← Tous les articles

Les auditeurs fédéraux ont averti que les mesures de sécurité électorale n'étaient pas terminées. En 2005.

En 2005, les auditeurs fédéraux ont dit au Congrès que les mesures censées sécuriser votre vote électronique n'existaient toujours pas pleinement — et « nous utilisons des systèmes certifiés » était une promesse sans vérification fonctionnelle derrière elle.

Nous sommes le 21 septembre 2005, et quelque part à Washington, un rapport de 107 pages vient d'être transmis aux commissions du Congrès. Il n'porte aucune signature partisane. Il a été rédigé par des auditeurs de carrière du Bureau de la responsabilité gouvernementale des États-Unis — l'agence que le Congrès envoie quand il veut savoir si le gouvernement fait réellement ce qu'il a dit qu'il ferait.

Le rapport s'intitule Elections: Federal Efforts to Improve Security and Reliability of Electronic Voting Systems Are Under Way, but Key Activities Need to Be Completed.

Relisez ce titre. Pas « les efforts ont réussi ». Pas « les activités clés ont été achevées ». Des activités clés doivent être achevées.

Nous sommes en 2005. Cinq ans après qu'un bulletin incomplet ait failli paralyser la démocratie américaine lors d'un recompte en Floride. Trois ans après que le Congrès ait adopté la Loi pour aider l'Amérique à voter et créé la Commission électorale spécifiquement pour résoudre cela. Et les auditeurs fédéraux disent au Congrès : le mécanisme pour assurer que les systèmes de vote électronique sont sûrs et fiables est toujours, en ce moment même, en construction.

Ce mot — incomplet — est le sujet de ce billet.

La vérification qui était censée exister

Voici ce que « nous utilisons des systèmes certifiés » est censé vous rassurer.

Cela est censé signifier : avant que votre juridiction déploie cet écran tactile ou ce lecteur optique, un organisme indépendant l'a examiné par rapport à des normes techniques publiées, a vérifié que le logiciel et le matériel respectaient ces normes, et a délivré une certification. Quand la machine compte votre vote, ce n'est pas seulement la promesse d'un vendeur en laquelle vous faites confiance — c'est un constat documenté et audité.

C'est la théorie.

En 2005, le GAO a examiné la réalité. Il a trouvé que des activités clés restaient incomplètes. Spécifiquement, il a recommandé à la Commission d'assistance électorale d'agir pour :

  • Améliorer les normes des systèmes de vote — parce que celles en place n'étaient pas totalement adéquates face aux défis de sécurité posés par les systèmes électroniques.
  • Établir des procédures de certification — parce que ces procédures n'étaient pas encore terminées.
  • Créer des référentiels pour les logiciels certifiés — afin que les juridictions, les auditeurs et les chercheurs puissent vérifier indépendamment que ce qui s'exécutait sur une machine était effectivement ce qui avait été certifié.
  • Partager des informations sur les vulnérabilités des systèmes — parce que lorsque des problèmes étaient découverts, il n'y avait aucun canal fiable pour communiquer ces informations aux personnes gérant les machines.
  • Diffuser les pratiques de sécurité recommandées — parce que les meilleures pratiques existaient, mais les communiquer aux responsables électoraux locaux n'était pas encore un système fonctionnel.

Lire le rapport GAO complet ici.

Chaque élément de cette liste est un élément constitutif de l'affirmation « nos systèmes sont certifiés ». Chaque élément incomplet est une faille dans cette affirmation. Pas une affirmation partisane. Pas une conspiration. Un constat des propres auditeurs indépendants du gouvernement fédéral, adressé au Congrès, en langage clair.

Pourquoi la vérification était importante — et ce qui s'est passé sans elle

Pour comprendre pourquoi les conclusions du GAO ont frappé si fort, vous devez comprendre ce qui était déployé dans les bureaux de vote américains à l'époque.

En 2006 — un an après le rapport du GAO — des chercheurs de l'université de Princeton ont acquis une véritable machine à voter tactile Diebold AccuVote-TS. Ariel Feldman, J. Alex Halderman et Edward Felten ont démontré qu'un attaquant disposant d'environ une minute d'accès physique pouvait installer un code malveillant qui déroberait des votes tout en modifiant tous les enregistrements internes, journaux et compteurs pour rester cohérents. Ils ont créé un virus de machine à voter fonctionnel qui pouvait se propager de machine en machine lors d'une activité électorale normale. Les machines de la famille AccuVote-TS étaient, à l'époque, parmi les plus largement utilisées aux États-Unis.

Ces machines avaient été certifiées.

La certification existait. Les normes par rapport auxquelles elle a été mesurée — c'étaient celles que le GAO a trouvé toujours nécessaire d'améliorer. Les référentiels de logiciels qui auraient permis à quiconque de vérifier que le code certifié correspondait au code en exécution — c'étaient ceux que le GAO a trouvé toujours nécessaire de construire. Les canaux de partage de vulnérabilités qui auraient poussé une découverte comme celle de Princeton à chaque juridiction utilisant ces machines — c'étaient ceux que le GAO a trouvé toujours nécessaire de créer.

Une certification sans un cadre complet, appliqué, publiquement vérifiable n'est pas une garantie. C'est une étiquette.

Les votes disparus — et rien pour les vérifier

La même année où les chercheurs de Princeton menaient leurs tests, quelque chose s'est mal passé dans le comté de Sarasota, en Floride.

En novembre 2006, les électeurs ont voté lors de l'une des courses électorales les plus serrées du pays — la 13e circonscription de Floride, finalement décidée par 369 voix. Dans le comté de Sarasota, environ 18 000 bulletins ne montraient aucun choix enregistré dans cette course. Treize pour cent de tous les bulletins déposés dans le comté. Les machines étaient des machines à voter tactiles ES&S iVotronic sans papier, ne laissant aucun enregistrement indépendant vérifié par l'électeur.

Le GAO a été appelé. Ses tests n'ont pas trouvé de dysfonctionnement de la machine causant le sous-vote. Mais — et c'est important — le propre rapport du GAO sur l'enquête a noté qu'une bande de papier vérifiée par l'électeur aurait pu fournir une confirmation indépendante que les écrans tactiles ont enregistré les votes correctement.

En d'autres termes : la seule façon de savoir si 18 000 votes ont disparu dans une erreur de machine, un défaut logiciel ou une particularité de conception était de vérifier les machines par rapport à un enregistrement indépendant. Il n'y avait pas d'enregistrement indépendant. Le processus de certification censé détecter ce genre de problèmes était celui que le GAO venait de dire au Congrès était incomplet.

La course a été certifiée. Les 18 000 sous-votes n'ont jamais été expliqués.

Rapport de test du GAO sur les sous-votes de Sarasota.

Ce sur quoi la « certification » était réellement construite

La Loi pour aider l'Amérique à voter de 2002 — adopté en urgence après Bush c. Gore — a créé la Commission d'assistance électorale et a imposé des normes minimales pour les systèmes de vote. La loi est réelle. Les fonds ont été appropriés. L'intention était authentique.

Mais HAVA a créé l'architecture d'un régime de certification. Elle n'a pas, par elle-même, en construit un. La CEE devait rédiger les normes. Embaucher les laboratoires de test. Établir les procédures. Construire les référentiels de logiciels. Créer les canaux de partage de vulnérabilités. Concevoir la dissémination des pratiques de sécurité.

En septembre 2005 — trois ans après HAVA — le GAO a trouvé ces tâches toujours inachevées. Et pendant ce temps, les États achetaient et déployaient des systèmes dans le cadre d'un régime de certification dont les fondations étaient toujours en cours de coulage.

Ce n'est pas un scandale au sens dramatique. Les bureaucraties se déplacent lentement. Les organismes de normalisation débattent de détails techniques. Les laboratoires prennent du temps pour obtenir l'accréditation. Rien de cela n'est une preuve de mauvaise foi.

Mais c'est dévastateur pour l'assurance spécifique que les responsables donnaient au public : nos systèmes sont certifiés. Un processus de certification lui-même incomplet ne peut pas certifier pleinement quoi que ce soit.

Le problème plus profond que le GAO diagnostiquait

Voici la phrase qui mérite d'être capturée : « Nous utilisons des systèmes certifiés » est une affirmation. Qu'elle signifie quelque chose dépend entièrement de l'existence réelle de la vérification derrière elle.

Le rôle du GAO est la vérification institutionnelle — un organisme qui ne fait pas confiance aux déclarations officielles mais qui va vérifier. Quand il va vérifier la sécurité des systèmes électoraux et revient en disant que les activités clés nécessaires pour soutenir la fiabilité de ces systèmes sont toujours incomplètes, ce n'est pas une anomalie du système. C'est le système fonctionnant comme prévu, mettant en avant une lacune qui resterait autrement invisible.

Ce que le GAO a trouvé en 2005 est structurellement le même problème que les tribunaux et les chercheurs indépendants ont trouvé partout où le vote électronique a été examiné sans déférence aux assurances officielles.

En Allemagne en 2009, la Cour constitutionnelle fédérale a jugé que l'utilisation de machines à voter électroniques exige que les étapes essentielles du vote et du comptage puissent être examinées par des citoyens ordinaires sans connaissance spécialisée — une norme que les machines en usage n'ont pas respectée. La cour n'a pas dit que la fraude s'était produite. Elle a dit que la conception du système rendait la vérification impossible, et qu'une démocratie ne peut pas organiser des élections dont la correction ne peut être acceptée que par la foi. (Bundesverfassungsgericht, 3 mars 2009.)

En Irlande, une commission indépendante a examiné le système Nedap/Powervote que le gouvernement avait acheté, a trouvé qu'elle ne pouvait pas se satisfaire quant à la précision et au secret du système, et a décliné de recommander son utilisation. Les machines n'ont jamais été déployées et ont finalement été mises au rebut. (Rapport intermédiaire de la Commission sur le vote électronique.) La conclusion de la commission n'était pas « le système échouera ». C'était : le système n'a pas été prouvé fonctionner à notre satisfaction. C'est la norme épistémologique correcte — et la norme que le GAO appliquait également.

Aux Pays-Bas, une commission gouvernementale a conclu en 2007 que la transparence et la vérifiabilité étaient des fondations non négociables d'un dépouillement fiable, et que le vote électronique était acceptable seulement s'il produisait un enregistrement papier que l'électeur pouvait vérifier. Le pays a abandonné les ordinateurs de vote. (Adviescommissie inrichting verkiezingsproces, 'Stemmen met vertrouwen.')

Chacun de ces jugements disait, dans un langage juridique et culturel différent, exactement ce que le GAO a dit en anglais américain simple en 2005 : le cadre pour vérifier indépendamment ces systèmes n'est pas complet, et tant qu'il ne l'est pas, les assurances officielles sont des affirmations sans vérification fonctionnelle derrière elles.

À quoi ressemble réellement l'achèvement

Il est possible de construire un régime de certification et de vérification qui signifie quelque chose. Les propres recommandations du GAO sont un plan : finir les normes, établir les procédures, construire les référentiels, partager les vulnérabilités, diffuser les pratiques. Chaque étape est réalisable.

Au-delà, une poignée de juridictions ont montré à quoi ressemble la vérifiabilité réelle dans la pratique.

Le Colorado en 2017 est devenu le premier État à accomplir un audit à risque limité à l'échelle de l'État — une méthode statistique qui ajuste la taille de l'échantillon de vérification manuelle à la proximité de la course, offrant un niveau défini de confiance plutôt que le faux confort d'une vérification de pourcentage fixe. Secrétaire d'État du Colorado, novembre 2017. La Géorgie en 2020 a compté manuellement environ 5 millions de bulletins dans le cadre d'un audit à l'échelle de l'État et a trouvé que les totaux des machines correspondaient à un dixième de pour cent — non parce que les responsables l'ont dit, mais parce que tout observateur pouvait regarder le comptage. Georgia Public Broadcasting, novembre 2020. Le comté de Los Angeles a construit un système de dépouillement des votes appartenant à l'État et source ouverte — le premier certifié en Californie — afin que le code comptant les votes puisse être lu et inspecté par n'importe qui, pas seulement le vendeur. Secrétaire d'État de Californie, août 2018.

Ce ne sont pas des solutions théoriques. Elles existent. Elles ont été utilisées. Elles produisent des résultats que n'importe qui peut vérifier indépendamment, plutôt que des résultats dont la correction dépend de faire confiance à ce qu'un processus de certification — quelque part, à un moment donné — était complet.

C'est la différence entre une assurance et une preuve.

Ce qui est toujours non vérifiable

Le rapport du GAO a maintenant près de deux décennies. La CEE a poursuivi ses travaux. Des normes ont été développées et mises à jour. Certains États font des audits post-électoraux rigoureux. D'autres ne le font pas.

Mais le défi fondamental du GAO n'a jamais été entièrement résolu au niveau national, et le problème structurel qu'il a identifié — que le mécanisme de vérification est ce qui importe, pas la présence d'une étiquette de certification — reste pertinent.

Voici ce qui n'est toujours pas indépendamment vérifiable dans la plupart des juridictions américaines :

Si le logiciel s'exécutant sur une machine certifiée est le même logiciel qui a été certifié. Sans un référentiel de logiciels fonctionnel et public lié à chaque version certifiée, une juridiction et ses électeurs ne peuvent pas vérifier cela indépendamment. La certification de la version X n'a aucun sens si la version X+1 est ce qui a été exécuté le jour du scrutin.

Si une machine qui a réussi les tests de pré-élection s'est comportée de manière identique le jour du scrutin. La certification teste une machine à un moment donné. Sans des pistes d'audit continues et indépendamment vérifiables liées aux bulletins physiques, le comportement du jour du scrutin est attesé par la machine elle-même.

Si un sous-vote comme celui de Sarasota 2006 était une préférence de l'électeur ou une défaillance de la machine. Seule une bande de papier vérifiée par l'électeur, auditée par rapport aux totaux électroniques par quelqu'un d'indépendant du vendeur et de la juridiction, peut répondre à cette question. Dans une course serrée, la réponse est la course.

Le remède n'est pas un communiqué de presse amélioré d'une autorité électorale. Ce n'est pas une déclaration selon laquelle l'élection était la plus sûre de l'histoire. Le remède est un système dont les résultats — au niveau du scrutin, lisibles par machine, liés au papier vérifié par l'électeur — peuvent être téléchargés, vérifiés et conciliés par n'importe quel membre du public, à n'importe quel moment, sans demander la permission à quiconque.

C'est ce que le GAO demandait en 2005. C'est toujours la bonne question.

Voir comment cette lacune apparaît dans différents pays et systèmes →

Lire le résumé de deux minutes de ce qu'exigent réellement les élections vérifiables →

Sources

Voir tous les articlesExplorer les lacunes