← Tous les articles

Quand un « recomptage » ne fait que relire le même code-barres

La Géorgie a compté cinq millions de bulletins à la main et l'a appelé un recomptage — mais si le scanner lit un code QR que vous ne pouvez pas décoder, qu'exactement quelqu'un vient-il de compter ?

Nous sommes en novembre 2020, et quelque part dans un bureau de vote du comté de Gwinnett, en Géorgie, une électrice vient de terminer ses choix sur un appareil de marquage de bulletin Dominion. La machine imprime une feuille de papier. Elle la tient. Il y a du texte lisible — le nom de son candidat, ses choix exposés en anglais simple. Il y a aussi un code QR, à peu près de la taille d'un timbre-poste, dans le coin.

Elle ne peut pas lire le code QR. Personne dans la pièce ne peut lire le code QR à l'œil nu.

Elle insère la feuille dans un scanner. Le scanner lit le code QR. Le code QR, non le texte, détermine comment son vote est comptabilisé.

Six semaines plus tard, la Géorgie compte ces feuilles à la main dans ce qui s'appellera un audit historique — l'un des plus grands recouvrements manuels jamais réalisés. Environ cinq millions de bulletins, examinés par des yeux humains dans 159 comtés. Les responsables annoncent que le recomptage confirme le résultat de la machine. Les médias le déclarent une justification.

Voici la question que personne n'a posée suffisamment fort : qu'ont exactement regardé ces humains ?

La cour fédérale qui a posé la question inconfortable

Le 11 octobre 2020 — trois semaines avant le jour du scrutin — un juge fédéral à Atlanta lisait un témoignage d'expert que la plupart des électeurs ne rencontreront jamais.

Dans Curling c. Raffensperger, la Cour de district des États-Unis pour le district nord de la Géorgie a examiné la sécurité et la vérifiabilité du système d'appareil de marquage de bulletin Dominion de la Géorgie. La cour a entendu le Dr J. Alex Halderman, l'un des principaux chercheurs en sécurité électorale du pays, qui a décrit comment une cyberattaque pourrait plausiblement échanger ou supprimer des votes en altérant le code-barres QR utilisé pour la comptabilisation.

Plus précisément, et de façon plus durable, la cour a constaté que le système « ne fournit pas un bulletin de vote vérifiable et auditable car il repose sur le code QR pour la comptabilisation et ce code lui-même ne peut pas être lu et vérifié par l'électeur ».

La cour a également cité la conclusion de 2018 des Académies nationales des sciences, de l'ingénierie et de la médecine : aucun mécanisme technique n'existe actuellement pour assurer qu'une application de comptage des votes produit des résultats précis, et les tests seuls ne peuvent garantir que les systèmes n'ont pas été compromis.

Le juge a refusé d'ordonner un secours d'urgence — changer l'infrastructure électorale d'un État entier quelques semaines avant une élection présidentielle aurait introduit une autre catégorie de chaos. C'était un choix raisonnable compte tenu des circonstances. Mais le résultat juridique ne résout pas le problème sous-jacent. La cour l'a identifié, nommé, et laissé ouvert. Lisez l'avis complet ici.

Ce qu'un recomptage recompte réellement

Voici le mécanisme, énoncé aussi simplement que possible.

Un appareil de marquage de bulletin (AMB) fonctionne comme ceci : vous touchez un écran, faites vos choix, et la machine imprime un bulletin. Ce bulletin contient deux représentations de vos choix. L'une est du texte lisible par l'homme. L'autre est un code QR lisible par machine. Quand le bulletin entre dans un scanner, le scanner lit le code QR. Le code QR est ce que le logiciel de comptabilisation traite. Le texte lisible par l'homme n'est pas ce qui est compté.

Maintenant, effectuez un recomptage manuel. Les travailleurs prennent chaque bulletin imprimé et lisent — quoi ? Le texte lisible par l'homme. Ils font le compte d'après ce que le bulletin dit en mots.

Si le code QR et le texte lisible par l'homme s'accordent, le recomptage manuel confirme le recomptage machine. Bien. Mais le recomptage n'a pas vérifié le code QR. Il a vérifié le texte. La question à laquelle le recomptage ne peut pas répondre est de savoir si le code QR — la chose qui a réellement été comptabilisée — correspondait à ce que l'électeur a choisi.

Un AMB compromis pourrait, en théorie, imprimer un texte lisible par l'homme disant « Candidat A » tout en codant un vote pour le Candidat B dans le code QR. L'électeur, jetant un coup d'œil au texte, voit son choix représenté correctement. Le scanner comptabilise le Candidat B. Un recomptage manuel ultérieur lit le texte et compte aussi le Candidat A. Le total de la machine et le recomptage manuel disent tous deux Candidat A — et la fraude, s'il y en avait une, est invisible dans les deux.

Ce n'est pas une fantaisie paranoïaque. C'est la surface d'attaque que la cour fédérale dans Curling décrivait.

Une impression sur papier n'est pas la même chose qu'un bulletin vérifié par l'électeur. Si ce qui est compté n'est pas ce que l'électeur peut inspecter, « nous avons compté le papier » et « nous avons vérifié le vote » sont deux phrases différentes.

L'audit de cinq millions de bulletins de Géorgie : ce qu'il a prouvé, et ce qu'il n'a pas prouvé

L'audit à risque limité de la Géorgie en novembre 2020 est devenu un recomptage complet car la marge était suffisamment étroite pour le nécessiter. Environ 41 881 lots, 159 comtés, environ cinq millions de bulletins examinés par des mains humaines en moins de six jours. Le recomptage manuel a confirmé le résultat comptabilisé par machine à environ un dixième de pour cent.

C'est véritablement impressionnant comme réussite logistique. C'est aussi une conclusion significative — cela signifie que le texte lisible par l'homme sur les bulletins imprimés, comptabilisé à la main, correspondait au total de la machine. S'il y avait eu une divergence systématique à grande échelle, elle aurait fait surface.

Mais remarquez ce que « correspondait » signifie ici. Le texte lisible par l'homme correspondait au total de la machine. C'est cohérent avec deux explications : les codes QR étaient exacts et correspondaient au texte, ou les codes QR étaient systématiquement corrompus d'une manière qui a aussi corrompu le total de la machine, et le recomptage manuel du texte a confirmé la corruption plutôt que de l'attraper.

L'audit manuel ne peut pas faire la distinction entre ces deux scénarios. Il n'a pas été conçu pour le faire. Il a vérifié le texte par rapport au total. Il n'a pas décodé et vérifié individuellement chaque code QR.

Ce n'est pas une raison de douter du résultat de Géorgie. Il n'y a aucune preuve d'altération à grande échelle du code QR dans l'élection 2020 de Géorgie. Mais « aucune preuve d'altération » n'est pas la même chose que « le système aurait attrapé l'altération ». Le point de la cour Curling était exactement ceci : un système dont le mécanisme d'audit ne peut pas fermer la boucle entre l'artefact comptabilisé et l'intention vérifiée de l'électeur n'est pas totalement auditable, quel que soit le nombre d'humains qui touchent le papier.

Le comté d'Antrim, Michigan en 2020 a montré une version de ceci à une échelle plus petite : de mauvais chiffres ont été publiés, détectés seulement parce qu'ils étaient absurdes — un comté fermement républicain montrant le candidat opposé en tête de plusieurs milliers de voix. Quand le recomptage manuel du comté a été effectué, il a divergé du total de machine corrigé d'environ une douzaine de voix sur environ 15 700. Une douzaine de voix. Dans une course serrée, une méthode qui est elle-même décalée d'une douzaine de voix ne peut pas définitivement trancher une question décidée par moins d'une douzaine. « L'audit a confirmé » est une assurance ; ce n'est pas une preuve.

L'erreur irréductible dans « simplement compter à la main »

Il y a une idée romantique que le recomptage manuel est toujours l'étalon-or — que les yeux humains sont le contrôle ultime. C'est en partie vrai et en partie trompeur.

Les recomptages manuels introduisent leurs propres taux d'erreur. Fatigue du recomptage. Marques ambiguës. Différents lecteurs faisant différents appels sur un bulletin avec une marque légère. Les décisions d'adjudication qui varient de table en table. L'audit judiciaire de Windham, New Hampshire en 2021 a constaté que lorsque les scanners AccuVote mal lu les bulletins — parce qu'un pli se trouvait à passer par une cible de vote — un recomptage manuel pourrait récupérer l'intention de vote que la machine avait perdue. Dans ce cas, les bulletins de papier existaient et un recomptage manuel a amélioré le résultat de la machine. Bien.

Mais Windham illustre aussi le plancher, pas le plafond. L'erreur a été trouvée parce que les auditeurs avaient un bulletin physique durable — une marque faite directement par l'électeur — auquel revenir. La mauvaise lecture du scanner d'un pli était détectable parce que l'intention sous-jacente était toujours physiquement présente sur le papier.

Dans un système AMB, il n'y a pas de marque directement marquée par l'électeur à récupérer. L'électeur a touché un écran. La machine a imprimé une représentation de ce toucher. Si la représentation est fausse — dans le code QR, dans le logiciel, dans la comptabilisation — il n'y a pas de marque originale à laquelle la comparer. L'impression n'est pas la marque de l'électeur. C'est la transcription de la machine de la marque de l'électeur, et c'est le seul enregistrement qui existe.

C'est l'écart structurel que la cour Curling a identifié. C'est aussi pourquoi le modèle d'audit à risque limité du Colorado — le premier audit RLA au niveau de l'État, complété en 2017 — fonctionne mieux quand appliqué aux bulletins marqués à la main. Un audit RLA vous donne un niveau de confiance statistique que le résultat rapporté est correct, dimensionné à la proximité de la course. Mais il nécessite un enregistrement de papier fiable à auditer. Si l'enregistrement lui-même est la production de la machine plutôt que la marque directe de l'électeur, vous auditez l'honnêteté de la machine, pas l'intention de l'électeur.

Pourquoi « l'électeur a vu le texte » n'est pas suffisant

Les responsables et les vendeurs souligneront — à juste titre — que les électeurs sont encouragés à examiner le bulletin imprimé avant de le soumettre. Si le texte est faux, l'électeur peut rejeter le bulletin et recommencer.

C'est vrai. C'est aussi une défense incomplète, pour deux raisons.

Premièrement, la réalité comportementale. La plupart des électeurs ne lisent pas attentivement chaque ligne d'un résumé de bulletin imprimé, surtout dans un lieu de vote occupé avec une file d'attente derrière eux. La recherche sur le comportement de vérification humaine dans les contextes de sécurité est cohérente : les utilisateurs acceptent régulièrement les résumés générés automatiquement sans les vérifier caractère par caractère. Un système qui repose sur 100 % des électeurs effectuant un audit minutieux de la production de machine est un système qui a déjà délégué la plupart de son fardeau de vérification à des personnes qui sont distraites, pressées et sans formation.

Deuxièmement, et plus fondamentalement : même un électeur qui lit et approuve le texte n'a pas vérifié le code QR. Elle a confirmé que le texte correspond à ses choix. Elle n'a pas confirmé que le code QR le fait. Le scanner ne comptabilise pas le texte. L'électeur a vérifié une chose ; le système en a compté une autre. Ce ne sont pas la même vérification.

La Cour constitutionnelle fédérale allemande a capturé cette logique précisément en 2009 quand elle a annulé les machines de vote électronique au motif que les étapes essentielles du vote et du comptage doivent être examinables par les citoyens ordinaires sans connaissance spécialisée. La cour a constaté qu'un système dont la correction dépend de faire confiance à des processus cachés échoue le test de vérifiabilité publique — indépendamment de si l'altération a jamais été prouvée. Le principe s'applique également à un code QR qu'aucun citoyen ordinaire ne peut décoder.

Les Néerlandais en sont arrivés à la même conclusion en 2007, quand la commission indépendante du gouvernement sur les élections a déclaré qu'il n'y a pas de secrets dans le processus électoral et que les réponses doivent être vérifiables et vérifiables par n'importe qui — et a recommandé d'abandonner les ordinateurs de vote en faveur de bulletins papier qu'un humain peut lire directement.

L'écart réel : ce que « vérifiable » signifierait réellement

Un enregistrement de bulletin vérifiable est celui où ce qui a été compté est la même chose que l'électeur a pu vérifier — et où une vérification indépendante peut confirmer que les deux sont identiques.

Pour les bulletins marqués à la main, cela se ferme naturellement. L'électeur marque le papier. Le scanner lit le papier. Un auditeur examine le papier. La marque de l'électeur, la lecture de la machine et la lecture de l'auditeur se réfèrent toutes au même objet physique. Les divergences entre la machine et l'auditeur indiquent une erreur de balayage ; les deux peuvent être vérifiées par rapport à la même source.

Pour un système AMB imprimant des codes QR, cette boucle est cassée. L'électeur vérifie le texte. La machine comptabilise un code-barres. Un auditeur lit le texte. Personne — pas l'électeur, pas l'auditeur — vérifie indépendamment si le code-barres disait ce que le texte disait.

Fermer cette boucle nécessite l'une de deux choses. Soit : le code QR est imprimé sous une forme que l'électeur et l'auditeur peuvent indépendamment décoder (un codage lisible par l'homme, ou un affichage indépendant séparé qui le décode en temps réel). Ou : le logiciel de comptabilisation et le codage QR sont eux-mêmes ouverts, inspectes indépendamment, et sujets à des tests contradictoires — afin que l'étape de codage puisse être vérifiée comme honnête avant que tout vote ne soit coulé.

Le système Voting Solutions for All People (VSAP) du comté de Los Angeles, certifié par la Californie en 2018 comme le premier système de comptage électoral détenu par le public et en code source ouvert, est un exemple du principe de transparence par conception : si le code est public et auditable indépendamment, l'étape de codage peut être examinée par des étrangers plutôt que de faire confiance au mensonge du vendeur. Le code ouvert n'est pas suffisant en lui-même — l'implémentation, la chaîne de garde et les tests indépendants jouent tous encore un rôle — mais il supprime l'opacité essentielle.

La Cour électorale supérieure du Brésil exécute un test de sécurité public contradictoire annuel : les citoyens qualifiés sont invités à essayer de casser les machines de vote, les résultats sont utilisés pour améliorer le système, et les corrections sont re-vérifiées. C'est un engagement structurel envers la vérification indépendante, pas un test de certification unique.

L'alternative — un système fermé et propriétaire certifié une fois puis ensuite de confiance — est le modèle que la cour Curling a implicitement dénoncé, et que la violation de Coffee County en 2021 a rendu viscéralement concret : le logiciel propriétaire sur lequel la Géorgie s'appuyait pour la sécurité par l'obscurité a été copié et distribué en un seul après-midi.

Ce qui n'est toujours pas vérifiable — et ce qui le rendrait vérifiable

Voici où l'histoire de la Géorgie 2020 en est aujourd'hui, racontée honnêtement.

Le recomptage manuel a confirmé que le texte lisible par l'homme sur environ cinq millions de bulletins imprimés correspondait à la comptabilisation machine. C'est un point de données significatif. Ce n'est pas un audit complet. L'écart entre « le texte correspondait » et « les codes QR codaient avec précision les choix de l'électeur » n'a pas été fermé indépendamment par aucun processus public.

Le cas Curling lui-même a été ultérieurement rejeté sur des motifs de capacité juridique en 2024. Le résultat procédural n'aborde pas la conclusion technique. L'incapacité d'une cour à accorder un recours — parce qu'une élection est trop serrée, ou la capacité juridique est trop étroite — ne signifie pas que la vulnérabilité sous-jacente a été corrigée.

Qu'est-ce qui fermerait réellement l'écart ?

  • Décodage en temps réel et indépendant des codes QR au lieu de vote, affiché à l'électeur avant que le bulletin soit soumis, en utilisant du matériel ou un logiciel indépendant du vendeur AMB.
  • Code source ouvert et inspectes publiquement pour l'étape de codage, soumis à un examen contradictoire par des chercheurs qui ne sont pas employés par ou contractuels auprès du vendeur.
  • Échantillonnage statistique routinier et indépendant des codes QR post-élection, décodés par des outils indépendants, comparés au texte lisible par l'homme correspondant, publié au niveau du scrutin dans un formulaire lisible par machine pour que n'importe qui puisse télécharger et vérifier.
  • RLA appliqués aux bulletins marqués à la main autant que possible — afin que l'artefact audité soit la marque directe de l'électeur, pas la transcription d'une machine.

Aucun de ceux-ci ne nécessitent d'assumer que tout officiel est malhonnête. Ils nécessitent seulement que nous cessions de traiter « les responsables l'ont vérifié » comme la fin de la chaîne de vérification, et que nous commencions à traiter la vérifiabilité indépendante et publique comme la norme que chaque système doit respecter.

Le recomptage qui relit le code-barres n'est pas un recomptage. C'est une reproduction.

Un véritable audit remonte à ce que l'électeur a réellement vérifié. Pour l'instant, dans la plupart des juridictions utilisant des appareils de marquage de bulletin, cette norme n'est pas respectée — et aucune déclaration officielle ne change ce fait.

Voir comment cet écart apparaît dans les systèmes de vote mondiaux →

Lisez la version en deux minutes du problème du bulletin vérifiable →

Sources

Voir tous les articlesExplorer les lacunes