← Tous les articles

Le Brésil défie le public d'attaquer ses machines de vote — volontairement

La cour électorale brésilienne ne se contente pas de certifier ses machines de vote — elle publie les règles et défie le public de les contourner. Voici à quoi cela ressemble concrètement, et pourquoi ce n'est toujours pas suffisant.

C'est un matin en semaine à Brasília, et un groupe de personnes qui ne sont pas des responsables électoraux — des chercheurs, des informaticiens, un ou deux technologues indépendants — sont assis devant les machines de vote électroniques du Brésil avec une mission explicite, autorisée par la cour : trouver une faille.

Ce ne sont pas des pirates au sens populaire du terme. Chacun a soumis un plan de test. Chacun a été examiné. Chacun s'est inscrit via un portail gouvernemental officiel. Et l'institution qui les a invités — la cour électorale supérieure du Brésil, le Tribunal Superior Eleitoral — n'a pas simplement ouvert la porte une fois et appelé cela la transparence. Elle a construit un processus répété et réglementé et l'a nommé le Teste Público de Segurança dos Sistemas Eleitorais : le Test Public de Sécurité.

C'est à cela que ressemble « venez vérifier vous-même » quand une autorité électorale le pense vraiment.

La plupart des pays ne s'en rapprochent jamais.

La phrase que chaque autorité électorale adore — et ce qu'elle leur coûte de dire

« L'élection a été sécurisée. » « Les systèmes ont été certifiés. » « Les audits ont confirmé le résultat. »

Chaque autorité électorale sur terre dit une version de cela après chaque vote. Presque aucune ne vous donne un moyen de le vérifier vous-même.

Cette asymétrie est le problème. Une déclaration officielle sur la sécurité a exactement autant de poids que les contrôles indépendants qui la soutiennent — ni plus ni moins. Lorsque la Cour constitutionnelle allemande a invalidé les machines de vote électroniques en 2009, elle n'a pas trouvé de preuve de fraude. Elle a trouvé quelque chose de plus fondamental : que les citoyens était priés de faire confiance à un résultat qu'ils n'avaient aucun moyen d'examiner indépendamment. La Cour a affirmé que chaque étape essentielle du scrutin au résultat doit être vérifiable par un citoyen ordinaire sans connaissance spécialisée. « Fais-moi confiance, c'était bon » a échoué le test constitutionnel.

L'Irlande a acheté 7 500 machines Nedap/Powervote et une commission indépendante n'a pas pu recommander leur utilisation — non pas parce que les machines s'étaient avérées défaillantes, mais parce que la précision et le secret ne pouvaient pas être vérifiés indépendamment à la satisfaction de la commission. Les machines ont passé des années dans un entrepôt et ont été démantelées en 2009. Le langage de la commission était précis et dévastateur : elle n'était « pas en mesure de recommander avec le degré de confiance requis » leur utilisation.

Les Pays-Bas ont tiré la même conclusion. Sa commission consultative sur le processus électoral, dans un rapport de 2007 intitulé Stemmen met vertrouwen — « Voter avec confiance » — a énoncé ce que la vérifiabilité exige réellement et a constaté que les bulletins de papier comptés manuellement répondaient à la norme tandis que les ordinateurs de vote ne le faisaient pas. Le pays est revenu au papier.

Trois démocraties différentes. Trois machines différentes. Un écart identique : personne en dehors du cercle du fournisseur ne pouvait vérifier le décompte.

Le Brésil essaie de combler cet écart d'une manière différente.

Ce que le Test Public de Sécurité est réellement

Réglementé par la Résolution TSE 23.444/2015, le Test Public de Sécurité du Brésil se déroule l'année précédant une élection générale. Le format n'est pas un événement médiatisé. C'est un exercice contradictoire.

Tout citoyen éligible peut soumettre un plan de test. Les plans qui réussissent l'examen sont approuvés. Les enquêteurs approuvés reçoivent alors un accès structuré à l'urna eletrônica — la machine de vote électronique — et aux systèmes qui l'entourent : génération des supports de scrutin, vote, dépouillement, transmission et réception de fichiers, et les systèmes d'audit utilisés pour recouper le vote électronique. Les tests couvrent l'ensemble du cycle électoral, pas seulement la machine assis dans un bureau de vote.

Ce que les enquêteurs trouvent a de l'importance — et pas seulement comme communiqué de presse. Les conclusions sont utilisées pour améliorer les systèmes avant l'élection, et les corrections sont ensuite re-vérifiées dans les tests de confirmation. C'est une boucle fermée : trouver, corriger, vérifier.

C'est catégoriquement différent d'une certification unique. Les certifications sont une photographie. Elles évaluent un système à un moment donné, dans des conditions contrôlées, par des parties dont l'accès est limité par la coopération du fournisseur. Elles portent aussi des incitations institutionnelles à certifier plutôt qu'à disqualifier — parce qu'une certification échouée signifie une élection retardée et un problème politique.

Le Test Public de Sécurité est contradictoire par conception. Les enquêteurs essaient de casser le système. Le TSE publie les règles, pas les résultats qu'il espère.

Voyez comment l'écart de vérifiabilité se manifeste dans des dizaines d'élections dans le monde

Pourquoi les tests publics contradictoires surpassent la certification privée

Considérez ce qui s'est passé à Washington, D.C. en septembre 2010. La ville était sur le point de lancer un programme de retour de bulletin de vote par Internet pour les électeurs à l'étranger et militaires. Avant de passer en direct, le Bureau des élections de D.C. a organisé un essai public et a invité le public à le sondes.

Une équipe de l'Université du Michigan dirigée par J. Alex Halderman a pris un contrôle quasi-complet du serveur pilote en environ 48 heures en exploitant une vulnérabilité logicielle. Ils pouvaient modifier chaque bulletin qui avait été émis. Ils pouvaient afficher les bulletins secrets. À titre de démonstration, ils ont programmé le système pour jouer le chant de combat de l'Université du Michigan après chaque vote simulé. Les responsables ne l'ont remarqué pendant des jours.

Voici ce qui importe : la vulnérabilité a été détectée parce que la juridiction a ouvert le système aux tests publics avant que les vrais bulletins ne soient en jeu. D.C. a abandonné le système. C'est exactement ce que les tests contradictoires sont censés faire.

La certification privée n'a pas détecté cela. Un test public invité l'a fait.

Les chercheurs de Princeton qui ont analysé une véritable machine Diebold AccuVote-TS en 2006 ont découvert qu'un attaquant ayant aussi peu qu'une minute d'accès physique pourrait installer du code qui volerait des votes tout en gardant tous les registres internes cohérents — et que le code pourrait se propager machine par machine lors des activités électorales normales. Le logiciel était fermé. Aucun test public ne l'avait surfacé. Les chercheurs l'ont trouvé parce qu'ils se sont approprié le matériel et ont regardé.

La Nouvelle-Galles du Sud a mis en place un système de vote par Internet lors de l'élection d'État de 2015 qui avait recueilli environ 280 000 votes. Un examen de sécurité fermé antérieur l'avait autorisé. Des chercheurs indépendants ont trouvé de graves défauts — y compris un mécanisme de vérification qui pouvait lui-même être manipulé — lors de l'élection en direct. Les problèmes n'avaient pas été détectés avant la divulgation des chercheurs.

Le modèle est cohérent. Les systèmes fermés, examinés en privé par des parties travaillant sous des pressions de certification, manquent des choses que les tests publics ouverts et contradictoires trouvent. Ce n'est pas une surprise. C'est le rendement attendu des deux processus différents.

Le modèle du Brésil exécute le test contradictoire à ciel ouvert, volontairement, avec une boucle de remédiation structurée. C'est la chose la plus proche de la « paranoïa institutionnelle comme fonctionnalité » qu'une autorité électorale exécute à l'échelle nationale.

Ce qu'un vrai modèle de transparence corrige — et ce qu'il ne peut pas

Il vaut la peine d'être précis sur ce que le Test Public de Sécurité prouve réellement, car le surexprimer serait une forme différente de malhonnêteté.

Le test vérifie si les enquêteurs, disposant d'un accès limité dans le temps et structuré dans des conditions définies, peuvent trouver des faiblesses exploitables. Les conclusions sont corrigées et re-vérifiées. C'est véritablement précieux. Cela fait remonter des vulnérabilités réelles. Cela crée une responsabilité pour les corrections. Cela met la charge sur l'autorité de démontrer la sécurité plutôt que de l'affirmer.

Mais cela ne prouve pas, en soi, que les machines ont compté correctement lors d'une élection spécifique. Tester un système avant une élection et auditer sa sortie lors de celle-ci sont des problèmes séparés qui nécessitent des solutions séparées. Une machine peut réussir tous les tests pré-électoraux et produire un résultat incorrect le jour du scrutin — à cause d'un bogue logiciel que le test n'a pas déclenché, d'une défaillance matérielle dans un bureau de vote spécifique, ou d'un vecteur d'attaque que les enquêteurs n'ont pas trouvé.

C'est pourquoi l'approche du Brésil est un modèle pour la transparence, pas une solution complète pour la vérifiabilité. La distinction est importante.

Un système qui publie ses règles et invite les externes à le casser est plus fiable qu'un qui ne le fait pas — mais « plus fiable » n'est pas la même chose qu'« indépendamment vérifiable par n'importe qui ».

Le pilote de D.C. a détecté sa faille parce que le test public a eu lieu avant que les vrais votes ne soient en jeu. Si la même vulnérabilité avait été exploitée le jour du scrutin contre des vrais bulletins, aucun montant de test pré-électoral n'aurait pu récupérer le décompte correct. Vous avez également besoin d'un registre durable et indépendamment vérifiable de ce que les électeurs ont réellement choisi — quelque chose que le système de D.C. n'avait pas.

La Cour suprême de l'Inde a grapillé avec exactement cette tension en avril 2024, dans Association for Democratic Reforms v. Election Commission of India. Des pétitions ont demandé à la Cour de revenir entièrement aux bulletins de papier ou d'exiger une vérification croisée à 100 % des décomptes des machines électroniques par rapport aux bulletins de l'Audit de Piste Vérifiables par l'Électeur. La Cour a refusé de ordonner l'un ou l'autre, mais elle a resserré les règles autour de la fermeture de la chaîne de contrôle et a permis aux candidats de demander la vérification de la mémoire brûlée dans 5 % des machines dans les courses contestées. Même une cour qui a maintenu un système électronique a reconnu que la confiance doit provenir de preuves vérifiables, pas des assurances de l'autorité.

Les deux mesures de protection ne sont pas des alternatives. Elles fonctionnent ensemble. Les tests publics contradictoires trouvent des faiblesses avant l'élection. Un registre de papier vérifiable permet à n'importe qui de vérifier le décompte après celui-ci.

La leçon plus difficile : ce que « le Brésil fait cela » ne vous dit pas sur votre pays

Le Brésil n'est pas un modèle d'une élection parfaite. C'est un modèle d'un mécanisme de transparence spécifique que la plupart des pays ne se donnent pas la peine d'exécuter. Ce sont des affirmations différentes, et les confondre serait exactement le genre de déférence envers l'autorité que nous essayons d'éviter.

Le Test Public de Sécurité du TSE est réel, structuré et documenté. Le fait qu'il existe ne règle pas si l'architecture totale de l'urna eletrônica est vérifiable au sens intégral que la Cour constitutionnelle allemande ou la commission néerlandaise Korthals Altes exigeraient. Il ne vous dit pas si un attaquant sophistiqué aurait pu trouver et exploiter quelque chose que les enquêteurs du test public ont manqué. Et il ne vous dit pas ce qui se passe si un initié manipule le système avant que la version évaluée par le test ne parvienne aux bureaux de vote.

Le Venezuela en 2017 offre une référence négative utile. Smartmatic — la société qui avait fourni les systèmes de vote automatisés du Venezuela depuis 2004 — a émis une déclaration publique disant qu'elle savait « sans aucun doute » que le chiffre de participation que le Conseil électoral national avait annoncé avait été manipulé, et estimé la différence entre la participation réelle et annoncée à « au moins un million » de votes. Le fournisseur a publiquement renie le résultat officiel produit sur son propre équipement. Quand même le constructeur du système ne peut pas réconcilier les chiffres et qu'un audit indépendant est indisponible, il n'y a pas de chemin vers la vérification.

Le modèle du Brésil prévient ce mode de défaillance, au moins en partie, en rendant le processus de l'autorité contestable avant que l'élection ne se produise. Mais un processus contestable et un résultat vérifiable ne sont toujours pas identiques. La correction pour l'écart restant est ce que le Colorado construit depuis 2017 — le premier État à compléter un audit limitant les risques à l'échelle de l'État — et ce que la Géorgie a démontré en 2020 quand elle a compté à la main environ 5 millions de bulletins présidentiels dans 159 comtés en moins de six jours. Un audit qui donne une confiance statistique que le résultat annoncé est correct, exécuté contre un registre de papier durable que les électeurs ont produit, ferme le cercle que le test pré-électoral ouvre.

L'architecture complète ressemble à ceci : tests publics ouverts et contradictoires avant l'élection + un registre de papier vérifié par les électeurs pendant celui-ci + un audit indépendant et statistiquement rigoureux après celui-ci. Le Brésil a institutionnalisé le premier élément. La plupart des pays n'en ont aucun des trois.

La question que vous devriez toujours poser

Après que le Test Public de Sécurité du Brésil s'exécute, le TSE publie ce qu'il a trouvé et ce qu'il a corrigé. C'est mieux qu'un communiqué de presse disant que tout allait bien.

Mais voici ce que vous, en tant que citoyen, toujours ne pouvez pas vérifier indépendamment : si le logiciel fonctionnant dans les bureaux de vote le jour du scrutin est le même logiciel que les enquêteurs ont testé. La chaîne de contrôle entre un système testé et un système déployé est une mesure de sécurité qui reçoit beaucoup moins d'attention publique que le test lui-même. C'est aussi l'une des plus difficiles à auditer sans accès indépendant au déploiement final — ce que le Test Public de Sécurité ne fournit pas.

Ce n'est pas une spéculation sur le Brésil spécifiquement. C'est une observation structurelle sur chaque système de vote électronique sur terre : l'intégrité des tests pré-électoraux dépend entièrement de si la version testée est ce qui s'exécute le jour du scrutin.

Coffee County, Géorgie en 2021 a illustré le problème inverse : le système de vote propriétaire d'une juridiction entière a été copié et divulgué par des initiés, et le code s'est répandu d'une manière qu'aucune autorité de certification n'avait anticipée. La vulnérabilité n'était pas le code testé. C'était le code étant secret — un système dont la sécurité dépendait de personne ne s'en emparant, et ensuite quelqu'un l'a fait.

Le code open-source, la vérification de compilation indépendante, les vérifications de hachage public du logiciel déployé — ce ne sont pas des luxes théoriques. Ce sont les mécanismes qui ferment l'écart entre « nous avons testé cela » et « vous pouvez vérifier ce qui s'est exécuté ».

Le Brésil exécute le meilleur programme de transparence contradictoire pré-électoral au monde. Cela vaut la peine de le dire clairement. Il vaut aussi la peine de dire clairement que « meilleur programme de transparence contradictoire pré-électoral au monde » est un seuil que la plupart des pays n'ont pas atteint, pas une ligne d'arrivée.

La ligne d'arrivée est un résultat qu'un citoyen peut vérifier indépendamment — non pas parce qu'un officiel l'a dit, non pas parce qu'un test a été exécuté, mais parce que la preuve est publique, la chaîne de contrôle est scellée et traçable, et les mathématiques d'audit s'ajoutent.

Ce système n'existe pas encore pleinement nulle part.

Voyez à quoi ressemblent les écarts de vérifiabilité dans les élections du monde · Lisez la version de 2 minutes de pourquoi cela importe · Ce que TrustVoting construit pour combler ces écarts

Sources

Voir tous les articlesExplorer les lacunes