← Tous les articles

Une machine de vote est un ordinateur. « Certifiée » ne signifie pas que vous pouvez lui faire confiance

En 2004, l'Irlande a dépensé des millions pour des machines de vote qu'elle n'a jamais utilisées, car une commission indépendante n'a pas pu prouver qu'elles fonctionnaient. Ce que « certifiée » signifie vraiment devrait vous terrifier.

C'est le printemps 2004, et quelque part dans un entrepôt de Dublin, 7 500 machines de vote sont entreposées dans leurs boîtes, neuves, payées, et ne seront jamais utilisées.

Le gouvernement irlandais avait dépensé environ 54 millions d'euros pour l'acquisition du système de vote électronique et de dépouillement Nedap/Powervote. Il avait été testé. Il avait été approuvé par les autorités compétentes. Par tous les critères conventionnels, il était prêt.

Puis une Commission indépendante sur le Vote électronique a examiné attentivement le système — et a déclaré qu'elle ne pouvait pas recommander son utilisation.

Non pas parce qu'elle avait trouvé la preuve que les machines échoueraient. Non pas parce qu'elle avait découvert une fraude ou un sabotage. La conclusion de la Commission était plus accablante que l'une ou l'autre : elle a constaté qu'elle ne pouvait pas se satisfaire quant à l'exactitude et au secret du système présenté. Les machines n'avaient pas été prouvées, à la satisfaction d'un examinateur indépendant, qu'elles fonctionneraient correctement. Et donc la position par défaut d'un gouvernement démocratique — la bonne — était : ne les utilisez pas.

Les machines sont restées en entrepôt pendant cinq ans et ont été officiellement mises au rebut en 2009, à un coût supplémentaire pour le public. L'Irlande est revenue au papier.

C'est l'histoire que la certification est censée prévenir. Elle ne l'a pas fait.

Ce que « certifiée » signifie vraiment

Voici ce qui se passe quand une machine de vote est certifiée aux États-Unis.

Un fabricant soumet son système à un laboratoire d'essai accrédité — l'un d'un petit nombre d'entreprises privées approuvées par la Commission d'assistance électorale des États-Unis. Le laboratoire teste le système par rapport à un ensemble de normes fédérales (les Directives volontaires pour les systèmes de vote, ou VVSG). S'il passe l'essai, la Commission ajoute le système à une liste de systèmes certifiés. Les États peuvent ensuite l'approuver pour utilisation.

Les essais sont réels. Les laboratoires sont accrédités. Les normes ont du poids.

Mais il y a un piège si grand qu'on pourrait y parquer les machines de vote irlandaises.

La certification est un instantané. Elle reflète ce que le logiciel faisait le jour où le laboratoire l'a testé. Elle ne garantit pas — ne peut pas garantir — que le logiciel utilisé le jour de l'élection est le même que celui examiné par le laboratoire. Elle ne suit pas la machine après sa sortie, à travers la chaîne d'approvisionnement, dans l'entrepôt, sur le camion, jusqu'au bureau de vote. Elle teste une version. Elle ne certifie pas un système vivant et déployé.

Le Bureau de la responsabilité gouvernementale des États-Unis a énoncé ce point en termes clairs dès 2005 : les efforts fédéraux pour améliorer la sécurité et la fiabilité des systèmes de vote électroniques étaient en cours, mais les activités clés restaient incomplètes. Des années après la crise qui avait déclenché la réforme fédérale, le mécanisme destiné à assurer réellement la sécurité était encore en construction. Les normes et la certification n'ont d'importance qu'une fois qu'elles existent et sont appliquées — jusque-là, « nous utilisons des systèmes certifiés » est une affirmation sans vérification complètement opérationnelle derrière elle.

Cet écart entre l'affirmation et la réalité est le modèle de menace dont traite ce texte.

L'expérience de Princeton : une minute, indétectable

En 2006, trois chercheurs de Princeton — Ariel Feldman, J. Alex Halderman et Edward Felten — ont obtenu une véritable machine de vote à écran tactile Diebold AccuVote-TS. C'était une machine certifiée, l'une des plus largement déployées aux États-Unis à l'époque.

Ils n'avaient pas besoin de mois. Ils n'avaient pas besoin d'un budget de puissance mondiale. Ils avaient besoin d'environ soixante secondes d'accès physique.

En ce temps, un attaquant pourrait installer du code malveillant sur la machine — du code qui volerait des votes tout en modifiant tous les enregistrements, journaux et totalisateurs pour rester cohérents en interne. La machine signalerait un fonctionnement correct. Les journaux signalerait un fonctionnement correct. Les totaux s'additionnaient. Et les votes seraient faux.

Plus alarmant encore : ils ont construit un vrai virus de machine de vote. Du code qui se propage automatiquement de machine en machine lors d'une activité électorale ordinaire — l'échange de routine des cartes mémoire qui se produit dans chaque juridiction le jour de chaque élection. Une machine infectée. Une carte. Une chaîne.

L'AccuVote-TS avait réussi la certification. Il avait été évalué par un laboratoire d'essai. Il avait été approuvé pour utilisation dans les élections affectant des millions d'Américains.

Rien de cela n'a arrêté ce que Princeton a démontré. Parce que la certification a testé ce que le logiciel était censé faire — non pas si un attaquant pouvait le remplacer par quelque chose d'autre.

C'est la distinction qui compte. Un laboratoire examine un système pour sa conformité avec les exigences fonctionnelles. Il n'orchestre pas une attaque hostile. Il ne demande pas : qu'est-ce qu'un attaquant motivé avec soixante secondes peut faire à cette machine avant qu'elle n'atteigne le bureau de vote ? Ce sont des questions différentes, et le processus de certification n'a pas été — et largement toujours ne l'est pas — conçu pour y répondre.

Le secret du « code source secret »

Ajoutez maintenant une autre couche.

Le logiciel à l'intérieur de ces machines est propriétaire. Un secret commercial du vendeur. Vous ne pouvez pas le lire. Le laboratoire d'essai peut le lire — selon un accord de confidentialité. La Commission peut recevoir une copie pour son référentiel. Mais le public, les candidats, les partis, les chercheurs en sécurité indépendants qui pourraient voir ce que le laboratoire a manqué : aucun d'eux ne peut voir ce qui fonctionne réellement sur la machine qui compte leurs votes.

Ce n'est pas une paranoïa hypothétique. C'est un problème documenté avec une conséquence documentée.

En janvier 2021, une entreprise de criminalistique informatique est entrée dans le bureau des élections du comté de Coffee, en Géorgie, et a copié l'ensemble du système de vote — le serveur du Système de gestion des élections, les carnets de sondage, les appareils de marquage des bulletins de vote, les logiciels de numérisation, le système Dominion à l'échelle de l'État de Géorgie. Tout. Le Bureau du Secrétaire d'État de Géorgie l'a décrit plus tard comme un accès non autorisé que d'anciens responsables des comtés ont autorisé, en violation de la loi de l'État. L'incident est documenté dans les dépositions devant tribunal fédéral dans Curling c. Raffensperger et figure dans un acte d'accusation du comté de Fulton ; plusieurs personnes impliquées ont ensuite plaidé coupable.

Voici le point que l'incident de Coffee County illustre sur le code source secret en tant que stratégie de sécurité : il a échoué dès qu'un petit groupe de personnes a obtenu un accès physique à la salle.

Les logiciels propriétaires ne sont pas protégés par leur complexité ou leur excellence. Ils sont protégés par la sécurité physique et les accords juridiques. Quand ces derniers échouent — et à Coffee County, ils ont complètement échoué — le code est exposé. La surface d'attaque est exposée à quiconque l'a reçu, où qu'il l'ait pris.

Le secret-comme-sécurité et la vérifiabilité-comme-sécurité ne sont pas la même chose. Ils sont, en fait, opposés. Un système conçu pour le secret devient plus dangereux quand le secret fuit. Un système conçu pour la vérifiabilité devient plus digne de confiance plus les gens l'inspectent.

La norme constitutionnelle allemande — et pourquoi cela importe pour vous

En 2009, la Cour constitutionnelle fédérale allemande a fait quelque chose de remarquable. Elle n'a pas attendu une attaque prouvée. Elle a statué par principe : les machines de vote électroniques dont le fonctionnement ne peut pas être vérifié indépendamment par un citoyen ordinaire — sans connaissance spécialisée — violent le principe constitutionnel de la nature publique des élections.

La Cour a constaté que cette exigence découle de la garantie constitutionnelle de légitimité démocratique de la Loi fondamentale. Les élections doivent être vérifiables publiquement. Non vérifiables par des experts sous accord de confidentialité. Non vérifiables par un laboratoire un jour spécifique. Vérifiables par les citoyens.

Les machines Nedap que l'Allemagne avait utilisées n'enregistraient les votes que dans la mémoire électronique, sans dossier indépendamment vérifiable qu'un votant pouvait inspecter. Elles ont échoué. L'ordonnance les autorisant a été jugée inconstitutionnelle. L'Allemagne est revenue au papier.

La Cour n'a pas demandé la preuve que les machines avaient été manipulées. Elle a statué qu'un système dont la justesse repose sur la confiance dans des logiciels cachés échoue le test de vérifiabilité publique indépendamment de la question de savoir si la manipulation est jamais prouvée.

Relisez cela. Pas « nous avons trouvé la fraude ». Pas « nous avons trouvé un bogue ». Le système a échoué parce qu'il ne pouvait pas être vérifié indépendamment. Cela seul était inconstitutionnel.

C'est une norme supérieure à celle que tout processus de certification américain actuellement en vigueur n'applique. Et c'est la bonne norme.

Ce que la commission irlandaise a compris

Retournez un instant à Dublin. La conclusion de la Commission irlandaise sur le Vote électronique n'était pas dramatique. Elle était prudente, précise et dévastatrice.

La Commission a souligné que sa conclusion ne constituait pas une constatation selon laquelle le système ne fonctionnerait pas — c'était une constatation selon laquelle il n'avait pas été prouvé, à la satisfaction de la Commission, qu'il fonctionnerait. Elle ne pouvait pas se satisfaire quant à l'exactitude et au secret du système présenté.

Cette formulation est importante. La charge de la preuve, selon la Commission, incombe à ceux qui déploient le système. Il ne suffit pas qu'un vendeur dise « ça fonctionne ». Il ne suffit pas qu'un laboratoire d'essai dise « ça a réussi ». Un examinateur indépendant doit pouvoir confirmer, par inspection, qu'il est exact et qu'il protège le secret du vote.

Cet examinateur ne pouvait pas. Les machines n'ont donc jamais fonctionné dans une véritable élection.

La position par défaut irlandaise — quand vous ne pouvez pas vérifier indépendamment, vous ne déployez pas — est la bonne position. C'est l'opposé de la position du spectacle de certification, qui est : si ça a réussi le laboratoire, c'est certifié, et si c'est certifié, c'est digne de confiance.

La certification est une affirmation. La vérifiabilité est une preuve. Ces deux choses ne sont pas la même.

La solution : ce que « indépendamment vérifiable » exige réellement

Alors, à quoi ressemblerait un véritable système de vote vérifiable ? Trois choses, dont aucune n'exige que le public fasse confiance à une seule autorité.

Code source public. Le logiciel qui compte les votes doit être lisible par tous. Non lisible par un laboratoire sous accord de confidentialité. Lisible par les cryptographes indépendants, les chercheurs en sécurité et les journalistes. Le système de dépouillement VSAP du comté de Los Angeles, certifié en 2018, était le premier système certifié de dépouillement électoral en source ouverte de Californie — ce qui signifie que le code qui compte les votes pouvait, en principe, être inspecté par quiconque. C'est une ligne de base, pas une ligne d'arrivée.

Constructions reproductibles. Le code source public seul ne suffit pas. Vous devez aussi pouvoir confirmer que le binaire exécuté sur la machine — le code exécutable réel, la chose qui fait le dépouillement — a été produit à partir du code source publié et rien d'autre. C'est ce que les cryptographes appellent une construction reproductible : en partant de la même source, vous devriez toujours obtenir le même binaire, afin que quiconque puisse vérifier que ce qui est déployé correspond à ce qui a été publié. Sans cela, un vendeur pourrait publier un code source propre et compiler quelque chose de différent.

Attestation cryptographique. La machine fonctionnant le jour de l'élection devrait produire un enregistrement vérifiable — signé, horodaté, inviolable — qui relie le logiciel exécuté à la version publiée et inspectable. Pas un journal papier qui peut être tranquillement réimprimé. Une chaîne cryptographique qu'une partie indépendante peut vérifier après coup sans avoir besoin de faire confiance au vendeur, à la juridiction ou au laboratoire d'essai.

Ces trois propriétés ensemble convertissent « faites-nous confiance » en « vérifiez par vous-même ». Elles ne sont pas exotiques. C'est ainsi que les logiciels critiques en matière de sécurité sont traités dans d'autres domaines à fort enjeu. Le cas suisse le prouve à partir de l'autre direction : en 2019, quand Swiss Post a publié le code source de son système de vote électronique pour examen public, les chercheurs indépendants ont immédiatement trouvé une trappe cryptographique — une faille qui permettrait à un initié de générer une transcription de preuve de mélange qui passe la vérification tout en ayant réellement modifié les votes. Le système a été suspendu en attente de correction. La faille était invisible dans une boîte noire certifiée. Elle est devenue détectable dès que le code a été public.

C'est tout l'argument. L'ouverture a détecté ce que la certification a manqué.

La question qui reste ouverte

Voici ce qu'aucune déclaration officielle, aucune certification de laboratoire, et aucun communiqué de presse « l'audit a confirmé le résultat » ne peut actuellement répondre pour les machines dans la plupart des juridictions américaines :

Le logiciel exécuté sur la machine au bureau de vote est-il le même que celui examiné par le laboratoire d'essai ?

Il n'existe pas de chaîne cryptographique de contrôle de chaîne qui permettrait à une partie indépendante de répondre à cette question. Il n'existe pas de processus de construction reproductible qui vous permettrait de vérifier. La chaîne de confiance passe par le vendeur, l'État et le laboratoire d'essai — et n'est visible à aucun d'eux une fois que la machine quitte l'entrepôt.

La déclaration conjointe du CISA après l'élection de 2020 affirmait qu'il y avait « aucune preuve qu'un système de vote a supprimé ou perdu des votes, modifié des votes, ou ait d'une manière ou d'une autre été compromis ». Cette déclaration reposait aussi, explicitement, sur l'existence de dossiers papier permettant les décomptes et audits indépendants. Lisez cela attentivement : la propre reassurance des responsables tire sa force de la vérifiabilité que le papier fournit — non pas de la certification qui l'a précédée.

Même l'affirmation officielle la plus forte « c'était sécurisé » admet implicitement que la confiance découle de la preuve vérifiable.

La Commission irlandaise avait compris cela en 2004. La Cour constitutionnelle allemande l'a inscrite dans la loi en 2009. La Suisse l'a appris de ses propres cryptographes en 2019.

La question pour chaque juridiction qui utilise toujours un logiciel de vote propriétaire, fermé et certifié-et-déployé n'est pas s'il a réussi le laboratoire. C'est si quelqu'un en dehors des murs du vendeur peut indépendamment confirmer ce qui fonctionne réellement, en ce moment, sur les machines qui compteront votre vote.

Jusqu'à ce que la réponse soit oui — vérifiablement, cryptographiquement, par toute partie indépendante qualifiée, non par une assurance officielle — « certifié » est un instantané, pas une garantie.

C'est ce que TrustVoting est construit pour changer.

Voir à quoi ressemble l'écart lié au code source secret dans les différentes juridictions →

Lisez la version de deux minutes du problème de vérifiabilité →

Explorez la carte mondiale de la transparence des systèmes de vote →

Sources

Voir tous les articlesExplorer les lacunes