← Tous les articles

Pourquoi une trace papier ne suffit pas à elle seule

Un professeur de Princeton a branché une véritable machine de vote sur son établi de laboratoire en 2006 et a prouvé qu'elle pouvait voler une élection sans laisser la moindre empreinte traçable — et le papier n'aurait rien changé.

Il a fallu à Ariel Feldman, J. Alex Halderman et Edward Felten environ une minute.

Une minute d'accès physique à une véritable machine de vote tactile Diebold AccuVote-TS — le type de machine qui a dépouillé des millions de votes américains au milieu des années 2000 — et les chercheurs de Princeton avaient installé un code malveillant capable de redistribuer silencieusement les votes entre les candidats. Le code altérait chaque compteur interne, journal et enregistrement pour rester cohérent en interne. Il ne laissait aucune empreinte. Il pouvait même se propager d'une machine à l'autre automatiquement, comme un rhume qui se transmet dans un bureau, lors des routines ordinaires de configuration pré-électorale.

Ils ont publié leurs conclusions en 2006. Les machines étaient toujours en utilisation.

Voici la partie qui devrait vous arrêter : lorsque ce type de manipulation a été soulevé comme préoccupation, l'assurance standard était que ces machines seraient finalement remplacées par des systèmes avec une trace papier. Problème résolu, dossier fermé.

Sauf que ce n'est pas le cas. Loin s'en faut.

Le mensonge rassurant que nous nous racontons sur le papier

Le papier, c'est bien. Un bulletin de vote physique qu'un électeur a marqué et vérifié est véritablement meilleur qu'un écran tactile sans papier. Personne de sérieux ne conteste cela. La course électorale du comté de Sarasota, en Floride, en 2006 s'est terminée avec 18 000 votes manquants et une majorité de 369 — et parce que ces écrans tactiles n'avaient produit aucun dossier papier, il n'y avait littéralement rien d'indépendant à recompter. Le papier aurait été mieux que ça. C'est certain.

Mais voici ce que le cadre « le papier résout le problème » passe discrètement sous silence : un dossier papier ne protège une élection que si quelqu'un est tenu de le vérifier, et si cette vérification peut réellement modifier le résultat certifié.

Ces deux conditions — obligatoire et contraignante — ne sont pas la norme dans la plupart des endroits. Elles sont l'exception. Et sans les deux, le papier qui se trouve dans ces sacs scellés après la nuit électorale est un accessoire, pas une protection.

Ce que la machine de Princeton a vraiment prouvé

Revenons à cette Diebold AccuVote-TS. Feldman, Halderman et Felten ne faisaient pas simplement la démonstration d'une vulnérabilité théorique. Ils ont construit un vrai virus de vol de votes sur du matériel réel. L'attaque était indétectable par tout journal d'audit interne car l'attaque contrôlait les journaux d'audit internes.

Imaginez maintenant que cette machine avait aussi imprimé un dossier papier de chaque vote tel qu'il était enregistré — ce qu'on appelle une Voter Verified Paper Audit Trail, ou VVPAT. Cela aurait-il arrêté l'attaque ?

Seulement si quelqu'un comparait le papier aux totaux de la machine. Seulement si cette comparaison était légalement exigée, pas facultative. Seulement si une divergence aurait déclenché une enquête contraignante plutôt qu'un communiqué de presse. Et seulement si l'échantillon de bulletins papier examinés était assez important pour avoir une vraie chance statistique de détecter une manipulation de course serrée.

Dans la plupart des États qui ont déployé ces machines, aucune de ces conditions n'était remplie. Le papier aurait été imprimé, mis en sac, scellé et enfermé dans un stockage à moins que quelqu'un n'intente une action en justice pour l'ouvrir. Une trace papier que personne n'est tenu de suivre n'est que du recyclage coûteux.

C'est l'écart que l'étude de Princeton a réellement exposé — non pas simplement qu'une machine pouvait être piratée, mais que toute l'architecture de vérification autour d'elle était creuse. La machine était non vérifiable par conception, et les systèmes politiques et juridiques autour ne demandaient pas qu'elle soit vérifiée du tout.

La nuit où l'ensemble du système de vote du comté de Coffee a quitté le bureau

Le 7 janvier 2021 — le jour après que le Congrès était censé certifier l'élection présidentielle — une entreprise d'investigation informatique a eu accès au bureau des élections du comté de Coffee, en Géorgie. Ce qu'ils ont copié n'était pas juste un fichier ou deux.

Ils ont pris le serveur du Système de gestion des élections. Les appareils de prise des données. Les appareils de marquage des bulletins. Le scanner. Et le logiciel de système de vote Dominion de l'État de Géorgie.

Tout. Un comté. Un jour.

Le bureau du Secrétaire d'État de Géorgie a appelé cela un accès non autorisé qui d'anciens responsables du comté avaient autorisé en violation de la loi de l'État. L'incident est documenté dans les déclarations sous serment déposées dans l'affaire fédérale Curling v. Raffensperger. Plusieurs personnes impliquées dans l'incident ont plus tard plaidé coupable à des accusations liées à l'effort plus large pour annuler les résultats de 2020 en Géorgie.

Voici ce que l'incident du comté de Coffee rend viscéralement clair : le modèle de sécurité qui disait « le logiciel est propriétaire et donc sûr » est mort dans ce bureau le 7 janvier. Le secret n'est pas une architecture de sécurité. Une fois que quelqu'un ayant les clés vous laisse entrer par la porte, le secret s'échappe — et dans ce cas, le logiciel s'est ensuite propagé bien au-delà du comté de Coffee.

Mais voici la partie qui se connecte directement à la question de la trace papier : la Géorgie utilise des bulletins papier. Elle a du papier. Elle a mené un dépouillement manuel massif de près de 5 millions de bulletins présidentiels en 2020. Le papier existe.

La violation du comté de Coffee s'est produite de toute façon — car le papier protège le dépouillement, pas l'environnement logiciel, et pas la chaîne de contrôle du système qui génère et marque ces bulletins en premier lieu. Si votre appareil de marquage des bulletins a été compromis, le papier qu'il imprime peut fidèlement enregistrer ce que l'appareil compromis lui a dit d'imprimer. Le papier n'est fiable que dans la mesure où le processus qui l'a créé est fiable — et ce processus s'exécutait sur des serveurs qui venaient d'être copiés et sortis d'un bureau des élections dans un petit comté de Géorgie.

Quand l'audit n'est pas autorisé à compter

Supposons que vous ayez des bulletins papier, honnêtement marqués par des électeurs qui les ont vérifiés avant de quitter l'isoloir. Vous n'êtes toujours pas protégés à moins que l'audit soit contraignant.

C'est là que l'écart de « l'audit non contraignant » devient concret. Plusieurs États et juridictions ont adopté des exigences d'audit post-électoral qui semblent rigoureuses sur le papier — un échantillon aléatoire de bureaux de vote, un dépouillement manuel, une comparaison — mais ne incluent aucun mécanisme permettant à l'audit de modifier le résultat certifié. L'audit est rapporté. Les divergences sont notées. Et puis le résultat certifié tient bon.

Pensez à ce que cela signifie en pratique. Si votre audit n'est pas légalement contraignant, alors ce qu'il fournit réellement est un moyen pour les responsables de dire « nous avons fait l'audit » tandis que l'audit ne peut, en aucun cas, affecter le résultat de l'élection. L'acte d'auditer devient un exercice de communication — un rituel qui confère une légitimité sans fournir de responsabilité.

Comparez cela à ce que le Colorado a construit. À partir de 2017, le Colorado est devenu le premier État à mener à terme un audit à limitation des risques à l'échelle de l'État — un processus qui dimensionne statistiquement la vérification manuelle en fonction de la majorité de la course. Course serrée ? Examinez plus de bulletins. Course déséquilibrée ? Moins de bulletins nécessaires. La caractéristique clé : si l'audit ne confirme pas le résultat rapporté au niveau de confiance requis, vous continuez. Vous examinez plus de papier. Les mathématiques ne vous laisseront pas arrêter tôt et dire que c'est fait.

C'est ce que « contraignant » ressemble. L'audit a des dents car il contrôle si le résultat tient bon.

Sans cette structure, le papier est un objet de réconfort.

La leçon difficile d'Antrim et ses douze votes perdus

En décembre 2020, après que le comté d'Antrim, au Michigan, a publié des résultats officieux terriblement erronés — des résultats si invraisemblables pour un comté traditionnellement républicain qu'ils ont été découverts presque immédiatement — un dépouillement manuel complet a été effectué. Chaque bulletin présidentiel, à la main. Le Département d'État du Michigan a certifié le résultat.

Mais voici le nombre qui tend à être discrètement mis de côté dans les gros titres célébratoires « l'audit l'a confirmé » : le dépouillement manuel différait toujours de la tabulation automatisée d'environ une douzaine de votes sur quelque 15 700 exprimés.

Douze votes. Dans un dépouillement manuel complet, minutieux et juridiquement supervisé.

Maintenant : dans le comté d'Antrim en 2020, douze votes n'était pas un problème. La majorité présidentielle au niveau du comté n'était pas serrée, et aucune course qui importait n'a été décidée par une douzaine de votes dans Antrim. L'erreur était sans importance pour le résultat.

Mais réfléchissez bien à ce que « sans importance pour le résultat » fait dans cette phrase. C'est porteur de charge. Le dépouillement manuel n'est rassurant que parce que la majorité était suffisamment importante pour que l'erreur propre du dépouillement manuel n'ait pas d'importance. Si la vraie majorité avait été de huit votes, le dépouillement manuel — l'étalon-or, ce que nous présentons comme preuve — ne pouvait pas vous dire qui a gagné. La méthode même utilisée pour vérifier le résultat est elle-même incertaine d'environ le même nombre de votes que la course décidée.

Le compte rendu de FactCheck.org sur Antrim se concentre correctement sur le démenti des théories du complot — il n'y a aucune preuve de piratage ou de manipulation — mais la divergence de douze votes murmure quelque chose que le gros titre rassurant ne dit pas : même les dépouillements manuels honnêtes et bien exécutés ont une marge d'erreur irréductible. Ils en auront toujours une. Les bulletins ont des marques ambiguës. Les compteurs font des erreurs. L'adjudication implique des jugements que deux personnes différentes décideraient différemment.

« L'audit l'a confirmé » est une assurance. Dans une course décidée par une poignée de votes, en utilisant une méthode qui est elle-même incertaine d'une poignée de votes, ce ne peut être une preuve.

Ce qui rendrait réellement tout cela vérifiable

Voici la version honnête de ce qu'une véritable architecture de vérification exige. Pas la confiance — la vérifiabilité.

D'abord : du papier que les électeurs ont réellement vérifié. Pas du papier imprimé par une machine et jamais examiné par l'électeur, mais un bulletin ou dossier papier que l'électeur a lu et confirmé avant qu'il ne soit exprimé. C'est la couche fondatrice sur laquelle tout le reste dépend.

Deuxièmement : des audits qui sont exigés par la loi, pas facultatifs. Si l'audit n'a lieu que lorsqu'un candidat le demande, ou seulement lorsqu'une course est assez serrée pour qu'un candidat puisse se permettre les frais juridiques d'en exiger un, alors dans la plupart des élections, la plupart des années, dans la plupart des juridictions, il n'y a pas d'audit. Le papier reste en stockage jusqu'à ce qu'il soit détruit.

Troisièmement : des audits dimensionnés statistiquement en fonction de la majorité. Un contrôle spot à pourcentage fixe — « nous avons regardé 3 % des bureaux de vote » — fournit des preuves très faibles dans une course serrée. Un audit à limitation des risques, dimensionné en fonction de la majorité, fournit une confiance statistique définie. Il y a une différence significative entre « nous avons vérifié quelques trucs » et « il y a une probabilité de 97 % que le gagnant rapporté a réellement gagné. »

Quatrièmement : des audits qui peuvent changer le résultat. Si l'audit découvre une divergence et la loi dit « notez-la et certifiez quand même », vous avez un dossier papier et vous avez un audit et vous n'avez rien. La chaîne n'est solide que jusqu'à son maillon le plus faible, et un audit non contraignant est un maillon cassé.

Cinquièmement — et c'est là que la vérifiabilité cryptographique entre en jeu — la vérification ne devrait pas dépendre entièrement de la confiance envers les humains qui effectuent la vérification. Les chercheurs de Princeton ont montré qu'une machine peut manipuler ses propres enregistrements. Le comté de Coffee a montré que le logiciel propriétaire peut être volé, propagé et rester caché dans des systèmes fermés pendant des mois. Le dépouillement manuel à Antrim a montré que les compteurs humains introduisent leurs propres erreurs.

La sortie de ce labyrinthe n'est pas de trouver un responsable plus digne de confiance. C'est de construire des systèmes où le public — n'importe quel membre du public, sans accès spécial — peut vérifie indépendamment que son vote a été inclus, inchangé, dans le décompte final. C'est ce que le scrutin vérifiable de bout en bout et les pistes d'audit cryptographiques sont conçus pour faire. Non pas remplacer le papier, mais rendre la vérification véritablement indépendante des personnes qui gèrent l'élection.

La question qui devrait vous tenir éveillé la nuit

Après chaque élection, les responsables publient des déclarations confirmant que des audits ont été menés et les résultats ont été certifiés. La plupart de ces déclarations sont probablement exactes. Les personnes qui gèrent les élections dans la plupart des endroits sont des agents publics consciencieux faisant un travail difficile et mal rémunéré.

Mais « le Secrétaire d'État dit que c'est confirmé » est une affirmation. Ce n'est pas une vérification. Toute l'architecture de la légitimité démocratique repose sur la possibilité que le responsable qui gère l'élection pourrait se tromper — ou, dans le pire des cas, pourrait ne pas être neutre. Cette possibilité n'est pas de la paranoïa ; c'est la prémisse qui rend les vérifications indépendantes nécessaires en premier lieu.

Une trace papier que personne n'est tenu de vérifier ne peut pas détecter une attaque logicielle comme celle que Princeton a démontrée. Elle ne peut pas détecter ce qui s'est passé au comté de Coffee. Elle ne peut pas régler une course décidée par moins de votes que la marge d'erreur propre du dépouillement manuel.

Ce que vous ne pouvez pas vérifier, vous pouvez seulement le croire. Et la confiance n'est pas une architecture de sécurité.

Le papier dans ces sacs scellés après la nuit électorale est nécessaire. Ce n'est pas suffisant. L'écart entre ces deux mots est là que vivent actuellement la plupart des élections américaines — et c'est un écart que les lois d'audit plus fortes, la rigueur statistique et les systèmes vérifiables cryptographiquement pourraient fermer.

La plupart des endroits ne l'ont pas encore fermé.

Voir à quel point les écarts « audit non contraignant » et « pas de papier à recompter » sont courants dans les juridictions — ou lisez la version de deux minutes pour comprendre pourquoi le papier seul ne suffit pas. Si vous voulez approfondir ce qu'un audit à limitation des risques prouve réellement (et ne prouve pas), nous avons cartographié les écarts de vérification fondamentaux ici.

Sources

Voir tous les articlesExplorer les lacunes