← Tous les articles

Tous les bulletins de vote ne sont pas égaux : le reçu que vous pouvez lire versus celui que vous ne pouvez pas

Vous avez voté. La machine a imprimé un reçu avec vos choix — et un code-barres que vous ne pouvez pas lire. Un tribunal fédéral l'a confirmé : c'est le code-barres, pas les mots, qui est compté.

C'est la matinée du 3 novembre 2020, et quelque part dans un bureau de vote du comté de Gwinnett, en Géorgie, une électrice se tient devant une machine de bulletinage Dominion. Elle touche l'écran. Elle fait ses choix. La machine imprime un bulletin de vote sur papier — un vrai, un morceau de papier physique qu'elle peut tenir. Elle peut lire les noms des candidats. Elle l'introduit dans le lecteur.

Ce qu'elle ne peut pas lire, c'est le code QR imprimé à côté de ces noms.

C'est ce code-barres que le lecteur compte réellement. Pas le texte lisible par l'homme. Le code-barres. Et si quelque chose s'est produit entre ses appuis sur l'écran et ce code-barres — si un logiciel, malveillant ou simplement buggé, a encodé un choix différent de celui qu'elle a fait — elle n'aurait aucun moyen de le savoir. Le papier dans sa main, la chose qu'elle vient de « vérifier », ne lui dirait rien qu'elle pourrait vérifier.

Ce n'est pas une préoccupation hypothétique. Un tribunal fédéral l'a dit, dossier en main, en octobre 2020.

Un tribunal lit le reçu — et le trouve illisible

Dans Curling c. Raffensperger, la Cour de district des États-Unis pour le district nord de la Géorgie a examiné un témoignage d'experts sur le système de machine de bulletinage Dominion en Géorgie. L'ordonnance et l'avis du 11 octobre 2020 du tribunal étaient directs : le système « ne fournit pas un bulletin de vote vérifiable et auditable parce qu'il dépend du code QR pour le dépouillement des votes et ce code lui-même ne peut pas être lu et vérifié par l'électeur ».

Le tribunal a également cité la conclusion de 2018 de la National Academies — selon laquelle aucun mécanisme technique n'existe actuellement pour assurer qu'une application de comptage des votes produit des résultats précis, et que les tests seuls ne peuvent pas assurer qu'un système n'a pas été compromis.

Le témoignage d'experts, y compris du Dr J. Alex Halderman, a décrit la faisabilité pratique d'une cyberattaque qui pourrait permuter ou supprimer des votes en altérant le code QR. Un attaquant qui aurait accès au logiciel de bulletinage — même brièvement, même à distance — pourrait encoder un choix différent sans changer un seul mot lisible par l'homme sur la page imprimée.

Le tribunal n'a pas ordonné à la Géorgie de passer à des bulletins de vote manuscrits sur papier avant novembre 2020. L'élection avait lieu dans quelques semaines. Les changements de système de dernière minute comportent leurs propres risques, et les tribunaux les pèsent. C'est une décision judiciaire raisonnable sur le calendrier. Ce n'est pas un bilan de santé positif pour le système.

Le point plus profond reste intact : une piste de papier que vous ne pouvez pas lire n'est pas une piste de papier vérifiée par l'électeur. C'est un reçu pour une transaction que vous ne pouvez pas vérifier.

Voir comment l'écart du code QR s'inscrit dans un schéma mondial de systèmes non vérifiables

Ce que « vérifié par l'électeur » signifie réellement — et ce qu'il ne signifie pas

L'expression « piste de papier d'audit vérifiée par l'électeur » — VVPAT — semble rassurante. Elle implique que les électeurs vérifient quelque chose, que du papier existe, que des audits ont lieu. En pratique, ces mots peuvent décrire des systèmes qui sont très différents.

Pensez à ce que la vérification nécessite. L'électeur doit pouvoir lire le dossier. Le dossier doit encoder l'intention — les choix réels que l'électeur a faits — sous une forme que l'électeur peut confirmer avant de le soumettre. Et tout audit de ce dossier doit compter l'intention lisible par l'homme, pas la traduction d'une machine.

Un code QR échoue à ces trois tests simultanément. L'électeur ne peut pas le lire. Il encode le résultat d'une machine, pas l'intention directement visible. Et un audit qui scanne le code-barres audite l'encodage de la machine, pas l'esprit de l'électeur.

Comparez maintenant cela avec un bulletin de vote marqué à la main. Un électeur marque un ovale à côté de « Candidat X ». L'ovale est le dossier. L'électeur peut le voir. Un auditeur peut le voir. Un tribunal peut le voir. Aucune couche de traduction n'existe entre l'acte de l'électeur et l'artefact compté. Le recomptage manuel de la Géorgie en 2020 — dans lequel 159 comtés ont comptabilisé manuellement environ 5 millions de bulletins de vote présidentiels en moins de six jours — a fonctionné parce que ces bulletins ont été marqués à la main et la marque lisible par l'homme était le vote. La variation entre le dépouillement automatisé et le recomptage manuel était environ un dixième de un pour cent, ce qui vaut la peine de savoir, et le recomptage manuel a confirmé le résultat avec le niveau de confiance qu'un processus manuel humain peut livrer.

Mais remarquez ce que ce recomptage manuel n'aurait pas pu faire si la Géorgie n'avait que des bulletins codés en QR dans l'urne : il aurait dû rescanner les codes-barres. Ce qui signifie qu'il auditerait la machine avec la machine. Le papier dans l'urne devient simplement un mécanisme de livraison du code-barres, et le code-barres est le seul dossier qui existe.

« Bulletin de vote papier » et « bulletin de vote vérifié par l'électeur » ne sont pas synonymes. L'un décrit le medium. L'autre décrit si l'intention de l'électeur est indépendamment lisible par un être humain.

L'Inde essaie quelque chose de différent : le bulletin que vous voyez réellement

Maintenant, voyagez 8 000 kilomètres vers l'est.

L'Inde organise la plus grande élection démocratique au monde — des centaines de millions d'électeurs, des machines de vote électroniques (EVM) dans chaque circonscription, un pays où la logistique seule est un défi ahurissant. Pendant des années, des pétitionnaires ont soutenu que les EVM devaient être complètement abandonnées, ou que chaque vote électronique devait être croisé avec du papier. En avril 2024, un banc de la Cour suprême composé des juges Sanjiv Khanna et Dipankar Datta s'est prononcé sur exactement ces questions dans Association for Democratic Reforms c. Election Commission of India.

La Cour a refusé d'ordonner un retour aux bulletins papier ou une vérification manuelle à 100 % des bulletins VVPAT. Mais voici le détail clé de la conception : l'VVPAT indien produit un bulletin que l'électeur peut réellement lire.

Après avoir appuyé sur un bouton sur une machine de vote indienne, un bulletin de papier s'imprime derrière une petite fenêtre en verre. L'électeur voit le nom et le symbole du candidat. Il peut confirmer que cela correspond à ce qu'il a appuyé. Le bulletin tombe ensuite dans un compartiment scellé — il n'est jamais entre les mains de l'électeur, donc il ne peut pas être photographié comme reçu d'achat de votes — mais l'électeur a, d'une manière réelle et directe, vérifié le dossier avant qu'il ne soit scellé.

C'est catégoriquement différent d'un code QR sur un bulletin de Géorgie. L'un est une confirmation lisible par l'homme. L'autre est un encodage opaque auquel on demande à l'électeur de faire confiance.

La Cour suprême indienne a resserré les règles autour de ce bulletin : elle a ordonné que les unités de chargement de symboles soient scellées et sécurisées après le processus de chargement de symboles, conservées pendant au moins 45 jours après le résultat, et mises à disposition pour vérification de microcontrôleur dans 5 % des machines de vote par circonscription si les candidats le demandent moyennant le paiement. La cour construisait, en effet, plus d'échelons à l'échelle d'audit, tout en refusant d'exiger l'échelon supérieur.

Le système indien n'est pas sans critiques. Les pétitions de 2024 ont soulevé des questions légitimes sur le fait que cinq bureaux de vote choisis au hasard par circonscription constituent un échantillon VVPAT suffisamment important pour détecter un compromis systématique. Ces questions sont réelles. Mais l'architecture de l'VVPAT — un bulletin lisible par l'homme que l'électeur voit avant qu'il ne soit scellé — fait quelque chose que le code QR de Géorgie ne fait pas : elle donne à l'électeur un moment de vérification réelle et directe.

En savoir plus sur l'VVPAT et les normes mondiales de piste de papier dans notre suivi des écarts

L'audit qui audite la mauvaise chose

Voici la question qui découle du problème du code QR, et elle est plus difficile qu'il n'y paraît.

Lorsqu'une autorité électorale audite une élection par machine de bulletinage, qu'est-ce qu'elle compte vraiment ?

Si l'audit rescanne les codes QR — même en passant les bulletins imprimés par un lecteur différent — c'est vérifier si deux machines sont d'accord. C'est une vérification utile contre certaines défaillances matérielles. Ce n'est pas une vérification contre un logiciel qui a encodé le mauvais choix dès le départ, parce que les deux machines lisent le même code-barres que le logiciel d'origine a produit.

Si l'audit ne lit que le texte lisible par l'homme et ignore le code QR, il fait quelque chose d'étrange : il compte les noms de candidats qui ne sont pas le dossier opérationnel. Le lecteur qui a fonctionné le soir des élections n'a pas compté ces noms. Il a compté le code-barres. Le texte lisible par l'homme et le code QR peuvent, en principe, diverger — et dans un système compromis, cette divergence est précisément l'attaque.

Un audit qui vérifie l'intention de l'électeur — la marque qu'un être humain a faite, ou le bulletin qu'un être humain a vu — est catégoriquement différent d'un audit qui recompte la production d'une machine. La Cour constitutionnelle allemande a exprimé ce principe en termes constitutionnels en 2009 : les étapes essentielles du vote et du dépouillement « peuvent être examinées par le citoyen de manière fiable et sans aucune connaissance spécialisée ». Un citoyen ne peut pas lire un code QR sans connaissances spécialisées. Un citoyen peut lire un nom sur un bulletin.

La commission « Voter avec confiance » du gouvernement néerlandais en 2007 a conclu que toute méthode électronique n'est acceptable que si elle « produit un vote papier que l'électeur peut vérifier ». L'accent est mis sur la capacité de l'électeur à vérifier — pas celle de l'auditeur, du vendeur, ou de l'expert nommé par le tribunal.

Voir le jugement allemand de 2009 et la commission néerlandaise dans notre bibliothèque de cas vérifiés

Le reçu qui devient une arme : une complication supplémentaire

Il existe une tension inhérente à tout dossier vérifiable par l'électeur, et le design VVPAT indien la navigue délibérément.

Le bulletin est lisible. Mais il n'est jamais entre les mains de l'électeur.

Cela importe parce qu'un bulletin que vous pouvez emporter — ou photographier — est un bulletin que vous pouvez prouver à un tiers. Et un bulletin que vous pouvez prouver à un tiers est un bulletin qu'un acheteur de votes peut vous exiger de montrer. Les tribunaux ont été explicites à ce sujet. Dans Rideout c. Gardner, la Cour d'appel des États-Unis pour le premier circuit a retracé l'histoire : les réformes du scrutin secret ont été adoptées spécifiquement pour prévenir l'achat de votes en supprimant la capacité de l'acheteur à vérifier l'achat. Une photographie d'un bulletin marqué restaure cette vérification et rouvre le marché.

Le bulletin VVPAT indien est visible pour l'électeur mais scellé avant qu'il ne quitte le bureau. Vous pouvez confirmer votre vote. Vous ne pouvez pas le prouver à quelqu'un d'autre. C'est le bon équilibre : vérification de l'électeur sans l'architecture de la coercition.

Une machine de bulletinage qui imprime un bulletin de vote papier complet et lisible par l'homme — le genre qu'un électeur introduit dans un lecteur séparé — est un progrès par rapport à un système uniquement basé sur le code QR. Mais cela crée une nouvelle question : ce papier peut-il être photographié ? Si oui, par qui, et à quel moment du processus ? Les propriétés de sécurité de la « vérifiabilité » dépendent de la manipulation physique du papier, pas seulement de ce qui est imprimé dessus.

La vérifiabilité est une propriété du système, pas une fonctionnalité. Elle nécessite des dossiers lisibles, une manipulation scellée, des audits indépendants de l'intention de l'électeur, et une chaîne de contrôle qui empêche à la fois la falsification et la coercition. Chaque élément compte. Supprimez-en un seul, et la garantie s'effondre.

Le problème plus profond : qui audite l'auditeur ?

La Géorgie a mené un recomptage manuel de 5 millions de bulletins en 2020 et a confirmé le résultat automatisé à environ un dixième de un pour cent. C'est une vraie preuve d'une élection. La question que Curling laisse ouverte — et à laquelle la déclaration de la CISA « élection la plus sûre » de novembre 2020 ne répond pas — est ce qui se passe lors d'une élection future où le papier dans l'urne contient des bulletins codés en QR.

La déclaration de la CISA notait que les dossiers papier « permettent les recomptages et les audits si nécessaire ». C'est vrai. Mais ce que la déclaration ne dit pas — et ce qui importe énormément — c'est quel type de dossier permet un audit significatif. Un code QR sur un morceau de papier est un dossier papier. Ce n'est pas un dossier vérifié par l'électeur.

Si la Géorgie, ou tout état qui utilise des machines de bulletinage, procède à un audit après l'élection qui rescanne les codes QR, elle a produit une preuve que les machines étaient cohérentes l'une avec l'autre. La cohérence n'est pas l'exactitude. Les chercheurs de Princeton qui ont transformé une machine de vote Diebold AccuVote-TS en virus de vol de votes en 2006 ont construit un code qui altérait tous les dossiers, journaux et compteurs pour rester cohérents en interne. Un audit de cohérence interne était exactement ce pour quoi ce logiciel était conçu pour survivre.

L'épisode du comté de Coffee en 2021 — où l'intégralité du logiciel du système de vote Dominion d'une juridiction a été copiée et divulguée — a montré combien la sécurité du code fermé est fragile en pratique. Le secret du code source n'est pas une propriété de sécurité. C'est une commodité qui s'évapore dès que quelqu'un ayant accès décide de la partager.

La réponse n'est pas d'assumer que l'une de ces attaques s'est produite. C'est de construire des systèmes où cela ne ferait pas de différence — parce que le dossier lisible par l'électeur dans l'urne scellée contredire toute production électronique compromise, et un audit manuel indépendant de ce dossier surfacerait la divergence.

C'est l'architecture que le système de Géorgie ne peut pas livrer, et que l'VVPAT indien, imparfaitement, essaie de.

Ce qui fermerait réellement l'écart

Le test est assez simple à énoncer, plus difficile à mettre en œuvre, et actuellement non respecté par la plupart des déploiements de machines de bulletinage aux États-Unis.

Un dossier de papier vérifié par l'électeur doit être :

1. Lisible par l'homme au moment du vote. L'électeur voit des mots et des symboles — pas un code-barres — et peut confirmer qu'ils correspondent à son intention avant que le dossier ne soit scellé.

2. Le dossier opérationnel pour le dépouillement. L'artefact qui est audité manuellement doit être le même artefact que l'électeur a vérifié, pas une traduction d'une machine. Si le lecteur compte un code-barres, l'audit doit compter quelque chose qui prouve que le code-barres correspond au texte lisible par l'homme.

3. Scellé avant qu'il ne puisse être prouvé à un tiers. Un reçu que l'électeur contrôle est un outil de coercition. Un bulletin que l'électeur voit mais ne peut pas emporter est un mécanisme de vérification.

4. Sujet à des audits indépendants qui comptent l'intention de l'électeur. Pas des audits de production de machine. Pas des vérifications de cohérence. Des audits où un être humain lit ce qu'un autre être humain a marqué, et les deux chiffres sont comparés au résultat de la machine.

Rien de cela n'exige d'abandonner l'assistance électronique pour les électeurs qui en ont besoin. Le VSAP du comté de Los Angeles a été construit sur la prémisse qu'il s'agit d'un système public, open-source, basé sur l'idée que le logiciel qui fait le dépouillement devrait être inspectable par des tiers, pas protégé comme un secret commercial du vendeur. Un logiciel inspectable plus un dossier scellé lisible par l'homme plus un audit indépendant de l'intention de l'électeur est une architecture de sécurité différente que le logiciel inspectable seul — et complètement différente du logiciel fermé plus un code QR.

Ce qui n'est toujours pas vérifiable — et ce qui le rendrait vérifiable

Voici ce que l'avis Curling d'octobre 2020 ne tranche pas, et ce qu'aucune déclaration officielle depuis n'a répondu :

Dans toute élection menée sur des machines de bulletinage codé en QR où l'audit après l'élection consistait à rescanner des codes-barres, il n'existe aucune preuve publiquement disponible que les noms des candidats lisibles par l'homme sur les bulletins imprimés correspondent aux codes QR qui ont été réellement comptés. Cette comparaison n'a pas été systématiquement effectuée. Il se peut que ce ne soit pas techniquement possible de l'effectuer après coup si les bulletins ne sont pas conservés dans un format permettant une lecture humaine indépendante à grande échelle.

La question n'est pas si la fraude s'est produite. C'est si l'architecture du système rend cette question répondable par quelqu'un en dehors du vendeur et de l'autorité électorale. En ce moment, pour les systèmes BMD codés en QR, la réponse honnête est : pas complètement.

Ce qui le rendrait vérifiable ? Une lecture manuelle routinière, pré-spécifiée, publiquement observable d'un échantillon aléatoire statistiquement significatif de bulletins imprimés — pas un rescan, une lecture humaine — comparant les noms des candidats aux totaux rapportés par la machine, avec la taille de l'échantillon et la méthodologie publiées avant l'élection, pas choisies après.

Ce n'est pas une demande partisane. C'est la même norme que la Cour constitutionnelle allemande, la commission « Voter avec confiance » néerlandaise, et la Cour suprême indienne ont toutes atteinte à partir de directions différentes : le citoyen doit pouvoir vérifier les étapes essentielles, sans connaissances spécialisées, en utilisant un dossier qu'il a lui-même vérifié.

Un code QR ne peut pas être ce dossier.

Une piste de papier ne vous protège que si elle enregistre ce que vous aviez l'intention — dans une langue que vous pouvez lire.

Voir l'écart de papier vérifié par l'électeur mondial dans les juridictions | Lire la version de 2 minutes de cet argument

Sources

Voir tous les articlesExplorer les lacunes