Resumo

  • A orientação para outubro de 2026 diz que a Assembly Voting enviará dois e-mails: um com link único e Código de Votação 1 preenchido; outro com o Código de Votação 2, igual ao Número de Registro da Assembleia Geral.
  • Na apresentação da plataforma em 2022, a RIPE NCC descreveu o número de registro como enviado por ela e o link com o outro código como enviado separadamente pela Assembly Voting. A descrição pública mudou, mas não há um mapa atual das dependências.
  • A diferença não prova insegurança, voto indevido, quebra de sigilo ou resultado alterado. Mostra apenas que dois rótulos e duas mensagens não demonstram independência, autoridade de recuperação ou separação entre identidade e cédula.
  • Um registro versionado pode informar finalidade, emissor, canal, ativação, reenvio, revogação, anonimização e escopo do observador sem expor valores secretos, dados pessoais ou detalhes exploráveis.

O roteiro do usuário deixa perguntas institucionais

A Assembleia Geral da RIPE NCC está marcada para 28 a 30 de outubro de 2026. O voto ocorrerá na plataforma terceirizada Assembly Voting. Segundo a página atual, todo eleitor registrado e elegível receberá duas mensagens da Assembly Voting. Uma contém um link individual e o Código de Votação 1 já preenchido. A outra leva o Código de Votação 2, que é idêntico ao número de registro da Assembleia Geral. As duas, segundo a página, devem chegar de um mesmo endereço remetente da Assembly Voting.

Há ainda instruções úteis. O link só fica ativo quando a votação abre. O servidor de correio do destinatário precisa aceitar TLS 1.2. O Safari pode não mostrar corretamente o campo preenchido. Quem não receber os e-mails deve falar com a equipe da Assembleia. Essa informação prática evita erros e ajuda a recuperar participação.

Ela não diz, porém, qual propriedade de segurança pertence a cada objeto. O Código 1 pode ser um token no link, um identificador ou uma referência opaca. O Código 2 pode ser um segredo independente ou um dado de registro levado para a plataforma. As fontes públicas examinadas não permitem escolher uma dessas arquiteturas.

Por isso, a contagem de mensagens não resolve a questão. Quem gera cada valor? Um sistema consegue derivar ou reconstruir o outro? Qual credencial deixa de valer depois de um reenvio? Quem pode substituir o endereço? Qual é a janela de ativação e expiração? Em que etapa a identidade, necessária para conceder o direito de voto, é desligada da escolha que deve permanecer secreta?

A falta de resposta pública não demonstra falta de controle interno. O achado deve permanecer estreito: a dependência não pode ser reconstituída pelo membro a partir do registro divulgado.

O lançamento de 2022 mostrava outra divisão

Quando adotou a Assembly Voting, a RIPE NCC publicou um relato mais abrangente. Falou em verificabilidade de ponta a ponta, votos criptografados, quadro digital de verificação e cerimônias de abertura e fechamento de chaves com a participação da Assembly Voting, da RIPE NCC e de um observador independente.

Também descreveu a autenticação em termos de origem: a RIPE NCC mandaria uma mensagem com o número de registro do membro; a Assembly Voting enviaria separadamente o link e o segundo código. A página de votação daquela época ainda explicava o recibo do voto e a consulta ao quadro digital.

Não é correto concluir que dois remetentes institucionais produziam necessariamente dois canais independentes. As mensagens podiam terminar na mesma caixa postal. Um encaminhamento podia reuni-las. A identidade visual de um remetente não prova isolamento de bancos, administradores ou autorizações. Tampouco é correto concluir que duas mensagens do mesmo remetente, em 2026, significam um único controle frágil.

O que mudou de forma comprovável foi a explicação pública. Em maio de 2026, os slides de procedimento apontavam o endereço da Assembly Voting para os e-mails. O relatório assinado chamou o acesso de “2 factor” e registrou uma primeira mensagem com Código 1 e link, seguida por uma segunda com Código 2. O guia de outubro mantém essa experiência. Falta explicar como o número originado no registro da RIPE NCC chega à plataforma, que independência conserva e por que os dois itens devem ser tratados como fatores diferentes.

Um mapa versionado eliminaria a inferência. Se só o texto mudou, o registro diria que a arquitetura permaneceu igual. Se a entrega foi centralizada para diminuir falhas, indicaria o controle compensatório. Se “fator” tem um significado próprio no produto, declararia a ameaça que cada entrada reduz.

A autenticação forte ocorre antes da urna

O registro para a Assembleia é feito no LIR Portal. A pessoa entra, escolhe a organização representada, opta por votar e recebe uma confirmação com o número de registro. A RIPE NCC informa que o 2FA é obrigatório nas contas RIPE NCC Access. A organização também precisa cumprir requisitos de filiação e situação, e a pessoa deve ter autorização adequada.

Essa etapa é uma defesa substantiva. O número de registro não nasce de um formulário público sem identidade. Ele decorre de uma sessão protegida e de uma decisão ligada a um membro elegível.

Mas o 2FA do portal não deve ser usado como explicação automática para o login posterior. No registro, prova-se que um titular de conta apresentou fatores e realizou a ação. Na votação, prova-se que alguém possui o link e o valor associado ao registro durante o período aberto. As páginas públicas não dizem que o fator original é reapresentado, ligado criptograficamente ao voto ou exigido para alterar a entrega.

Separar os sistemas pode aumentar a disponibilidade. Se toda cédula dependesse novamente do LIR Portal, uma indisponibilidade ali poderia fechar a votação. Uma plataforma independente evita essa concentração. A separação, entretanto, torna o ponto de passagem mais importante: qual afirmação de elegibilidade é entregue ao fornecedor, quem pode alterá-la e como uma correção não muda silenciosamente o conjunto de eleitores?

A recuperação é uma forma de poder eleitoral

O relatório de maio de 2026 registrou 27 pedidos de ajuda. Também declarou que, quando um endereço alternativo era fornecido à equipe, as mensagens eram reenviadas pelo sistema de votação ao novo endereço.

Não há evidência de que os 27 casos tenham sido incidentes de segurança. Filtros, incompatibilidade de TLS, mudança de responsável ou perda legítima de acesso são problemas comuns. A capacidade de recuperação protege a inclusão. A publicação do número e da prática de reenvio é um bom começo.

Mesmo assim, mudar a entrega é uma decisão de autoridade. Quem pode solicitar o novo endereço? Qual registro comprova a pessoa? O atendente precisa de aprovação adicional? O link anterior e os códigos antigos são revogados? Os dois destinos funcionam ao mesmo tempo? Motivo, horário e aprovador ficam registrados? O observador independente examina o livro de exceções?

Essas respostas podem ser agregadas. Um recibo pós-votação poderia informar quantos casos eram de entrega, quantos resultaram em substituição, quantas credenciais anteriores foram invalidadas, quantos casos elegíveis permaneceram pendentes e quais classes de evidência o observador verificou. Não é necessário publicar endereço, documento, identidade ou opção de voto.

O operador que consegue modificar o caminho de recuperação controla uma parte da entrada na urna. A regra precisa ser ampla o bastante para restaurar um eleitor legítimo e estreita o bastante para não criar uma nova autorização por conveniência administrativa.

O mapa termina onde identidade e escolha se separam

O objeto proposto deve começar no cadastro do membro. Depois acompanha a pessoa autorizada, a sessão do LIR Portal, a seleção da organização, a opção de votar, o número de registro, a transferência para o fornecedor, a geração do link, a entrega, a ativação, as falhas, o suporte, a substituição, o acesso, o depósito e o fechamento.

Cada elemento recebe um tipo: prova de identidade, autorização, segredo de posse, identificador ou referência. Recebe ainda emissor, fonte, validade, dependência e regra de revogação. O valor continua secreto; a função passa a ser pública.

Também deve aparecer a transição para o voto secreto. A elegibilidade requer identidade. O sigilo exige que a escolha não seja atribuída àquela identidade. A verificabilidade de ponta a ponta precisa permitir confirmação de inclusão ou tratamento sem transformar o recibo em prova transferível do conteúdo do voto. O sistema pode conciliar essas três propriedades, mas a atestação deve mostrar onde cada uma começa e termina.

As fontes de 2022 falavam em criptografia, quadro digital, recibo, cerimônia de chaves e observador. O guia de 2026 fala no clique. Entre os dois está o registro operacional atual: onde a credencial é consumida, onde o vínculo pessoal é protegido, o que o quadro verifica e o que o observador atesta. Um manual não substitui o modelo de ameaças, e um modelo histórico não substitui o recibo desta Assembleia.

Divulgar a estrutura, não o segredo

O mapa pode ser curto. Para a elegibilidade, publica regra, responsável, data de corte e exceções. Para a emissão, registra finalidade, emissor e versão. Para a entrega, informa classe de remetente, janela e falhas agregadas. Para a recuperação, mostra função aprovadora, regra, reenvios e revogações. Para o anonimato, declara o ponto de separação e o escopo da revisão. Para o fechamento, registra cerimônia, observador e reconciliação.

Entropia, arquitetura interna, hostnames, dados pessoais, documentos e caminhos de ataque permanecem protegidos. A transparência exigida é de governança, não de exploração.

A versão por Assembleia é indispensável. A nova ficha preserva a antiga e explica diferenças. O fato de a descrição passar de remetentes distintos para um remetente comum deixa de ser pista solta. Torna-se mudança controlada ou, se for o caso, simples mudança editorial documentada.

O mandato também precisa ser colocado no tamanho correto. Uma votação da RIPE NCC não é uma eleição de todos os usuários da Internet na região. É um ato interno de uma associação por seus membros elegíveis. Os Estatutos dão ao Conselho Executivo a responsabilidade de regular o procedimento técnico de votação eletrônica. Essa autoridade limitada produz decisões reais e deve produzir evidência real.

Na leitura de Heng Lu, nomes institucionais não substituem a execução. O avanço não está em ampliar o poder da RIPE NCC, mas em tornar verificável a camada comum mínima: elegibilidade, acesso, recuperação, auditoria, sigilo e registro. A organização já publica quase todas as peças. Falta apresentá-las como uma cadeia atual.

Fontes