Quand nous pensons au vote électronique, notre esprit se tourne rapidement vers les élections présidentielles. Remplacerons-nous un jour l’enveloppe en papier par notre téléphone portable?
Vote électronique dans différents domaines et avec différentes portées
Mais en réalité, le vote électronique s’applique dans de nombreux autres domaines, principalement privés, comme les assemblées générales d'actionnaires, les assemblées de copropriétaires, les élections professionnelless, ainsi que les élections et assemblées de clubs sportifs, d’ordres professionnels et d’universités.
Les systèmes de vote électronique, en outre, ont différentes portées - allant des dispositifs de vote utilisés lors des élections dans des pays comme le Brésil ou les États-Unis jusqu’aux outils de vote électronique par internet qui couvrent toute la chaîne de valeur de l’événement électoral, depuis l’enregistrement des électeurs jusqu’au dépouillement des résultats et leur audit ultérieur.
En fonction du type d’événement et de la catégorie du système de vote électronique appliqué, le vote devra respecter des conditions minimales plus ou moins exigeantes. Par exemple, lors d’une assemblée générale d’actionnaires ou d’une assemblée, le vote n’est généralement pas secret. Cela rend la technologie de vote électronique pour ce type d’événements beaucoup plus simple en matière de cryptographie. Toutefois, comme il s’agit d’événements où le temps est très limité, l’ergonomie de la solution de vote électronique mise en œuvre doit être excellente, afin que des centaines ou des milliers de personnes puissent voter en quelques secondes et sans incidents. Et si l’événement est en ligne ou hybride, il faudra en plus garantir correctement l’identité des électeurs.
Qu’est-ce que la vérifiabilité de bout en bout et quand s’applique-t-elle?
Le vote électronique vérifiable de bout en bout s’applique aux scrutins dans lesquels le secret du vote est une condition nécessaire, principalement les élections.
La vérifiabilité de bout en bout dans les systèmes de vote électronique fait référence à la capacité de garantir le secret du vote depuis l’émission du bulletin par l’électeur sur son appareil jusqu’au dépouillement. Les systèmes vérifiables de bout en bout permettent en outre aux électeurs et aux auditeurs externes de valider que le dépouillement est correct sans révéler le sens du vote de quiconque. Ces deux propriétés, a priori incompatibles - la traçabilité et l’anonymat du vote - sont rendues possibles grâce à une combinaison complexe de technologies fondées sur la cryptographie.
La bonne nouvelle, c’est que vous n’avez pas besoin de connaître en détail le fonctionnement de ces technologies, car il existe des organismes certificateurs accrédités qui vérifient pour vous si les prestataires de vote électronique respectent ces mesures. La mauvaise nouvelle, c’est que la plupart des prestataires ne répondent pas à ces exigences, et certains sont même allés jusqu’à falsifier leurs certifications. C’est pourquoi il est important de savoir distinguer le bon grain de l’ivraie.
Vote électronique fiable et sécurisé
La cybersécurité est l’un des aspects les plus importants d’un système de vote électronique. Mais le concept de cybersécurité est très large. L’impact n’est pas le même lorsqu’une attaque révèle la liste des électeurs (faille de confidentialité) que lorsqu’elle dévoile le choix de vote de chacun (faille d’anonymat). Ce n’est pas non plus la même chose si un système tombe en panne quelques minutes (faille de disponibilité) que s’il permet la fraude électorale (faille d’intégrité). Enfin, si un attaquant usurpe l’identité d’un électeur (faille d’authenticité), les conséquences seront encore plus graves si l’attaque ne peut pas être détectée et corrigée à temps (faille de traçabilité).
Confidentialité, intégrité, disponibilité, authenticité, traçabilité et anonymat sont les six caractéristiques auxquelles le Système de gestion de la sécurité de l’information du fournisseur doit prêter attention. Il existe des normes telles que l’ISO 27001 ou l’ENS (Schéma National de Sécurité) - qui, dans sa Catégorie Haute, est encore plus exigeant que l’ISO - qui établissent les exigences minimales qu’un fournisseur doit respecter pour garantir ces caractéristiques.
Pour vous assurer que les certifications de votre fournisseur sont valides et non une falsification:
- Vérifier que l'organisme certificateur a bien répertorié le fournisseur de vote électronique sur son site web (par exemple, AENOR, Adok ou Applus).
- Ensuite, vérifie que l’organisme certificateur soit accrédité par l’ENAC (l’organisme du ministère de l’Industrie chargé de garantir la qualité de ces audits) pour délivrer ces certifications et qu’il figure bien comme tel sur son site web.
Vote électronique sécurisé par conception
Parmi les six piliers de la cybersécurité mentionnés précédemment, le plus sensible est l’anonymat. C’est pourquoi la vérifiabilité de bout en bout est si importante. Dans un système vérifiable de bout en bout, le vote est chiffré de manière irréversible sur l’appareil de l’électeur avant d’être transmis aux serveurs du prestataire. Ainsi, même si un attaquant parvenait à contourner l’ensemble des systèmes de sécurité du prestataire, il lui serait mathématiquement impossible de révéler le choix de vote de chaque électeur. C’est pourquoi, en plus des certifications, il est essentiel de vérifier que votre prestataire applique correctement ce standard.
On dit des systèmes vérifiables de bout en bout qu’ils sont sécurisés par conception. Autrement dit, indépendamment des mesures de sécurité du prestataire, ces systèmes garantissent que l’anonymat du vote est préservé, même dans un scénario de catastrophe absolue où tout le reste aurait échoué.
Que peut-il arriver si nous choisissons le mauvais prestataire?
La plupart des solutions de vote électronique destinées au secteur privé ne respectent pas certaines des conditions expliquées dans cet article: disposer d’un système vérifiable de bout en bout et être auditées par un organisme certificateur accrédité. Mais quelles peuvent être les conséquences de travailler avec l’un de ces systèmes low cost?
Supposons que votre club sportif utilise le vote électronique pour ses élections. Mais, au lieu de faire appel à un prestataire disposant d’un système vérifiable de bout en bout et audité par un organisme certificateur accrédité, il choisit une entreprise aux certifications douteuses, qui chiffre les votes seulement une fois arrivés sur son serveur, et non avant. En plein milieu du processus électoral, alors que les urnes sont encore ouvertes, le président du club est tenté de consulter l’avancement des résultats pour savoir s’il doit redoubler d’efforts pour mobiliser sa base. Comme le système n’est pas vérifiable de bout en bout, un employé du prestataire de vote électronique pourrait, en théorie, accéder aux résultats avant l’heure afin d’en informer le président.
Il n’est pas nécessaire que cette situation se produise en pratique. Les prestataires low cost, bien que moins sécurisés, ne sont pas forcément moins honnêtes ni moins responsables. Mais le simple soupçon qu’un tel scénario puisse se produire pourrait suffire à un électeur pour contester le processus. Et si le prestataire de vote électronique n’est pas en mesure de démontrer que son système est sûr par conception, le scrutin pourrait être annulé par un juge, avec tous les coûts financiers et réputationnels que cela implique. La situation pourrait être encore pire si un attaquant parvenait à intercepter les votes avant qu’ils ne soient chiffrés.
La fin du vote par correspondance
Chez Kuorum, nous organisons depuis 2013 des scrutins en ligne vérifiables de bout en bout grâce à une technologie auditée selon la norme ISO 27001 et le niveau Élevé de l’ENS. Il s’agit d’une technologie qui garantit les 6 piliers de la sécurité du vote expliqués dans cet article. De plus, les mécanismes anti-coercition de notre logiciel de vote électronique offrent déjà plus de garanties que le vote par correspondance. C’est pourquoi des ordres professionnels, des clubs et fédérations sportives, des entreprises et des associations du monde entier nous font confiance. Si vous souhaitez plus d’informations sur nos services, contactez-nous sans engagement.
