← Tous les articles

« Faites-nous confiance » ou « vérifiez par vous-même » : le seul débat qui compte dans les élections

Le 12 novembre 2020, neuf hauts responsables ont déclaré l'élection sécurisée. L'affirmation était vraie — et presque complètement infalsifiable. C'est là tout le problème.

Le 12 novembre 2020, neuf jours après la fermeture des bureaux de vote, un petit groupe de hauts responsables américains de la sécurité électorale s'est réuni pour rédiger une déclaration. Ils n'étaient pas des partisans. C'étaient des professionnels — issus de l'Agence pour la cybersécurité et la sécurité des infrastructures, des organismes électoraux étatiques et locaux, du secteur privé. Ils avaient passé des mois à surveiller les attaques contre les infrastructures de vote. Et ils avaient quelque chose à dire.

« L'élection du 3 novembre », ont-ils écrit, « a été la plus sécurisée de l'histoire américaine. »

Lisez cette phrase lentement. C'est une affirmation remarquable. Et ce qui est remarquable à ce sujet, ce n'est pas qu'elle soit fausse — il n'y a aucune preuve crédible qu'elle le soit. Ce qui est remarquable, c'est la forme de l'affirmation. C'est une assertion d'autorité. Elle vous demande de faire confiance aux personnes qui la font.

C'est exactement le mauvais fondement pour la légitimité démocratique. Et, enfoui dans la logique même de la déclaration, les responsables semblent à demi conscients de cela.

Ce que dit vraiment la déclaration de la CISA

Consultez la déclaration conjointe du 12 novembre 2020 et lisez au-delà du titre. Les responsables n'ont pas dit « faites-nous confiance ». Ils ont offert une raison : « Il n'existe aucune preuve qu'un système de vote ait supprimé ou perdu des votes, modifié des votes, ou ait été compromis de quelque manière que ce soit. »

Et puis ils ont dit quelque chose d'essentiel : la déclaration a souligné l'importance des dossiers papier des votes comme permettant les scrutins et les vérifications quand nécessaire.

C'est là. Enfoui dans une assurance de sécurité se trouve un aveu sur la manière dont la sécurité est connaissable. La confiance même de la déclaration repose sur l'existence de dossiers papier indépendamment vérifiables — des artefacts que quelqu'un d'autre que l'autorité pourrait examiner. Sans ces dossiers, l'assurance serait infalsifiable : personne ne pourrait la vérifier du tout.

Une déclaration officielle « c'était sécurisé » est une affirmation. Ce qui en fait quelque chose de valable, c'est si le public peut la vérifier indépendamment — ou s'il doit simplement accepter la parole des personnes qui ont dirigé l'élection.

Ce n'est pas un point partisan. C'est un point structurel. Et cela s'applique à toute élection, dirigée par n'importe quel parti, dans n'importe quel pays.

La question à laquelle se réduit chaque élection majeure

Voici la chose : chaque grande controverse électorale que vous avez jamais lue. Enlevez le bruit, les avocats, les graphiques de la télévision câblée. Au centre de chacune se trouve toujours la même question :

Le public peut-il vérifier cela indépendamment, ou doit-il accepter la parole de quelqu'un ?

Au Malawi en 2020, les tribunaux ont annulé une élection présidentielle parce que les feuilles de dépouillement officielles avaient été écrasées avec du liquide correcteur. La Commission électorale a déclaré un gagnant. Le dépouillement semblait être un dépouillement. Mais les documents sources — la chose contre laquelle vous vérifieriez le dépouillement — avaient été discrètement altérés. La vérifiabilité avait disparu, et avec elle, le résultat. La Cour suprême d'appel a confirmé l'annulation.

Au Venezuela en 2017, la société dont les machines ont dirigé l'élection — Smartmatic — a déclaré publiquement qu'elle savait « sans aucun doute » que le taux de participation annoncé avait été manipulé d'au moins un million de votes. L'autorité électorale a déclaré un nombre. Le fournisseur qui avait produit les machines a déclaré une réalité différente. Ni l'un ni l'autre ne pouvait être vérifiés indépendamment contre un dossier inviolable auquel quiconque en dehors du gouvernement pouvait accéder. Le débat n'a pas pu être résolu. Il ne l'a toujours pas été.

Au Kenya en 2017, la Cour suprême a annulé une élection présidentielle parce que les formulaires de résultats des bureaux de vote n'avaient pas été transmis électroniquement comme l'exigeait la loi, la feuille de dépouillement finale n'avait pas de filigrane ni de numéro de série, et le président a déclaré le gagnant avant de recevoir tous les formulaires sous-jacents. La majorité de la cour a estimé que la chaîne de preuve requise pour vérifier indépendamment le dépouillement avait été rompue. Le résultat n'était pas vérifiable. Il a été annulé.

Trois pays différents. Trois technologies différentes. Un problème identique.

La réponse de l'Allemagne : si seul un expert peut le vérifier, ce n'est pas une vraie élection

Le 3 mars 2009, huit juges à Karlsruhe ont produit une décision qui remet en cadre tout le débat.

La Cour constitutionnelle fédérale allemande, dans les affaires jointes 2 BvC 3/07 et 2 BvC 4/07, a interdit l'utilisation des machines de vote Nedap contrôlées par ordinateur aux élections fédérales. Non pas parce que les machines avaient dysfonctionné. Non pas parce que quelqu'un pouvait prouver que des votes avaient été modifiés. Mais parce que les machines stockaient les votes uniquement dans la mémoire électronique, sans dossier indépendamment vérifiable qu'un citoyen pouvait vérifier.

Le raisonnement de la Cour mérite d'être lu dans l'original. Elle a estimé que l'utilisation de machines de vote électroniques exige que « les étapes essentielles du vote et de la détermination du résultat puissent être examinées par le citoyen de manière fiable et sans aucune connaissance spécialisée du sujet. »

Sans aucune connaissance spécialisée. Un citoyen — pas un informaticien, pas un auditeur certifié, pas un secrétaire d'État — doit être capable de voir et de vérifier les étapes essentielles du dépouillement de sa propre élection.

Cela découle de ce que la Cour a appelé le principe de l'Öffentlichkeit der Wahl — la nature publique des élections — inscrit dans la Loi fondamentale allemande. Les élections sont des actes publics. Leur légitimité découle de la visibilité publique. Un processus de dépouillement qui nécessite qu'un expert en logiciel l'évalue n'est pas publiquement visible. C'est privément de confiance.

La Cour constitutionnelle allemande n'a pas interdit le vote électronique parce que les machines ne sont pas dignes de confiance. Elle l'a interdit parce que « faites-moi confiance, je suis un expert » est structurellement incompatible avec les élections démocratiques.

Les Pays-Bas sont arrivés à la même conclusion deux ans plus tôt par le biais de sa propre commission indépendante. Le rapport Korthals Altes, Stemmen met vertrouwen — Voter avec confiance, a énoncé les exigences essentielles pour tout système de vote : transparence, vérifiabilité — controleerbaarheid — intégrité et secret du scrutin. Sa conclusion était qu'il n'y a pas de secrets dans le processus électoral, et que les questions doivent être répondables et les réponses vérifiables. Le papier a gagné. Non pas comme une préférence nostalgique. Comme la seule méthode qui répondait aux normes.

Ce que les assurances basées sur la confiance laissent ouvert

Retournez à la déclaration de la CISA. Les responsables avaient raison de dire que les dossiers papier permettent les vérifications et les scrutins. Mais pas chaque juridiction en 2020 avait des dossiers papier également audités — et la déclaration ne fait pas de distinction entre eux.

Considérez ce qu'une cour fédérale a découvert sur les dispositifs de marquage de bulletins de Géorgie ce même mois. Dans Curling v. Raffensperger, la Cour de district des États-Unis pour le district nord de la Géorgie a conclu que le système Dominion « ne fournit pas un dossier de bulletin vérifiable et auditable car il repose sur le code QR pour le dépouillement des votes et ce code lui-même ne peut pas être lu et vérifié par l'électeur. »

Réfléchissez à cela un instant. Il y a du papier. Vous pouvez le tenir. Mais la chose qui détermine réellement votre vote — le code QR — est illisible par les yeux humains. Si une machine devait silencieusement modifier le code QR tout en laissant le texte lisible par l'humain intact, vous n'auriez aucun moyen de le détecter. Un scrutin manuel du papier recompterait le résultat des codes-barres, non votre intention.

Ce n'est pas une théorie du complot. C'est une description de l'architecture du système, confirmée par une cour fédérale examinant un témoignage d'experts.

La déclaration de la CISA n'a pas tort de pointer vers les dossiers papier. Mais les dossiers papier ne sont aussi bons que ce qui y est imprimé, et la capacité du public à les lire et à les vérifier indépendamment. Une piste papier qui nécessite un lecteur de code-barres pour être interprétée n'est pas la même chose qu'une piste papier qu'un citoyen ayant une vue normale peut vérifier.

La déclaration ne dit également pas : « et voici où vous pouvez télécharger les résultats de chaque secteur pour vérifier les totaux par vous-même. » Les propres directives de la Commission d'assistance électorale des États-Unis exhortent les responsables à rendre les résultats téléchargeables dans des formats lisibles par machine comme .csv et .xml. Certains États se conforment ; d'autres non. L'assurance que l'élection était sécurisée n'est pas la même chose qu'un dossier publié, lisible par machine que quiconque peut réconcilier.

Ce que « vérification » doit vraiment signifier

Voici ce que la vérifiabilité indépendante exige — et ce qu'elle ne fait pas.

Elle ne signifie pas de la paranoïa. Elle ne signifie pas que les responsables sont des menteurs. L'erreur du comté d'Antrim, Michigan en 2020 — où des résultats incorrects ont été publiés brièvement — a été causée par une erreur de programmation humaine, pas de la fraude. Elle a été découverte non pas par une sauvegarde interne mais parce que le résultat était implausiblement faux pour un comté dont la politique était connue de tous. Une erreur plus subtile, dans une course plus serrée, dans un comté sans une tendance antérieure évidente, aurait peut-être n'attirer la même attention.

Et même le scrutin manuel destiné à confirmer la correction était décalé d'environ une douzaine de votes. Dans une course décidée par des dizaines de votes, une méthode de vérification qui est elle-même décalée de dizaines de votes n'est pas une preuve. C'est une meilleure approximation avec sa propre marge d'erreur irréductible.

La vérifiabilité réelle signifie trois choses :

D'abord, le dossier qui est dépouillé doit être le même dossier que l'électeur peut inspecter. Un bulletin que l'électeur a marqué à la main, ou un imprimé de dispositif de marquage de bulletin en texte lisible par l'humain que l'électeur peut vérifier avant de le déposer, satisfait cela. Un code QR ne le fait pas.

Deuxièmement, les résultats doivent être publiés sous une forme que quiconque peut vérifier, sans demander la permission. Niveau secteur, lisible par machine, horodaté, téléchargeable. L'Idaho le fait déjà. Tout comme la plupart des États, selon le NCSL. Mais le faire mieux — instantanément, pour chaque secteur, dans un format que quiconque peut réconcilier contre le total rapporté — c'est la différence entre une affirmation et une preuve.

Troisièmement, les tests adversariaux indépendants doivent être intégrés au système, non boulonnés après que les litiges surgissent. La Cour électorale suprême du Brésil a mené un test officiel de sécurité publique depuis 2009, invitant tout citoyen qualifié à sonder ses machines de vote et ses logiciels avant chaque cycle électoral. Les résultats sont corrigés et retestés. Ce n'est pas du théâtre de certification — c'est l'opposé de « faites-nous confiance ». C'est « essayez de le casser, et voici les règles ».

Comparez cela à ce qui s'est passé en Nouvelle-Galles du Sud en 2015 : un examen de sécurité avait approuvé le système iVote en ligne, environ 280 000 votes avaient déjà été exprimés, et des chercheurs indépendants ont découvert des failles sérieuses alors que l'élection était toujours en cours — y compris un mécanisme de vérification qui pouvait lui-même être manipulé. Ou la Suisse en 2019, où la publication du code source pour examen indépendant a permis aux cryptographes de découvrir une trappe dans la preuve de mélange qui aurait permis à une autorité de générer une preuve cryptographique valide en apparence tout en ayant réellement modifié les votes. La faille était indécelable dans un système fermé et décelable dans un système ouvert.

Le schéma est cohérent dans chaque cas : la vérifiabilité par les tiers découvre ce que la certification interne manque.

La chose qui ne peut pas être vérifiée

Voici ce qui n'est toujours pas vérifiable — et ce qui le rendrait vérifiable.

La déclaration de la CISA a dit qu'il n'existait aucune preuve que les systèmes de vote aient été compromis. C'est vrai. C'est aussi infalsifiable dans de nombreuses juridictions, car la capacité d'audit varie énormément. Le Colorado a réalisé le premier audit à risque limité à l'échelle de l'État en 2017 — une procédure rigoureusement mathématique qui confirme statistiquement le résultat rapporté ou l'attrape avec une confiance définie. La Géorgie a réalisé un scrutin manuel complet d'environ 5 millions de bulletins en 2020 qui a confirmé le dépouillement machine à moins d'un dixième de pour cent. Ce sont des vérifications significatives.

Mais d'autres juridictions s'en remettent à moins. Et même le scrutin manuel de la Géorgie — impressionnant en ampleur — a audité des bulletins papier dont le texte lisible par l'humain aurait pu ne pas correspondre aux codes QR qui ont été dépouillés, parce que le scrutin manuel a lu le texte humain, pas les codes-barres.

La Cour suprême de l'Inde, dans son jugement d'avril 2024, a refusé d'éliminer le vote électronique mais a renforcé les règles : les unités de chargement de symboles doivent être scellées et stockées pendant 45 jours après les résultats, et les candidats peuvent demander la vérification de la mémoire brûlée du microcontrôleur dans 5 % des machines s'ils contestent un résultat. Une cour qui a confirmé un système électronique a quand même trouvé nécessaire de renforcer la chaîne de possession physique et d'élargir les droits d'inspection indépendants. Parce que la confiance découle de preuves vérifiables — pas de l'annonce d'un résultat.

La question n'est pas si l'élection de 2020 était sécurisée. La question est si vous pouvez vérifier cela, indépendamment, sans accepter la parole de quiconque.

Pour de nombreuses courses, dans de nombreuses juridictions, vous ne pouvez toujours pas.

Ce n'est pas un fondement stable pour la légitimité démocratique. La solution n'est pas une meilleure déclaration de la part des responsables. La solution est un système qui publie les résultats instantanés, au niveau secteur, lisibles par machine que quiconque peut télécharger et vérifier — et dont le logiciel de dépouillement que quiconque peut inspecter.

« Le plus sécurisé de l'histoire américaine » est un point de départ pour une conversation sur ce à quoi ressemble vraiment la sécurité vérifiable. Ce n'est pas la fin d'une.

Voyez à quel point cet écart de vérifiabilité est courant dans le monde — parcourez l'atlas mondial de l'intégrité électorale. Ou lisez la version de deux minutes de ce qui rend un système de vote indépendamment vérifiable — commencez ici. Si vous voulez approfondir des cas spécifiques où l'écart importait — explorez notre base de données.

Sources

Voir tous les articlesExplorer les lacunes