Quelle confiance dans les ordinateurs de vote ?

Marc-Olivier Killijian, Ludovic Courtès, Michel Raynal et Matthieu Roy
Chercheurs en Sûreté de Fonctionnement Informatique au LAAS-CNRS et à l’IRISA

Ce billet a été rédigé le 1er juin 2007. Nous avons essayé de le publier dans Le Monde qui a refusé, et dans Libération qui n'a répondu ni à nos mails, ni à nos messages téléphoniques. Merci à eux.

Dans les journaux et par d'autres canaux, un débat sur le vote électronique a actuellement lieu dans notre pays. De nombreux témoignages issus de journalistes, de politiques, ou de citoyens, commentent et analysent l'utilisation des "machines à voter". Il nous semble intéressant, et même nécessaire, d'y ajouter un point de vue scientifique. Voici donc notre contribution à ce débat.

Examinons tout d’abord les caractéristiques de notre système de vote actuel, avec bureau de vote, isoloir, bulletin et enveloppe en papier et urne transparente.

Le bureau de vote est un lieu où chaque citoyen peut se rendre, non seulement pour voter, mais également pour observer et contrôler que la procédure de vote n'est pas entachée d'irrégularités. C'est une sorte de sanctuaire qui protège, de façon vérifiable, le scrutin des tentatives de fraudes. Plutôt que d'avoir à contrôler tout l'espace, toute la ville, ou tout le pays, un groupe de citoyen, désireux de vérifier la validité d’un scrutin, peut se contenter de « surveiller » les bureaux de vote.

L'isoloir, où chaque votant doit se rendre seul avec ses bulletins et son enveloppe, et d'où il doit ressortir avec une enveloppe qui représente son vote, assure que le votant a effectué son choix seul, en son âme et conscience. Cet isoloir assure également le fait que le votant est le seul à connaître son propre vote. Même si, dans le pire des cas, il a subi des pressions, ou que l’on a tenté d'acheter son vote, il est absolument la seule personne à savoir ce que contient son enveloppe.

Les bulletins de vote et l'enveloppe, associés à l'urne transparente, assurent quant à eux de nombreuses propriétés. Tout d'abord, ils permettent de vérifier qu'il n'y a pas de bourrage d'urne. En effet, les scrutateurs et autres observateurs peuvent vérifier que chaque votant insère une et une seule enveloppe. D'autre part, le dépouillement, auquel chacun peut participer ne serait-ce qu'en observateur, est très simple. Une équipe d'au moins deux personnes ouvre les enveloppes et deux autres équipes procèdent au comptage des votes. Ce système, extrêmement simple, permet à chacun de contrôler la conformité du dépouillement.

Les résultats sont ensuite transmis au Ministère de l'Intérieur, responsable de l'organisation du scrutin et de la collecte des résultats. Ce ministère publie ensuite les résultats, bureau par bureau, ce qui permet de vérifier encore une fois que la transmission et la collecte se sont déroulées sans fraude.

Ce système est très simple, peu coûteux, et très facilement vérifiable, à chacune des étapes du scrutin. Qu’en est-il des systèmes automatisés, machines à voter et autres ordinateurs de vote ? Il semble absolument nécessaire, afin que les citoyens gardent le contrôle de la démocratie, que ces systèmes automatisés conservent les propriétés du système « papier ».

Outre les soucis dont les médias se sont largement fait l’écho, par exemple lors des élections présidentielles aux Etats-Unis, il est clair que les systèmes mis en place récemment dans certaines mairies françaises n’offrent pas de garanties satisfaisantes. En effet, le votant doit non seulement comprendre comment utiliser la machine mais surtout lui faire confiance. Il ne peut pas suivre le cheminement de son vote par le biais du bulletin et de l’enveloppe dans l’urne et il ne peut vérifier le dépouillement. Il doit donc se résoudre à faire confiance au fabricant de la machine et à la procédure de vérification effectuée par les responsables du scrutin au sein du bureau de vote. Or, malgré les procédures d’agrément et de vérification mises en place, ces ordinateurs peuvent parfois défaillir et donner des résultats erronés comme cela a déjà été observé en Belgique en mai 2003 où un candidat a obtenu plus de voix que de votants [0]. De plus, il a été récemment démontré qu’il était techniquement possible d’observer à distance l’activité d’ordinateurs de vote afin d’en déduire le vote des électeurs [1]. Il est par ailleurs reconnu dans la communauté scientifique que ce type de systèmes peut être aisément corrompu [2,3]. En conclusion, ces ordinateurs ne permettent pas d’atteindre un niveau de traçabilité, de transparence et de vérifiabilité suffisant.

D’autres systèmes de vote électronique plus évolués, encore au stade de prototype, sont proposés par des scientifiques [4,5]. Tous ces systèmes, basés sur des méthodes cryptographiques, conservent, à des fins de vérifiabilité, le principe du bulletin-papier. Seuls l’impression des bulletins et le dépouillement sont automatisés. Par rapport au système papier, ces systèmes permettent d’améliorer l’anonymisation du vote et de d’automatiser le dépouillement, tout ceci au prix d’une certaine complexité. Il est important de noter que de l’aveu même des experts, c’est encore un domaine de recherche actif pour lequel se pose encore un certain nombre de problèmes [6].

Notre spécialité est la sûreté de fonctionnement des systèmes informatiques. C’est un domaine qui cherche à établir et à augmenter le niveau de confiance placé dans un système informatique par ses utilisateurs. Il n’apparaît pas clairement, à ce jour, qu’un système de vote électronique, si évolué qu’il soit, puisse atteindre le niveau de confiance du système de vote papier. Il y aura toujours un compromis à faire entre l’automatisation, la simplicité, la transparence et la vérifiabilité.

Posons-nous maintenant les questions suivantes : quels sont les attraits des ordinateurs de vote et que cherche-t-on à améliorer dans le système actuel ? Les arguments classiques en faveur des ordinateurs de vote sont l’économie de papier et un dépouillement automatique et, donc, plus rapide.

En ce qui concerne l’argument écologique, les bulletins sont imprimés sur papier recyclé et sont, eux-mêmes, recyclés. De plus, les systèmes de vote électronique les plus fiables conservent tous, dans leur processus, le bulletin papier [4, 5, 6].

Le dépouillement dans un bureau de vote français de taille moyenne prend environ une heure. Il est fait par des bénévoles qui assurent, et tiennent à assurer, le contrôle du système. Le gain de temps escompté étant minime, pourquoi cherche-t-on à automatiser le dépouillement ? Outre le fait qu’il ne soit pas vraiment bénéfique, le dépouillement automatique dépossède les citoyens d’un outil de contrôle démocratique.

Pourquoi chercherions-nous à installer des machines à voter dans nos bureaux de vote ? Pourquoi mettre en place, à la place d’un système qui fonctionne, un système opaque pour les citoyens et qui n’est pas validé par les scientifiques ? Quelles sont donc les véritables raisons qui nous poussent à nous équiper en ordinateurs de vote ? En tant que citoyens et scientifiques, il nous paraît primordial de se poser ces questions.

[0] Collège d’experts chargé du contrôle des systèmes de vote et de dépouillement automatisés, « Rapport concernant les élections du 18 mai 2003 », PDF.
[1] R. Gonggrijp, « Nedap/Groenendaal ES3B voting computer, a security analysis », technical report wij vertrouwen stemcomputers niet, Oct. 2006.
[2] T. Kohno et al., « Analysis of an Electronic Voting System », IEEE Symposium on Security and Privacy, Nov. 2004, pp. 27-40, PDF
[3] Bruce Scheier, « How to steal an Election by Hacking the Vote », Arstechnica, Oct. 2006, PDF
[4] D. Chaum, « Secret-Ballot Receipts: True Voter-Verifiable Elections », IEEE Security & Privacy, vol. 2, no. 1, 2004, pp. 38–47, http://ieeexplore.ieee.org/xpls/abs_all.jsp?arnumber=1264852
[5] P.Y.A. Ryan and T. Peacock, « Prêt à Voter: A System Perspective », technical report CS-TR-929, University of Newcastle, 2005, PDF.
[6] B. Randell, P. Y. A. Ryan, « Voting Technologies and Trust », IEEE Security and Privacy, vol. 4, no. 5, 2006, pp. 50-56, http://doi.ieeecomputersociety.org/10.1109/MSP.2006.140