Brazil đã sử dụng máy bỏ phiếu điện tử trong nhiều thập kỷ. Tất cả các máy này chạy một hệ điều hành dựa trên Linux có tên Uenux, do cơ quan bầu cử Brazil, Tòa án Bầu cử Tối cao (TSE), phát triển.

Uenux không phải là một bản phân phối Linux để bàn thông thường. Nó bao gồm kernel, bootloader, trình điều khiển, thư viện và các ứng dụng cần thiết cho máy bỏ phiếu. Máy khởi động, tự kiểm tra chữ ký số, nhận đầu vào từ bàn phím số, lưu phiếu bầu và in báo cáo giấy khi kết thúc.

Không có môi trường để bàn, không có trình quản lý gói, không có ngăn xếp mạng nào được sử dụng.

Nguồn ảnh: https://x.com/brunoborges

Tóm tắt nhanh

  • Máy bỏ phiếu điện tử của Brazil thực sự chạy một bản phân phối Linux tùy chỉnh có tên "Uenux".
  • Uenux được cơ quan bầu cử Brazil (TSE) giới thiệu vào năm 2008, sau khi cơ quan này quyết định thống nhất các hệ điều hành dùng trên máy bỏ phiếu. Nó được phát triển riêng cho phần cứng bỏ phiếu, thay vì một bản phân phối Linux để bàn tiêu chuẩn được điều chỉnh cho công việc.
  • Máy bỏ phiếu của Brazil không kết nối Internet khi cử tri đang sử dụng chúng. Chúng không dùng Wi-Fi, Bluetooth, kết nối di động hay giao diện mạng thông thường để bỏ phiếu.
  • Với cuộc bầu cử tổng thống năm 2026 (diễn ra vào ngày 4 tháng 10 năm 2026), TSE đã dùng 563,910 máy bỏ phiếu cho hơn 158 triệu cử tri đã đăng ký.

Máy bỏ phiếu đã đến với Linux như thế nào

Không phải lúc nào cũng là Linux. Chiếc máy đầu tiên vào năm 1996 là một bản sao IBM PC 386 đã được sửa đổi, chạy VirtuOS, một hệ thống giống DOS từ một trong các nhà cung cấp. Từ năm 2002, máy chạy Windows CE theo các giấy phép được cho là do Microsoft cung cấp miễn phí.

Năm 2008, TSE chuyển sang một hệ thống Linux được gọi là UEnux, với mục tiêu được nêu rõ là cắt giảm chi phí và nắm toàn quyền kiểm soát chu trình phát triển.

Máy bỏ phiếu được cách ly hoàn toàn

Máy bỏ phiếu không phải là một PC nối Internet đang chờ ai đó tìm thấy một dịch vụ đang mở. Trong khi bỏ phiếu, máy không dùng Internet, Wi-Fi hay mạng di động để liên lạc với thế giới bên ngoài. Thiết bị đầu cuối của cử tri và thiết bị đầu cuối của nhân viên điểm bỏ phiếu liên lạc cục bộ với nhau.

Máy gồm hai phần: thiết bị đầu cuối của nhân viên điểm bỏ phiếu, nơi nhập thông tin đăng ký cử tri, và thiết bị đầu cuối của cử tri bên trong phòng bỏ phiếu. Một dây cáp nối hai phần này.

Máy không có kết nối Internet, Wi-Fi hay Bluetooth, và không có phần cứng cho chúng. Vào tháng 8 năm 2026, TSE đã tháo rời một chiếc máy ngay trên truyền hình để chứng minh điều này. Các cổng vật lý cũng được niêm phong bằng tem an ninh do Xưởng đúc tiền Brazil sản xuất, giúp cho thấy liệu có ai đó đã cố mở máy hay không.

Điều đó loại bỏ rủi ro lớn nhất trong hầu hết hệ thống: kẻ tấn công từ xa. Bạn không thể SSH vào một chiếc máy không có giao diện mạng.

Ngày bầu cử: các lớp kiểm tra

Trước khi bỏ phiếu, TSE ký và niêm phong phần mềm trong một nghi lễ công khai. Mỗi bản dựng nhận một mã băm, một dấu vân tay thay đổi nếu bất kỳ phần nào của chương trình thay đổi.

Vào Ngày bầu cử, máy tự xác minh chữ ký khi khởi động và được thiết kế để từ chối chạy nếu có gì đó đã bị thay đổi. Sau đó máy in một Zerésima, tờ giấy cho thấy mọi ứng cử viên đều ở mức không.

Trong khi bỏ phiếu, mỗi lựa chọn được lưu trong Bản ghi Phiếu bầu Kỹ thuật số (RDV). Bản ghi này không gắn lá phiếu với danh tính cử tri, và thứ tự các lá phiếu được xáo trộn có chủ đích để không thể tái dựng trình tự. RDV cũng hỗ trợ kiểm phiếu lại và kiểm toán.

Máy duy trì trạng thái ngoại tuyến suốt cả ngày. Khi các điểm bỏ phiếu đóng cửa, máy:

  1. In Boletim de Urna (BU), bản kiểm đếm giấy cho điểm bỏ phiếu đó, thành năm bản. Một bản được dán tại địa điểm bỏ phiếu.
  2. Ghi kết quả vào một thẻ nhớ đã ký và mã hóa; thẻ này được mang đến văn phòng bầu cử, nơi nó đi vào mạng riêng của TSE.

Tờ giấy được dán là điểm kiểm tra then chốt. Nếu tổng số do TSE công bố cho một điểm bỏ phiếu không khớp với BU trên cửa trường học, bất kỳ ai có điện thoại đều có thể phát hiện sai lệch, và các đảng có thể độc lập cộng các BU lại để kiểm tra tổng số quốc gia. Điều đó bảo vệ chống lại sự can thiệp sau khi BU được in, chẳng hạn trong quá trình truyền hoặc kiểm đếm. Như sẽ thấy dưới đây, điều đó tự nó không chứng minh rằng máy đã đếm đúng.

Có hai kiểm tra khác đáng phân biệt:

  • Kiểm tra tính xác thực: xác minh rằng phần mềm trên máy khớp với phần đã được ký và niêm phong, bằng cách kiểm tra phương tiện, chữ ký và mã băm mật mã.
  • Kiểm tra tính toàn vẹn: các máy được chọn bằng bốc thăm; những lá phiếu giấy điền trước được nhập vào máy trước camera và có kiểm toán viên bên ngoài; kết quả đếm của máy được so sánh với giấy. Một phiên bản sinh trắc học, với cử tri tình nguyện mở khóa máy kiểm tra, đã được thêm vào năm 2024.

Hai kiểm tra này bổ sung cho nhau. Cái thứ nhất hỏi "đây có phải là phần mềm đúng không?" Cái thứ hai hỏi "phần mềm đó có đếm đúng khi được kiểm tra không?"

Các nhà nghiên cứu bảo mật đã phát hiện ra điều gì

TSE tổ chức các Cuộc kiểm tra Bảo mật Công khai, nơi các chuyên gia bên ngoài được mời tấn công hệ thống. Các phát hiện đáng để đọc, vì chúng cho thấy điều gì thực sự đã bị phá vỡ:

  • 2009: Một nhà nghiên cứu dùng một đài phát thanh chạy pin để thu phát xạ điện từ từ bàn phím từ khoảng cách hơn 20 mét, tiết lộ ai đó đã bỏ phiếu cho ai. Một sự xâm phạm quyền riêng tư.
  • 2012: Một nhóm do Diego Aranha dẫn đầu tại Đại học Brasília đã tìm thấy một khóa mật mã duy nhất bảo vệ mọi máy, được lưu trữ không được bảo vệ. Họ cũng phát hiện việc xáo trộn phiếu bầu dùng một hạt giống có thể đoán trước gắn với đồng hồ của máy, khiến họ tái dựng được thứ tự các lá phiếu tại một điểm bỏ phiếu. Một sự xâm phạm quyền riêng tư khác.
  • 2017: Các nhà nghiên cứu chạy mã của riêng họ bên trong máy và thay đổi phiếu bầu. Nhưng việc này đòi hỏi quyền truy cập vào phương tiện nạp phần mềm trước khi máy được niêm phong, cùng với dịch ngược và ký lại. Điều đó khiến nó thành con đường của người trong cuộc hoặc chuỗi cung ứng, không phải việc một kẻ bên ngoài có thể làm từ nhà hay vào Ngày bầu cử.
  • 2018: Ai đó đã xâm nhập vào chính mạng của TSE qua tài khoản của một cựu nhân viên chưa từng bị thu hồi, với mật khẩu yếu và không có xác thực hai yếu tố. Họ ở lại trong nhiều tháng và sao chép mã nguồn của JEDI, hệ thống cài đặt phần mềm lên các máy. Các chuyên gia báo cáo quyền truy cập là chỉ đọc, không có phiếu bầu nào bị thay đổi.
  • 2021: Các phát hiện gồm một bảng điều khiển giả in 3D và một thiết bị Bluetooth dùng để nghe lén âm thanh dành cho cử tri khiếm thị. Các chuyên gia của Cảnh sát Liên bang cũng vượt qua được các rào cản trên mạng truyền dẫn, dù không thể thay đổi phiếu bầu hay cấu hình.

Xin lưu ý rằng tất cả những thất bại này chủ yếu mang tính con người và quy trình (một khóa bị dùng lại, một tài khoản chưa bị thu hồi), không phải sự phá vỡ chính mật mã. Và chưa có kẻ bên ngoài nào thay đổi một lá phiếu trên một chiếc máy đã niêm phong trong một cuộc bầu cử thực tế.

TSE nói rằng họ đã khắc phục những gì các cuộc kiểm tra này phát hiện, và báo cáo rằng chưa có trường hợp gian lận nào bị phát hiện.

Chỉ trích mạnh mẽ nhất

Chỉ trích lớn nhất không phải về hack từ xa hay các thuyết âm mưu. Đó là về ai có thể xác minh độc lập lá phiếu.

Các nhà nghiên cứu như Diego Aranha lập luận rằng hệ thống của Brazil không tạo ra bản ghi về lá phiếu tồn tại độc lập với phần mềm bỏ phiếu.

Hãy xét một ví dụ đơn giản. Bạn bỏ phiếu cho Alice, nhưng phần mềm bí mật ghi phiếu của bạn cho Bob. Máy sau đó có thể in một Boletim de Urna (BU) hiển thị Bob. Tờ giấy sẽ khớp với kết quả của phần mềm, nhưng điều đó không chứng minh rằng máy đã ghi lại lựa chọn của bạn một cách chính xác. Nói cách khác, máy sẽ tự kiểm tra chính mình.

Đây là điều các nhà nghiên cứu bảo mật gọi là tính độc lập với phần mềm: bạn nên có bằng chứng về lá phiếu không phụ thuộc hoàn toàn vào việc phần mềm có trung thực hay không.

Đây là chỉ trích về thiết kế của hệ thống, không phải cáo buộc rằng các cuộc bầu cử của Brazil đã bị gian lận. Chính Aranha đã nói rằng không có bằng chứng về gian lận bầu cử. Lập luận chỉ đơn giản là, nếu ai đó có đủ quyền truy cập xoay xở làm tổn hại phần mềm, hệ thống có ít cách để chứng minh rằng phần mềm đã không thay đổi phiếu bầu.

Câu trả lời của TSE là hệ thống có nhiều lớp kiểm tra. Một trong những lớp quan trọng nhất là Kiểm tra Tính toàn vẹn, nơi các máy bỏ phiếu được chọn được đưa các lá phiếu đã biết và kết quả của chúng được so sánh với bản ghi giấy. Các máy dùng cho cuộc kiểm tra được chọn bằng bốc thăm, và cuộc kiểm tra diễn ra vào Ngày bầu cử.

Đó là bằng chứng hữu ích, nhưng nó vẫn chỉ là một cuộc kiểm tra. Một cuộc kiểm tra có thể cho thấy các máy đã hành xử đúng trong những điều kiện đó; nó không thể chứng minh rằng không phần mềm nào có thể hành xử khác đi ngoài cuộc kiểm tra.

Vậy nên bất đồng thực sự không phải là liệu các máy bỏ phiếu có các biện pháp kiểm soát bảo mật hay không. Rõ ràng là chúng có. Câu hỏi khó hơn là liệu những biện pháp đó có cung cấp đủ bằng chứng độc lập rằng phần mềm đã đếm đúng những gì cử tri thực sự chọn hay không.

Vậy thay đổi một cuộc bầu cử khó đến mức nào?

Hãy cẩn thận với lời trấn an thông thường rằng kẻ tấn công sẽ phải xâm phạm hàng chục nghìn máy từng chiếc một. Điều đó đúng với can thiệp vật lý, nhưng đó không phải cách con đường tấn công duy nhất từng thành công vận hành.

Một sự xâm phạm trong quá trình dựng hoặc nạp phần mềm, con đường duy nhất đã thành công trong một cuộc kiểm tra, nằm ở thượng nguồn của tất cả các máy, nên một điểm thất bại duy nhất có thể chạm tới nhiều máy trong số đó.

Điều thực sự khiến một cuộc tấn công quy mô lớn trở nên khó khăn là sự kết hợp của mọi thứ xung quanh nó:

  • Quyền truy cập của người trong cuộc vào quá trình dựng hoặc nạp phải chịu sự giám sát của các đảng, công tố viên, Cảnh sát Liên bang và các trường đại học.
  • Tránh bị phát hiện bởi kiểm tra tính xác thực, kiểm tra tính toàn vẹn và các kiểm tra chữ ký.
  • Sống sót qua dấu vết giấy tờ: hàng nghìn BU được dán mà bất kỳ đảng hay công dân nào cũng có thể chụp ảnh và so sánh với tổng số được công bố.
  • Sự im lặng từ các nhà phát triển, kiểm toán viên, các đảng đối thủ kiểm tra mã, và những người thu thập BU.

Điều đó không khiến nó trở nên bất khả thi. Không hệ thống nào an toàn 100%. Nhưng nó khiến việc đó trở nên cực kỳ tốn kém, và khiến cuộc tấn công trông ít giống hack mà giống một âm mưu giữa các đối thủ hơn. Kiểm tra BU là phần mà người dân thường có thể tự làm, và nó chỉ hiệu quả nếu người ta thực sự thu thập và so sánh các BU.

Kết luận

Linux cho chiếc máy một nền tảng vững chắc, tối giản. Nhưng các điểm yếu nằm ở cách hệ thống được cấu hình, niêm phong, kiểm toán và quản trị.

Hệ điều hành sẽ không ngăn một tổ chức dùng lại một khóa trên hàng trăm nghìn máy hay quên vô hiệu hóa một tài khoản cũ. Đó là những vấn đề con người, và chúng khó vá hơn.

Tài nguyên: