← Tous les articles

232 votes disparues dans un ordinateur, et un tribunal a ordonné une nouvelle élection

Un tribunal a ordonné une nouvelle élection — non pas parce que quelqu'un a prouvé une fraude, mais parce que 232 électeurs ont appuyé sur « confirmer » et leurs votes ne sont tout simplement jamais arrivés.

C'est la matinée du 9 avril 2009, et un juge à Helsinki vient de faire quelque chose que la Finlande n'avait jamais fait auparavant : ordonner à trois municipalités de tenir à nouveau leurs élections, de zéro.

Aucun bulletin n'a été brûlé. Aucune boîte ne contenait de votes supplémentaires. Aucune conspiration. Juste 232 personnes qui sont entrées dans un bureau de vote, ont fait leur choix sur un écran tactile, et sont reparties en croyant avoir voté — alors qu'en réalité, la machine avait rejeté ce qu'elles avaient fait.

Leurs votes avaient disparu, et elles ne le savaient pas.

La Cour suprême administrative finlandaise, dans sa décision KHO:2009:39, a été sans équivoque : le projet pilote de vote électronique mené à Karkkila, Kauniainen et Vihti lors des élections municipales de 2008 présentait des défauts fatals. Les électeurs qui choisissaient d'utiliser l'option électronique devaient attendre une étape de confirmation finale après avoir fait leur choix. Beaucoup ne l'ont pas fait. Les instructions étaient défectueuses. La conception de la machine était déroutante. Ainsi, certains ont retiré leur carte à puce avant que le vote soit enregistré — et le bulletin a disparu silencieusement dans le néant.

Le système ne leur a donné aucun reçu. Aucun « votre vote a été enregistré ». Aucun moyen de savoir si la machine avait conservé ce qu'ils lui avaient donné.

C'est ce silence dont parle cet article.

La machine a pris votre vote et n'a rien dit

Réfléchissez à ce que « voter » signifie réellement au niveau mécanique. Vous faites un choix. Vous enregistrez ce choix sous une forme durable. Quelqu'un — ou quelque chose — compte l'enregistrement durable. Le décompte devient le résultat.

Chacune de ces étapes doit fonctionner. Cassez n'importe quel lien de cette chaîne, et le décompte n'est plus un décompte de ce que les électeurs ont décidé. C'est un décompte de ce que la machine a préservé.

Dans le projet pilote finlandais, la rupture s'est produite entre la première et la deuxième étape. Les électeurs ont fait leur choix. Mais 232 d'entre eux sont partis avant que la machine confirme que le vote avait été enregistré — parce que rien dans la conception ne leur disait qu'ils devaient attendre, et rien ne leur a indiqué après coup que cela avait échoué.

Deux cent trente-deux votes, disparus. Silencieusement. Contre la volonté des électeurs.

Le tribunal a jugé qu'il ne s'agissait pas d'une simple anomalie administrative. C'était un défaut structurel de la méthode de vote elle-même. Il a annulé les élections. La Finlande n'a pas relancé le projet pilote électronique.

Cette décision devrait être lue lentement. Le tribunal n'avait pas besoin de preuves de fraude. Il n'avait pas besoin de prouver que les votes manquants auraient changé l'issue. Le critère qu'il a appliqué était plus simple et plus strict : une méthode de vote n'est légitime que si chaque vote exprimé est enregistré de manière vérifiable. Si les électeurs ne peuvent pas confirmer que leur bulletin a été capturé, la méthode échoue — point final.

La « confirmation » n'est pas un problème d'expérience utilisateur. C'est un problème constitutionnel.

La présentation facile est que la Finlande avait un bug logiciel. Améliorer les instructions, ajouter un écran de confirmation plus clair, relancer un meilleur projet pilote la prochaine fois. Problème résolu.

Mais cette présentation omet ce que le tribunal a réellement dit.

La question n'était pas de savoir si l'interface pouvait être améliorée. La question était : qu'est-ce qu'un électeur peut vérifier, et quand ? Dans le système finlandais, la réponse était : rien, et jamais. L'électeur appuyait sur un bouton et faisait confiance à la machine. Il n'y avait pas d'artefact indépendant et durable — pas de papier, pas de reçu cryptographique, pas de dossier au niveau du bureau de vote — que l'électeur pouvait inspecter pour confirmer que la machine avait fait ce qu'il demandait.

Ce n'est pas un problème d'expérience utilisateur réparable. C'est une erreur de catégorie dans la façon dont le système a été conçu.

Comparez-le à la norme énoncée par la Cour constitutionnelle fédérale allemande la même année — 3 mars 2009, quelques semaines seulement avant la décision finlandaise — lorsqu'elle a invalidé l'utilisation des machines de vote électronique Nedap aux élections du Bundestag de 2005. La cour allemande a jugé que les étapes essentielles du vote et du décompte « peuvent être examinées par le citoyen de manière fiable et sans connaissance spécialisée ». Pas examinées par des auditeurs. Pas examinées par le fournisseur. Par les citoyens ordinaires. Parce que tout ce qui est moins que cela rend la légitimité démocratique contingente de faire confiance aux bons experts — ce qui n'est pas la démocratie, c'est la délégation.

Les 232 votes manquants de la Finlande sont exactement ce que la cour allemande décrivait dans l'abstrait. Quand l'étape d'enregistrement est invisible et non vérifiable, l'électeur n'a aucun recours. Il ne peut pas savoir si son vote était parmi les 232 qui ont disparu. Personne d'autre non plus, jusqu'à ce que quelqu'un fasse les comptes et découvre que 232 personnes sont enregistrées comme ayant commencé le processus mais ne l'ayant pas terminé.

Remarquez : l'erreur n'a été détectée que parce que le système a enregistré les sessions incomplètes. Et si ce n'avait pas été le cas ? Et si la machine avait simplement ne pas compté sans laisser aucune trace ? Comment quelqu'un aurait-il pu le savoir ?

Le chiffre qui devrait vous mettre mal à l'aise

Deux cent trente-deux votes. Dans trois petites municipalités. Cela semble gérable.

Faites maintenant les calculs dans une direction différente.

Le projet pilote finlandais impliquait un nombre modeste d'électeurs dans une élection locale. Les 232 bulletins perdus représentaient environ 2 % des votes électroniques exprimés. Deux pour cent n'est pas une erreur d'arrondi. Dans une course serrée — et de nombreuses courses sont décidées par moins de 2 % — un abandon silencieux à ce taux change les résultats.

Plus important encore : c'était le taux d'échec d'un système qui a été détecté. La seule raison pour laquelle nous connaissons ces 232 votes est que le système a conservé suffisamment de métadonnées pour reconstruire ce qui s'était passé. Le tribunal avait quelque chose à examiner.

Considérez maintenant les cas où il n'y a rien à examiner.

Dans le comté de Sarasota, en Floride, en 2006, environ 18 000 votes n'ont pas été enregistrés dans une seule course électorale décidée par 369 votes. Les machines étaient des écrans tactiles sans papier — aucun dossier indépendant, aucune piste. Le GAO a testé les systèmes et n'a pas pu identifier de dysfonctionnement, en partie parce qu'il n'y avait rien d'indépendant à tester. Les votes en moins auraient pu être un choix de l'électeur. Cela aurait pu être une panne de machine. Personne ne pouvait le dire.

L'erreur de la Finlande a été détectée. Celle de Sarasota ne l'a jamais été. La différence n'était pas la qualité des agents électoraux. C'était ce que le système laissait derrière.

Ce que « vérifiable par l'électeur » doit vraiment signifier

C'est là que cela devient précis — et c'est là que la plupart des discussions électorales se trompent.

« Vérifiable par l'électeur » est devenu une phrase que les agents électoraux et les fournisseurs attachent à presque n'importe quoi avec un composant papier. Mais tout le papier n'est pas identique.

Un appareil de marquage de bulletin qui imprime vos choix et les encode ensuite dans un code QR vous donne un morceau de papier. Mais en 2020, une cour fédérale examinant le système de la Géorgie a constaté que le système « ne fournit pas un dossier de bulletin vérifiable et auditable parce qu'il s'appuie sur le code QR pour le dépouillement et ce code lui-même ne peut pas être lu et vérifié par l'électeur ». La machine dépouille à partir du code-barres. L'électeur lit le texte humain. Si ces deux choses ne concordent pas, l'électeur n'a aucun moyen de le savoir. Un recompte manuel du papier vérifie la production du code-barres, pas l'intention de l'électeur.

C'est une piste de papier. Ce n'est pas une vérification par l'électeur.

La véritable vérification par l'électeur signifie que l'artefact qui est décompté est le même artefact que l'électeur peut inspecter et confirmer indépendamment. Un bulletin marqué à la main par l'électeur le satisfait. Un imprimé lisible par l'homme qui est décompté à partir d'un dossier lisible par l'homme le satisfait. Un code QR que l'électeur ne peut pas lire ne le satisfait pas. Un écran tactile sans papier du tout — comme celui de Sarasota — ne le satisfait pas.

La Commission Korthals Altes du gouvernement néerlandais en 2007 l'a énoncé clairement dans son rapport « Stemmen met vertrouwen » (Voter en confiance) : « Il n'y a pas de secrets dans le processus électoral. » Toute méthode électronique n'est acceptable que si elle produit un vote papier que l'électeur peut vérifier. Les Pays-Bas ont abandonné complètement leurs machines à voter et sont retournés aux bulletins marqués à la main. Non pas à cause d'une fraude. Parce que la norme de vérifiabilité n'avait pas été respectée.

Les Finlandais ont atteint la même destination deux ans plus tard, par une route différente. Leurs écrans tactiles n'ont produit aucun dossier vérifiable du tout. La norme théorique de la commission est devenue la décision concrète d'une vrai cour : tenir les élections à nouveau.

Le problème qui ne s'annonce pas

Voici la partie véritablement troublante du cas finlandais : le système a échoué silencieusement.

Aucune alarme ne s'est déclenchée. Aucun message d'erreur n'est apparu. Aucun agent électoral n'a remarqué. Les 232 électeurs sont sortis du bureau de vote ayant fait tout ce qu'ils croyaient être nécessaire. L'échec était invisible pour les personnes qu'il a lésées, invisible pour les agents électoraux qui menaient l'élection, et invisible pour tous les autres jusqu'à ce que quelqu'un examine les journaux après coup.

L'échec silencieux est le pire type d'échec dans un système de vote, car au moment où vous le découvrez, l'élection est terminée et les dégâts sont faits.

Comparez cela à un scénario où une pile de bulletins papier s'envole d'un bureau de vote dans une rafale de vent. Évident. Récupérable. Des témoins. Une chaîne de contrôle qui peut être reconstruite ou, au pire, documentée comme cassée. Un tribunal peut examiner le dossier physique. Les observateurs peuvent compter ce qui reste.

L'échec électronique silencieux ne laisse rien de tout cela. Il laisse un chiffre qui semble complet, produit par un processus qui semble avoir fonctionné, dans un système qui ne donne aucun signal externe qu'un quelconque problème s'est produit.

C'est pourquoi le dossier pour une confirmation vérifiable par l'électeur n'est pas une préférence de conception. C'est une exigence minimale pour savoir si une élection a eu lieu du tout.

Lorsque des chercheurs indépendants ont examiné le système de vote par internet national de l'Estonie lors des élections municipales de 2013, ils ont découvert qu'un attaquant bien doté de ressources ou un initié malhonnête pouvait plausiblement compromettre les votes ou la vie privée des électeurs sans détection. L'article publié recommandait à l'Estonie d'abandonner le système. Les autorités estoniennes ont contesté les conclusions — mais le mot critique dans cet échange est sans détection. Une attaque silencieuse sur une élection nationale en direct. Aucune alarme. Aucun journal d'erreur. Aucuns 232 électeurs identifiés après coup.

Les chercheurs ont pu soulever la préoccupation précisément parce qu'au moins une partie du code et des procédures du système était disponible pour un examen indépendant. L'inspectabilité est ce qui a rendu la préoccupation énonçable. Sans elle, la question « cela a-t-il fonctionné correctement ? » n'a qu'une seule réponse disponible : faites-nous confiance.

« L'audit l'a confirmé » est une affirmation, pas une preuve

Il y a une version de cette histoire qui se termine confortablement. Les agents électoraux découvrent le problème. La cour agit. De nouvelles élections sont tenues. Le système est amélioré. Coché.

Mais cette version vous demande de traiter la détection et la réponse comme la leçon, alors que la leçon plus difficile est ce qui n'était pas détectable.

Dans le comté d'Antrim, au Michigan, en 2020, les mauvais résultats ont été publiés et détectés — mais ils ont été détectés parce qu'ils étaient implausiblement mauvais pour un comté dont la politique était connue de tous. Une erreur plus subtile, celle qui décalerait une course serrée de quelques centaines de votes sans faire que le comté semble s'être retourné vers un autre parti, aurait pu passer inaperçue. Et le recompte manuel ultérieur — la vérification du « standard d'or » — a néanmoins différé du dépouillement électronique d'environ une douzaine de votes sur environ 15 700 exprimés. Une différence de douze votes, produite par la méthode manuelle la plus fiable disponible.

Dans une course décidée par une douzaine de votes, une méthode qui elle-même est décalée de une douzaine de votes ne peut pas trancher la question. « L'audit l'a confirmé » et « le Secrétaire d'État dit que tout va bien » sont des réassurances. Ce ne sont pas des preuves. La preuve exige que le processus sous-jacent soit indépendamment vérifiable par tous — non pas seulement par les agents dont le travail consiste à vous dire que tout va bien.

La cour finlandaise l'a compris. Elle n'a pas attendu la preuve d'une fraude. Elle n'a pas accepté les réassurances officielles que le système fonctionnait généralement bien. Elle a demandé : un électeur peut-il indépendamment confirmer que son bulletin a été capturé ? La réponse était non. C'était suffisant.

La Géorgie en 2020 a effectué un recompte manuel complet d'environ cinq millions de bulletins — le plus grand exercice de ce type dans l'histoire des États-Unis — et la variation entre le décompte électronique et le décompte manuel était d'environ un dixième de un pour cent. C'est une preuve que le papier plus un audit permet à n'importe qui de vérifier une course serrée. C'est le modèle : un dossier durable et lisible par l'homme, décompté indépendamment, par des observateurs qui peuvent voir chaque bulletin. Cela fonctionne parce que l'artefact qui est décompté est le même artefact que n'importe qui peut inspecter.

La question après la Finlande, après Sarasota, après le comté d'Antrim, est toujours la même : qu'est-ce que le système laisse derrière, et qui peut le vérifier ?

Ce qui rendrait vraiment cela vérifiable

Le cas finlandais est impeccable à un égard : dès que la cour a ordonné de nouvelles élections, l'erreur a été corrigée. Les 232 électeurs avaient un recours.

Mais un recours après coup n'est pas la même chose qu'un système qui ne peut pas échouer silencieusement en premier lieu. Voici ce que « ne peut pas échouer silencieusement » exige :

Premièrement : l'électeur doit pouvoir vérifier, avant de quitter le bureau de vote, que son bulletin a été enregistré. Non pas un écran qui dit « merci d'avoir voté ». Une confirmation qui est liée à un artefact indépendamment vérifiable — un papier physique que l'électeur peut inspecter, un engagement cryptographique que l'électeur peut vérifier plus tard par rapport à un dossier publié, ou les deux.

Deuxièmement : l'artefact qui est décompté doit être le même artefact que l'électeur a confirmé. Un code QR que l'électeur ne peut pas lire échoue ce test. Un bulletin marqué à la main que l'électeur a marqué lui-même le passe.

Troisièmement : des auditeurs indépendants — non pas des agents, non pas des fournisseurs, non pas des représentants de partis, mais des tiers véritablement indépendants — doivent pouvoir vérifier la chaîne complète de la confirmation de l'électeur au dépouillement final. Pas de vérification ponctuelle. Pas faire confiance à une certification. Vérifier réellement, avec accès aux dossiers bruts, à tout moment.

Quatrièmement : les résultats doivent être publiés au niveau granulaire — bureau de vote par bureau de vote, sous forme lisible par machine — dès que le dépouillement de chaque bureau est terminé. Non pas après le dépouillement. Non pas regroupé dans les totaux d'État. Les résultats au niveau du bureau de vote que n'importe qui peut télécharger, additionner et croiser avec les totaux officiels sont l'unité minimale de vérifiabilité publique.

Rien de cela n'est théorique. Les audits de limitation des risques au niveau de l'État du Colorado fournissent une confiance statistique qui est liée à la proximité de la course réelle — plus de vérifications dans les courses serrées, moins dans les glissades, tout ancré dans un dossier papier. Le cadre existe. La pièce manquante, presque partout, est la volonté politique d'appliquer cela universellement et l'infrastructure pour publier les résultats assez rapidement pour que les audits puissent avoir lieu avant que le cycle de l'actualité ne s'éloigne.

La conclusion à partager

Un vote n'est digne de confiance que s'il est enregistré de manière vérifiable — vérifié par l'électeur, confirmé dans un artefact durable, et vérifiable par n'importe qui par rapport à un dossier public.

La cour finlandaise n'avait pas besoin de prouver une fraude. Elle a prouvé quelque chose de plus fondamental : une élection où les électeurs ne peuvent pas confirmer que leurs bulletins ont été capturés n'est pas une élection vérifiable. C'est un décompte de ce que la machine a préservé.

232 votes. Trois municipalités. Une décision. Mais le principe qu'elle a établi s'applique à toute juridiction exécutant un système quelconque — électronique ou papier — où l'électeur n'a aucun moyen indépendant de confirmer que son choix l'a traversé.

La question que vous devriez vous poser sur votre propre système électoral n'est pas « une fraude a-t-elle été prouvée ? » C'est : « qu'est-ce que je devrais avoir pour me montrer, dès maintenant, que mon vote a été enregistré tel que je l'ai exprimé ? »

Si la réponse est « rien » — ou « faites-nous confiance » — c'est l'écart qui doit être comblé.

Voir à quel point cet écart est courant dans le monde | Lire la version de 2 minutes | Explorez les défaillances spécifiques de vérification

Sources

Voir tous les articlesExplorer les lacunes