Urna eletrônica brasileira: do hardware à apuração dos votos

A urna eletrônica brasileira registra e apura os votos da seção sem conexão com a internet. Ao encerrar a votação, produz um resultado local: o Boletim de Urna. Depois, esse resultado percorre outros equipamentos e sistemas até entrar na totalização e aparecer nos canais de divulgação. A página que mostra a contagem nacional não é a urna, e a transmissão não é o momento em que cada voto é contado pela primeira vez.

Hoje, domingo, 25 de outubro, é dia do segundo turno das eleições de 2026. Para compreender a tecnologia nesse percurso, é preciso examinar mais do que o teclado: hardware, programas, preparação, identificação, registros, transporte e conferência têm funções diferentes. Este especial faz uma análise documental dessas camadas; não é uma desmontagem física nem uma auditoria independente realizada pelo Ponto Nulo.

O caminho completo, antes de abrir cada camada

Há pelo menos três operações que costumam receber o mesmo nome na conversa cotidiana:

Essa separação, descrita pelo TSE para as eleições de 2026, permite fazer perguntas mais precisas. Uma demora no transporte de uma mídia não é necessariamente uma demora para a urna contar votos. Um problema na exibição de uma página tampouco demonstra alteração no arquivo de resultado. Cada ocorrência precisa ser investigada na camada em que aconteceu.

O percurso normal pode ser resumido assim: preparar o equipamento e os dados da seção; verificar sua abertura; habilitar cada eleitor; registrar votos; encerrar e emitir o boletim; levar os arquivos ao ponto de transmissão; validar e totalizar os resultados; divulgar e permitir sua conferência.

O hardware: um computador dedicado, não um PC de uso geral

O conjunto inclui o terminal usado pelo eleitor e o terminal do mesário. Há teclado, tela, armazenamento, impressora, alimentação e componentes de segurança. As configurações variam conforme a geração; “urna eletrônica” não designa uma única placa que permaneceu igual desde os anos 1990.

Como referência concreta, a ficha técnica oficial da UE2022 informa:

Memória RAM e armazenamento têm funções distintas, mesmo com a mesma capacidade nominal nessa ficha. A RAM atende à execução; armazenamento conserva dados sem depender de manter aquele conteúdo na RAM. Já 9 Ah é capacidade de carga da bateria, não uma promessa de nove horas de autonomia: o consumo e as condições de uso também importam.

A tabela comparativa de configurações mostra diferenças entre gerações. Por isso, essa ficha não deve ser atribuída a todo equipamento de 2026, nem o nome UE2022 confundido com exclusividade de uso naquele ano. Para afirmar a composição da frota de uma eleição, seria necessário consultar o inventário correspondente.

O objetivo do hardware não é rodar qualquer aplicativo que o usuário escolha. A urna tem um trabalho delimitado e um processo controlado de preparação. A segurança, porém, não decorre de ter pouca memória, ser lenta ou parecer simples: depende de quais programas e dados ela aceita e de como isso pode ser fiscalizado.

Software, Linux e a cadeia de inicialização

Segundo a descrição técnica do TSE, reproduzida pelo TRE-SC sobre o software da urna, o equipamento usa uma distribuição Linux própria, chamada Uenux, e programas eleitorais desenvolvidos para sua função. Linux é a base do sistema operacional; não é, sozinho, o programa que registra votos.

A mesma documentação descreve uma cadeia de verificações que começa no hardware e alcança as etapas de inicialização e o software. A ideia é que o equipamento verifique a autenticidade do que vai executar, em vez de aceitar arbitrariamente um sistema gravado numa mídia. Isso é diferente de depender apenas de um antivírus depois de iniciar um computador comum.

Convém separar três conceitos que aparecem nessa arquitetura:

Uma assinatura válida não torna um software infalível. Esse limite também existe na verificação de imagens de contêiner e identidade do publicador: autenticidade, autorização e correção do comportamento são propriedades distintas. O princípio criptográfico ajuda a entender a urna, sem tornar os dois ambientes equivalentes.

Antes do domingo: código, preparação e lacração

A fiscalização começa antes de o equipamento chegar à seção. O programa de auditoria e fiscalização da Justiça Eleitoral prevê acesso ao código por entidades legitimadas, em condições específicas, além de acompanhamento de compilação, assinatura e lacração dos sistemas. Isso não equivale a dizer que toda a aplicação eleitoral está publicada num repositório aberto para qualquer pessoa baixar e reconstruir.

Também é necessário preparar dados da eleição e da seção, carregar os equipamentos e cumprir os procedimentos físicos de conferência e guarda. Lacrar o equipamento e assinar digitalmente um programa são controles diferentes: um trata da intervenção física e sua rastreabilidade; o outro, da autenticidade dos dados ou executáveis.

Para 2026, o TSE mantém uma página de resumos digitais dos sistemas do primeiro e do segundo turnos. Ela inclui componentes de preparação, transporte e totalização, não apenas o programa dentro da urna. Também explica exceções para arquivos de configuração gerados localmente, como uenux.cfg e avbootcfg.vsu.

Esse detalhe impede uma conclusão apressada: não encontrar determinado arquivo numa lista pública não basta para classificá-lo como adulterado. Primeiro é preciso conhecer o escopo daquela lista e o procedimento de verificação aplicável. No sentido inverso, baixar uma lista de hashes não comprova quais arquivos estavam instalados numa urna específica. Essa correspondência precisa ser efetivamente verificada.

Na abertura: o que a zerésima registra

Antes de receber votos, a seção emite a zerésima, relatório que apresenta a identificação e os contadores sem votos registrados. O Manual do Mesário de 2026 descreve a conferência, as assinaturas e a afixação do resumo em local visível.

A zerésima é uma evidência do estado inicial informado pelo sistema. Ela não substitui a verificação do software, a fiscalização da preparação ou os controles posteriores. A utilidade está em compor uma sequência documentada: estado de abertura, funcionamento durante o dia e resultado de encerramento.

Não é tecnicamente correto exigir que um único papel prove todas as propriedades do equipamento. Também não é correto descartá-lo por não conseguir fazê-lo. A pergunta é qual afirmação aquele registro permite conferir e com quais outros elementos ele deve ser comparado.

Identificar o eleitor não é identificar seu voto

O mesário usa seu terminal para realizar a identificação e habilitar a votação conforme o procedimento aplicável. A biometria participa dessa identificação; não serve para anexar uma impressão digital à escolha de candidato. O manual de 2026 também prevê situações de identificação sem reconhecimento biométrico bem-sucedido e os procedimentos correspondentes. O leitor não deve interpretar uma falha biométrica isolada como prova de perda ou de exposição de voto.

Há duas necessidades que precisam coexistir: controlar a habilitação para votar e preservar o sigilo da escolha. São responsabilidades diferentes. Dados que identificam a pessoa ou registram sua habilitação não devem ser confundidos com uma lista que associa nomes aos candidatos escolhidos.

A interface do eleitor, por sua vez, permite digitar, conferir e confirmar a escolha. O registro confirmado segue para estruturas de dados eleitorais; não vira uma mensagem individual enviada pela internet ao TSE a cada tecla pressionada.

RDV, boletim e log: três registros, três funções

O Registro Digital do Voto, ou RDV, guarda os votos individualizados por cargo sem uma sequência que reproduza a ordem da fila. A explicação técnica do TSE descreve a gravação em posições aleatórias para evitar a associação entre ordem de comparecimento e escolha. A página é de 2024; essa arquitetura não deve ser confundida com as datas daquele pleito.

Para o processo de 2026, a Resolução 23.751, em sua redação compilada, prevê atualização e assinatura do RDV após a confirmação dos votos, além da geração dos arquivos de encerramento.

Uma recontagem a partir do RDV e a comparação com o BU verificam consistência entre registros digitais. Isso não equivale a recontar cédulas individuais independentes do sistema. A diferença importa para avaliar o alcance de cada auditoria, sem atribuir a um procedimento uma prova que ele não produz.

O comprovante de comparecimento do eleitor também não é comprovante de voto em determinado candidato. A inexistência dessa associação verificável pelo eleitor é compatível com o sigilo; o documento não deve ser usado para tentar demonstrar uma escolha individual.

No encerramento: primeiro a seção, depois a transmissão

Encerrada a votação, a urna gera seu boletim, com totais por candidato e demais informações de identificação e contagem. O papel existe antes de a mídia de resultado seguir para transmissão. A descrição do TSE sobre o primeiro turno de 2026 apresenta a emissão normal de cinco vias obrigatórias e a disponibilidade de QR Code para leitura dos dados.

O BU permite comparar uma evidência obtida na seção com o resultado divulgado para a mesma seção. Ele não transforma cada eleitor em portador de um recibo da sua escolha; o que fica público são os totais.

A mídia de resultado transporta os arquivos para um equipamento de transmissão. Nesse estágio há comunicação de rede: o TSE descreve o uso do JEConnect, de uma VPN e de verificações de assinatura. A urna ficar desconectada durante a votação não significa que toda a infraestrutura eleitoral dispense redes.

São fronteiras diferentes. Restringir comunicação da urna reduz certas formas de acesso remoto, mas não elimina a necessidade de proteger software, mídias, preparação e cadeia de custódia. Proteger o transporte, por sua vez, não substitui conferir a origem do resultado.

Totalização não é somar qualquer arquivo recebido

O sistema precisa reconhecer resultados válidos e sua correspondência com a eleição e a seção, tratar ocorrências e consolidar o que foi aceito. A resolução de 2026 distingue a leitura de mídias, o processamento pelo Sistema de Totalização, as situações de recuperação e os procedimentos das juntas eleitorais. Não é apenas uma planilha que aceita números enviados por qualquer computador.

Há ainda uma diferença entre quantidade de seções processadas e quantidade de votos. Num exemplo inteiramente hipotético, duas seções podem ter 100 e 500 votos. Processar a primeira representa 50% das seções, mas apenas um sexto dos 600 votos do exemplo. A diferença não demonstra anomalia: os denominadores são distintos.

Por isso, percentuais de andamento precisam ser lidos com seu rótulo. A chegada dos resultados não é uma amostra aleatória de mesmo tamanho, e uma atualização da tela não representa o processamento simultâneo de todas as seções. Nada disso permite antecipar resultados de uma eleição a partir deste exemplo.

Energia, falhas e contingência também fazem parte do sistema

Ter bateria ajuda a lidar com interrupções de energia, mas não torna o equipamento imune a defeitos. O manual orienta a equipe a registrar ocorrências e acionar o suporte eleitoral. As alternativas dependem do momento e do tipo de falha; não são procedimentos para o eleitor improvisar.

A norma de 2026 prevê recuperação de dados e outras formas de processamento sob responsabilidade da Justiça Eleitoral. Também trata expressamente de hipóteses de perda irrecuperável, com consequências próprias. Portanto, seria incorreto transformar “há redundância e contingência” em “é impossível perder dados”.

Para examinar uma ocorrência concreta, seria necessário reunir a ata, os registros do equipamento, a identificação das mídias, a medida adotada e o resultado final. Uma foto de uma tela ou um número agregado de equipamentos substituídos não responde sozinho se votos foram afetados.

Que testes são feitos, e até onde eles alcançam

Auditorias diferentes procuram falhas diferentes. Na fiscalização de autenticidade, compara-se o software com as referências aplicáveis. No Teste de Integridade, uma votação de teste previamente documentada é realizada e comparada com o resultado do equipamento, sob condições definidas. O portal de fiscalização descreve esses procedimentos.

O Teste Público de Segurança tem outra função: permitir investigação técnica de possíveis fragilidades dentro de um escopo. Em maio de 2026, o TSE relatou testes de confirmação de melhorias relacionadas aos trabalhos de 2025. Esse relato trata dos testes e correções examinados; não é prova de que nenhuma vulnerabilidade possa existir em qualquer componente ou situação.

O TCU anunciou acompanhamento dos testes de integridade em 2026, incluindo locais com segundo turno. O anúncio previa relatório após a eleição. Anunciar a fiscalização não equivale a ter publicado sua conclusão: não há, neste texto, um parecer final antecipado sobre o dia 25.

Uma avaliação séria precisa preservar o objeto e o alcance de cada evidência:

Esses limites não anulam os controles. Eles indicam por que o sistema usa uma combinação de verificações e por que resultados de auditoria precisam trazer método, escopo e achados, em vez de apenas uma afirmação genérica de segurança.

O que é possível conferir sem abrir uma urna

O ponto de partida mais acessível é a comparação do BU da seção com o boletim correspondente nos canais oficiais. Use o acesso a resultados e a arquivos de urna indicado pelo TSE, confirme a eleição, o turno, o município, a zona e a seção, inclusive eventuais agregações. Só então compare os totais por candidato, brancos e nulos.

Não compare seções diferentes pelo mesmo número sem considerar município e zona. Também não confunda eleitores aptos com comparecimento ou com votos de um cargo. São campos distintos, e uma diferença entre eles exige interpretação do documento, não uma subtração sem contexto.

Se houver divergência real, preserve os documentos e seus identificadores e procure o canal oficial responsável para apuração. Publicar uma hipótese como fato antes dessa conferência acrescenta ruído justamente à verificação que se pretende fazer.

A leitura técnica da urna termina onde começou: com o percurso completo. O equipamento registra e apura; os sistemas de transporte e totalização recebem e consolidam; os canais de divulgação apresentam; registros e fiscalização permitem conferir partes desse caminho. Entender essas fronteiras é mais útil do que atribuir toda a confiança, ou toda a suspeita, a uma única peça de hardware.

Foto de capa: urna UE2020 e terminal do mesário, de Antonio Augusto/Secom/TSE, fotografados em 13/12/2021. Reprodução editorial permitida pelo TSE com crédito ao autor. Redimensionada, sem alteração de conteúdo. A foto não mostra a UE2022 da ficha técnica nem a votação de 2026.