Le vote est un problème difficile

Ce qui rend le vote un problème difficile (et intéressant), est la nécessité de garantir, entre autres, deux propriété apparemment contradictoires:

  • l' anonymat des électeurs: on ne doit pas savoir ce que chaque électeur vote (et donc on ne peut pas, à différence de ce qu'on fait avec les guichets automatiques des banques, garder une trace de toutes les opérations effectuées); c'est bien l'anonymat qui rend tout compliqué: si chacun de nous pouvait publier sur un dazibao ses choix électoraux, il n'y aurait aucun problème;
  • la verifiabilité publique du résultat: tout le monde doit pouvoir se convaincre, à lui tout seul, que le résultat du vote est bien comptabilisé.

En pratique, dans chaque pays, on essaye de concilier ces exigences dans le vote papier avec une procédure précisément codifiée dans laquelle tous les détails comptent; comme les enjeux d'une élection politique sont énormes, l'incitation à commettre des fraudes est bien réelle. En France, par exemple, l'urne transparente n'est pas un gadget. Un ingrédient important de ces procédures est la possibilité pour chaque citoyen de participer et contrôler toutes les phases du vote.

Le vote purement électronique ne permet pas de satisfaire ces exigences

Si le vote est purement électronique, le bulletin est dématérialisé au moment du vote, et il devient très difficile (si encore on y arrive vraiement) de garantir ensemble anonymat et vérifiabilité indépendante (c'est à dire, sans faire confiance à des tiers), du moins dans l'état de l'art actuel. Il y a tout un champ de la cryptographie qui est dédié à l'étude d'algorithmes sophistiqués qui visent à améliorer l'état de l'art, mais il s'agit d'un travail de longue haleine qui est loin d'être terminé. Même en disposant d'algorithmes entièrement satisfaisants, il resterait ensuite à vérifier leur réalisation concrète, ce qui est un autre paire de manches: il ne sert à rien d'avoir installé une porte blindée si on laisse grand ouverte la fenêtre dans le salon.

C'est pour cela que la resolution on electronic voting de l'ACM, qui date de 2004, recommande de toujours garder une copie matérielle (papier) de chaque vote qui permette de recompter les voix et vérifier les résultats. Il ne s'agit pas d'une idée nouvelle : cette proposition est connue sous le nom de méthode Mercuri parce-que elle a été proposée dans la thèse de Rebecca Mercuri, soutenue en 2000 à l'Université de Pennsylvanie.

Cependant, même avec la méthode Mercuri, l'introduction d'ordinateurs de vote (avec la complexité et l'électronique qui viennent avec), peut mettre en danger l'anonymat du vote, par exemple par le biais d'émissions radios corrélées aux choix des électeurs.

Le logiciel Libre ne change pas la donne

La disponibilité du code source des ordinateurs de vote est évidemment indispensable pour pouvoir vérifier le bon fonctionnement de ces machines, et il est tout simplement ahurissant qu'on prétende nous faire accepter des ordinateurs de vote dont les spécifications, les logiciels et les rapports d'agrément ne sont pas publics. Mais cette disponibilité du code source ne change rien au fond du problème, qui est bien plus complexe, et, à nouveau, bien connu depuis longtemps: lisez Reflections on trusting trust, de Ken Thomson, daté de 1984... je cite...

The moral is obvious. You can't trust code that you did not totally create yourself. (Especially code from companies that employ people like me.) No amount of source-level verification or scrutiny will protect you from using untrusted code.

Or, l'électeur qui utilise un ordinateur de vote n'a pas fabriqué lui même entièrement ce code, et ne peut pas lui faire confiance. Peut importe si les sources sont publiées sur internet... peu importe si l'ordinateur affiche un checksum... ces données nous sont présentées par une interface homme-machine, et donc sont une "représentation" de l'intérieur de la machine, qui peut-être faussée. Citant Andrew Appel l'écran d'une urne électronique n'est pas une urne.

Donc, les quelques âmes de bonne volonté qui pensent que le vote électronique est un bon argument pour pousser les Logiciels Libres font complètement fausse route.

Sur la piratabilité de tel ou tel autre modèle d'ordinateur de vote

Certaines personnes recherchent désespérément des volontaires pour montrer en 15 secondes sur un court passage télé comment s'y prendre pour modifier un ordinateur de vote. Je comprends que ce sujet serait accrocheur, et pour les personnes intéressées, je suggère une courte recherche sur YouTube avec le nom de l'ordinateur souhaité pour satisfaire leurs appétits. Cependant, je ne suis personnellement pas intéressé à réaliser de tels exploits: d'un coté, il n'est pas clair qu'il serait legal de le faire, de l'autre, cela déplace l'attention du vrai problème énoncé plus haut, qui est la vérifiabilité par tout un chacun du résultat.

Sur la confiance et le rôle des experts

Je le repète: dans le cas du vote citoyen, tout élécteur doit pouvoir se former, et à lui tout seul, sans faire appel à des experts, la conviction que le scrutin se déroule correctement. Si dans un moment quelconque du processus on est obligés de faire confiance à un tiers, cela signifie que ce tiers peut manipuler le resultat (en jargon informatique, un tiers de confiance est précisement quelqun qui peut violer la politique de sécurité). Or, avec des ordinateurs de vote, et tout partiuclièrement les ordinateurs de vote sans trace papier utilisés en France, nou sommes obligés de faire confiance à une longue chaîne d'acteurs qui vont des fabriquants, aux techniciens, au personnel des mairies, au ministères concernés, et ce qui est grave est que, sans trace physique du vote, on ne peut lever le doute sur aucun de ces acteurs.

A différence de l'urne transparente, qu'on peut ranger dans un placard pendant des longues années quand elle n'est pas utilisée, un ordinateur de vote doit être surveillé nuit et jour, pour s'assurer que personne le manipule, personne change ses composantes, personne ne remplace ses scellés, et cela pendant toute la durée d'inutilisation de l'urne. Pendant des années entières il faut payer des gardes jurées pour surveiller un ordinateur de vote éteint. Et surveiller les gardes jurées, ... et les surveillants. A coté, Fort Knox est un jeu d'enfant.

Mais il ya plus simple pour convaincre nos concitoyens, en partant de nos confrères journalistes, qu'il y a bien un problème grave, est c'est bien ceci: est-ce que cela serait venu à l'esprit à un quelconque citoyen, ou à des journalistes attitrés, de se rouer sur des professeurs de physique des matériaux, ou des chercheurs en chimie, pour leur demander s'il y a bien un problème avec les urnes transparentes? Bien sûr que non. Alors, si maintenant tout le monde s'affole et cherche des informaticiens, des chercheurs en sécurité, des experts pour savoir si les ordinateurs de vote sont sûrs, ... c'est que la reponse est déjà en leur possession: ils ne savent pas tout seuls se convaincre qu'il n'y a pas de problème. Et il sont raison: c'est cela, le vrai problème.

Sur les soi-disantes expérimentations qui se sont bien passées des ordinateurs de vote

On nous a appris à l'école que le critère essentiel de l'expérimentation scientifique est sa reproductibilité: étant données les mêmes conditions initiales, et en suivant la même procédure, on peut reproduire l'expérience et arriver au même résultat. Si on vous dit qu'un trousseau de clef tombe par terre si on ne le soutient pas, vous pouvez essayer et le vérifier par vous même.

Or, dans les expérimentations des ordinateurs de vote, de quelle expérimentation scientifique s'agit-il?

Voyons voir: on prend un bureau de vote, on installe un ordinateur de vote, et on fait voter des gens, soit pour une vraie élection, soit pour une élection bidon (choisir le compositeur de musique classique préféré).

Malheureusement, avec les machines qu'on nous propose en France, qui ne disposent pas de trace papier, on ne peut pas savoir si les votes indiqués par la machine sont vraiment les votes exprimés par les électeurs.

Donc, on n'a pas vérifié le bon fonctionnement des ordinateurs de vote (à moins d'erreurs énormes comme la disparition de votes, qui sont paradoxalement moins graves parce-que détectables).

Qu'a-t-on vérifié alors? Eh bien, quand on nous annonce que tout s'est bien passé, on veut simplement dire que personne a protesté. Il s'agit donc d'une expérience scientifique qui vise à établir non pas le bon fonctionnement des machines, mais le degré d'acceptation de ces machines de la part d'un public bien encadré et encouragé à les accepter.

Références: