← Tous les articles

La machine à voter sans papier : une transaction sans reçu avec la démocratie

En 2006, dans le comté de Sarasota en Floride, 18 000 votes ont disparu dans des machines qui n'ont rien laissé à recompter. En 2020, un tribunal fédéral a trouvé le même problème sous un déguisement plus récent.

Quelque part dans un bureau de vote en Floride, en novembre 2006, un électeur touche un écran, regarde la page récapitulative et appuie sur « Valider le bulletin ». La machine bipe. Un compteur s'incrémente quelque part en mémoire. Et puis — rien. Pas de papier. Pas de talon. Pas de preuve indépendamment vérifiable que le vote que la machine vient d'enregistrer est celui que l'électeur avait vraiment l'intention de voter.

Ce moment s'est répété 18 412 fois rien qu'au comté de Sarasota.

L'élection qu'il a affectée — la 13e circonscription du Congrès en Floride — a été remportée par 369 votes. Et comme chaque machine du comté de Sarasota était un écran tactile ES&S iVotronic sans papier, il n'y avait absolument rien à recompter. Pas de talon, pas de bordereau, pas de rouleau de papier thermique derrière un panneau verrouillé. Juste un nombre à l'intérieur d'une boîte, et la parole de la boîte.

C'est l'illustration la plus claire possible du problème dont traite cet article. Mais ce n'est pas la version la plus dangereuse. La version la plus dangereuse est venue quatorze ans plus tard, et elle impliquait du papier.

Le reçu qui ne signifie pas ce que vous croyez

Il existe une hypothèse courante dans les discussions sur la technologie électorale : si une machine imprime quelque chose, le problème de la vérifiabilité est résolu. Il y a du papier. Recomptez-le.

Cette hypothèse est fausse, et un tribunal fédéral à Atlanta l'a déclaré avec un manque de détour inhabituel.

Le 11 octobre 2020, la juge de district des États-Unis Amy Totenberg a rendu une ordonnance dans l'affaire Curling c. Raffensperger examinant le système de dispositif de marquage de bulletin de Dominion en Géorgie — les machines qui ont remplacé les anciens écrans tactiles sans papier de Géorgie. Le nouveau système produit bien un morceau de papier. Un électeur s'approche du BMD, fait ses choix sur un écran tactile, et la machine imprime un bulletin. Ce bulletin est ensuite inséré dans un dépouilleuse pour être compté.

Mais voici ce que le tribunal a trouvé : le bulletin que la machine imprime contient un code QR, et c'est ce code QR que la dépouilleuse lit réellement pour déterminer le vote. Le texte lisible par l'homme sur le bulletin imprimé — les noms des candidats — n'est pas ce qui est compté. Le code-barres l'est.

Les propres paroles de la cour : le système « ne fournit pas un dossier de bulletin vérifiable et auditable parce qu'il s'appuie sur le code QR pour le dépouillement des votes et que ce code lui-même ne peut pas être lu et vérifié par l'électeur ».

Vous ne pouvez pas lire un code QR avec vos yeux. Vous n'avez presque certainement pas essayé. Donc quand vous avez examiné votre bulletin récapitulatif imprimé au bureau de vote et que vous avez appuyé sur confirmer, vous avez vérifié le texte lisible par l'homme — et vous avez pris la parole de la machine sur ce qu'elle avait codé dans le code-barres.

Ce n'est pas une préoccupation théorique. La cour a cité le témoignage d'un expert, le Dr J. Alex Halderman, décrivant la faisabilité pratique d'une cyberattaque qui pourrait altérer les codes QR — échangeant ou supprimant des votes — tout en laissant le résumé lisible par l'homme inchangé. Vous verriez les bons noms de candidats. Le code-barres dirait quelque chose d'autre. La dépouilleuse compterait le code-barres.

La cour a également cité la conclusion de 2018 de l'Académie nationale : aucun mécanisme technique n'existe actuellement pour garantir qu'une application de dépouillement des votes produit des résultats précis et que les tests seuls ne peuvent pas garantir que les systèmes n'ont pas été compromis.

En fin de compte, la cour a décidé de ne pas ordonner de secours de dernière minute — l'élection de 2020 n'était que quelques semaines loin, et changer de méthode électorale en cours de campagne comporte ses propres risques. C'est un jugement défendable sous une pression temporelle impossible. Mais la conclusion demeure quelle qu'elle soit : la Géorgie avait du papier, et le papier n'était pas vérifiable par l'électeur.

C'est la version améliorée du problème de Sarasota. Sarasota n'avait pas du tout de papier. La Géorgie avait du papier qui disait une chose tandis que le dossier compté disait autre chose.

Pourquoi « pas de papier » est le minimum, pas le plafond

Pour comprendre pourquoi ces deux cas forment un seul argument, commençons par ce qu'un audit exige réellement.

Quand les responsables électoraux ou les tribunaux veulent vérifier un dépouillement automatique, ils ont besoin de deux artefacts indépendants : la sortie de la machine, et quelque chose que l'électeur lui-même a confirmé être correct. Si ces deux choses correspondent, vous avez une corroboration. Si elles divergent, vous avez un problème qui vaut la peine d'être enquêté. Si un seul artefact existe — la sortie de la machine — il n'y a rien pour corroborer. Vous auditez la réponse de la machine en demandant à la machine.

Au comté de Sarasota, l'iVotronic sans papier a produit un seul artefact. Quand des questions se sont posées sur le taux de suffrage blanc de 13 % — bien plus élevé que dans les comtés adjacents utilisant des bulletins papier — le Bureau de la responsabilité générale du gouvernement américain a mené des tests sur les machines. Ces tests n'ont pas trouvé de dysfonctionnement qui explique le suffrage blanc, tout en notant explicitement qu'une piste de vérification papier confirmée par l'électeur aurait pu fournir une confirmation indépendante que les écrans tactiles ont enregistré les votes correctement. Le GAO ne disait pas que les machines avaient mal fonctionné. Il disait que personne ne pouvait prouver qu'elles n'avaient pas mal fonctionné, parce qu'il n'y avait rien à vérifier.

Ce n'est pas un bilan de santé positif. C'est un aveu de non-vérifiabilité.

En Géorgie, le problème des artefacts est plus subtil. Le bulletin imprimé existe, mais la portion lisible par l'électeur et la portion lisible par la machine ne sont pas le même dossier. Un électeur peut confirmer le texte humain. Une dépouilleuse lit le code-barres. Ce sont deux encodages différents des (supposément) mêmes données, générés par une machine dont le logiciel l'électeur ne peut pas inspecter et dont la sortie l'électeur ne peut pas vérifier indépendamment. Un audit des bulletins papier de Géorgie est techniquement un audit des codes-barres — confirmant que les codes-barres ont été systématiquement dépouillés, pas qu'ils ont été correctement générés en premier lieu.

Une piste de papier n'est un outil de vérification que si l'artefact que vous vérifiez est le même artefact que l'électeur a confirmé.

À quoi ressemble réellement la vérification indépendante

Le contraste est instructif. Le dépouillement manuel à l'échelle de l'État en Géorgie en 2020 — environ cinq millions de bulletins présidentiels, comptés manuellement dans 159 comtés en moins de six jours — était significatif et précieux précisément parce qu'il confirmait le dépouillement automatique à environ un dixième de un pour cent près. Ce dépouillement manuel est le meilleur argument que quiconque pourrait faire en faveur des bulletins papier : quand un vrai dossier durable existe, une élection serrée peut être vérifiée indépendamment à grande échelle.

Mais remarquez ce qui a rendu cela possible. La Géorgie utilisait également des bulletins papier marqués à la main pour de nombreux électeurs aux côtés du système BMD. Les bulletins marqués à la main en Géorgie en 2020 étaient vérifiés par l'électeur au sens le plus vrai : l'électeur met le stylo sur le papier, entoure un nom ou remplit un ovale, et le papier marqué va directement dans une boîte scellée. Pas d'encodage intermédiaire. Pas de code QR. La marque humaine est le dossier.

Le dépouillement manuel a fonctionné parce qu'il y avait un vrai deuxième artefact — l'intention de l'électeur, exprimée directement sur papier — qui pouvait être comparé au dépouillement automatique. Quand les deux étaient d'accord, la confiance était justifiée.

Le Colorado fournit un autre modèle. Quand le Colorado est devenu le premier État à terminer un audit à risque limité à l'échelle de l'État en novembre 2017, cela a fonctionné pour la même raison : les bulletins papier marqués à la main donnaient aux auditeurs quelque chose pour vérifier les machines. Un RLA n'est pas juste un sondage d'un pourcentage fixe de bulletins. Il ajuste la taille de l'échantillon en fonction de la marge — exigeant plus de vérification manuelle dans les élections serrées et moins dans les élections écrasantes, calibré à un niveau de confiance statistique indiqué. Dans une élection remportée par des centaines de votes, il examine assez de bulletins pour dire, avec une probabilité définie, si le résultat de la machine est correct.

C'est un outil puissant. C'est aussi entièrement dépendant de la fiabilité de la piste de papier — du dossier dans la boîte de bulletin scellée étant ce que l'électeur avait réellement l'intention, pas un encodage produit par une machine que l'électeur ne pouvait pas inspecter.

La norme allemande, et pourquoi les États-Unis ne la respectent pas

En mars 2009, huit juges à Karlsruhe ont réglé une question qui aurait probablement dû être réglée avant que les ordinateurs de vote ne soient déployés n'importe où : quand un système de dépouillement électronique satisfait-il aux exigences d'une élection démocratique ?

La réponse de la Cour constitutionnelle fédérale allemande était directe. Le vote électronique n'est constitutionnel que lorsque « les étapes essentielles du vote et de la détermination du résultat peuvent être examinées par le citoyen de manière fiable et sans aucune connaissance spécialisée. » Les machines Nedap utilisées lors de l'élection fédérale allemande de 2005 ont échoué ce test. Elles stockaient les votes en mémoire électronique sans dossier indépendamment vérifiable qu'un électeur pouvait vérifier. La cour a déclaré le décret fédéral sur les machines à voter inconstitutionnel.

Remarquez ce que la cour n'a pas dit. Elle n'a pas dit que les machines avaient mal fonctionné. Elle n'a pas dit que les votes avaient été modifiés. Elle a dit qu'un système dont l'exactitude repose sur la confiance dans un logiciel caché échoue le test de vérifiabilité publique, que l'altération soit jamais prouvée ou non.

La Commission consultative sur le processus électoral du gouvernement néerlandais a atteint le même endroit en 2007, dans son rapport « Stemmen met vertrouwen » (« Voter avec confiance »). La commission a été directe : « il n'y a pas de secrets dans le processus électoral. » La transparence et la vérifiabilité étaient non-négociables. Toute méthode électronique n'était acceptable que si elle produisait un vote papier que l'électeur pouvait confirmer. Les Pays-Bas sont revenus au papier et au comptage manuel.

La Commission sur le vote électronique de l'Irlande, examinant les machines Nedap/Powervote que le gouvernement avait déjà achetées, a conclu quelque chose de plus subtil mais tout aussi important : elle ne constatait pas que le système ne fonctionnerait pas. Elle constatait que le système n'avait pas été prouvé fonctionner à la satisfaction de la commission. Quand l'exactitude et le secret ne peuvent pas être indépendamment vérifiés, le défaut correct n'est pas le déploiement.

Ce sont trois pays indépendants arrivant à la même position : le fardeau de la preuve va dans une direction. Un système électoral doit prouver aux citoyens ordinaires qu'il fonctionne correctement — pas demander aux citoyens de faire confiance à la parole du fabricant ou à la certification du gouvernement.

Appliquez cette norme à Sarasota. Appliquez-la aux BMD codés en QR dans Curling. La norme n'est pas respectée.

Le problème irréductible avec « faire confiance aux responsables »

Il y a une version de la réponse à tout cela qui semble raisonnable : les responsables électoraux ont examiné les systèmes. Les fournisseurs les ont certifiés. Les auditeurs les ont testés. Rien n'a été trouvé.

C'est l'argument qui s'effondre sous son propre poids, et la déclaration de la CISA sur « l'élection la plus sécurisée de l'histoire américaine » de novembre 2020 est en fait l'exemple le plus clair de pourquoi.

Cette déclaration — émise par des responsables sérieux et de carrière — a déclaré qu'il n'y avait « aucune preuve qu'un système de vote ait supprimé ou perdu des votes, modifié des votes, ou ait été d'une quelconque manière compromis. » Elle a explicitement cité les dossiers papier et la capacité à recompter et auditer comme fondement de sa confiance.

Relisez cela. L'argument même de la déclaration pour la fiabilité était : nous avons des dossiers papier qui permettent les recomptages et audits. Les responsables qui ont certifié l'élection comme sécurisée ont fondé cette certification sur l'existence de papier indépendamment vérifiable. Ils ne disaient pas « faites confiance au logiciel ». Ils disaient « faites confiance à l'audit papier ».

Ce qui signifie que la question pour n'importe quel système — les iVotronics de Sarasota, les BMD codés en QR de Géorgie, n'importe quelle DRE sans papier n'importe où — est exactement celle que les responsables eux-mêmes devraient poser : où est le dossier indépendamment vérifiable ?

Quand il n'y en a pas, « l'audit l'a confirmé » est une affirmation circulaire. Quand le dossier papier ne peut pas être lu par l'électeur, « nous avons recompté le papier » confirme uniquement que les codes-barres ont été systématiquement dépouillés, pas qu'ils ont été correctement générés. Quand le dépouillement manuel diffère du dépouillement automatique par une douzaine de votes dans une élection remportée par des dizaines de votes — comme cela s'est produit dans l'audit du comté d'Antrim, Michigan — « le dépouillement manuel l'a confirmé » est une assurance portant sa propre marge d'erreur.

Le GAO a trouvé en 2005 que les efforts fédéraux pour améliorer la sécurité des systèmes de vote électronique étaient en cours mais que les activités clés restaient inachevées. Ce n'était pas la conclusion d'un critique partisan. C'était la conclusion d'auditeurs fédéraux de carrière. Et l'écart qu'ils ont identifié — la distance entre « certifié » et « vérifiable par le public » — n'a pas complètement fermé dans les deux décennies qui ont suivi.

La solution est spécifique, pas symbolique

Rien de cela n'est un argument pour la méfiance comme condition permanente. C'est un argument pour ce qui remplacerait la méfiance par quelque chose de mieux.

La solution a deux composantes, et les deux sont nécessaires.

La première est un dossier durable vérifiable par l'électeur — pas un résumé généré par la machine que l'électeur confirme sur un écran, et pas un code-barres que l'électeur ne peut pas lire. Un bulletin papier marqué à la main, ou un dispositif de marquage de bulletin qui produit un dossier papier lisible par l'homme où le texte lisible par l'homme est ce qui est compté et dépouillé, et l'électeur le confirme avant qu'il ne quitte ses mains. Le dossier que l'électeur vérifie doit être le dossier qui est audité. Les Pays-Bas, l'Allemagne et l'Irlande sont arrivés à cette conclusion par le biais de commissions politiques et de cours constitutionnelles. Le Colorado et le dépouillement manuel de Géorgie en 2020 le démontrent fonctionnant en pratique.

La deuxième est la vérification indépendante et contradictoire — pas une certification avant les élections par une seule autorité, mais un contrôle public continu. L'autorité électorale du Brésil invite les membres qualifiés du public à tenter de casser ses machines à voter avant chaque élection générale. Le projet de vote par internet de Washington D.C. en 2010 a été abandonné parce que ce type de test ouvert a fonctionné : une équipe de l'Université du Michigan a compromis le système en environ 48 heures, modifiant les bulletins, lisant les votes et démontrant l'attaque aux responsables. L'attaque a été détectée parce que le système était ouvert aux tests, pas parce qu'une autorité de certification l'avait approuvé.

La Cour suprême de l'Inde, dans son ordonnance d'avril 2024 sur les machines à voter électroniques, a décidé de ne pas abandonner le système EVM entier du pays — mais a renforcé les règles autour de la vérification papier, du stockage scellé des unités de chargement de symboles et de la vérification du microcontrôleur demandée par le candidat. Même une cour qui a maintenu un système électronique a renforcé les parties indépendamment vérifiables.

Le fil directeur n'est pas le papier pour le papier lui-même. C'est un dossier que l'électeur a confirmé, préservé sous une forme inviolable, auditable par quiconque ayant les règles d'accès, vérifié par des parties indépendantes qui ne sont pas les responsables annonçant le résultat.

C'est la vérifiabilité. Un responsable disant « c'était bien » ne l'est pas.

Ce qui reste non vérifiable — et ce qui le changerait

Voici la conclusion honnête, énoncée aussi clairement que possible.

Dans toute juridiction qui a utilisé des machines DRE sans papier — chaque vote exprimé sur un iVotronic, chaque Diebold AccuVote-TS, n'importe quelle machine qui stockait les votes en mémoire électronique sans dossier papier vérifiable par l'électeur — le dépouillement ne peut pas être confirmé indépendamment. Pas maintenant. Jamais. Ces votes existent uniquement dans la mémoire de la machine, et le seul dossier d'eux est ce que dit la machine. Les 18 412 suffrages blancs au comté de Sarasota restent inexpliqués. Cela aurait pu être des choix d'électeurs. Cela aurait pu être un défaut logiciel. Il n'y a aucun moyen de le savoir, parce qu'il n'y a rien à vérifier.

Dans toute juridiction où les dispositifs de marquage de bulletin produisent des codes QR que les électeurs ne peuvent pas lire, le dépouillement tabulé est un audit de l'encodage de la machine, pas un audit de l'intention de l'électeur. Le texte lisible par l'homme et le code-barres scanné peuvent être en accord parfait, ou non. Sans un dépouillement manuel parallèle du texte lisible par l'homme — pas le code-barres — il n'y a pas de vérification indépendante.

Qu'est-ce qui changerait cela ?

Les résultats au niveau du bureau de vote, publiés dès que chaque bureau de vote ferme, dans des formats lisibles par la machine que n'importe qui peut télécharger et vérifier par rapport aux totaux signalés par les responsables. Un dossier papier vérifiable par l'électeur, conservé et auditable, où ce qui est compté est ce que l'électeur a lu et confirmé. Des tests adversaires publics des systèmes avant qu'ils ne fonctionnent lors d'élections réelles. Des audits à risque limité qui sont dimensionnés à la marge, pas à un niveau de confort politique.

Aucun de ceux-ci n'exige de faire confiance à un responsable, un fournisseur ou un parti politique. C'est le point. La solution à « faites-nous confiance » est un système conçu pour que vous n'ayez pas à le faire.

Jusque-là, le bip d'un écran tactile sans papier est une transaction sans reçu avec la démocratie. Vous avez appuyé sur le bouton. Quelque chose s'est passé. Vous allez juste devoir prendre leur parole.

Voir à quel point l'écart « pas de papier à recompter » est courant dans le monde →

Lire la version de 2 minutes de ce problème →

Explorer les écarts de vérifiabilité spécifiques par système et juridiction →

Sources

Voir tous les articlesExplorer les lacunes