Vote électronique : la fin de la démocratie

Je suis informaticien et je pourrais garantir qu’il n’y a pas de triche possible. Seule condition : le code source et simple doit etre libre pour etre sur qu’il n’y a pas de backdoor. Ensuite, on peut stocker les donnees sur plusieurs ordi, toute incoherence se verrait immediatement et le seul moyen de pirater sans se faire prendre serait de pirater les n ordis en meme temps. Bon ce n’est pas si simple en effet mais des experts il y’en a dans tous les partis.

La vrai democratie c’est que tout le monde puisse voter, les jeunes qui bougent loin de leur bureau de vote, les vieux qui ne peuvent se deplacer, les vacanciers qui sont loin,...

C’est ce que je disais, plusieurs ordi mais aussi plusieurs personnes derrière pour contrôler chaque étape du processus. C’est pas forcément moins cher et beaucoup plus risqué que le bon vieux papier...

@l’illustre Inconnu

Je serais curieux de savoir où vous avez eu votre diplôme. Votre texte en fera marrer plus d’un.

Merci pour ce bon moment de franche rigolade... Informaticien...

A l’imbecile de service.

Voici le site cree par mon ex-pdg (egalement pdg d’une distri Linux et devenu conseiller de la campagne de J Kerry puis devenu conseiller technique sur les votes trafiques en Floride) http://www.civicactions.com

Tant que les programmes de vote seront ferme, il y’aura des abus. Voila pourquoi il faut les rendre open source.

La traceabilite et la reproductibilite est assure par l’impression papier http://political.moveon.org/repairthevote/

L’anti-piratage par le nombre d’ordi et le cryptage

Je passe les details qui sont malheureusement impossible a comprendre pour des insulteurs mais la litterature est tres nombreuse aux US

Le seul insulteur ici c’est vous, une insulte à l’intelligence. Les sources ouverts ne garantit absolument rien, il faudrait, et les sources des compilateurs utilisés, des librairies relatives aux fonctions utilisées, des garanties quant à la non utilisations du BUGS fourrés en Hard dans la gravure des processeur (et ils en ont tous). Il faudrait donc avoir accés à l’implante du proc, et donc a tout un tas de détails protégés par les lois industrielles. Je vous passe les détails sur les lois relatives aux protocoles industriels.

Bref c’est tout simplement infaisable, où il faudrait mettre en place tout une législation qui n’existe pas encore, toute une infrastructure, pour sois disant redonner le goût du vote à 3 % du bétail.

Gamin va... Informaticien...

Il faut aussi garantir qu’il n’y a pas de meteorite qui tombe sur l’ordi. Oui impossible en effet, lol

Joli procédé dilatoire de dialectique éristique, de quoi tromper un enfant de 5 ans.

Mes félicitations je suis fier de vous.

Une météorite ce serait moins grave qu’un ordinateur qui n’exécute que des programmes permettant d’élire un certain Nicolas S. .

Vous devriez relire l’article et le reste du fil. Pour un système d’élections, tellement de monde à intérêt à la fraude qu’on ne peut pas se permettre de laisser toutes ces portes ouvertes. D’où l’obligation de vérifications super chiadées. Même prouver le programme de vote avec Coq ou PVS ne suffit pas.

Bof, vous ne faites pas confiance au hard d’une machine de vote alors que ce hard est present sur des milliards de machines et vous faite confiance aux hards des avions, des salles d’operation, de votre voiture. Avouez que c’est de la mauvaise fois. C’est pour cela que le vote electronique n’existera pas : la limitation est psychologique, pas technique.

Oui la votre...

Non la votre

Pour comprendre : http://www.openvotingconsortium.org/

Tout le monde a intérêt à ce que les avions, les voitures et les salles d’opération soient fiables..., sauf les terroristes, mais heureusement ce ne sont pas eux qui fabriquent tout ça.

Ce n’est pas le cas des machines à voter. De plus l’argument qu’il existera des « milliards » de ces machines est fallacieux : si elles sont fabriquées en série toutes avec les mêmes backdoors, ça ne change rien au problème, tant qu’on ne peut pas auditer le hard.

Au contraire, dans ce cas, il vaudrait mieux une spécification ouverte de telle sorte que plusieurs fournisseurs puissent proposer des machines compatibles, susceptibles d’exécuter le même code (ou plusieurs codes audités). Mais bon, ça ne suffit pas non plus... à moins de pouvoir mettre plusieurs machines de constructeurs différents comptabilisant les votes en même temps...

... enfin, pourquoi ne pas explorer cette voie-là justement ? Bon, cela compliquerait certainement les choses. En plus cela pose la question de comment choisir qui aura le droit de placer ses machines dans le bureau de vote : en effet il n’y a pas une place illimitée, et dans ce cas, il sera toujours possible pour les pouvoirs en place de favoriser le « bourrage » du bureau de vote avec des machines toutes truquées de la même manière. Enfin s’il y avait une voie à explorer, ce serait bien celle-là, je pense.

Ainsi, pour garantir que le vote a été pris en compte, sans pour autant dévoiler en temps réel qui vote quoi, chaque machine pourrait par exemple afficher, à l’intérieur et à l’extérieur de l’isoloir, le MD5 des votes enregistrés jusqu’à présent. Ainsi les observateurs pourraient constater immédiatement si une machine n’est pas d’accord avec les autres, et ainsi agir en conséquence (de quelle manière ?). À la fin, le dépouillement serait immédiat : logiquement toutes les machines disposent du même résultat à ce stade, encore faut-il qu’elles le sortent sans mentir ! Là encore, la redondance des machines permet de contrôler.

La fiabilité de ma nouvelle proposition ne repose maintenant plus sur une preuve méticuleuse du bon fonctionnement de la machine, mais sur une garantie de l’indépendance du choix des fournisseurs des machines. Ceci n’est pas une mince affaire non plus, mais ça me donne l’impression que, si on y arrive, ce sera plus facile et que vérifier le bon fonctionnement du système ne sera pas réservé aux experts, d’où une bonne confiance dans le système.

C’est l’interet de tout le monde que les programmes et le hard des programmes de vote soit fiables sauf des tricheurs. Donc tous les candidats et les citoyens experts peuvent s’assurer que la tricherie n’est pas possible et que si tricherie il y’a, on peut la decouvrir. La fiabilite totale est impossible (avec papier ou sans) mais on peut la diminuer et faire en sorte que si jamais il y’a une erreur, il y’a inconsistence des donnees et l’impression papier permet de recuperer.

C’est dans l’intérêt général, mais pas dans celui de tout le monde !

De fait ce serait bien dans l’intérêt de quelques « puissants » de pouvoir truquer les élections, or la relation entre « puissants » et industriels ne fait de mystère pour personne et ce sont ces mêmes industriels qui fabriquent les machines à voter.

Le même raisonnement ne tient pas pour les avions, par exemple.

Mais ce raisonnement ne tient pas debout, vous faites un procès d’intentions aux « puissants » (je ne vous le reproche pas) mais vous n’avez pas d’arguments valables pour prouver que l’e-vote est fondamentalement déficient ! Bien sûr, il y aura toujours des gens pour tricher, mais si la démocratie est en danger, c’est à cause des « puissants » qui sont prêts à tout pour maintenir leur pouvoir, et sûrement pas à cause du vote électronique ! Vous vous trompez de cible !

Je ne vois pas où je fais une faute de raisonnement.

Le système est truquable car très difficilement vérifiable (problème dû au fait que les machines sont des boîtes noires, sauf à imaginer une redondance comme je l’évoquais plus haut, et encore).

Les personnes en mesure de choisir des machines truquées sont les mêmes que celles qui ont intérêt à truquer le vote, ou du moins en font partie. Qui plus est, parmi ces personnes il est réaliste de penser qu’une proportion significative soit malhonnête, on est d’accord là-deddus, je pense. On n’en est pas au premier scandale politique.

Dans ces conditions, comment imaginer qu’il n’y aura pas de magouille ?

En relisant votre commentaire, je vois qu’en fait vous ne dites pas qu’il n’y aura pas de triche. Ok.

Moi je dis que cette triche sera assez facile et en tout cas très facilement dissimulable. Donc je pense que les fraudres prendront une ampleur sans commune mesure avec ce qui existe déjà.

Si le système de vote devient notoirement connu pour être faussé, il n’a plus aucune légitimité, ce qui est très dommageable à la démocratie puisque le vote en est un des piliers.

Mais on peut tout de même garder l’usage du vote électronique pour des questions avec moins d’enjeux, où il sera plus facile de trouver des personnes raisonnablement impartiales pour organiser le vote.

@Vincent, j’ai enfin lu votre long commentaire du début (je l’avais zappé !!!).

Et je dois dire que le système des chiffres tirés au sort au début me semble très astucieux et permet de contourner le problème de la vérification formelle du système de manière très élégante (mieux qu’un système de redondance, par exemple). J’y ai d’ailleurs répondu en y ajoutant quelques précautions utiles selon moi.

Tient-on là une procédure fiable ? J’en ai bien l’impression. Comme en plus le système et sa preuve sont simples, la confiance sera au rendez-vous aussi. Dans ce cas, je n’ai plus d’argument contre le vote électronique s’il revêt cette forme-là et qu’on arrive effectivement à prouver cette procédure.

@Aldoo

Votre méthode n’est pas fiable, elle peut être assez facilement subvertie. Il suffit pour cela de s’attaquer à et l’acquisition du vote et non à son enregistrement. Imaginons un système d’acquisition du vote par écran tactile. Si la subversion de la machine d’acquisition consiste à faire en sorte que l’écran renvoie toujours le même choix. Toutes les machines d’enregistrement recevront le même vote, et donc la fraude sera indétectable par votre méthode de contrôle, de plus l’affichage des MD5 permettrait de savoir qui a voté quoi à cause de la possibilité de subvertir le TDC comme je l’explique dans la suite.

Contrairement à une idée largement répandue, le vote électronique est fondamentalement différent du paiment électronique sécurisé. Dans le paiment électronique sécurisé, il y a un intermédiaire neutre qui garantit la transaction. Cet intermédiaire, c’est l’établissement bancaire qui gère le site de paiment. Cet intermédiaire est responsable de l’honnêteté de la transaction sur ses fonds propres. Cela signifie qu’en cas de fraude, c’est lui qui paye les dégats. En cryptographie cet intermédiaire s’appelle le tiers de confiance (TDC). Son rôle est d’authentifier les utilisateurs du service, et de veiller à la sécurité des transactions. Dans le système de paiment, les banques qui jouent le rôle de TDC sont rémunérées à la transaction, et en assument les risques. De fait les banques ont intérêt à ce que la fraude soit la plus limitée possible.

Dans son principe, le vote électronique, seuls des experts peuvent assumer le rôle de TDC. Mais ces experts ne sont pas neutres, ils sont mandatés par par l’exploitant du système (l’état), lui même contrôlé par les élus. La subversion peut venir soit des élus qui possèdent indirectement le pouvoir de révoquer le mandats des experts (pouvoir nécessaire pour pouvoir justement révoquer un expert qui ne serait pas fiable), soient des experts eux mêmes pour obtenir des élus plus coopératifs.

Pour en revenir à savoir qui a voté quoi, c’est très simple, le MD5 est un calcul mathématique complexe faisant intervenir un élément spécifique et caché (en cryptographie publique, cet élément secret est ce que l’on appelle un certificat). Ce certificat en principe personnel est délivré par un tiers de confiance. Si le tiers de confiance est subverti, le certificat n’est potentiellement plus secret, il suffit donc de simuler tous les votes possibles de ce certificat et de comparer les MD5 obtenus au MD5 affiché. La simulation de vote qui sort le MD5 affiché est le vote de l’électeur, le TDC s’il n’est pas neutre peut savoir pour qui on vote, donc le vote n’est potentiellement plus secret.

On voit bien ce phénomène de subversion avec la justice. Les affaires mettant en cause des élus sont suivies de très près par le pouvoir politique, qui essaye au maximum de minimiser les faits ou de carrément faire cesser les procédures.

Le fait de pouvoir subvertir le TDC comprommet la sécurité de tout dispositif. La subversion peut venir de la fabrication, de la maintenance ou des procédures de vérification, la pire des solutions étant évidemment la conivence à plusieurs niveaux du dispositif. Cette conivence est largement analogue aux ententes entre fournisseurs dans les appels d’offres publics, qui sont très régulièrement constaté, soit du fait de l’auteur de l’appel d’offre qui retiendra par exemple des sociétés liées capitalistiquement, soit en état d’entente illicite, ce qui dans le fond revient au même.

Je préfère pour ma part qu’on en reste au bon vieux vote papier avec des urnes cadenassées et des assesseurs volontaires, la fraude est possible, mais beaucoup plus compliquée et surtout beaucoup plus aléatoire.

@Yrkoon : vous faites allusion à mon système de redondance évoqué un peu plus haut, et non au système de numéros attribués en début de session (système de Vincent) ?

Si c’est bien ça, j’ai bien peur que vous vous égariez un peu. Dans mon système, il n’y a pas de tiers de confiance (pas d’autorité de certification ou de serveur de clés, par exemple). D’ailleurs, il n’y a pas de chiffrement, ni d’authentification (outre le contrôle de la carte d’électeur à l’entrée du bureau de vote).

Pour ce qui est du mécanisme de saisie, je ne me suis pas étendu là-dessus, mais effectivement il pourrait être source de faille... sauf si c’est un dispositif mécanique tout bête : un levier par choix possible, chaque levier actionnant un bouton par machine à voter redondante. Rien de plus transparent. Rustique et efficace. Ensuite ce qu’il y a après le bouton dans la machine à voter, à la rigueur cela ne nous regarde plus (à condition que les machines aient été choisies de manière indépendante... et s’il y a une faille dans ma proposition, elle ne peut-être qu’à ce niveau !).

L’afficheur md5 ne permet pas de retrouver qui vote quoi (bon en réalité si, vu que md5 a été craqué, alors disons plutôt sha1, mais peu importe !). À condition bien sûr que toutes les machines soient initialisées avec un même nombre magique, afin que les observateurs ne puisse pas à chaque étape tenter tous les choix jusqu’à trouver celui qui donne le bon md5 à l’étape suivante. Car en effet, pour cela, il faut déjà savoir comment le md5 de l’étape n-1 a été obtenu. Donc si à l’étape zéro le md5 est calculé à partir de l’état « O vote » et de ce fameux nombre magique inconnu à l’extérieur, c’est impossible.

Comment initialiser avec ce nombre magique sans qu’il soit connu par quelqu’un d’autre que les machines ? Il suffirait d’établir un genre de protocole d’échange de clés entre les machines (une variante de Diffie-Hellmann ferait l’affaire). Et chaque machine participerait à la création de la clé pour que le résultat ne dépende pas uniquement du choix d’un des constructeurs.

Voilà pour le md5.

Cela dit, on pourrait faire bien plus simple : au lieu d’afficher le md5, on affiche le nombres de votes modulo N fixé. Là il est évident qu’on ne peut pas savoir ce que la personne a voté, et pourtant on sait que le vote a été pris en compte. Seul inconvénient, minime : on ne peut pas savoir en temps réel si l’une des machines est déjà en désaccord avec les autres. L’important, c’est tout de même qu’on le sache lors du dépouillement !

Je viens de vous relire, et là je crois que je comprends mieux ce que vous entendez par tiers de confiance.

Le problème existe déjà pour le vote papier, sauf que le risque est très limité grâce à la transparence du processus. En gros, il y a autant de « tiers » indépendants que de témoins. Pratique.

Dans mon système, le problème se pose dans la manière de savoir qui pourra poser sa machine dans la salle, vu que tout le monde, d’une part n’est pas à même de fabriquer une telle machine, et qu’un certain camp d’opinion pourrait multiplier les propositions en les faisant passer par des intermédiaires « indépendants » en apparence seulement, afin de ne pas laisser d’autres machines s’installer.

D’ailleurs, je n’ai pas prétendu résoudre ce problème. Pas plus d’ailleurs que vous n’avez montré qu’il serait insurmontable. En gros, je n’ai fait que ramener un problème A à un problème B, saine démarche quand on cherche une solution à A.