSE, dadosabertos.tse.jus.br.
- Por que assinaturas de curva elíptica e RSA são forjáveis por um computador quântico grande, e o que fazer antes: o relógio e identidade pós-quântica para dispositivos.