← Tous les articles

Ce que ressentirait vraiment un électeur dans un système de vote entièrement vérifiable

À quoi ressemblerait réellement voter dans un système que vous pourriez vérifier vous-même — non pas en faisant confiance à un responsable, mais en vérifiant les calculs ?

C'est un matin de jour de semaine à Brasília, et un groupe de personnes qui ne sont pas des responsables électoraux se voient confier les clés de la machine.

Ce n'est pas une figure de style. Une enquêtrice qualifiée — une informaticienne, une chercheuse indépendante, une citoyenne dont le plan de test a été approuvé — est assise devant l'urna eletrônica du Brésil, la machine à voter électronique utilisée par plus de 150 millions d'électeurs. On lui a dit, officiellement et par écrit, de tenter de la pirater. Le Tribunal Superior Eleitoral, la Cour électorale supérieure du Brésil, a publié les règles, ouvert les portes et invité le public à entrer. Quoi qu'elle découvre, le TSE s'engage à corriger avant la prochaine élection générale.

C'est le Teste Público de Segurança — le Test public de sécurité — que le Brésil conduit depuis 2009. Il est réglementé par la résolution 23.444/2015 du TSE et couvre l'ensemble du cycle électoral : génération des supports de bulletin, scrutin, dépouillement, transmission des fichiers et les systèmes d'audit utilisés pour vérifier le décompte électronique. Les découvertes sont utilisées pour améliorer les systèmes. Les corrections sont re-vérifiées dans les tests de confirmation avant l'élection. Pas de portes fermées. Pas de parole du fournisseur.

Vous vous demandez peut-être : qu'est-ce que tout cela a à voir avec vous, l'électeur ?

Tout.

Ce que « vérifiable » ressent réellement de là où vous vous tenez

La plupart des électeurs vivent une élection de la même manière. Vous entrez, vous marquez quelque chose, vous partez. Peut-être recevez-vous un autocollant. Quelques jours plus tard, quelqu'un annonce un gagnant.

À aucun moment de cette séquence vous ne pouvez confirmer — personnellement, indépendamment, sans appeler une ligne d'information ou faire confiance à un communiqué de presse — que votre vote a été compté, qu'il a été compté correctement et que le total final reflète ce que tous les électeurs de votre circonscription ont réellement choisi.

Ce n'est pas de la paranoïa. C'est une description de la façon dont fonctionnent presque tous les systèmes électoraux existants. Le dépouillement se fait ailleurs, sur quelque chose que vous ne possédez plus, par un processus que vous ne pouvez pas directement observer.

La question qu'une élection entièrement vérifiable doit poser est : qu'est-ce qui devrait être vrai pour que vous puissiez la vérifier vous-même, maintenant, de vos propres yeux ?

Cette question est plus difficile qu'il n'y paraît. Et quelques endroits dans le monde ont commencé à y répondre concrètement.

La scène à Brasília, et ce qu'elle prouve

Le test public de sécurité du Brésil n'est pas un exercice de communiqué de presse. Des enquêteurs qualifiés soumettent des plans de test, obtiennent l'accès aux systèmes réels et exécutent leurs attaques sous conditions surveillées couvrant l'ensemble du cycle électoral. Le TSE publie le programme et ses résultats. C'est un examen contradictoire institutionnalisé — l'autorité électorale traitant ses propres systèmes comme suspects jusqu'à ce que des outsiders aient tenté de les pirater.

Cela importe pour une raison précise : cela change ce que « certifié » signifie.

En Irlande en 2004, une commission d'État ne pouvait pas recommander un système de vote électronique que le gouvernement avait déjà payé, parce qu'elle ne pouvait pas se convaincre elle-même de l'exactitude et du secret du système. Le système n'a jamais été utilisé. En Allemagne en 2009, la Cour constitutionnelle fédérale a jugé que le vote électronique n'est légitime que lorsque les citoyens ordinaires — pas seulement les experts — peuvent vérifier les étapes essentielles du dépouillement sans connaissances spécialisées. La commission consultatrice propre du gouvernement néerlandais a conclu la même année qu'il n'y a pas de secrets dans le processus électoral et que toute méthode acceptable pour la démocratie doit produire des résultats qui sont vérifiables et contrôlables par le public.

La certification par une seule autorité, une fois, avant le déploiement, n'est pas ce que ces cours et commissions demandaient. Elles demandaient quelque chose d'en cours, d'ouvert et indépendamment vérifiable.

Le test du Brésil, imparfait comme l'est toute institution humaine, pointe vers la bonne cible : vous invitez le public à attaquer votre système, vous corrigez ce qu'il trouve, et vous documentez tout. Ce n'est pas de la confiance. C'est de la vérification.

L'expérience concrète de l'électeur : ce qui change quand un système est construit de cette façon

Rendons cela concret. Imaginez l'expérience de voter dans un système conçu dès le départ pour la vérifiabilité publique.

Vous arrivez à un bureau de vote. Les machines qui font le dépouillement fonctionnent avec des logiciels de propriété publique et open-source — ce qui signifie que le code qui compte votre vote n'est pas un secret commercial. N'importe qui peut le lire, le compiler et confirmer que la version qui s'exécute aujourd'hui est la version qui a été inspectée. Le système Voting Solutions for All People (VSAP) du comté de Los Angeles — le premier système de dépouillement à propriété publique et open-source certifié en Californie, certifié par le Secrétaire d'État le 21 août 2018 — a fait exactement cette étape : le comté a établi un groupe de travail open-source pour que des experts indépendants puissent inspecter ce qui s'exécutait, pas seulement prendre la parole du fournisseur.

Vous marquez votre bulletin. Dans un système bien conçu, l'artefact que vous marquez est l'artefact qui est compté. Pas un code QR que seule une machine peut lire — une cour fédérale en Géorgie a constaté en 2020 que les appareils de marquage de bulletins de Géorgie s'appuyaient sur un code-barres QR pour le dépouillement des votes que l'électeur ne peut pas lire et vérifier, ce qui signifie que le papier physique n'était pas réellement ce qui était compté. Dans un système vérifiable, ce que vous marquez et ce qui est scanné est la même chose lisible par un humain.

Vous déposez votre bulletin dans une boîte scellée inviolable. Le numéro de sceau est enregistré. Vous pouvez le noter.

Votre circonscription compte ses bulletins. Le résultat — non pas seulement le gagnant, mais la répartition complète au niveau de la circonscription, dans un format lisible par machine que n'importe qui peut télécharger — est publié dès qu'il est définitif. Pas agrégé à un total du comté qui apparaît des heures plus tard sans sauvegarde granulaire. Les chiffres de votre circonscription, là, téléchargeables, réconciliables par n'importe quel tableur.

Après l'élection, un audit indépendant tire un échantillon statistiquement déterminé de bulletins physiques et les vérifie par rapport au dépouillement par machine. Non pas parce que la fraude est supposée, mais parce que c'est ainsi que vous confirmez un résultat au lieu de simplement l'annoncer. Le Colorado est devenu le premier État à mener un audit à risque limité à l'échelle de l'État en 2017 — une méthode qui dimensionne le contrôle manuel à la marge de la course, donnant un niveau de confiance statistique défini, pas un contrôle au pourcentage fixe qui ne prouve presque rien dans une course serrée.

À chaque étape, la chaîne de possession est documentée et publique : qui a scellé la boîte, qui l'a transportée, qui l'a ouverte, qui a témoigné. La Cour constitutionnelle autrichienne a annulé une élection présidentielle en 2016 — non pas parce que la fraude a été prouvée, mais parce que les enveloppes de votes par correspondance ont été ouvertes et les votes comptés par des personnes non autorisées sans les témoins requis, en nombre dépassant la marge gagnante. La chaîne de possession a échoué, et quand elle échoue, un résultat ne peut pas être de confiance même s'il s'avère correct.

Le nombre que vous pouvez vérifier vous-même

Voici la version de la soirée électorale que la vérifiabilité rend possible.

Votre circonscription ferme à 20 heures. À 20 h 45, le ruban du dépouillement manuel du lecteur optique est affiché au mur du bureau de vote, comme de nombreuses juridictions l'exigent déjà. Quelques minutes plus tard — ou cette même soirée — le résultat de la circonscription est publié en ligne dans un fichier téléchargeable.

Vous rentrez chez vous. Vous ouvrez un navigateur. Vous tirez le fichier des résultats au niveau de la circonscription. Vous trouvez votre circonscription. Vous vérifiez les chiffres par rapport à ce que vous avez vu affiché au bureau de vote.

Ils correspondent.

Maintenant vous vérifiez toutes les circonscriptions de votre comté. Vous les additionnez. Vous obtenez le total du comté. Vous le vérifiez par rapport au total publié du comté.

Il correspond.

N'importe qui dans le pays peut faire cela simultanément. Des journalistes. Des universitaires. Des comptables retraités aléatoires. Des bénévoles des partis politiques. Un résultat que personne ne peut modifier en privé parce que des milliers de personnes regardent l'arithmétique de l'extérieur est fondamentalement différent d'un résultat qu'on vous demande de faire confiance.

La Commission d'assistance électorale des États-Unis encourage déjà les responsables à rendre les résultats téléchargeables dans des formats courants — .csv, .xml — et à indiquer quels types de bulletins chaque rapport inclut. L'Idaho publie les résultats au niveau de la circonscription avec des données brutes téléchargeables. Ce sont les éléments de base. L'architecture n'est pas de la science-fiction.

Ce que le code ouvert vous apporte réellement — et ce qu'il ne fait pas

Le VSAP du comté de LA mérite qu'on s'y attarde un moment, car il démontre à la fois la puissance et les limites des logiciels open-source dans les élections.

La propriété publique du code source signifie que le logiciel comptant les votes peut être inspectée par des experts indépendants. Pas de bouclier de secret commercial. Pas de « faites confiance au fournisseur ». Quand le système de vote propriétaire du comté de Coffee, en Géorgie, a été copié et divulgué en janvier 2021 — une équipe de criminalistique s'est enfuie avec le Système de gestion électorale, les tablettes de sondage, les appareils de marquage de bulletins et le logiciel Dominion de Géorgie — l'incident a montré exactement la fragilité du secret comme stratégie de sécurité. Les secrets fuient. Le code ouvert n'a pas besoin d'être tenu secret ; il doit être correct.

Mais le code ouvert seul ne suffit pas. Le système de vote par Internet de Swiss Post a eu son code source publié en 2019. Les chercheurs indépendants Sarah Jamie Lewis, Olivier Pereira et Vanessa Teague ont découvert que la preuve de mélange reposait sur un schéma d'engagement avec trappe — ce qui signifie qu'une autorité connaissant les valeurs de trappe pouvait générer une preuve qui passait la vérification tout en ayant réellement altéré les votes. Le code était public. Le défaut était toujours là. Les autorités suisses ont suspendu le système.

Le code ouvert est nécessaire. Il n'est pas suffisant. Le code qui s'exécute le jour de l'élection doit aussi être le code qui a été inspecté — ce qui nécessite des builds reproductibles, des contrôles de chaîne de possession du logiciel compilé, et une confirmation indépendante que ce qui est sur la machine correspond à ce qui est dans le référentiel.

Et au-delà du logiciel : la chaîne de possession physique pour chaque bulletin, l'indépendance des auditeurs, la granularité publique des résultats et l'existence d'un registre durable sur papier que l'audit peut vérifier par rapport à — tous ces éléments sont requis. Oubliez-en un seul, et les pièces restantes ne s'ajoutent pas à la vérifiabilité.

Les parties que l'électeur ne peut toujours pas vérifier aujourd'hui

C'est là qu'l'honnêteté intellectuelle nous oblige à arrêter de décrire le possible et à commencer à nommer l'écart.

Même avec du code source ouvert, des résultats de circonscription au niveau public, des bulletins sur papier et des audits statistiques, la plupart des électeurs dans la plupart des élections aujourd'hui ne peuvent pas indépendamment vérifier ce qui suit :

Que le logiciel qui s'exécute le jour de l'élection est le logiciel qui a été inspecté. Les builds reproductibles — le processus technique de confirmation qu'un programme compilé correspond à la source inspectée — ne sont pas encore une pratique standard en administration électorale n'importe où aux États-Unis.

Que le bulletin sur papier qu'ils ont marqué était le bulletin qui a entré le dépouillement. Un audit à risque limité vérifie un échantillon statistique. Le comptage manuel de la Géorgie en 2020 d'environ cinq millions de bulletins présidentiels — 41 881 lots sur moins de six jours — a confirmé le total de la machine à environ un dixième de un pour cent. C'est impressionnant. Mais l'audit criminalistique de Windham, New Hampshire en 2021 a constaté qu'une ligne de pli et de la poussière sur un objectif de scanner avaient mal compté des centaines de bulletins validement marqués, sans fraude, sans malware, et personne ne l'a découvert avant après. L'erreur n'a pu être récupérée que parce que le papier existait et un comptage à la main pouvait récupérer l'intention de l'électeur. L'audit a fonctionné — mais il a fallu que quelqu'un le commande. Dans la plupart des élections, personne ne le fait.

Que les résultats de la circonscription sont publiés rapidement dans un format lisible par machine. De nombreuses juridictions ne le font toujours pas. L'EAC le recommande. Certains États le font. La plupart ne le font pas, ou le font des jours plus tard, ou publient des formats qui nécessitent des outils spécialisés pour être analysés.

Que l'audit est indépendant. Un audit dirigé par les mêmes responsables qui ont dirigé l'élection, vérifiant leur propre travail, sans aucun tiers indépendant pour vérifier le processus, est une assurance — pas une preuve. La Cour constitutionnelle d'Allemagne l'a dit clairement : si seul un expert désigné par l'autorité peut vérifier le dépouillement, ce n'est pas une élection publique au sens constitutionnel.

Ce qui le rendrait vérifiable par n'importe qui — maintenant

La liste de contrôle n'est pas longue. Rien ne nécessite une technologie nouvelle qui n'existe pas.

Logiciel à propriété publique et open-source, compilé de façon reproductible. Pour que le code comptant les votes soit le code qui a été inspecté, vérifiable par anyone avec un compilateur.

Des bulletins marqués à la main sur papier comme artefact de record. Pas un code QR. La chose que l'électeur touche est la chose qui est comptée — et peut être recomptée, à la main, par quiconque est autorisé à observer.

Des résultats au niveau de la circonscription publiés le soir de l'élection dans des formats lisibles par machine. Chaque circonscription. Chaque type de bulletin. Téléchargeable. Réconciliable. Pour que le total du comté soit une somme que n'importe qui peut indépendamment vérifier.

Des audits obligatoires et indépendants à risque limité avant la certification. Dimensionnés à la marge. Dirigés par des auditeurs qui ne sont pas employés par l'autorité auditée. Avec des résultats publiés en intégralité.

Une chaîne de possession documentée et publique pour chaque bulletin et chaque carte mémoire — du bureau de vote au dépouillement jusqu'à l'archive — de sorte que la preuve physique puisse être tracée, et tout rupture de la chaîne est immédiatement visible.

Des tests adversaires contradictoires institutionnalisés et publics du logiciel et des systèmes, sur un cycle régulier avant chaque élection. Non pas parce que l'autorité est malhonnête. Parce qu'une invitation à pirater le système est la seule façon de prouver qu'il n'a pas été piraté.

Le Brésil exécute le test. Los Angeles a ouvert le code. Le Colorado a construit l'audit. Aucun d'eux ne l'a tous fait ensemble.

Un système de vote que vous pouvez vérifier n'est pas un système auquel vous faites confiance parce qu'un responsable vous l'a dit. C'est un système dont vous pouvez vérifier l'arithmétique vous-même, maintenant, avec un tableur et un téléchargement public.

Ce système existe en pièces. Il n'existe pas encore en entier. Les pièces ne sont pas classifiées. Elles ne sont même pas chères. Ce qui manque c'est la volonté politique de les assembler — et la demande publique pour l'exiger.

Voyez comment cet écart est courant dans les différents pays →

Lisez la version de 2 minutes du problème de vérifiabilité →

Explorez la base de données complète des écarts →

Sources

Voir tous les articlesExplorer les lacunes