O Brasil faz suas eleições em Linux

As urnas eletrônicas brasileiras rodam Linux. Todos esses equipamentos usam um sistema operacional baseado em Linux chamado Uenux, desenvolvido pela autoridade eleitoral do Brasil, o Tribunal Superior Eleitoral (TSE).

Na eleição presidencial de 2026, realizada em 4 de outubro de 2026, o TSE usou 563,910 urnas eletrônicas para mais de 158 milhões de eleitores registrados.

Crédito da imagem: https://x.com/brunoborges

O Uenux não é uma distribuição Linux de desktop comum. Ele reúne o kernel, o bootloader, os drivers, as bibliotecas e as aplicações necessárias para a urna. O sistema inicializa, confere as próprias assinaturas digitais, aceita entrada de um teclado numérico, armazena votos e imprime um relatório em papel no encerramento.

Também não se trata de uma distribuição de desktop adaptada ao trabalho: o Uenux é desenvolvido especificamente para o hardware da urna. Não há ambiente de desktop, nem gerenciador de pacotes, nem pilha de rede em uso.

Como a urna eletrônica chegou ao Linux

Nem sempre foi Linux. A primeira urna, em 1996, era um clone modificado de um IBM PC 386 rodando VirtuOS, um sistema semelhante ao DOS de um dos fornecedores. A partir de 2002, passou a rodar Windows CE, sob licenças supostamente fornecidas pela Microsoft sem custo.

Em 2008, o TSE migrou para um sistema Linux conhecido como UEnux, depois de decidir unificar os sistemas operacionais usados por suas urnas. O objetivo declarado era reduzir custos e assumir o controle total do ciclo de desenvolvimento.

A urna é totalmente isolada

A urna não é um PC conectado à Internet à espera de que alguém encontre um serviço aberto. Durante a votação, a máquina não usa Internet, Wi-Fi nem redes celulares para se comunicar com o mundo exterior. O terminal do eleitor e o terminal do mesário se comunicam localmente.

A urna tem duas partes: o terminal do mesário, onde o título de eleitor é digitado, e o terminal do eleitor, dentro da cabine. Um cabo conecta os dois.

Não há conexão com Internet, Wi-Fi ou Bluetooth, nem hardware para isso. Em agosto de 2026, o TSE desmontou uma urna ao vivo na televisão para demonstrar isso. As portas físicas também são lacradas com selos de segurança feitos pela Casa da Moeda do Brasil, que ajudam a mostrar se alguém tentou abrir a máquina.

Isso elimina o maior risco na maioria dos sistemas: um atacante remoto. Não há como acessar por SSH uma urna sem interface de rede.

Dia da eleição: camadas de verificação

Antes da votação, o TSE assina e lacra o software em uma cerimônia pública. Cada build recebe um hash, uma impressão digital que muda se qualquer parte do programa for alterada.

No dia da eleição, a urna confere as próprias assinaturas na inicialização e deve se recusar a funcionar se algo tiver sido alterado. Em seguida, imprime a Zerésima, um papel que mostra todos os candidatos com zero votos.

Durante a votação, cada escolha é armazenada no Registro Digital do Voto (RDV). Ele não vincula o voto à identidade do eleitor, e a ordem dos votos é deliberadamente embaralhada para que a sequência não possa ser reconstruída. O RDV também dá suporte a recontagens e auditorias.

A urna permanece offline o dia inteiro. Quando a votação termina, ela:

  1. Imprime o Boletim de Urna (BU), a contagem em papel daquela seção, em cinco vias. Uma delas é afixada no local de votação.
  2. Grava os resultados em um cartão de memória assinado e criptografado, que as pessoas levam ao cartório eleitoral, onde ele entra na rede privada do TSE.

O papel afixado é o principal ponto de verificação. Se o total publicado pelo TSE para uma seção não corresponder ao BU na porta da escola, qualquer pessoa com um celular pode identificar a discrepância, e os partidos podem somar os BUs de forma independente e conferir o total nacional. Isso protege contra adulteração depois que o BU é impresso, como durante a transmissão ou a totalização. Como veremos abaixo, isso por si só não prova que a urna contou corretamente.

Há outras duas verificações que vale distinguir:

  • Teste de autenticidade: verifica se o software das urnas corresponde ao que foi assinado e lacrado, checando mídias, assinaturas e hashes criptográficos.
  • Teste de integridade: as urnas são sorteadas, cédulas de papel preenchidas com antecedência são digitadas nelas sob filmagem e na presença de um auditor externo, e a contagem da urna é comparada com o papel. Uma versão biométrica, com eleitores voluntários desbloqueando a urna de teste, foi adicionada em 2024.

As duas são complementares. A primeira pergunta "este é o software correto?". A segunda pergunta "esse software conta corretamente sob teste?".

O que pesquisadores de segurança encontraram

O TSE realiza Testes Públicos de Segurança, nos quais especialistas externos são convidados a atacar o sistema. Os resultados merecem leitura, porque mostram o que de fato já foi quebrado:

  • 2009: um pesquisador usou um rádio alimentado por bateria para captar emissões eletromagnéticas do teclado a mais de 20 metros de distância, revelando em quem alguém votou. Uma quebra de privacidade.
  • 2012: uma equipe liderada por Diego Aranha na Universidade de Brasília encontrou uma única chave criptográfica protegendo todas as urnas, armazenada sem proteção. Também descobriram que o embaralhamento dos votos usava uma semente previsível ligada ao relógio da máquina, o que permitiu reconstruir a ordem dos votos em uma seção. Outra quebra de privacidade.
  • 2017: pesquisadores executaram o próprio código dentro da urna e alteraram votos. Mas isso exigiu acesso à mídia de carga do software antes de a urna ser lacrada, além de engenharia reversa e reassinatura. Isso torna o caminho algo de insider ou de cadeia de suprimentos, não algo que um agente externo poderia fazer de casa ou no dia da eleição.
  • 2018: alguém entrou na própria rede do TSE por meio da conta de um ex-funcionário que nunca havia sido revogada, com senha fraca e sem autenticação de dois fatores. Ficaram por meses e copiaram o código-fonte do JEDI, o sistema que instala software nas urnas. Especialistas relataram que o acesso era somente leitura, sem votos alterados.
  • 2021: os achados incluíram um painel falso impresso em 3D e um dispositivo Bluetooth usado para escutar o áudio destinado a eleitores com deficiência visual. Peritos da Polícia Federal também passaram por barreiras na rede de transmissão, embora sem conseguir alterar votos ou configurações.

Vale notar que todas essas falhas são majoritariamente humanas e procedimentais (uma chave reutilizada, uma conta não revogada), não quebras na própria criptografia. E nenhum agente externo alterou um voto em uma urna lacrada em uma eleição real.

O TSE afirma ter corrigido o que esses testes encontraram e relata que nenhum caso de fraude foi descoberto.

A crítica mais forte

A maior crítica não é sobre hacking remoto nem teorias da conspiração. É sobre quem pode verificar o voto de forma independente.

Pesquisadores como Diego Aranha argumentam que o sistema brasileiro não produz um registro do voto que exista independentemente do software da urna.

Considere um exemplo simples. Você vota em Alice, mas o software registra secretamente seu voto em Bob. A urna poderia então imprimir um Boletim de Urna (BU) mostrando Bob. O papel corresponderia ao resultado do software, mas isso não prova que a urna registrou sua escolha corretamente. Em outras palavras, a máquina estaria verificando a si mesma.

É isso que pesquisadores de segurança chamam de independência de software: é preciso ter alguma evidência do voto que não dependa inteiramente de o software ser honesto.

Essa é uma crítica ao projeto do sistema, não uma acusação de que as eleições brasileiras foram fraudadas. O próprio Aranha disse que não há evidências de fraude eleitoral. O argumento é apenas que, se alguém com acesso suficiente conseguisse comprometer o software, o sistema tem formas limitadas de provar que o software não alterou votos.

A resposta do TSE é que o sistema tem várias camadas de teste. Uma das mais importantes é o Teste de Integridade, no qual urnas selecionadas recebem votos conhecidos e seus resultados são comparados com os registros em papel. As urnas usadas no teste são sorteadas, e o teste acontece no dia da eleição.

Isso é uma evidência útil, mas ainda é um teste. Um teste pode mostrar que as urnas se comportaram corretamente sob aquelas condições; não pode provar que nenhum software poderia se comportar de forma diferente fora do teste.

Então a discordância não é exatamente sobre se as urnas têm controles de segurança. Elas claramente têm. A questão mais difícil é se esses controles fornecem evidência independente suficiente de que o software contou o que os eleitores de fato escolheram.

Então quão difícil é mudar uma eleição?

Cuidado com a tranquilização de sempre, de que um atacante teria de comprometer dezenas de milhares de urnas uma a uma. Isso é verdade para adulteração física, mas não é assim que funciona o único caminho de ataque bem-sucedido.

Um comprometimento no processo de build ou de carga do software — a única rota que funcionou em um teste — está a montante de todas as urnas, então um único ponto de falha poderia alcançar muitas delas.

O que de fato torna um ataque em larga escala difícil é a combinação de tudo o que o cerca:

  • Acesso de insider ao processo de build ou de carga está sujeito à inspeção de partidos, promotores, Polícia Federal e universidades.
  • Evitar a detecção pelo teste de autenticidade, pelo teste de integridade e pelas verificações de assinatura.
  • Sobreviver ao rastro em papel: milhares de BUs afixados que qualquer partido ou cidadão pode fotografar e comparar com os totais publicados.
  • Silêncio de desenvolvedores, auditores, partidos rivais que inspecionam o código e das pessoas que coletam os BUs.

Isso não o torna impossível. Nenhum sistema é 100% seguro. Mas torna o ataque extremamente custoso e faz com que ele se pareça menos com hacking e mais com uma conspiração entre rivais. A conferência do BU é a parte que as pessoas comuns podem fazer por conta própria — e ela só funciona se as pessoas de fato coletarem e compararem os BUs.

Conclusão

O Linux dá à urna uma base sólida e mínima. Mas os pontos fracos estão em como o sistema é configurado, lacrado, auditado e administrado.

O sistema operacional não vai impedir uma organização de reutilizar uma única chave em centenas de milhares de máquinas nem de esquecer de desativar uma conta antiga. Esses são problemas humanos, e são mais difíceis de corrigir.

Recursos:

Boletim de Urna · Bootloader · Brasil · Brazil voting machine Uenux · Electronic Voting Machine · Kernel · Linux · Uenux · Urnas eletrônicas brasileiras rodam Linux