← Tous les articles

La Norvège a essayé le vote par internet pendant des années, puis s'est discrètement retirée

La Norvège a construit un système de vote par internet à l'échelle nationale, l'a testé lors de deux élections, a observé que la participation restait stagnante — et a ensuite discrètement arrêté le programme parce que personne ne pouvait prouver que les votes n'avaient pas été modifiés.

Nous sommes à l'automne 2013, et dans douze municipalités norvégiennes, les électeurs font quelque chose qui semble presque miraculeux : voter depuis une table de cuisine, un siège de train, une salle d'hôpital. Pas de file d'attente. Pas de trajet. Juste une fenêtre de navigateur et quelques clics, et — le gouvernement le promet — votre vote est comptabilisé exactement comme vous l'avez exprimé.

Deux ans plus tard, cette promesse est retirée. Sans tambour ni trompette. Une déclaration ministérielle, une ligne sur les « préoccupations de confiance non résolues », et le programme est terminé.

L'expérience du vote par internet en Norvège est l'un des échecs électoraux les plus instructifs de l'histoire moderne — non pas parce que quelque chose a visiblement mal tourné, mais parce que rien ne pouvait être prouvé comme fonctionnant correctement.

La promesse : la commodité comme valeur démocratique

Le discours en faveur du vote par internet est toujours le même, et il est toujours sincère. Le faible taux de participation est un vrai problème. Les bureaux de vote sont inaccessibles aux personnes âgées, aux personnes handicapées, aux militaires à l'étranger, aux personnes travaillant en double équipe. Si voter était aussi facile que d'acheter un billet de train en ligne, sûrement plus de gens le feraient.

La Norvège a pris cela au sérieux. Les tests ont eu lieu en complément du vote sur papier pendant la période de vote anticipé — dix municipalités aux élections locales de 2011, douze aux élections parlementaires de 2013. Les électeurs qui voulaient voter en ligne le pouvaient. Les électeurs qui préféraient le papier pouvaient toujours utiliser le papier. Le projet pilote était prudent, limité, et mené par un gouvernement aux intentions sincères.

Le taux de participation n'a pas augmenté.

Selon le Ministère norvégien de l'administration locale et de la modernisation, les tests n'ont pas entraîné une augmentation de la participation. Les personnes qui ont voté en ligne étaient, pour l'essentiel, des personnes qui auraient voté de toute façon — juste par un canal différent. Le groupe le plus difficile à atteindre — les personnes désengagées de la politique — n'a pas été atteint.

Cela aurait pu suffire à l'arrêter. Mais le gouvernement norvégien a dit quelque chose de plus important lorsqu'il a mis fin aux projets pilotes supplémentaires de vote par internet en 2014 : la confiance que les votes ne sont pas altérés ne pouvait pas être assurée.

Lisez cette phrase à nouveau. Pas : « nous avons trouvé la preuve d'une manipulation ». Pas : « le système a été piraté ». Mais : nous ne pouvions prouver à la satisfaction de quiconque que les votes étaient arrivés tels qu'exprimés.

C'est un type d'échec différent — et plus difficile à corriger.

Ce que « la confiance que les votes ne sont pas altérés » signifie réellement

Quand vous glissez un bulletin de papier dans une urne scellée dans un bureau de vote public, une chaîne de traçabilité commence. L'urne est surveillée. Elle est scellée devant des témoins. Elle se rend à un dépouillement, où des scrutateurs de chaque parti peuvent observer chaque bulletin au fur et à mesure du tri. Le processus est lent, exigeant en main-d'œuvre, et imparfait — mais il est observable. N'importe qui ayant qualité pour le faire peut regarder.

Quand vous cliquez sur « soumettre » dans une fenêtre de navigateur, quelque chose de très différent se produit. Votre vote traverse des réseaux que vous ne contrôlez pas, entre dans des serveurs que vous ne pouvez pas inspecter, est traité par un logiciel dont le code source peut être propriétaire, et émerge à l'autre bout comme un nombre dans une base de données. À aucun moment vous ne pouvez confirmer que ce qui est arrivé était ce que vous avez envoyé. À aucun moment un observateur indépendant ne peut surveiller le voyage.

Ce n'est pas de la paranoïa. C'est de la physique et des mathématiques. La communication Internet passe par une infrastructure qui peut être interceptée, redirigée ou discrètement modifiée. Le chiffrement de bout en bout aide, mais seulement si le logiciel sur votre appareil est honnête — et vous ne pouvez pas non plus vérifier cela.

Les chercheurs qui ont examiné de près les systèmes réellement déployés ont trouvé exactement les problèmes prédits par la théorie. Une équipe dirigée par J. Alex Halderman a observé le système de vote électronique estonien pendant les élections de 2013 et a conclu qu'un attaquant État-nation ou un initié malhonnête pourrait compromettre l'intégrité des votes sans être détecté. Les autorités estoniennes ont désapprouvé — mais la capacité des chercheurs à faire cet argument reposait sur le fait qu'une partie du code du système était accessible au public. Où le code est fermé, même cette vérification est impossible.

Et à Washington, D.C. en 2010, la question a reçu une réponse encore plus brutale.

D.C. a testé son système de vote par internet publiquement — et a perdu en 48 heures

Avant de déployer un projet pilote de retour de bulletins par internet pour les électeurs à l'étranger, le Bureau des élections du District de Columbia a fait quelque chose de louable : il a mené un essai public ouvert et a invité quiconque à sonder le système.

Une équipe de l'Université du Michigan dirigée par Halderman — Scott Wolchok, Eric Wustrow, Dawn Isabel, et Halderman — a accepté l'invitation. En environ 48 heures, ils avaient obtenu un contrôle quasi complet du serveur pilote. Ils pouvaient modifier tous les bulletins qui avaient été exprimés. Ils pouvaient consulter les bulletins censés être secrets. À titre de démonstration, ils ont programmé le serveur pour jouer la chanson de combat de l'Université du Michigan après chaque vote simulé.

Les responsables ne l'ont pas remarqué pendant des jours.

D.C. a abandonné le système. La grâce salvatrice du projet pilote était que c'était un test — les vrais votes n'étaient pas en jeu. La leçon n'est pas que le vote par internet est toujours vaincu en 48 heures ; la leçon est que la seule chose se tenant entre le système de D.C. et une véritable attaque était la décision de la ville de le tester en public d'abord. La certification privée n'avait pas repéré ce qu'une équipe universitaire a trouvé en deux jours.

Un système dont la sécurité dépend du fait de ne pas être testé n'est pas un système sécurisé.

Le problème de la Nouvelle-Galles du Sud : des défauts trouvés lors d'une élection en direct

Le test de D.C. a au moins échoué en toute sécurité, dans un bac à sable. La Nouvelle-Galles du Sud n'a pas eu autant de chance.

Lors de l'élection d'État de mars 2015, le système de vote en ligne iVote a été utilisé pour exprimer environ 280 000 votes — des bulletins réels et contraignants dans une élection en direct. Halderman et Vanessa Teague ont analysé le système en fonctionnement et ont découvert qu'iVote chargeait du code à partir d'un serveur d'analyse externe sur une connexion vulnérable aux faiblesses TLS connues, telles que FREAK et Logjam, qui auraient pu permettre à un attaquant réseau de manipuler les votes et de compromettre la confidentialité des bulletins.

Les chercheurs ont également découvert que le service de vérification téléphonique distinct — le mécanisme que les électeurs étaient censés utiliser pour confirmer que leur vote avait été correctement comptabilisé — était lui-même vulnérable à la manipulation. L'outil même censé fournir confiance pouvait être exploité pour montrer à un électeur un résultat rassurant tandis que son véritable vote avait été altéré.

Un examen de la sécurité d'avant l'élection avait approuvé le système. L'analyse externe indépendante, menée pendant que les vrais bulletins étaient exprimés, a découvert ce que l'examen interne avait manqué.

Les problèmes ont été corrigés pendant que le vote se déroulait. Mais pour autant des 280 000 votes qui avaient déjà été exprimés avant que le correctif soit déployé, il n'y a aucun moyen de confirmer qu'ils ont été comptabilisés comme soumis. Les électeurs qui ont utilisé le service de vérification avant le correctif ne peuvent pas savoir si la confirmation qu'ils ont reçue reflétait leur vrai bulletin.

C'est la version difficile du problème norvégien. La Norvège a au moins choisi d'arrêter avant d'y arriver.

Pourquoi la solution cryptographique de la Suisse n'a pas réellement résolu le problème

Vous pourriez penser : sûrement la cryptographie peut résoudre cela. Si un bulletin est chiffré de bout en bout avec un schéma qui permet à n'importe quel observateur indépendant de vérifier mathématiquement le dépouillement sans apprendre comment quiconque a voté — cela comble le fossé, n'est-ce pas ?

La Suisse a essayé exactement cette approche. En 2019, Swiss Post a publié le code source d'un système de vote par internet cryptographique avancé pour examen public — le type de transparence radicale que d'autres systèmes ont refusé. Les chercheurs indépendants Sarah Jamie Lewis, Olivier Pereira, et Vanessa Teague ont lu le code.

Ils ont trouvé une trappe.

Le mixnet du système — le composant qui mélange les votes pour qu'ils ne puissent pas être liés aux électeurs individuels — reposait sur un schéma d'engagement avec une structure secrète. Une autorité qui détenait certaines valeurs de trappe pouvait générer une preuve mathématique qui ressemblait valide et passait la vérification indépendante tout en ayant réellement altéré les votes. Le système revendiquait la « vérifiabilité universelle ». La trappe signifiait qu'un initié disposant des bonnes clés pouvait vaincre cette revendication tout en laissant la vérification paraître impeccable.

Swiss Post et Scytl ont reconnu la conclusion. Les autorités suisses ont suspendu le système. La seule raison pour laquelle la faille a été détectée est que le code a été publié — et que des cryptographes indépendants qualifiés ont choisi de le lire.

La plupart des systèmes de vote par internet ne publient pas leur code. La plupart n'invitent pas les cryptographes indépendants à les sonder. La plupart offrent « il a réussi la certification » en réponse à « puis-je vérifier ? »

La certification est un processus. Ce n'est pas la même chose que la vérifiabilité.

La norme à laquelle tout cela ne répond pas

En 2009, la Cour constitutionnelle fédérale allemande a énoncé un principe auquel chaque partisan du vote par internet devrait devoir répondre. La Cour a annulé l'utilisation des machines à voter électroniques parce qu'elles stockaient les votes uniquement dans la mémoire électronique sans enregistrement indépendamment vérifiable — mais le principe qu'elle a énoncé était plus large : les étapes essentielles du vote et de la détermination du résultat doivent être examinables par le citoyen de manière fiable et sans connaissances spécialisées.

Pas examinable par des cryptographes. Pas examinable par des auditeurs gouvernementaux. Examinable par les citoyens. Sans connaissances spécialisées.

C'est un test que le vote par internet sous sa forme actuelle ne réussit pas de manière exhaustive. Vous ne pouvez pas donner à une grand-mère un journal de trafic réseau et lui demander de confirmer que son vote a été correctement enregistré. Vous ne pouvez pas donner à un ouvrier d'usine un relevé de preuve cryptographique et lui demander de le vérifier sans un doctorat. Même les systèmes qui revendiquent la vérifiabilité de bout en bout exigent soit de faire confiance à un client logiciel que vous ne pouvez pas lire, soit de lire des mathématiques que la plupart des gens n'ont jamais rencontrées, soit de s'appuyer sur un canal de vérification qui (comme la Nouvelle-Galles du Sud l'a montré) pourrait lui-même être compromis.

La Finlande a compris une version adjacente de cette leçon même pour le vote électronique en personne. En 2008, un projet pilote de vote électronique dans trois municipalités avait un défaut d'utilisabilité : les électeurs qui n'attendaient pas une étape de confirmation finale voyaient leurs votes silencieusement écartés. 232 votes n'ont jamais été enregistrés, contre la volonté des électeurs. La Cour suprême d'administration a annulé les élections dans ces municipalités et en a ordonné de nouvelles. Les électeurs n'avaient aucun moyen de savoir que leur bulletin n'avait pas été capturé. Le système n'a donné aucun avertissement.

Quand un électeur n'a aucun moyen indépendant de confirmer que son vote a été comptabilisé, une faille — mécanique, procédurale ou adversariale — peut être entièrement invisible jusqu'à ce que quelqu'un regarde les chiffres globaux et remarque quelque chose qui cloche. Et « remarquer que quelque chose cloche » ne fonctionne que si l'erreur est assez importante pour être implausible.

Ce que la Norvège a réellement choisi — et ce que cela nous dit

Lisez attentivement la déclaration du gouvernement norvégien et vous verrez quelque chose que la plupart des annonces officielles obscurcissent. Le ministère n'a pas dit que le système avait été compromis. Il n'a pas affirmé que les votes avaient été altérés. Il a dit que la confiance que les votes n'étaient pas altérés ne pouvait pas être assurée.

C'est une reconnaissance honnête que l'absence de preuve d'une attaque n'est pas la même chose que la sécurité. C'est la position par défaut responsable : si vous ne pouvez prouver que le processus est digne de confiance pour les personnes dont les votes en dépendent, vous ne leur demandez pas de lui faire confiance de toute façon.

La conclusion sur la participation importe aussi — non pas parce que la commodité est sans pertinence, mais parce qu'elle élimine la justification utilitariste d'accepter le déficit de confiance. Si le vote par internet augmentait de manière fiable et substantielle la participation, une communauté démocratique pourrait devoir peser un compromis difficile. Les données de la Norvège ont rendu ce compromis inutile : l'avantage en termes de commodité n'était pas là.

Ce n'est pas un verdict que le vote par internet ne pourrait jamais, en principe, être rendu digne de confiance. C'est un verdict qu'aucun système déployé n'a encore atteint la norme que les élections dignes de confiance exigent : la vérifiabilité de bout en bout qu'un citoyen ordinaire peut vérifier, indépendamment, sans faire confiance à aucun serveur, aucun fournisseur, aucun responsable, ni à la parole d'aucun mathématicien.

La commission néerlandaise qui a recommandé l'abandon des ordinateurs de vote en 2007 l'a énoncé clairement : il n'y a pas de secrets dans le processus électoral, et les réponses doivent être vérifiables. Cette exigence ne devient pas moins importante parce que le canal est un navigateur plutôt qu'un écran tactile.

La chose qui reste toujours non vérifiable — et ce qui la rendrait vérifiable

Voici ce que la fermeture du programme par la Norvège n'a pas résolu : si, pendant les deux élections au cours desquelles le vote par internet a fonctionné, un vote a été altéré en transit ou au serveur.

La réponse est : nous ne savons pas. Et nous ne pouvons pas le déterminer maintenant. Les journaux, s'ils existent, ne sont pas publics. Le code source, s'il a jamais été examiné indépendamment, n'a produit aucune conclusion publié. Le mécanisme de vérification à disposition des électeurs à l'époque — s'il y en avait un — ne peut maintenant pas être exécuté contre les bulletins déjà exprimés.

C'est le bilan du test norvégien : des connaissances et expériences précieuses, selon les propres termes du ministère, mais aucune piste d'audit public qui permettrait à quiconque de confirmer indépendamment ce qui est arrivé à ces votes. L'assurance est la décision d'arrêter, non pas la preuve que tout allait bien tandis qu'il fonctionnait.

Ce qui rendrait cela vérifiable — pour la Norvège, ou pour toute juridiction envisageant le vote en ligne — est un système conçu de sorte que sa vérifiabilité ne dépend de l'honnêteté d'aucun responsable ou fournisseur :

  • Code source publié, examinable par n'importe quel cryptographe à tout moment, pas seulement avant le déploiement
  • Cryptographie vérifiable de bout en bout dans laquelle les électeurs peuvent confirmer que leur bulletin spécifique a été inclus dans le dépouillement final en utilisant un reçu qui ne révèle rien sur la façon dont ils ont voté — et dans laquelle quiconque peut vérifier que le dépouillement est construit entièrement à partir de bulletins valides et inclus
  • Test adversarial public indépendant avant tout vote contraignant, sur le modèle de ce que D.C. a fait (et ce que l'autorité électorale brésilienne fait régulièrement avec ses machines)
  • Publication instantanée, au niveau du bureau de vote, lisible par machine des résultats dès qu'ils sont finaux, pour que les observateurs indépendants puissent reconstruire et vérifier le dépouillement sans attendre un résumé officiel

Aucune de celles-ci n'est de la science-fiction. Certaines existent par morceaux dans les systèmes académiques et expérimentaux. Aucune n'existe ensemble dans un système de vote par internet national déployé qui a été indépendamment vérifié comme fonctionnant.

Jusqu'à ce qu'elles le fassent, « la confiance que les votes ne sont pas altérés » n'est quelque chose qu'aucun système de vote par internet ne peut honnêtement fournir — et la Norvège avait raison d'arrêter de demander à ses électeurs de l'accorder.

La version partageable : La Norvège a abandonné le vote par internet non pas parce que quelque chose a mal tourné, mais parce que rien ne pouvait être prouvé comme ayant bien fonctionné. La commodité sans vérifiabilité n'est pas la démocratie — c'est le vote fondé sur la foi.

Voyez à quel point cet écart de vérifiabilité est courant dans le monde entier →

Lisez la version de deux minutes de pourquoi la vérifiabilité importe →

Sources

Voir tous les articlesExplorer les lacunes