Vote électronique : solution sûre ? 

   Qu’est-ce que le vote électronique ?

Cette appellation recouvre 2 réalités distinctes: les machines à voter d’une part, et le vote par Internet d’autre part. Avec les machines à voter, les électeurs se déplacent dans les bureaux de vote, s’identifient par les moyens habituels (en présentant leur carte d’électeur par exemple), puis utilisent une machine pour voter. Le vote par Internet, lui, se fait à distance, et les électeurs utilisent leur propre matériel (ordinateur, smartphone…). Pour ma part, je suis plutôt spécialiste de vote par Internet, mais les 2 concepts présentent des défis techniques similaires.

   Quels défis ?

On voudrait avoir les mêmes garanties de sécurité dans le vote électronique que dans le vote papier à l’urne. Et pour le moment, on n’y arrive pas tout à fait – c’est une des raisons pour lesquelles le vote électronique n’est pas très répandu. Pour qu’un vote soit considéré comme sécurisé, il doit avoir 2 propriétés fondamentales: il doit être secret et vérifiable. On a souvent tendance à oublier ce deuxième aspect, pourtant il est essentiel ! Il faut que chacune et chacun s’assurer que le résultat proclamé correspond bien au vote émis par les électeurs.

   Qu’est-ce qui offre de telles garanties dans le vote papier à l’urne ?

Dans le cas d’un vote papier à l’urne, le secret est garanti parce que les bulletins de vote sont placés dans des enveloppes opaques et que l’urne est mélangée avant le dépouillement, ce qui fait que les enveloppes sont ouvertes dans un ordre différent de celui dans lequel elles ont été déposées. Côté vérifiabilité, l’électeur sait ce qu’il a placé dans l’enveloppe, qu’il apporte lui-même jusqu’à l’urne: il sait donc que son vote est pris en compte, et qu’il n’y a pas eu d’échange. Par ailleurs, l’urne est transparente, ce qui permet de vérifier qu’elle est initialement vide. Enfin, tout le monde peut surveiller le bureau de vote tout au long d’une journée d’élection, et assister au dépouillement.

   Comment fait-on pour transposer ces garanties dans un système de vote par Internet ?

C’est difficile ! Et c’est là que les mathématiques sont nécessaires: on utilise de la cryptographie, la science qui permet de chiffrer des informations pour les rendre illisibles par quiconque n’a pas la bonne clé de déchiffrement. Pour garantir le secret d’un vote par exemple, on va chiffrer les bulletins à l’aide d’un «système de chiffrement à clé publique»: on verrouille chaque bulletin avec un cadenas que tout le monde peut avoir, mais dont personne n’a intégralement la clé. Pour déverrouiller le cadenas, il faut que plusieurs personnes se mettent ensemble pour assembler les morceaux de clé qu’elles ont. On utilise par ailleurs plusieurs mécanismes pour éviter qu’au moment du déchiffrement, on puisse remonter à l’émetteur d’un vote en particulier. Par exemple, on va mélanger les bulletins électroniques, et en déchiffrer plusieurs simultanément pour ne pas pouvoir retrouver un à un les émetteurs des votes.

   Et côté vérifiabilité ?

On exploite une brique moins connue en cryptographie: les preuves à divulgation nulle de connaissance, ou «zero-knowledge proofs» en anglais. Ce sont des méthodes qui permettent de démontrer quelque chose sans rien révéler d’autre que le strict énoncé qu’on démontre. Ici, cela consiste à démontrer que l’autorité qui déchiffre le vote ne ment pas, mais sans rien révéler du vote lui-même !

   Cela paraît impossible…

Pourtant, il existe des techniques pour le faire. Imaginez, par exemple, que j’aie réussi à faire un Sudoku très difficile et que je veuille vous démontrer que j’ai la solution… mais sans vous la donner. On peut faire une preuve zero-knowledge de ma réussite de la manière suivante: j’utilise des cartes numérotées de 1 à 9 pour représenter devant moi ma solution du Sudoku, puis je les retourne pour les positionner faces cachées. Vous pouvez alors me demander de vérifier la ligne, la colonne ou le carré de votre choix. Je prends les cartes correspondantes – toujours faces cachées – et je les mélange avant de vous les donner. Vous pouvez alors vérifier que la main contient bien une fois (et une seule) chaque numéro de 1 à 9… sans pour autant connaître l’ordre dans lequel je les avais placés. Ensuite, vous vous retournez, je replace les cartes faces cachées dans le bon ordre, et on peut répéter l’opération jusqu’à avoir vérifié toute la grille. Ce sont des procédés similaires qu’on utilise pour vérifier que le résultat d’un vote est exact sans avoir à révéler qui a voté quoi.

   Qu’est-ce qui empêche, alors, d’avoir les garanties de sécurité nécessaires pour un vote électronique ?

En fait, toutes ces démonstrations reposent quand même sur certaines hypothèses de confiance. Par exemple, dans le système de vote en ligne que je développe avec mes collègues, Belenios, on fait l’hypothèse que les ordinateurs sur lesquels votent les électeurs sont dignes de confiance: on considère qu’ils ne modifient pas les votes sous l’influence de virus informatiques, qu’ils ne transmettent pas d’informations sur le vote à l’extérieur etc. Et à vrai dire, la cryptographie elle-même repose sur certaines hypothèses (voir encadré ci-dessus) ! C’est normal de faire des hypothèses de ce genre-là, on ne peut pas vraiment s’en passer. En revanche, il est très important que les législateurs expriment clairement quelles hypothèses sont acceptables ou non, et que cela soit bien compris et accepté des citoyennes et citoyens ! Cette question d’acceptabilité du résultat d’un vote est un facteur très important en démocratie: il faut pouvoir convaincre les perdants qu’ils ont bel et bien perdu, sans contestation possible. Et cela passe par une législation exigeante et transparente.