← Tous les articles

Quand une seule entreprise construit, gère et valide le vote

Le 2 août 2017, l'entreprise qui avait construit les machines à voter du Venezuela a déclaré au monde — publiquement, en anglais clair — que le chiffre officiel de participation était un mensonge. Aucun parti d'opposition ne l'a dit. C'est le fournisseur qui l'a fait.

Nous sommes le soir du 30 juillet 2017, et le Conseil électoral national du Venezuela vient d'annoncer un chiffre : 7,5 millions de personnes ont voté aux élections de l'Assemblée constituante nationale. L'annonce était destinée à conférer une légitimité. Un super-corps élu réécrirait la constitution. Le gouvernement avait besoin que la participation semble décisive.

Quarante-huit heures plus tard, Smartmatic — l'entreprise enregistrée à Londres qui avait construit et exploité l'infrastructure de vote automatisé du Venezuela depuis 2004 — a publié une déclaration. Son directeur général a déclaré que l'entreprise savait « sans aucun doute » que le chiffre de participation annoncé avait été manipulé, et a estimé l'écart entre la participation réelle et annoncée à « au moins un million de votes ». Smartmatic a déclaré qu'elle ne pouvait pas valider les chiffres officiels.

Puis Smartmatic s'en est allée. Elle s'est retirée des élections régionales et municipales ultérieures de 2017 du Venezuela et a cessé toutes ses activités dans le pays d'ici 2018.

Relisez cela lentement : le fournisseur qui avait construit le système, exploité le système et certifié la production du système a déclaré que la production du système était erronée.

Le moment où la chaîne de confiance s'est dévorée elle-même

Voici pourquoi cette scène est si structurellement importante, et pourquoi elle s'étend bien au-delà du Venezuela.

Dans la plupart des pays, la chaîne de confiance dans une élection électronique fonctionne ainsi : les électeurs font confiance aux machines ; les autorités font confiance à la certification du fournisseur ; les observateurs font confiance aux autorités ; le public est invité à faire confiance à tous. L'architecture est une tour, et chaque pierre repose sur celle qui la soutient.

Au Venezuela en 2017, chaque pierre était la même pierre. Le Conseil électoral national ne possédait pas de piste d'audit indépendante. Il n'y avait aucun enregistrement cryptographique qu'un tiers aurait pu vérifier. Il n'y avait pas de bulletins de vote sur papier que Smartmatic aurait pu opposer au total officiel. Le seul parti en position de savoir si le chiffre de participation était exact était celui qui l'avait produit : le fournisseur. Et ce fournisseur, ayant atteint la fin de tout calcul contractuel ou réputationnel qu'il effectuait, a déclaré : non.

Quand le fournisseur est simultanément le constructeur, l'opérateur et le seul vérificateur, il n'existe pas de vérification indépendante — il n'y a qu'un seul point de confiance qui peut échouer d'un coup.

Le public, l'opposition, les observateurs internationaux — aucun d'eux n'avait accès à des données qui leur auraient permis de confirmer ou de réfuter l'une ou l'autre affirmation. Le chiffre officiel. La contre-affirmation du fournisseur. Les deux étaient des affirmations. Aucune n'était vérifiable de l'extérieur.

C'est le problème dont parle ce billet.

La concentration de la confiance est une décision de conception, non un accident

Le cas du Venezuela est extrême. Mais la structure sous-jacente — un seul fournisseur détenant la connaissance critique du fonctionnement du dépouillement — apparaît sous des formes plus bénignes dans les démocraties fonctionnelles.

Considérez ce qu'un tribunal fédéral américain a trouvé concernant le système de vote de Géorgie en octobre 2020. Dans Curling v. Raffensperger, le district nord de Géorgie a examiné le témoignage d'experts sur les dispositifs de marquage de bulletins Dominion de l'État et a atteint une conclusion qui n'a pas reçu l'attention qu'elle méritait : le système « ne fournit pas un enregistrement de bulletin vérifiable et auditable parce qu'il repose sur le code QR pour le dépouillement et ce code lui-même ne peut pas être lu et vérifié par l'électeur ».

Le tribunal a également cité la conclusion de 2018 des Académies nationales selon laquelle aucun mécanisme technique n'existe actuellement pour assurer qu'une application de dépouillement produit des résultats exacts, et que les tests seuls ne peuvent pas assurer que les systèmes n'ont pas été compromis.

Une électrice se tient devant la machine. Elle fait ses choix. Une feuille de papier s'imprime. Elle voit les noms de ses candidats en texte lisible par l'humain. Elle croit avoir vérifié son bulletin. Mais ce que le lecteur tabule réellement est un code-barres bidimensionnel — et elle n'a aucun moyen de le lire. Pas plus que l'agent de scrutin. Pas plus que l'observateur du parti qui se tient à quelques mètres.

Le tribunal a compris le problème et a refusé d'ordonner un redressement de dernière minute, étant donné la proximité de l'élection. C'est un jugement judiciaire défendable sur la perturbation. Mais remarquez ce qu'il n'a pas fait : il n'a pas établir que le problème n'existait pas. Le code QR illisible est une caractéristique permanente d'une architecture système dans laquelle la logique de tabulation est, pour tous les usages pratiques, invisible pour tous sauf le fournisseur.

C'est une concentration de confiance d'une sorte différente de celle du Venezuela — mais c'est une concentration de confiance.

Ce que la « certification » certifie réellement

Les deux cas partagent une histoire d'origine commune : l'idée que le système d'un fournisseur, une fois certifié, peut être fiable pour gérer le dépouillement.

Le Bureau de la responsabilité gouvernementale des États-Unis a examiné attentivement cette hypothèse dans son rapport de 2005 (GAO-05-956). Il a constaté que les problèmes documentés avec les systèmes de vote électronique avaient soulevé des questions sur leur sécurité et leur fiabilité, et que les efforts fédéraux pour améliorer ces systèmes étaient en cours — mais que des activités clés restaient inachevées. La certification était encore en cours de construction en tant que processus alors que les élections s'exécutaient sur les systèmes qu'elle était censée valider.

L'Irlande a découvert le même écart plus tôt. Une Commission indépendante sur le vote électronique, examinant le système Nedap/Powervote que le gouvernement avait acheté, a conclu qu'elle n'était « pas en position de recommander avec le degré de confiance requis l'utilisation du système choisi ». De manière critique, la conclusion de la Commission n'était pas que le système échouerait — c'était qu'il n'avait pas été prouvé à la satisfaction de la Commission qu'il fonctionnerait. L'incapacité à vérifier était elle-même la condition disqualifiante. L'Irlande a dépensé 52 millions d'euros en machines qui ont été officiellement retirées en 2009.

Remarquez ce qui lie ces cas : le fardeau de la preuve incombait à la mauvaise partie. Les autorités et les fournisseurs ont été invités à démontrer leur fiabilité à un organe indépendant — et la conclusion de cet organe indépendant avait de l'importance. C'est la structure correcte. Le problème est que c'est l'exception, non la règle. Dans la plupart des juridictions, la certification est un test unique effectué avant le déploiement. Le système réussit ou échoue une seule fois. Il fonctionne ensuite dans des élections en direct — parfois pendant une décennie — sans une autre vérification indépendante de rigueur équivalente.

Dans cet écart entre le test de certification et le jour de l'élection, beaucoup de choses peuvent changer. Le logiciel est mis à jour. Les configurations changent. Le personnel se renouvelle. Et le seul parti qui sait, en temps réel, ce que le système fait réellement est le fournisseur.

L'épisode d'investigation médico-légale de Géorgie : à quoi ressemble l'accès interne

Le cas du Venezuela impliquait un fournisseur qui dénonce de l'extérieur. L'épisode de Coffee County, en Géorgie, en janvier 2021 illustre une version différente de la même vulnérabilité structurelle : ce qui se passe quand quelqu'un avec accès interne décide de prendre plutôt que de divulguer.

Le 7 janvier 2021, une entreprise d'informatique judiciaire a été admise au bureau des élections de Coffee County et a fait des copies du logiciel du système de vote — le serveur du système de gestion des élections, les carnets de scrutin, les dispositifs de marquage de bulletins, les lecteurs et le logiciel de vote Dominion à l'échelle de la Géorgie. Le bureau du secrétaire d'État de Géorgie a décrit plus tard cet accès comme non autorisé que d'anciens responsables du comté ont permis en violation de la loi de l'État. Plusieurs personnes liées à l'épisode ont par la suite plaidé coupable à des accusations. L'événement est documenté dans des dépositions dans Curling v. Raffensperger.

Voici la leçon architecturale : l'ensemble du logiciel de vote de la juridiction était propriétaire. Son modèle de sécurité dépendait du secret — le code restant caché. Au moment où quelqu'un avec accès physique a décidé de le partager, le secret a disparu. Tout ce qui s'y appuyait — le modèle de sécurité, la chaîne de confiance, la promesse implicite de la certification — a disparu avec lui.

Le secret n'est pas la sécurité. Un système conçu pour être vérifié par des initiés uniquement est un système conçu pour échouer au moment où un initié est compromis, coercitif, ou simplement coopératif avec quelqu'un qu'il ne devrait pas être.

Le code ouvert et indépendamment inspectable ne résout pas tous les problèmes. La certification, la chaîne de contrôle et les audits post-électoraux rigoureux restent extrêmement importants. Mais le code ouvert supprime au moins la couche d'opacité qui fait du fournisseur ou de l'officiel l'arbitre unique de ce que le logiciel fait. Le système VSAP du comté de Los Angeles — le premier système de dépouillement des votes détenu publiquement et à source ouverte certifié selon les normes de système de vote de la Californie, certifié en août 2018 — est une preuve de concept que c'est réalisable. Le fait que le code ouvert s'exécute réellement le jour des élections nécessite une vérification supplémentaire (un point que l'épisode de la trappe Swiss Post/Scytl démontre vivement). Mais l'opacité garantit que personne en dehors du fournisseur ne peut vérifier.

Le problème plus profond : « nous l'avons vérifié » n'est pas la même chose que « vous pouvez le vérifier »

Après l'élection américaine de 2020, le 12 novembre 2020, un groupe de hauts responsables de la sécurité électorale a publié une déclaration conjointe déclarant l'élection « la plus sécurisée de l'histoire américaine ». La déclaration a été signée par des responsables du Conseil de coordination gouvernementale de l'infrastructure électorale et de ses partenaires du Conseil de coordination sectorielle, et publiée par l'Agence de cybersécurité et de sécurité des infrastructures.

Lisez-la attentivement, et vous trouvez quelque chose d'intéressant. Le raisonnement propre de la déclaration pour expliquer pourquoi elle était confiante repose essentiellement sur l'existence de dossiers papier qui permettent les recomptages et les audits. C'est-à-dire : les responsables disaient, implicitement, que leur confiance provenait des mécanismes d'audit qui permettaient à quelqu'un de vérifier la production des machines — non de faire confiance aux machines sur la foi.

C'est en fait l'argument correct. Mais il ne tient que là où les dossiers papier sont lisibles indépendamment et les audits sont robustes. En Géorgie en 2020, un recomptage manuel à l'échelle de l'État d'environ 5 millions de bulletins — 41 881 lots examinés dans 159 comtés en moins de six jours — a confirmé le résultat tabulé par machine à environ un dixième d'un pour cent. C'est le type de vérification indépendante qui rend la confiance défendable.

Le problème est que le recomptage manuel de Géorgie a fonctionné parce que la Géorgie avait des bulletins marqués par les électeurs à partir des systèmes de 2019 et antérieurs que les gens pouvaient lire avec leurs yeux. Un recomptage manuel d'un système de dispositif de marquage de bulletins à code QR audite la sortie du code-barres — non l'intention de l'électeur. La cour Curling l'a dit exactement : le code QR ne peut pas être lu et vérifié par l'électeur. Si une machine encode le mauvais candidat dans le code-barres tout en imprimant le bon nom en texte lisible par l'humain, l'audit confirmera l'encodage de la machine, pas le choix de l'électeur.

Un recomptage n'est fiable que dans la mesure où le dossier qu'il compte est fiable. Un « confirmé par recomptage manuel » sur un bulletin que personne ne pouvait lire en premier lieu est une assurance, pas une preuve.

Ce que la vérifiabilité indépendante requiert réellement

La Cour constitutionnelle fédérale allemande a tracé la ligne en 2009, dans une décision sur les machines de vote Nedap utilisées aux élections fédérales de 2005. La Cour a statué que l'utilisation de machines de vote électroniques exige que « les étapes essentielles du vote et de la détermination du résultat puissent être examinées par le citoyen de manière fiable et sans aucune connaissance spécialisée du sujet ». Les machines stockaient les votes uniquement dans la mémoire électronique, sans aucun dossier que les électeurs pouvaient vérifier. Elles ne satisfaisaient pas à cette norme.

« Sans aucune connaissance spécialisée. » C'est la phrase clé. La vérifiabilité n'est pas satisfaite en disant au public que des experts ont examiné le système. Elle n'est pas satisfaite par les tests internes d'un fournisseur. Elle n'est pas satisfaite par une déclaration officielle selon laquelle tout a été vérifié. Elle est satisfaite quand le dossier produit est celui que n'importe quel citoyen intéressé — non seulement un informaticien, non seulement un auditeur certifié, non seulement le fournisseur — peut examiner et confirmer correspondre à ce qui était prévu.

C'est une barre élevée. Mais c'est la barre correcte. Et les cas ci-dessus montrent ce qui se passe quand on ne le respecte pas.

Au Venezuela, le fournisseur était le seul parti disposant des connaissances pour comparer la participation annoncée à ce que les machines avaient enregistré — et quand le fournisseur et le gouvernement n'étaient pas d'accord, il n'y avait rien qu'un citoyen pouvait vérifier pour le résoudre.

En Géorgie, le tribunal a constaté un système dans lequel l'artefact de tabulation ne peut pas être lu par l'électeur qui l'a produit.

À Coffee County, le secret qui se substituait à l'ouverture s'est avéré fragile au moment où un initié a choisi autrement.

Le fil conducteur est le même dans chaque cas. Le choix ne se fait pas entre un fournisseur fiable et un fournisseur peu fiable. Le choix se fait entre une architecture système qui exige de faire confiance à une seule partie et une qui rend la confiance inutile parce que n'importe qui peut vérifier.

Qu'est-ce qui rendrait tout cela vérifiable ?

Voici donc la question de conclusion — et elle n'est pas rhétorique.

Après Venezuela 2017 : Smartmatic a dit que la participation avait été gonflée d'au moins un million de votes. Le gouvernement a dit qu'elle était exacte. Il n'existe, à ce jour, aucune piste d'audit indépendante qu'un tiers aurait pu utiliser pour résoudre ce différend. Aucun dossier cryptographique vérifiable publiquement. Aucun bulletin de vote. Aucune donnée au niveau des bureaux qui aurait pu être rapprochée d'une chaîne de contrôle. Si vous vouliez vérifier l'une ou l'autre affirmation de l'extérieur des deux parties, vous ne pourriez pas. Cet écart — l'absence spécifique et technique d'un dossier vérifiable — est ce qu'un système bien conçu remplirait.

Après Curling v. Raffensperger : le tribunal a trouvé le code QR illisible par l'électeur. La Géorgie s'est depuis orientée vers un usage plus complet des bulletins marqués à la main sur papier dans certains contextes. Mais la question de savoir si le logiciel de tabulation d'une juridiction quelconque traduit correctement les marques de bulletins lisibles par l'humain en décomptes — et si cette traduction peut être vérifée indépendamment par quelqu'un d'autre que le fournisseur — reste ouverte dans la plupart des endroits.

La réponse n'est pas « faire davantage confiance aux autorités » ou « faire moins confiance aux fournisseurs ». La réponse est des systèmes conçus de sorte que ni les autorités ni les fournisseurs n'aient besoin d'être dignes de confiance, parce que le dossier qu'ils produisent peut être vérifié par quiconque prêt à faire l'arithmétique.

Cela signifie des pistes d'audit cryptographiquement vérifiables. Les résultats au niveau des bureaux publiés sous une forme lisible par machine au moment où ils sont finaux. Le code ouvert reproduisant de manière fiable. Les tests adversariels indépendants — non comme une certification unique mais comme une pratique continue. Et les dossiers de bulletin qu'un électeur peut vérifier et qu'un citoyen peut auditer sans avoir besoin de savoir qui a construit la machine ou quels étaient les incitations du fournisseur.

Venezuela en 2017 est l'illustration la plus claire possible de pourquoi la concentration de confiance dans un fournisseur est une erreur de catégorie. La question qu'il laisse ouverte — la question qui s'applique partout — est de savoir si le système de votre juridiction permettrait à quelqu'un de découvrir si la même chose s'est produite là.

Voyez comment cet écart apparaît dans différents pays et systèmes · Lisez la version de 2 minutes de ce que requiert la vérifiabilité indépendante · Explorez les cas documentés où le dépouillement ne pouvait pas être vérifié

Sources

Voir tous les articlesExplorer les lacunes