Systèmes de vote électroniques

Différents types de systèmes de vote électroniques sont utilisés à travers le monde. Ils adaptent des technologies existantes ou recourent à des technologies mises au point expressément pour le processus électoral.

Les principaux types de systèmes de vote électroniques sont les suivants :

• les systèmes de vote et de dépouillement à cartes perforées;
• les systèmes de numérisation optique;
• les systèmes d’enregistrement électronique direct (EED);
• Internet.

Les systèmes électroniques de vote sont apparus dans les années 1960 avec l’introduction sur le marché des systèmes à cartes perforées, suivis bien plus tard par les systèmes de numérisation optique, l’enregistrement électronique direct puis Internet.

Les machines de vote électroniques sont très répandues notamment en Belgique, au Brésil, en Inde, au Venezuela et aux États-Unis. Bien qu’il y ait une tendance à adopter cette technologie, plusieurs pays préfèrent encore les bulletins imprimés marqués à la main et comptés manuellement.

Bien que ces systèmes électroniques soient efficaces, ils ont connu des failles de sécurité et ont souffert d’une perception qu’ils ne sont pas fiables et peuvent engendrer d’importantes erreurs de compilation. En revanche, ils ont notamment comme avantage de faciliter l’accès au scrutin pour les personnes handicapées.

Les systèmes de vote et de dépouillement à cartes perforées

Avec les systèmes à cartes perforées, l’électeur indique son choix en perçant le bulletin de vote au moyen d’un poinçon. Après avoir voté, l’électeur peut soit insérer la carte directement dans un appareil conçu pour dépouiller les scrutins sur les lieux du vote, soit la placer dans une urne qui sera transportée dans un bureau central pour le dépouillement.

Aux États-Unis, les deux sortes de cartes utilisées sont la Votomatic et la Datavote. Avec la Votomatic, les endroits à perforer sont numérotés et portent les noms des candidats. Le numéro de la perforation est la seule information imprimée sur la carte. La liste des candidats et les instructions de perforation sont imprimées sur une brochure séparée. Avec la Datavote, les perforations sont faites dans une case située à côté du nom du candidat.

Les cartes perforées et les ordinateurs de dépouillement ont été utilisés pour la première fois aux États-Unis (dans deux comtés de la Géorgie) lors des primaires de l’élection présidentielle de 1964.

Bien que les systèmes à cartes perforées soient en voie d’être remplacés aux États-Unis par des systèmes plus évolués, 37,3 % des électeurs les ont encore utilisés à l’élection présidentielle de 1996.

Systèmes de numérisation optique

Un appareil de numérisation optique combine de l’équipement et des logiciels informatiques spécialisés. L’équipement saisit une image et le logiciel la convertit en données lisibles par ordinateur.

Les électeurs qui utilisent des bulletins de vote lisibles par machine reçoivent une carte sur laquelle les noms des candidats sont imprimés. À côté de chaque nom figure un symbole, comme un rectangle, un cercle ou une flèche incomplète. L’électeur indique son choix en remplissant le rectangle ou le cercle, ou en complétant la flèche.

Au moment de déposer son scrutin, l’électeur introduit sa carte soit directement dans un lecteur au lieu de vote, soit dans une urne qui sera ensuite transportée en un lieu centralisé pour le dépouillement.

L’appareil de dépouillement informatique reconnaît la marque faite par l’électeur sur la carte et enregistre le vote correspondant. Les votes individuels sont enregistrés dans une base de données et additionnés pour donner les résultats totaux.

Ce système, baptisé Marksense, a été utilisé par 24,6 % des citoyens inscrits à l’élection présidentielle américaine de 1996. Il remplace progressivement les anciens systèmes à levier et à carte perforée.

Il y a quatre types principaux de technologies de numérisation optique :

·         la reconnaissance optique des marques (ROM);

·         la reconnaissance optique des caractères (ROC);

·         la reconnaissance intelligente de caractères (RIC);

·         l’imagerie.

Les systèmes de numérisation à reconnaissance optique des marques (ROM)

La plupart des systèmes de vote à numérisation optique ou lecture par machine utilisent la technologie ROM. Celle-ci a largement été utilisée depuis les années 1970 à diverses fins, y compris examens scolaires et universitaires, recensements, sondages et loteries aussi bien que scrutins. Elle est aussi utilisée dans les lecteurs de codes à barres, répandue dans le commerce au détail, la gestion d’inventaires, les bibliothèques et les écoles.

La ROM typique comprend un numériseur capable de lire des marques spécifiques faites sur une feuille de papier. Le logiciel utilisé par le numériseur ROM est programmé pour reconnaître la signification des différentes marques et pour convertir les images numérisées en données lisibles par ordinateur, selon la localisation des marques.

Les systèmes ROM conviennent bien aux systèmes électoraux à scrutin majoritaire et aux systèmes de listes (proportionnels) où les électeurs doivent effectuer des choix simples facilement représentés par une seule marque. Dans les systèmes électoraux complexes comme les systèmes de vote préférentiel et de vote transférable (où les électeurs doivent choisir les candidats en indiquant des préférences en ordre séquentiel), il est plus difficile d’appliquer la technologie ROM et, par conséquent, la technologie de numérisation n’a pas été largement utilisée. Cependant, l’augmentation de l’exactitude de la RIC pourrait rendre la technologie viable pour ce genre de bulletins dans les années 2000.

À part les systèmes de vote, la technologie ROM a d’autres applications potentielles. En Australie, elle sert à lire les listes électorales aux bureaux de vote pour indiquer les noms des électeurs qui ont voté. Les autorités électorales australiennes peuvent ainsi automatiser le contrôle de leur système de vote obligatoire et repérer les cas de votes multiples.

Les systèmes à codes à barres ROM sont aussi répandus dans les services postaux. Ceux-ci apposent des codes à barres sur le courrier pour en automatiser l’acheminement. Dans certains pays, la poste accorde un tarif réduit aux clients qui impriment eux-mêmes les codes à barres d’adresse sur le courrier, ce qui en accélère le tri.

Certains OGE impriment sur la correspondance adressée aux citoyens leurs propres codes à barres indiquant le nom et l’adresse de l’électeur. Ils s’en servent pour la mise à jour du registre des électeurs lorsque des lettres sont retournées. Des codes à barres sont aussi imprimés sur les enveloppes que les électeurs utilisent pour voter par la poste, ce qui permet à l’OGE d’enregistrer automatiquement les noms des électeurs qui ont voté de cette façon.

La technologie ROM est très utile et efficace pour collecter des données prédéfinies relativement simples. Cependant, elle s’avère inadéquate dès qu’entrent en jeu des données complexes et des textes volumineux. Les systèmes ROC et RIC sont mieux adaptés à cette fin.

Les systèmes de numérisation à reconnaissance optique de caractères (ROC)

La numérisation ROC consiste à utiliser un logiciel pour reconnaître les formes des caractères alphanumériques (manuscrits ou imprimés) et les stocker sur ordinateur. La ROC est généralement utilisée pour convertir du texte imprimé en un texte lisible par ordinateur.

Cette capacité a plusieurs applications potentielles dans le domaine électoral. Par exemple, au début des années 1980, la Commission électorale australienne produisait beaucoup de manuels de procédures. Des années plus tard, quand vint le temps de revoir ces manuels, les fichiers informatiques originaux ne pouvaient pas être utilisés par les nouveaux logiciels utilisés. Plutôt que de saisir de nouveau les textes originaux sur clavier, un logiciel ROC a été utilisé pour convertir les manuels imprimés en fichiers informatiques adaptés à l’édition et à la révision.

Une autre utilisation de la ROC est la saisie des données à partir de l’information imprimée sur des formulaires. Au lieu de saisir manuellement l’information, la ROC peut la convertir automatiquement en données lisibles par ordinateur.

Les systèmes ROC doivent être entraînés pour reconnaître des formes particulières comme étant des lettres et des chiffres. Pour les polices imprimées, même si elles peuvent prendre différentes formes, elles sont régulières et le processus est relativement direct. Par contre, la tâche est plus difficile pour l’écriture manuscrite vu la variété infinie de styles.

Les premiers systèmes ROC avaient un taux d’erreur relativement élevé lors de la conversion de textes en données lisibles par ordinateur, en particulier les manuscrits. Il fallait donc une importante intervention humaine pour vérifier et corriger les résultats. Le taux d’erreur a commencé à diminuer dès la fin des années 1990 avec les améliorations apportées aux appareils et aux logiciels de numérisation optique.

Les systèmes de numérisation à reconnaissance intelligente de caractères (RIC)

La RIC amène les systèmes ROC à un niveau supérieur en utilisant un logiciel pour appliquer des tests logiques intelligents aux caractères numérisés, pour mieux les convertir en données lisibles par ordinateur.

Les systèmes RIC appliquent des règles de contexte, d’orthographe et de grammaire au texte numérisé pour mieux l’interpréter. Cela permet une conversion beaucoup plus précise du texte numérisé par rapport au système ROC simple, en particulier pour l’écriture manuscrite.

Au milieu des années 1990, la puissance accrue des ordinateurs a permis de produire des systèmes RIC de plus en plus fiables. Pour les OGE, ces systèmes sont particulièrement adaptés à la saisie des données à partir des formulaires. Ils sont aussi indiqués pour la saisie des nombres manuscrits qui figurent sur les bulletins de vote utilisés dans les systèmes électoraux complexes (vote préférentiel ou vote unique transférable). Cependant, la complexité de ce genre de tâche freine l’adoption des systèmes RIC par les OGE.

Imagerie

En plus de saisir des images pour les convertir en données, les numériseurs peuvent aussi les stocker sous un format lisible par ordinateur. Les photos, les dessins et les textes peuvent ainsi être stockés et réutilisés.

Les images numérisées ont plusieurs applications électorales. Elles peuvent être incluses dans les sites Web et imprimées dans les publications. Les photos du personnel peuvent être placées dans le bottin Internet de l’OGE et dans son rapport annuel. Les photos des bureaux de vote peuvent apparaître sur les sites Web et les manuels d’instruction. Des exemples de formulaires remplis peuvent être numérisés et imprimés dans les manuels de formation.

Les formulaires papier peuvent être transformés en images et enregistrés sous forme électronique. Ces images peuvent alors être téléchargées sur un réseau informatique, sans qu’il soit ensuite nécessaire d’accéder aux originaux en papier. La Commission électorale australienne s’emploie actuellement à numériser de millions de formulaires d’inscription des électeurs. Elle les rendra disponibles par réseau informatique à partir de chacun de ses bureaux à travers le pays. Ce système sera utilisé pour vérifier sur demande les signatures ou tout autre détail inclus sur ces formulaires.

Des logos peuvent être numérisés, stockés sur ordinateur et imprimés sans problème. Il n’est ainsi plus nécessaire de recourir à des imprimeries pour les lettres à en-tête d’une organisation. Il suffit de disposer d’ordinateurs, de papier, d’une imprimante couleur et de logos numérisés.

L’imagerie sert aussi à vérifier l’identité des électeurs. Leur photo peut être numérisée et placée sur une carte d’identité. Les images des empreintes digitales ou des traits faciaux peuvent être numérisées et stockées sur des cartes à puce. Des systèmes logiciels d’identification sont capables de comparer le visage du détenteur d’une carte à puce avec l’image encodée sur la carte pour déterminer s’il s’agit de la même personne.

Enregistrement électronique direct (EED)

La sophistication grandissante de la technologie informatique, vers la fin des années 1990, a conduit à la plus récente nouveauté dans l’évolution des systèmes de vote : les systèmes d’enregistrement électronique direct (EED).

En Belgique, au Brésil, en Inde et au Venezuela, la plupart sinon la totalité des électeurs votent au moyen de l’EED. Aux États-Unis et dans d’autres pays, un nombre croissant d’électeurs font de même.

Les électeurs utilisant l’EED indiquent leur suffrage directement dans un appareil électronique doté d’un écran tactile, d’un clavier ou d’un appareil similaire. Si les électeurs doivent inscrire le nom de leur candidat choisi sur le bulletin, un clavier alphanumérique peut être fourni.

Avec les systèmes EED, les bulletins de vote imprimés ne sont plus nécessaires. Les données du scrutin sont stockées par un appareil électronique sur un disque dur, une disquette, un CD ou une carte à puce. Pour des fins de sauvegarde et d’audit, certains systèmes copient les données du scrutin sur plus d’un support de stockage. Par exemple en Belgique, chaque vote est enregistré à la fois sur un disque dur et sur une carte à puce remise à l’électeur. Après le scrutin, l’électeur place sa carte dans une urne. Cette carte sert de sauvegarde en cas de panne du disque dur ou d’outil de vérification des données de ce dernier.

À la clôture du scrutin, les données provenant de plusieurs lieux de vote sont consolidées dans un ordinateur central qui détermine les suffrages totaux. Le transfert sur cet ordinateur se fait au moyen de supports amovibles (CD, disquettes, etc.) ou par réseau informatique.

Depuis une dizaine d’années, le téléphone a aussi été utilisé comme un système EED. En se servant des touches de leur téléphone, les électeurs s’identifient grâce à un numéro personnel puis enregistrent leur vote dans un système informatisé, en suivant des directives préenregistrées.

À l’instar du vote par Internet ou par téléphone, le vote à distance par EED soulève des questions d’identification et d’authentification des électeurs, et de protection du secret du vote. À ce jour, ces problèmes n’ont pas encore été résolus de manière satisfaisante.

Vote par Internet

L’essor d’Internet vers la fin des années 1990 a conduit plusieurs personnes à s’interroger sur la possibilité d’utiliser ce support pour améliorer l’efficience, l’efficacité et la légitimité des élections. Diverses administrations ont réalisé des études et des expériences, avec des résultats mitigés. Il en ressort surtout que le vote par Internet comporte de nombreux risques qui doivent être bien évalués avant d’envisager un déploiement à grande échelle.

Pourquoi envisager le vote par Internet?

L’avantage le plus évident du vote par Internet est sa commodité pour l’électeur. Peu importe à quel point les lieux de vote sont bien conçus et répartis, il ne peut y avoir d’endroit plus commode pour voter que sa propre maison. En rendant la participation électorale aussi facile que l’entrée sur un site Web, la sélection de quelques cases sur un formulaire et le clic sur un bouton « votez », le taux de participation des électeurs et donc la légitimité des résultats pourraient sans doute être grandement améliorés. Un tel système permettrait par ailleurs de réaliser d’importantes économies dans la mise en place et l’exploitation de bureaux de vote, si le vote par Internet atteignait un certain niveau. Le dénombrement des votes électroniques peut être plus rapide et plus facile que le dépouillement traditionnel des bulletins papier ou même les systèmes à lecture optique ou à cartes perforées.

Il existe trois formes de vote par Internet :

• le vote par Internet à un bureau de vote : les électeurs se servent de machines placées dans les lieux officiels de vote. L’équipement et le logiciel sont contrôlés par des administrateurs électoraux. L’authentification des électeurs peut se faire par des méthodes traditionnelles;
• le vote par Internet dans un kiosque : les électeurs votent à des machines contrôlées par l’OGE et situées dans des endroits publics (centres commerciaux ou autres). L’environnement physique et l’authentification ne sont pas directement contrôlés par l’OGE;
• le vote par Internet à distance : ni les machines ni l’environnement physique ne sont contrôlés par l’OGE.

Tandis que les deux premières formes sont potentiellement plus sûres, elles présentent peu d’avantages par rapport aux méthodes traditionnelles de vote. Le vote par Internet est le plus attrayant dans les systèmes où les usagers peuvent s’authentifier et voter dans le confort de la maison, au travail ou à des terminaux publics. Malheureusement, c’est alors que se présentent les plus gros risques en matière de sécurité.

Implications du vote par Internet à distance pour la sécurité

Les avantages potentiels du vote par Internet doivent être soupesés en regard des risques. Comme il a été souligné ailleurs, quelles que soient les méthodes de vote choisies, chaque élection doit satisfaire aux mêmes critères : le secret et l’anonymat du vote, l’impartialité, l’exactitude et la transparence.

Tout système de vote, qu’il utilise le crayon et le papier, des cartes perforées, l’enregistrement électronique direct (EED) ou toute autre méthode, doit faire en sorte que les électeurs soient identifiés et que leur vote soit compté correctement. Dans la plupart des cas, il faut par ailleurs qu’il n’y ait aucun moyen d’associer un vote donné à un électeur donné. Il est aussi essentiel que les électeurs fassent confiance aux résultats. En d’autres termes, le système doit non seulement répondre aux exigences de base, mais il doit le faire d’une façon qui est claire et bien comprise par tous les participants. Chaque méthode de vote doit être tout aussi secrète, anonyme, impartiale, exacte et transparente qu’un système papier-crayon bien géré :

De fait, le meilleur modèle pour une élection publique est celui de commis parfaits dans un système de bulletins de vote en papier. Une telle élection serait anonyme (évitant la collusion ou la contrainte), secrète (tous les votes restent inconnus jusqu’à la fin de l’élection) et pourtant exacte (tous les votes sont comptés) et honnête (personne ne vote deux fois ou ne change le vote d’un électeur); elle peut aussi être complète (tous les électeurs doivent soit voter, soit justifier leur absence). Dans un tel système, si nous connaissons l’électeur (grâce à l’inscription des électeurs), nous ne pouvons pas connaître le vote; et si nous connaissons le vote (lors du dépouillement), nous ne pouvons pas connaître l’électeur. Après une élection, tous les votes et tous les électeurs sont publiquement connus, mais le lien entre eux est impossible à prouver et à connaître.

Adapté de SafeVote Inc., Voting System Requirements, The Bell, février 2001

Tout système de vote purement électronique doit prendre en compte la nécessité de protéger l’exactitude du dépouillement en l’absence d’une représentation physique du bulletin de vote. Pour une discussion complète de cette problématique, voir le sujet Enregistrement électronique direct (EED). En plus de ces préoccupations, le vote par Internet est exposé à d’autres risques dus à l’insécurité inhérente de l’ordinateur de l’électeur et de la connexion réseau entre cette machine et le serveur central.

De nos jours, plus de 90 % des ordinateurs domestiques utilisent une version du système d’exploitation Windows de Microsoft. Celui-ci a été conçu avant tout pour plaire aux usagers, et non pour servir à des fins où la sécurité est primordiale. Peu d’efforts ont été déployés pour compartimenter les applications incontrôlables et les empêcher d’altérer de façon indésirable le fonctionnement de tout le système. Cet environnement fondamentalement exposé, avec la propagation de macro-langages dans des applications comme Word ou Outlook, offre un terreau fertile pour toutes les nuisances informatiques possibles (virus, vers, logiciels espions, chevaux de Troie, etc.). En dépit de l’usage répandu de pare-feu et antivirus, il a été estimé que 20 % des ordinateurs personnels sont infectés par un type quelconque de programme malveillant (voir Your PC May Be Less Secure Than You Think). En somme, les concepteurs des systèmes de vote par Internet ne peuvent pas garantir que les ordinateurs domestiques des électeurs n’ont pas été compromis de manière à mettre en doute la fiabilité du vote.

Sécuriser la connexion entre l’ordinateur domestique de l’électeur et le serveur central est aussi problématique mais, dans ce domaine, l’usage adéquat du chiffrement à clé publique peut raisonnablement assurer l’intégrité de la communication. En particulier, les protocoles SSL (Secure Sockets Layer) et TLS (Transport Layer Security) utilisés par les navigateurs et serveurs Internet pour créer des canaux sécurisés (pour le commerce électronique et les services bancaires en ligne, par exemple) ont été conçus pour empêcher l’attaque dite « de l’intercepteur ». Dans celle-ci, une transmission réseau est détournée par un agresseur qui a réussi à contrôler le canal à travers lequel les deux terminaisons de l’opération communiquent. SSL utilise des clés cryptographiques signées qui ont été vérifiées par une autorité de certification. Il est ainsi impossible à un agresseur de modifier le contenu d’une communication sans révéler l’attaque.

Malheureusement, même si cette solution est utilisée adéquatement, d’autres types d’agression restent possibles. Un déni de service survient lorsqu’un agresseur est capable d’empêcher le bon fonctionnement d’une communication. Généralement, il le fait en surchargeant l’une ou l’autre des terminaisons de la communication. Une usurpation (spoofing) a lieu lorsque l’une des parties communicantes établit sans le savoir une connexion sécurisée vers un site contrôlé par un agresseur.

L’« hameçonnage » est une variante répandue de l’usurpation : un internaute reçoit un courriel l’invitant à cliquer sur un lien pour accéder à un site imitant à la perfection un site commercial légitime (p. ex. une banque). Il est appelé à y « réinscrire » d’urgence des coordonnées personnelles confidentielles (p. ex. numéro de carte de crédit, mots de passe). Ce type de fraude est relié à une forme plus générale d’agression communément appelée ingénierie sociale. Celle-ci outrepasse les mesures de sécurité en ciblant les internautes crédules.

Pour une discussion informée sur la fausse sensation de sécurité créée par le déploiement à grande échelle des protocoles SSL/TLS, voir The Maginot Web.

Malgré l’usage répandu d’Internet pour des transactions financières, son application au processus électoral est difficile pour deux raisons principales. Premièrement, dans la plupart des systèmes électoraux, aucun lien ne peut être créé entre l’électeur et son vote : les fonctions d’enregistrement et d’audit qui sont la norme dans le monde financier sont inapplicables aux systèmes de vote en ligne. Deuxièmement, les anomalies de transmission ou d’enregistrement des votes ne peuvent pas être corrigées par la suite. Au mieux, les votes en cause sont invalidés; au pire, toute l’élection est annulée. Un tel résultat pourrait miner la confiance du public dans l’ensemble du processus électoral.

Pour une discussion plus complète des implications du vote par Internet pour la sécurité en général, voir l’article Security Considerations for Remote Electronic Voting over the Internet rédigé par Avi Rubin de l’Université Johns Hopkins.

Exemples réels du vote par Internet

Le canton de Genève en Suisse est peut-être le premier régime électoral au monde à utiliser le vote par Internet sur une grande échelle. Depuis 2003, les citoyens du canton ont l’option d’exprimer leur suffrage en ligne. Les motivations de ce déploiement et les stratégies élaborées pour surmonter les problèmes de sécurité décrits ci-dessus sont du moins en partie reliées à la spécificité de Genève, ce qui limite l’applicabilité de cette expérience à d’autres régimes électoraux.

Genève a ceci de particulier que ses citoyens sont appelés à voter très souvent (quatre à six fois par an plutôt qu’une fois toutes les quelques années comme c’est le cas ailleurs). La raison en est que dans ce canton, tout vote parlementaire est sujet à l’approbation de la population. En conséquence, les autorités genevoises sont exposées à de fortes pressions en vue de simplifier le processus électoral. C’est ainsi qu’en 1995, les administrateurs électoraux de Genève ont mis en œuvre un système de vote postal. Celui-ci a rapidement été adopté par la population, augmentant le taux de participation des électeurs de 20 %.

L’acceptation du vote postal a eu pour effet de réduire quelque peu les exigences en matière de sécurité et d’adhésion du public applicables à d’autres formes de vote à distance. Tout nouveau système ne doit assurer que le même niveau de sécurité et d’adhésion que le vote postal. Ainsi, les électeurs inscrits à Genève reçoivent des cartes de vote par la poste. Celles-ci contiennent les informations leur permettant d’exprimer leur suffrage par retour du courrier. Le vote par Internet est simplement perçu comme étant une extension de ce service bien établi. Les concepteurs du système n’ont pas prévu des façons de contrer toute possibilité de fraude. Ils font confiance aux normes socioculturelles du canton de Genève et aux mécanismes déjà prévus par la loi.

Pour une vue d’ensemble de l’expérience genevoise du vote par Internet, voir le site Web sur le vote électronique du canton de Genève. Pour une description détaillée des risques et des contre-mesures élaborées par les réalisateurs du système de vote par Internet de Genève, voir le rapport sur le traitement du problème de la sécurité des plates-formes pour le vote par Internet à Genève.

Une autre expérience importante de vote par Internet a été menée par l’armée américaine sur ses bases d’outre-mer, mais avec un résultat encore plus décevant. Un projet pilote initial a été mené pendant l’élection générale de novembre 2000, mais malgré un coût de plus de 6,2 millions de dollars américains, seuls 84 militaires ont voté en ligne. De plus, ce projet a été généralement perçu comme n’ayant pas su répondre à des questions cruciales de sécurité (voir Internet Voting Project Cost Pentagon $73,809 Per Vote).

Malgré tout, le projet s’est poursuivi dans le cadre du Programme d’assistance fédérale au vote (FVAP), sous le nom d’Expérience d’inscription et de vote électroniques sécurisés (SERVE), pour un déploiement à plus vaste échelle lors de l’élection générale de novembre 2004. Auparavant, un groupe d’experts en sécurité informatique avait produit une étude détaillée du système et était arrivé à cette conclusion :

« L’obstacle réel au succès n’est pas un manque de vision, de compétences, de ressources ou de volonté. C’est le fait qu’étant donné la technologie actuelle d’Internet, la sécurité des ordinateurs et l’objectif d’un système de vote à distance tout électronique et sûr, le FVAP a entrepris une tâche essentiellement impossible. Il n’y a vraiment aucune bonne façon de construire un tel système de vote sans un changement radical dans l’architecture générale d’Internet et de l’ordinateur personnel ou sans percées révolutionnaires en matière de sécurité. Le projet SERVE est donc trop en avance sur son temps et il ne devrait pas être réexaminé avant qu’il n’y ait une infrastructure sécuritaire améliorée servant de fondation. »

A Security Analysis of the Secure Electronic Registration and Voting Experiment (SERVE)

À la suite de ce rapport, le sous-secrétaire à la Défense des États-Unis Paul Wolfowitz a annoncé l’annulation du projet en février 2004, au motif de problèmes de sécurité non résolus (voir Pentagon halts Internet voting system).

Conclusions

Il est probable (voire inévitable) que le scrutin par Internet sera un jour très répandu. D’ici là, les concepteurs et les réalisateurs de ce type de système devront surmonter beaucoup d’obstacles. Le plus important est le fait que de nombreux éléments essentiels échappent au contrôle de l’administration électorale. Il sera ainsi difficile d’arriver à faire confiance à de tels systèmes de vote tant que l’architecture aussi bien des ordinateurs personnels que d’Internet n’aura pas sensiblement évolué.

Un des auteurs du rapport sur le projet américain SERVE, David Jefferson, des Laboratoires nationaux Lawrence Livermore à Berkeley (Californie), a écrit ce qui suit :

« Les systèmes de vote par Internet sont vulnérables aux agressions de déni de service et d’usurpation, au code malveillant, aux logiciels espions, à la gestion à distance et à la vente automatisée des votes. Ces attaques sont assez puissantes pour compromettre un grand nombre de votes, que ce soit en excluant des électeurs, en espionnant leurs suffrages, en les modifiant ou en les achetant. Ces tentatives peuvent souvent réussir et possiblement modifier les résultats d’une élection, tout en passant inaperçues. Elles peuvent être menées par n’importe qui et depuis n’importe où sur la planète; les agresseurs potentiels peuvent être aussi bien des adolescents perturbés que des gouvernements étrangers.

Ces vulnérabilités sont fondamentales. Elles ne peuvent pas être contournées ou corrigées avec le matériel, les logiciels et les protocoles Internet actuels. Tant que l’architecture des moyens de sécurité d’Internet et des ordinateurs personnels ne sera pas complètement reconsidérée et que les nouveaux concepts ne seront pas largement déployés, ce qui exigera sans doute au moins dix ans, le vote par Internet dans les élections publiques doit demeurer hors de question. »

David Jefferson, The Inherent Security Vulnerabilities with Internet Voting (résumé)

Dans ce même contexte américain, Bruce Schneier (expert américain en sécurité informatique et en cryptographie) a émis un avis similaire :

« La construction d’un système sécurisé de scrutin basé sur Internet est un problème très difficile, plus difficile que tous les autres problèmes de sécurité informatique auxquels nous nous sommes attaqués sans succès. Je crois que les risques pour la démocratie sont trop grands pour l’essayer. »

Bruce Schneier, Crypto-Gram, le 15 février 2001