← Tous les articles

Vous ne pouvez pas lire le code-barres qui compte votre vote. Une cour fédérale l'a remarqué.

Votre bulletin imprime du texte lisible par l'humain — mais le lecteur l'ignore et lit un code-barres que vous ne pouvez pas décoder. Une cour fédérale a mis cette conclusion par écrit.

Nous sommes le 11 octobre 2020, et une juge fédérale à Atlanta lit un témoignage d'expert que la plupart des électeurs ne verront jamais.

Le Dr J. Alex Halderman — le même chercheur qui a repris en 48 heures le projet de vote électronique de Washington D.C. et qui a passé deux décennies à tester les limites des technologies électorales — a expliqué, sous serment, comment fonctionnent réellement les machines à marquer les bulletins de Géorgie. Vous vous approchez d'un écran tactile, faites vos sélections, et la machine imprime un morceau de papier. Le papier affiche vos choix en anglais simple. Vous le portez à un lecteur. Le lecteur ignore les mots.

Il lit un code QR.

Le code QR est un carré dense de pixels noirs et blancs qui encode votre vote dans un format qu'aucun œil humain ne peut analyser sans un appareil de décodage séparé. Vous n'avez aucun moyen pratique de vérifier que le code-barres dit la même chose que le texte imprimé. Et le code-barres — pas le texte — est ce qui est compté.

La Cour de district des États-Unis pour le district nord de Géorgie, dans son avis du 11 octobre 2020 dans Curling c. Raffensperger, a trouvé exactement ceci : le système « ne fournit pas un dossier de bulletin vérifiable et auditable, car il s'appuie sur le code QR pour le dépouillement des votes et ce code lui-même ne peut pas être lu et vérifié par l'électeur. »

Cette phrase ne vient pas d'un groupe de défense ou d'un dossier partisan. C'est une conclusion de fait d'une cour fédérale, citant le témoignage d'experts et les Académies nationales des sciences, de l'ingénierie et de la médecine.

Et elle pointe vers une lacune qui va bien au-delà de la Géorgie, bien au-delà d'une seule élection, et bien au-delà d'une seule pièce de matériel.

La chose comptée doit être la chose que vous pouvez vérifier

Voici le principe que la conclusion de la cour dans Curling expose.

Un bulletin est censé être votre dossier — un artefact physique qui capture votre intention et peut être vérifié indépendamment par quiconque l'examine. C'est tout le point du papier. Le papier survit aux pannes de courant, aux crashs de logiciels et aux attaques réseau. Le papier peut être compté à la main. Le papier est ce qu'un audit vérifie.

Mais un morceau de papier avec un code QR n'est pas tout à fait la même chose. Le papier porte deux dossiers : un lisible par l'humain et un lisible par la machine. Si ces deux dossiers peuvent diverger — et Halderman a témoigné qu'ils le peuvent, via une cyberattaque qui échange le contenu du code-barres sans modifier le texte imprimé — alors l'artefact qui est compté n'est pas l'artefact que l'électeur a vérifié.

La chose comptée doit être la chose vérifiable. S'ils peuvent se séparer, vous n'avez pas un dossier papier. Vous avez un alibi papier.

La cour a été sans ambiguïté sur le risque sous-jacent. Elle a noté le témoignage d'experts sur « la faisabilité pratique, par une cyberattaque, d'échanger ou de supprimer des votes et de compromettre le système, y compris par l'accès et l'altération du code-barres QR utilisé pour le dépouillement des votes. » Elle a également cité la conclusion 2018 des Académies nationales selon laquelle « aucun mécanisme technique n'existe actuellement pour garantir qu'une application de dépouillement des votes produit des résultats exacts » et « les tests seuls ne peuvent garantir que les systèmes n'ont pas été compromis. »

Ce n'est pas une position marginale. C'est le jugement réfléchi de la plus prestigieuse institution scientifique du pays, approuvé par une cour fédérale.

Ce que la cour a fait — et n'a pas fait

Voici où l'histoire devient inconfortable.

Après avoir tiré ces conclusions, la cour a refusé d'ordonner une réparation. Avec l'élection de novembre 2020 à quelques semaines, la juge Totenberg a conclu que rejeter entièrement le système de machines à marquer les bulletins de Géorgie et passer aux bulletins à marquer manuellement n'était pas une réparation pratique dans un délai d'urgence. Le risque de chaos était trop élevé. Elle a pesé le défaut constitutionnel contre la perturbation du remède et a choisi de laisser l'élection se dérouler.

C'est un jugement judiciaire raisonnable. C'est aussi une illustration de la manière dont les systèmes s'enracinent : une fois qu'un État a déployé des dizaines de milliers de machines à marquer les bulletins, a adapté la formation de ses agents électoraux autour d'elles et a imprimé ses bulletins pour être lus par elles, la fenêtre de réforme se ferme juste au moment où le problème est documenté.

Les conclusions de la cour sont restées au dossier. Les machines ont dépouillé l'élection. L'affaire plus large a finalement été rejetée en 2024 sur des motifs de légitimité active — non parce que les conclusions sous-jacentes étaient erronées, mais parce que les plaignants ne pouvaient pas établir la légitimité active juridique requise pour continuer.

« Nous avons trouvé le problème mais n'avons pas pu le corriger à temps » n'est pas une assurance. C'est une description de la manière dont les systèmes non vérifiables deviennent permanents.

Un bref historique du problème du code-barres

La Géorgie n'a pas inventé cette lacune. Elle l'a achetée.

La loi Help America Vote de 2002 a versé des fonds fédéraux pour remplacer les machines à cartes perforées et les leviers qui ont échoué en 2000. L'intention était raisonnable : l'ancienne technologie ambiguë avait produit la crise des bulletins de vote avec trous mal perforés. La nouvelle technologie numérique serait plus propre et plus précise. Les États ont dépensé des centaines de millions de dollars pour se moderniser.

Mais le chemin de mise à niveau a mené, dans de nombreux cas, vers des machines de vote électronique direct sur écran tactile — des appareils qui n'ont produit aucun papier — et plus tard, quand le papier est devenu une exigence politique, vers des machines à marquer les bulletins qui produisent du papier avec code-barres. Le code-barres était un choix de conception qui rendait le dépouillement plus rapide et plus fiable pour la machine. Cela rendait la vérification plus difficile pour l'humain.

Le désastre de Sarasota County, Floride en 2006 a illustré la version sans papier de ce problème : 18 412 bulletins dans une course décidée par 369 votes n'affichaient aucun choix enregistré, et comme le comté utilisait des écrans tactiles sans papier, il n'y avait rien d'indépendant à recompter. Le GAO a testé les machines et n'a trouvé aucun dysfonctionnement définitif — ce qui signifie qu'il n'y avait pas non plus moyen de prouver que les machines fonctionnaient correctement. Le papier est ce qui règle cette question. Mais « papier » et « papier vérifiable » ne sont pas la même chose.

La norme allemande, et pourquoi elle compte toujours ici

En mars 2009, la Cour constitutionnelle fédérale allemande à Karlsruhe a statué que le vote électronique n'est constitutionnellement légitime que lorsque « les étapes essentielles du vote et de la détermination du résultat peuvent être examinées par le citoyen de manière fiable et sans aucune connaissance spécialisée du sujet. »

Sans connaissances spécialisées. Cette phrase fait tout le travail.

Un code QR échoue à ce test. Le lire nécessite soit un appareil de décodage, soit une expertise en logiciels. Vous ne pouvez pas tenir un code-barres à la lumière et confirmer qu'il dit la même chose que le texte imprimé. La norme de la cour allemande — qui découle de la Loi fondamentale du pays et du principe de vérifiabilité publique des élections — serait malaise appliquée à un bulletin de Géorgie avec code-barres.

La décision allemande a conduit à une interdiction des ordinateurs de vote dépourvus de dossiers indépendamment vérifiables. Les Pays-Bas ont tiré la même conclusion la même année, revenant aux bulletins de papier et au dépouillement manuel après qu'une commission gouvernementale ait déterminé que toute méthode électronique doit produire « un bulletin de papier que l'électeur peut vérifier. »

La phrase de la commission néerlandaise est précise. Pas seulement du papier. Un bulletin de papier que l'électeur peut vérifier. Un bulletin avec code-barres est du papier. Ce n'est pas nécessairement un papier que l'électeur peut vérifier.

Ce qu'un recompte audite réellement

Voici la prestidigitation qui est facile de manquer.

Quand la Géorgie a menée son recompte à la main au niveau de l'État d'environ cinq millions de bulletins présidentiels après novembre 2020 — le plus grand recompte à la main de l'histoire américaine — les auditeurs comptaient des bulletins avec code-barres. Le recompte à la main a confirmé le résultat du dépouillement automatisé à environ un dixième de un pour cent.

C'est une contre-vérification significative. Elle vous dit que les lecteurs lisaient les codes-barres de manière cohérente. Elle ne vous dit pas si les codes-barres disaient la même chose que le texte imprimé. Un recompte à la main de bulletins avec code-barres est un audit de la cohérence du code-barres, pas un audit de l'intention de l'électeur.

Pour auditer l'intention de l'électeur sur un bulletin avec code-barres, vous devriez décoder chaque code-barres et le comparer au texte imprimé correspondant. Aucun État ne fait cela systématiquement.

L'audit médico-légal de Windham, New Hampshire en 2021 offre une comparaison utile. Là, les lecteurs AccuVote décodaient mal les lignes de pli sur les bulletins par correspondance comme des ovales marqués — une erreur purement mécanique qui a produit des centaines de votes mal comptabilisés sans fraude et sans malware. L'erreur n'a pu être récupérée que parce que les bulletins de papier existaient et que les humains pouvaient les examiner pour déterminer l'intention réelle de l'électeur. C'est à cela que sert le papier : récupérer l'intention quand la machine s'est trompée.

Sur un bulletin avec code-barres, si la machine a codé le mauvais choix dans le code-barres, le papier ne porte aucun dossier indépendant de l'intention de l'électeur qu'un humain peut récupérer. Le papier est un reçu pour le code-barres, pas pour le vote.

Le problème du comté de Coffee, résumé

En janvier 2021, une entreprise de renseignement judiciaire informatique a été admise dans le bureau électorale du comté de Coffee, Géorgie et a quitté les lieux avec des copies de tout : le système de gestion des élections, les machines à marquer les bulletins, le lecteur et le logiciel Dominion au niveau de l'État de Géorgie. Ceci a été documenté dans les dépositions dans Curling c. Raffensperger lui-même — la même affaire qui venait de trouver le code QR non vérifiable.

L'épisode démontre quelque chose de spécifique. Le système de Géorgie a été défendu, en partie, sur la base que le logiciel propriétaire était sécurisé parce qu'il était secret. Coffee County montre ce que cette défense vaut : un initié avec une porte déverrouillée et une entreprise de renseignement avec un ordinateur portable peuvent copier le système entier en un après-midi.

Une fois que le logiciel est dehors, l'hypothèse que sa surface d'attaque est inconnue s'effondre. L'argument de sécurité pour le code propriétaire fermé des machines à marquer les bulletins a toujours été mince ; après Coffee County, il a disparu.

C'est pourquoi la question du code QR illisible n'est pas seulement une plainte d'utilisabilité. C'est une question d'architecture du système. Un système dont la vérifiabilité dépend du secret de son code est à un contact adversaire près de ne rien avoir.

Ce que « vérifiable » exigerait réellement

La conclusion de la cour dans Curling implique une norme concrète : l'artefact qui est compté doit être vérifiable indépendamment par l'électeur, sans connaissances spécialisées.

Il y a des approches qui se rapprochent davantage de cela que les bulletins avec code-barres.

Les bulletins marqués à la main en papier, lus par des lecteurs optiques, mettent les marques de l'électeur au centre de la mise à jour. Le lecteur interprète les marques ; un auditeur humain peut réexaminer les mêmes marques indépendamment et arriver à la même conclusion — ou pas. Quand ils ne correspondent pas, comme à Windham, le papier gagne. L'intention de l'électeur survit à l'erreur de la machine.

Les machines à marquer les bulletins avec sortie lisible par humain uniquement — imprimant les sélections en tant que texte, sans code-barres d'encodage qui diverge du texte — réduisent partiellement l'écart, bien qu'elles dépendent toujours de l'électeur examinant réellement l'imprimé avant de la soumettre.

Les systèmes de vote vérifiables cryptographiquement, où chaque bulletin voté peut être vérifié par rapport à un dossier anonymisé publié et auditable à l'aide de mathématiques ouvertes vérifiables, vont plus loin — mais comme le cas Swiss Post de 2019 l'a démontré, même le code source publié et les preuves cryptographiques publiées peuvent contenir des portes dérobées que seule la révision adverse extérieure peut trouver. L'ouverture est nécessaire ; ce n'est pas suffisant. L'examen indépendant et continu est ce qui rend l'ouverture réelle.

La seule réponse qui ne fonctionne pas est celle que la Géorgie a donnée en 2020 : un dossier papier que le processus officiel traite comme vérifiable mais que l'électeur ne peut réellement pas décoder.

L'assurance officielle, et sur quoi elle repose

Après l'élection de 2020, la CISA et ses partenaires en infrastructure électorale ont publié une déclaration conjointe la déclarant « la plus sécurisée de l'histoire américaine. » La déclaration a spécifiquement cité les dossiers papier comme raison : ils ont permis les recounts et les audits.

Mais la logique de la déclaration de la CISA dépend des dossiers papier signifiant quelque chose. Si le dossier papier en audit est un code-barres qu'aucun électeur ne peut lire, et si la procédure d'audit vérifie uniquement que les codes-barres ont été lus de manière cohérente plutôt que qu'ils ont codé le choix de l'électeur, alors l'assurance est circulaire. Elle dit : nous avons confirmé que les machines lisaient les codes-barres correctement. Elle ne dit pas : nous avons confirmé que les codes-barres contenaient ce que les électeurs ont choisi.

Ce n'est pas une théorie du complot. C'est une lacune structurelle qu'une cour fédérale a mise par écrit.

La conclusion de Curling n'est pas une preuve que le résultat de 2020 en Géorgie était erroné. C'est une preuve que le système n'est pas conçu pour vous permettre de le découvrir indépendamment — et c'est le problème, quel que soit le résultat particulier.

Ce qui n'est toujours pas vérifiable — et ce qui le corrigerait

Voici ce qui reste ouvert, en tant que fait documenté :

Aucun processus systématique en Géorgie — ou dans la plupart des États qui utilisent des machines à marquer les bulletins avec code-barres — ne décode chaque code QR et ne le compare au texte imprimé. L'audit vérifie la cohérence de la machine, pas l'intention de l'électeur.

La conclusion des Académies nationales, citée par la cour dans Curling, tient bon : aucun mécanisme technique n'existe actuellement pour garantir qu'une application de dépouillement des votes produit des résultats exacts. Les tests trouvent de nombreuses erreurs. Ils ne peuvent garantir l'absence de toutes erreurs ou de tous les compromis.

Ce qui le rendrait vérifiable par quiconque :

Premièrement, remplacer les dossiers de bulletins avec code-barres par des dossiers lisibles par humain uniquement, ou exiger le décodage systématique et la comparaison des codes-barres avec le texte imprimé en tant qu'étape d'audit obligatoire.

Deuxièmement, publier les résultats au niveau du bureau de vote, lisibles par machine, dès que chaque bureau de vote est final — afin que tout observateur puisse télécharger, réconcilier et vérifier sans attendre un résumé officiel.

Troisièmement, exiger un logiciel ouvert, indépendamment auditable dans les systèmes électoraux, afin que des chercheurs externes puissent examiner le code qui génère le code QR, pas seulement le papier qu'il imprime.

Quatrièmement, traiter « une cour n'a trouvé aucune preuve de manipulation » et « les responsables ont confirmé le résultat » comme le début de la conversation de vérification, non la fin.

La cour dans Curling a trouvé le problème. Les machines ont dépouillé de toute façon. La lacune est toujours là.

La solution n'est pas un responsable différent disant que c'est bon. La solution est un système que n'importe qui peut vérifier — y compris vous.

Voir la fréquence de la lacune de dossiers de bulletins illisibles dans le monde | Lire la version de deux minutes | Explorer la carte complète de l'affaire

Sources

Voir tous les articlesExplorer les lacunes