← Tous les articles

L'Irlande a acheté un système de vote électronique national, puis n'a pas pu prouver qu'il fonctionnait

L'Irlande a dépensé des millions pour des machines de vote qui sont restées dans un entrepôt pendant cinq ans, puis ont été mises au rebut — car une commission indépendante n'a pas pu prouver qu'elles fonctionnaient.

C'est le printemps 2004, et un entrepôt quelque part en Irlande abrite l'avenir de la démocratie irlandaise — encore dans son emballage d'origine.

Le gouvernement irlandais avait acheté environ 7 500 machines de vote électronique et de dépouillement Nedap/Powervote. Le marché a coûté des dizaines de millions d'euros. Les machines avaient réussi les tests du fournisseur. Des élections étaient prévues. Le personnel des bureaux de vote avait été formé. Le gouvernement était prêt.

Il y avait un problème. Une Commission indépendante sur le vote électronique avait été chargée d'examiner le système. Et quand elle l'a examiné de près, elle n'a pas pu affirmer que les machines fonctionnaient.

Pas « les machines sont cassées ». Pas « nous avons trouvé de la fraude ». Quelque chose de plus troublant que l'un ou l'autre : nous ne pouvons pas nous convaincre nous-mêmes, au degré de confiance requis, que celles-ci fonctionnent.

Cette phrase — mesurée, technique, dévastatrice — est celle qui a arrêté tout un programme national de vote électronique. Les machines ont été mises en réserve. En 2009, elles ont été officiellement mises au rebut. Et la question soulevée par la Commission n'a jamais disparu.

« Non prouvé » n'est pas la même chose que « ça va »

Le Rapport provisoire de 2004 de la Commission sur le vote électronique n'était pas une théorie du complot. Ce n'était pas une attaque politique. C'était un groupe d'experts indépendants chargés d'une question spécifique : pouvons-nous vérifier, à notre satisfaction, que ce système est exact et secret ?

Leur réponse : non.

La Commission a explicitement déclaré que sa conclusion n'était pas un constat que le système ne fonctionnerait pas. C'était un constat que le système n'avait pas été prouvé fonctionner à la satisfaction de la Commission. C'est une norme différente et plus exigeante — et c'est la bonne.

L'exactitude signifie : chaque vote exprimé devient-il le vote compté ? Le secret signifie : personne ne peut-il lier un bulletin de vote à l'électeur qui l'a voté ? Ce ne sont pas des exigences techniques exotiques. Ce sont les deux propriétés non négociables d'une élection légitime. Et la Commission, après avoir examiné le système Nedap/Powervote tel que présenté, n'a pas pu confirmer l'un ou l'autre à sa propre satisfaction.

Le Rapport provisoire de la Commission est un document court, qui vaut la peine d'être lu en entier. Ce qu'il ne dit pas est aussi important que ce qu'il dit. Il ne dit pas que le fournisseur a menti. Il ne dit pas que le gouvernement a agi de mauvaise foi. Il dit : les preuves présentées ne suffisaient pas à permettre une vérification indépendante. Et pour un dispositif dont tout le travail consiste à produire un décompte fiable, « non vérifiable de manière indépendante » est un défaut fatal — pas une lacune mineure à couvrir avec des promesses.

Les machines sont allées en stockage.

Le principe par défaut devrait toujours être : ne pas déployer de systèmes non éprouvés

Voici ce que l'histoire de l'Irlande rend concret. Le fournisseur a dit que les machines fonctionnaient. Le gouvernement a cru le fournisseur. Un achat a été effectué, l'argent a été dépensé, la formation a été dispensée. Le système était sur le point d'être utilisé pour déterminer les résultats réels des élections pour des millions d'électeurs irlandais.

Et puis un organisme indépendant a posé une simple question — pouvez-vous le prouver ? — et la réponse a été non.

Cette séquence est à l'envers. La preuve devrait précéder le déploiement, ne pas le poursuivre. La Commission irlandaise, à son crédit, a traité « pas encore prouvé » comme des motifs suffisants pour « ne pas utiliser ». C'est le bon principe par défaut. La charge de la preuve incombe au système. Une autorité électorale qui ne peut pas démontrer, à des examinateurs indépendants, que sa technologie est exacte et secrète n'a pas atteint le seuil. Elle a simplement choisi de ne pas l'atteindre avant d'être opérationnelle.

Les machines Nedap/Powervote utilisées en Irlande provenaient du même fabricant dont les machines ont été utilisées par l'Allemagne lors de l'élection fédérale de 2005 — le vote du Bundestag contesté par la suite avant la Cour constitutionnelle fédérale. En mars 2009, la cour allemande a jugé que les machines de vote électronique dont le fonctionnement ne peut pas être vérifié de manière indépendante par les citoyens ordinaires, sans connaissance spécialisée, violent le principe constitutionnel des élections publiques. Le jugement du Bundesverfassungsgericht est réfléchi et vaut la peine d'être lu : ce n'est pas une interdiction des ordinateurs aux élections. C'est une exigence que quelle que soit la technologie utilisée, les citoyens doivent pouvoir vérifier eux-mêmes les étapes essentielles du bulletin au résultat. Les machines Nedap ont échoué ce test à la cour constitutionnelle allemande cinq ans après que la commission indépendante irlandaise avait déjà atteint la même conclusion par d'autres moyens.

Deux pays. Les mêmes machines. Le même verdict. Aucun n'a exigé de preuve d'une fraude spécifique. Les deux ont atteint le même résultat : non vérifiable est inacceptable.

« Certifié » est une réclamation, pas une preuve

Les machines avaient été soumises aux tests du fournisseur. Une certaine version d'un processus de certification avait été menée. Le gouvernement irlandais avait approuvé un marché. Rien de tout cela ne suffisait à la Commission.

Ce n'est pas une bizarrerie du cas irlandais. C'est la lacune persistante au cœur de la surveillance des technologies électorales.

Aux États-Unis, le GAO a rapporté en 2005 — suite à HAVA, la loi que le Congrès a adoptée pour moderniser les élections après le chaos de 2000 — que les efforts fédéraux pour améliorer la sécurité et la fiabilité du vote électronique étaient « en cours, mais que des activités clés restaient inachevées ». Le rapport du GAO a constaté que les normes devaient être renforcées, les procédures de certification devaient être établies, les dépôts de logiciels devaient être créés. Des années après la crise qui a motivé la réforme, la machinerie d'assurance était encore en construction. « Nous utilisons des systèmes certifiés » était, à ce moment-là, une réclamation concernant un processus qui n'était pas encore pleinement opérationnel.

La certification, faite correctement, est un contrôle significatif. Faite comme une formalité — un exercice de cocher des cases par un organisme qui n'a pas accès, le temps, ou l'indépendance pour sondes véritablement le système — elle devient un passif. Elle crée l'apparence d'une assurance sans la substance. Et les apparences d'assurance, dans les élections, sont pires que l'incertitude avouée : elles empêchent les gens de poser des questions plus difficiles.

La Commission irlandaise n'avait pas l'accès dont elle avait besoin. Ce qui lui a été montré ne suffisait pas à vérifier l'exactitude ou le secret du système. Cette lacune — entre ce qu'un fournisseur présente et ce qu'un examinateur indépendant peut réellement vérifier — est ce qui rend les réclamations de certification dignes d'être scrutées plutôt qu'acceptées.

Ce que « ne pas pouvoir vérifier le secret » signifie réellement

Rendons cela physique pour un moment, car « le secret » peut sembler abstrait.

Une machine de vote qui ne peut pas être auditée de manière indépendante pour le secret est une machine où vous devez faire confiance au fournisseur que votre vote n'est pas lié à vous. En pratique, cela signifie : si le logiciel enregistre non seulement quel candidat a reçu un vote mais aussi un identifiant reliant ce vote au terminal, à la carte à puce, ou à l'horodatage spécifique qui l'a produit, cette information existe à l'intérieur de la machine. Si vous ne pouvez pas inspecter le code — et sur un système propriétaire, vous ne pouvez pas — vous ne pouvez pas confirmer qu'il ne l'est pas.

Ce n'est pas une vulnérabilité hypothétique. En 2006, des chercheurs de Princeton ont examiné une véritable machine Diebold AccuVote-TS et ont constaté que du code malveillant pouvait être installé en moins d'une minute d'accès physique, et que le code pouvait altérer les décomptes de votes tout en gardant tous les journaux internes cohérents. Leur article a montré un virus de vol de votes fonctionnel qui pouvait se propager automatiquement entre les machines lors d'une activité électorale normale. Les journaux d'audit auraient l'air propre. Les totaux auraient l'air plausible. Rien de l'extérieur ne l'attraperait.

La Commission irlandaise n'a pas eu besoin de trouver une vulnérabilité spécifique pour parvenir à sa conclusion. Elle n'a eu qu'à ne pas exclure une. C'est ainsi que l'examen technique indépendant est censé fonctionner : le système doit démontrer sa fiabilité, ne pas seulement l'affirmer. L'absence d'une attaque confirmée n'est pas la même chose que l'absence confirmée de la possibilité d'une attaque.

Les Pays-Bas ont tiré la même leçon, avec un meilleur suivi

L'Irlande n'était pas seule dans ce reckoning. Le gouvernement néerlandais a commandé son propre examen indépendant — la Commission Korthals Altes — qui a rapporté en septembre 2007 sous le titre Stemmen met vertrouwen : « Voter avec confiance ». Ses conclusions étaient sans ambiguïté.

La Commission a établi que il n'y a pas de secrets dans le processus électoral — ce qui signifie que la mécanique de la façon dont les votes sont exprimés et comptés doit être observable et vérifiable, non cachée dans le microprogramme. Elle a conclu que les bulletins de papier dans un bureau de vote sont préférables du point de vue de la transparence et de la vérifiabilité, et que toute méthode électronique n'est acceptable que si elle produit un enregistrement papier que l'électeur peut inspecter.

Le rapport de la commission néerlandaise a atteint sa conclusion après une controverse publique, après que des militants ont appelé « Nous ne faisons pas confiance aux machines de vote » et ont démontré en direct à quel point les machines fuyaient facilement les signaux radio qui pouvaient révéler comment quelqu'un avait voté. La réglementation de 1997 approuvant les machines de vote a été retirée. Les Pays-Bas sont retournés au papier et au comptage manuel.

Ce que les Pays-Bas ont fait que l'Irlande, sans doute, n'a pas eu la chance de faire — car les machines ont été arrêtées avant le déploiement — c'est d'expliciter et de rendre durable l'engagement politique. Le principe par défaut a changé. La charge de la preuve a été transférée de « prouver que la machine est cassée » à « prouver que la machine peut être vérifiée de manière indépendante ». Quand cette preuve n'a pas pu être fournie, la réponse était le papier.

Le problème plus profond : qui décide ce que « prouvé » signifie ?

Voici la question que le cas irlandais laisse ouverte, et ce n'est pas une question confortable.

La Commission sur le vote électronique existait parce que quelqu'un a décidé de la créer. Un organisme indépendant a été habilité à dire « pas encore ». En Irlande en 2004, ce mécanisme existait et a été utilisé. Les machines ont été arrêtées.

Mais ce résultat n'était pas structurellement garanti. Cela dépendait d'un gouvernement disposé à commander un véritable examen indépendant, d'une commission indépendante disposée à atteindre une conclusion inconfortable, et d'un environnement politique qui acceptait cette conclusion plutôt que de la contourner. Enlevez l'un de ces trois éléments et les machines fonctionnent. Les élections sont décidées par un système que personne en dehors des bureaux du fournisseur n'a véritablement vérifié. Les résultats sont annoncés. Les responsables disent que le système est certifié. Et la question de savoir s'il fonctionne réellement disparaît dans les archives.

C'est le risque immédiat dans chaque juridiction qui utilise la technologie de vote propriétaire et fermée : l'infrastructure de vérification est optionnelle et sporadique, non structurelle et continue. Une commission indépendante peut être créée ou non. Un examen peut être financé généreusement ou donné un weekend et une pile de PDF. Une conclusion inconfortable peut être acceptée ou discrètement enterrée.

Le correctif n'est pas de faire confiance à ce que la bonne commission sera créée au bon moment. Le correctif est de construire des systèmes où la preuve n'est pas contenue dans une boîte noire propriétaire du fournisseur, mais est inspectable publiquement, vérifiable mathématiquement, et vérifiable par n'importe qui — pas seulement par les experts que le gouvernement choisit d'embaucher dans ce cycle particulier.

Le système VSAP du comté de Los Angeles, certifié par le secrétaire d'État de Californie en 2018, est un exemple concret d'une direction différente : un code détenu par le public et en open-source que les experts externes peuvent inspecter plutôt que de simplement en être informés. Ce n'est pas une solution complète — la mise en œuvre, la chaîne de contrôle et les audits continus ont tous leur importance — mais cela supprime une couche centrale d'opacité. Le problème de la Commission irlandaise, dit simplement, c'est que le fournisseur contrôlait ce que la Commission pouvait voir. Le code open-source ne peut pas jouer ce jeu.

Ce que l'entrepôt irlandais nous enseigne réellement

Les 7 500 machines restaient. Elles n'ont jamais été utilisées. Elles ont finalement été vendues pour être mises au rebut — l'État irlandais aurait récupéré une fraction de ce qu'il avait dépensé pour les procurer.

La lecture optimiste de cette histoire : le système a fonctionné. Une commission indépendante a fait son travail, a atteint une conclusion honnête, et le gouvernement a écouté. Aucune élection n'a jamais été menée sur un système non vérifié. La démocratie a été protégée.

La lecture honnête : l'Irlande a eu de la chance — chanceuse d'avoir créé une commission avec une véritable indépendance, chanceuse que la commission ait le courage de dire « non », chanceuse que le coût politique de contourner ce verdict soit trop élevé.

Un système qui dépend de la chance n'est pas un système. C'est une série de choses qui peuvent mal tourner.

La véritable leçon des machines Nedap/Powervote assises dans leurs boîtes non ouvertes n'est pas que l'Irlande a fait le bon choix — bien qu'elle l'ait fait. La leçon est que le bon choix exigeait une chaîne de contrôles institutionnels et indépendants qui auraient tout aussi bien pu ne pas être là.

Le principe par défaut pour un système non éprouvé doit être : ne pas déployer. Pas « déployer et auditer plus tard ». Pas « déployer et faire confiance au fournisseur ». Pas « déployer et attendre qu'un problème surgisse ». Ne pas déployer. La charge de la preuve incombe à la technologie, et elle doit être déchargée avant que les votes ne soient exprimés — par des examinateurs indépendants ayant un véritable accès, pas par la documentation propre du fournisseur.

Et « la vérification indépendante » ne peut pas signifier une seule commission, convoquée une fois, dont la conclusion peut être acceptée ou ignorée. Elle doit signifier des preuves publiées, lisibles par machine, vérifiables de manière cryptographique, que tout observateur qualifié — pas seulement ceux que le gouvernement a embauchés — peut inspecter à tout moment.

Jusqu'à ce que cette barre soit atteinte, « le système est certifié » est une phrase qui mérite exactement autant de confiance que la Commission irlandaise lui en a donné.

C'est-à-dire : pas grand-chose du tout.

Vous voulez voir comment la lacune de la « certification non vérifiée » se joue dans le monde entier ? Explorez notre atlas mondial des élections. Ou lisez la version deux minutes de la raison pour laquelle les réclamations de certification ont besoin d'un contrôle indépendant : les lacunes, expliquées. Pour une analyse plus approfondie de ce que le vote vérifiable exige réellement, commencez ici.

Sources

Voir tous les articlesExplorer les lacunes