← Tous les articles

Deux démocraties, deux réponses opposées sur les ordinateurs de vote

L'Allemagne a observé un ordinateur de vote et s'est demandé : chaque citoyen peut-il vérifier ceci ? L'Estonie s'est demandé : pouvons-nous rendre le vote plus facile ? Une seule de ces deux questions mène à une démocratie que vous pouvez réellement vérifier.

C'est la matinée du 3 mars 2009, et huit juges à Karlsruhe lisent un jugement qui, en quelques mois, retirera chaque ordinateur de vote de chaque bureau de vote allemand. Non parce que la fraude a été prouvée. Non parce qu'un seul vote a été montré comme ayant été modifié. Mais à cause d'une question que les machines ne pouvaient pas répondre.

Un citoyen ordinaire, sans connaissances spécialisées, peut-il vérifier que le décompte est correct ?

Les machines ne pouvaient pas répondre oui. C'était suffisant.

Pendant ce temps, à Tallinn, une réponse différente était tranquillement intégrée aux infrastructures nationales. Le système de vote par internet estonien — i-voting — s'étendait élection après élection, année après année. Les électeurs votaient depuis leur table de cuisine. La participation augmentait. Le système était loué à l'international. Et puis, en 2014, une équipe indépendante de chercheurs en sécurité s'est assise avec le code client publié et les vidéos des opérations serveur que les autorités estoniennes avaient diffusées.

Ce qu'ils ont découvert était l'autre réponse. Celle que l'Allemagne avait refusée.

Ce que l'Allemagne a réellement décidé — et pourquoi ce n'était pas une question de fraude

L'affaire allemande a commencé par une plainte concernant l'élection fédérale de 2005. Des ordinateurs de vote Nedap avaient été utilisés dans certaines régions du pays. Les machines enregistraient les votes dans la mémoire électronique. Elles ne produisaient aucun bulletin que l'électeur puisse examiner. Aucun dossier indépendant n'existait qui aurait pu être vérifié après coup.

La Cour constitutionnelle fédérale n'avait pas besoin de preuve de manipulation pour statuer contre elles. Son critère n'était pas « la fraude s'est-elle produite ? » mais « les citoyens auraient-ils pu la détecter si elle s'était produite ? »

La Cour a jugé que la légitimité démocratique procède, en partie, du caractère public des élections — ce que le droit constitutionnel allemand appelle Öffentlichkeit der Wahl. L'article 38, lu conjointement avec les articles 20.1 et 20.2 de la Loi fondamentale, exige que les étapes essentielles du vote et de la détermination des résultats puissent être examinées par les citoyens de manière fiable et sans connaissances spécialisées.

Logiciels fermés, votes stockés uniquement en mémoire, aucun bulletin vérifié par l'électeur : les machines ont échoué à tous les aspects de ce test. L'ordonnance fédérale sur les machines de vote était inconstitutionnelle.

Notez ce que la Cour n'a pas fait. Elle n'a pas invalidé l'élection de 2005 — elle a pesé le défaut constitutionnel contre la perturbation d'annuler un parlement démocratiquement élu, et n'a trouvé aucune preuve de dysfonctionnement réel. Mais les machines ont disparu. L'Allemagne est retournée aux bulletins en papier et au dépouillement manuel.

Le principe que la Cour a articulé n'était pas un jugement technique. C'était un jugement démocratique : un résultat que seul un expert peut vérifier n'est pas un résultat qu'une démocratie a réellement compté.

Les Pays-Bas en étaient arrivés au même endroit deux ans auparavant. Leur Commission consultatif sur le processus électoral, dans son rapport 2007 Stemmen met vertrouwen (« Voter en toute confiance »), l'a énoncé clairement : il n'y a pas de secrets dans le processus électoral — les questions doivent être répondables, et les réponses vérifiables et contrôlables. Les Pays-Bas sont retournés aux bulletins en papier. Les règlements autorisant les ordinateurs de vote ont été retirés.

Deux démocraties européennes riches et stables, aucune d'elles particulièrement technophobe, ont observé le vote électronique non vérifiable et ont dit : pas assez bon.

L'Estonie a dit oui — et a construit le système de vote en ligne le plus scruté du monde

Le système i-voting estonien a émergé d'une tradition différente. Une petite nation qui avait numérisé l'ensemble de son infrastructure gouvernementale — cartes d'identité numériques, déclarations fiscales en ligne, dossiers de santé électroniques — voyait le vote par internet comme une extension naturelle de son état numérique. Au moment des élections municipales de 2013, des centaines de milliers d'Estoniens votaient déjà aux scrutins nationaux en ligne.

Contrairement aux machines Nedap en Allemagne, le système estonien a au moins publié son code côté client. Les autorités ont diffusé des vidéos des opérations serveur. Il y avait un véritable effort de transparence — plus que la plupart des systèmes de vote en ligne n'en tentent.

Et cette transparence était précisément ce qui a rendu possible l'analyse de 2014.

Une équipe indépendante — Springall, Finkbeiner, Durumeric, Kitcat, Hursti, MacAlpine et Halderman — a observé le système lors des élections municipales d'octobre 2013 et a examiné le logiciel publié et la configuration du serveur. Ils ont documenté leurs conclusions dans un article évalué par les pairs présenté au ACM CCS 2014.

Les conclusions étaient graves.

La sécurité opérationnelle lors de la préparation du serveur était visiblement laxiste — capturée dans les mêmes vidéos que les autorités avaient diffusées. L'architecture logicielle contenait des lacunes. Plus significativement, les chercheurs ont conclu que un attaquant bien doté en ressources — un État-nation, ou un initié malhonnête — pourrait plausiblement compromettre l'intégrité des votes ou la confidentialité des électeurs sans être détecté.

Pas « pourrait ralentir le système ». Pas « pourrait causer un plantage visible ». Pourrait modifier les votes. De manière indétectable.

Les autorités électorales estoniennes ont contesté les conclusions. Le différend est réel et continue, et les conclusions des chercheurs n'ont été jugées par aucun tribunal. Mais notez la structure de ce désaccord : c'est un débat technique entre experts en sécurité, mené dans des revues évaluées par les pairs, précisément parce que le système estonien était suffisamment ouvert pour que des chercheurs externes aient quelque chose à examiner.

L'affaire estonienne n'est pas une histoire d'élection corrompue. C'est l'histoire d'un système qui a invité le contrôle et qui n'a ensuite pas pu le supporter entièrement.

Deux hypothèses, énoncées clairement

L'Allemagne et l'Estonie ont fait des paris différents, et il vaut la peine de les nommer clairement.

Le pari de l'Allemagne : La légitimité d'une élection démocratique dépend de la capacité des citoyens ordinaires à vérifier le décompte. Tout système qui échoue à ce test est inconstitutionnel indépendamment du fait qu'il n'ait jamais dysfonctionné.

Le pari de l'Estonie : La commodité, la participation et l'infrastructure numérique comptent. L'examen indépendant par des experts et le code publié suffisent à établir la fiabilité.

Les deux paris sont des positions cohérentes. Mais ils reposent sur des conceptions fondamentalement différentes de qui peut vérifier le résultat — et comment.

La norme allemande est radicale dans sa simplicité : le citoyen. Pas l'expert certifié. Pas l'autorité électorale. Pas le fournisseur. Le citoyen debout au bureau de vote, ou observant le dépouillement depuis la galerie, doit pouvoir suivre ce qui se passe avec son vote sans avoir besoin d'un diplôme en informatique.

La norme estonienne est plus moderne, plus flexible — et plus dépendante de la confiance. Elle suppose que si le code est publié, les experts peuvent le lire ; si les experts peuvent le lire, les problèmes resurgiront ; si les problèmes resurgiront, ils seront résolus. Cette chaîne exige que chaque maillon tienne. La recherche de 2014 a montré qu'au moins un maillon — la capacité à détecter une attaque sophistiquée de l'intérieur ou au niveau des États — n'était pas solidement démontré.

Ce que la Cour constitutionnelle allemande a compris, et ce que la commission néerlandaise a articulé, c'est que l'examen par les experts est nécessaire mais insuffisant. Une élection qui vous exige de faire confiance à une chaîne d'experts est toujours une élection construite sur la confiance, pas sur la vérifiabilité. La différence compte le plus quand les experts sont en désaccord — ce qui est exactement ce qui s'est passé dans l'affaire estonienne.

L'écart de vérification que presque personne ne débat suffisamment

Voici le problème qu'aucun pays n'a pleinement résolu, énoncé simplement.

Les bulletins en papier allemands et les dépouillements manuels sont vérifiables au sens que la Cour l'entendait : vous pouvez regarder un bulletin être placé dans une urne, regarder l'urne être scellée, regarder le dépouillement. Un citoyen sans connaissances spécialisées peut suivre les étapes essentielles.

Mais le papier n'a pas le dernier mot sur la vérifiabilité. Le dépouillement manuel en Géorgie en 2020 — cinq millions de bulletins comptabilisés manuellement dans 159 comtés en moins de six jours — a confirmé le décompte automatisé à environ un dixième de un pour cent. C'est impressionnant. Ce n'est pas la même chose que de dire que le dépouillement manuel était sans erreur. Au comté d'Antrim, au Michigan cette même année, un audit manuel d'environ 15 700 bulletins présidentiels a différé du dépouillement automatisé d'environ une douzaine de votes. Douze votes, dans un petit comté, après un recompte manuel.

Douze votes semble rien. Dans une course décidée par moins de votes que cela — ce qui arrive — une méthode qui elle-même est décalée de quelques votes ne peut pas résoudre la question. « Le dépouillement manuel a confirmé » est une assurance, pas une preuve. Même l'étalon-or de confiance porte une erreur humaine irréductible.

Le système numérique de l'Estonie, en principe, pourrait faire quelque chose que le papier ne peut pas : générer une preuve cryptographique que chaque vote compté a été exprimé par un électeur admissible et comptabilisé correctement, sans révéler comment un électeur a voté. C'est la promesse du vote cryptographique vérifié de bout en bout, et c'est véritablement plus puissant que de compter le papier à la main.

Mais le système estonien n'a pas pleinement livré cette promesse. Les chercheurs de 2014 ont trouvé que l'architecture cryptographique, telle qu'implémentée, laissait de la place pour une manipulation indétectable. Publier le code était une condition nécessaire pour trouver cela. Ce n'était pas une condition suffisante pour le corriger.

Le système de vote par internet fédéral suisse l'a découvert à ses dépens en 2019. Swiss Post et son fournisseur Scytl ont publié le code source complet pour examen public. Les chercheurs indépendants Lewis, Pereira et Teague ont trouvé une trappe cryptographique dans la preuve de mélange du mixnet — un défaut qui aurait permis à une autorité qui connaissait certaines valeurs secrètes de générer un dossier de vérification qui semblait valide tout en cachant réellement des votes modifiés. Le défaut était invisible dans une boîte noire certifiée. Il est devenu visible dès que le code a été publié et que de vrais cryptographes ont regardé.

Le code ouvert a trouvé le défaut. Le code ouvert était nécessaire. Mais le code ouvert seul n'a pas rendu le système vérifiable — il a rendu le système auditable, ce qui est un préalable à la vérifiabilité, pas la chose elle-même.

Ce que cela signifierait réellement de résoudre cela

La norme allemande — vérifiabilité citoyenne sans connaissances spécialisées — et l'ambition estonienne — preuve cryptographique de correction — ne sont pas réellement en conflit. Elles pointent vers la même destination par des chemins différents.

La destination est un système où n'importe quel électeur, et n'importe quel observateur indépendant, peut vérifier que son vote a été inclus dans le décompte, que le décompte a été calculé correctement, et qu'aucun ajout ou suppression non autorisé ne s'est produit — sans faire confiance à l'autorité électorale, au fournisseur, ou à un expert unique pour le dire.

Les bulletins en papier, scannés et lus optiquement, auditées par des dépouillements manuels selon un protocole d'audit avec risque limité, se rapprochent de la norme allemande — mais dépendent de la chaîne de garde physique étant ininterrompue. La Cour constitutionnelle autrichienne a annulé une élection présidentielle en 2016 non pas parce que la fraude a été trouvée, mais parce que les garanties procédurales autour des bulletins de vote par correspondance avaient été violées en nombres qui auraient pu affecter le résultat. Une chaîne de garde brisée est un résultat non vérifiable, même avec du papier en main.

Les systèmes cryptographiques vérifiés de bout en bout, s'ils sont correctement implémentés et indépendamment vérifiés, se rapprochent davantage d'une preuve technique de correction — mais dépendent de l'implémentation étant correcte, du code étant inspectable, et de la cryptographie étant correcte. La Suisse a trouvé qu'un système certifié peut porter un défaut caché qui passe tous les contrôles officiels.

La leçon n'est pas que le papier est meilleur que la cryptographie, ou vice versa. La leçon est que « faites-nous confiance » — aux autorités, aux fournisseurs, aux experts — est le mode défaillance que chaque approche finit par produire si elle n'est pas remplacée par quelque chose que n'importe qui peut vérifier indépendamment.

C'est une norme plus stricte qu'aucun pays n'a pleinement respectée. L'Allemagne l'a partiellement respectée en insistant sur la transparence lisible pour les citoyens. L'Estonie a tenté de la respecter partiellement via le code publié et l'examen par les experts. Aucune approche seule ne vous mène à un résultat qui est vraiment, indépendamment, publiquement vérifiable.

Le projet pilote de vote par internet en Norvège, mené jusqu'en 2013 et fermé en 2014, a abouti à une conclusion plus simple : la confiance que les votes ne sont pas altérés ne pouvait pas être sécurisée, et la commodité n'a pas livré le gain de participation promis. Parfois, la bonne réponse est d'arrêter et d'attendre un système qui résout réellement le problème.

La question qu'aucune réponse n'a fermée

Voici ce qui reste incertain, énoncé aussi clairement que possible.

Le système français de bulletins en papier et de dépouillement manuel est la méthode de vote la plus lisible pour les citoyens disponible. Mais ce n'est pas vérifiable indépendamment en sens formel : un dépouillement manuel peut être faux par une petite marge, une chaîne de garde peut être brisée sans laisser de preuve évidente, et le citoyen regardant le dépouillement fait confiance au fait que le sac scellé qu'il voit est celui qui contient les bons bulletins.

Le système i-voting de l'Estonie est audacieux et, à certains égards, plus ambitieux que tout ce que l'Allemagne a tenté. Mais l'équipe de recherche de 2014 a conclu qu'un attaquant sophistiqué pourrait modifier le vote national en ligne de manière indétectable. Les autorités en ont contesté. Ni les autorités ni les chercheurs ne peuvent prouver que l'autre a tort d'une manière qu'un citoyen non-expert peut vérifier indépendamment — ce qui est, bien sûr, exactement le problème que la Cour constitutionnelle allemande a identifié en 2009.

L'écart qu'aucun des deux pays n'a fermé est celui-ci : un système de vote qui produit, pour chaque élection, un dossier public, lisible par machine, cryptographiquement vérifiable que n'importe quelle personne disposant d'un ordinateur portable et du temps peut vérifier par rapport au résultat annoncé — sans faire confiance au logiciel, au fournisseur, aux autorités, ou à l'assurance d'un expert.

Ce système existe dans la littérature de recherche. Il n'a jamais été déployé à l'échelle nationale dans une élection contraignante avec ces propriétés entièrement intactes.

Jusqu'à ce qu'il le soit, le choix entre l'Allemagne et l'Estonie est un choix entre deux sortes de confiance — confiance dans le processus lisible pour les citoyens que vous pouvez regarder, et confiance dans la preuve lisible pour les experts que vous ne pouvez pas entièrement suivre. Les deux sont meilleurs que rien. Aucun n'est la fin de l'argument.

La prochaine fois qu'un officiel vous dit qu'une élection a été vérifiée, demandez : vérifiée par qui, par rapport à quel dossier, d'une manière que je pourrais vérifier moi-même ?

Si la réponse exige de faire confiance à quelqu'un, le travail n'est pas terminé.

Voyez à quel point cet écart de vérification est courant dans le monde — pays par pays, méthode par méthode → Atlas

Lisez la version de deux minutes de pourquoi la vérifiabilité n'est pas la même chose que la sécurité → Simple

Explorez les cas documentés où l'écart entre les résultats annoncés et les résultats vérifiables a compté → Écarts

Sources

Voir tous les articlesExplorer les lacunes