Projet (Annexe)

Annexe du règlement technique de la Chancellerie fédérale du ... concernant le vote électronique (RS ...)

3. Exigences de sécurité

Les objectifs de sécurité (voir art. 2, al. 1) ne pourront pas être atteints à coup sûr. Il est en tout cas possible d’identifier des risques en matière de sécurité. Il faut, sur la base d’une évaluation

méthodique des risques (voir chap. 6, ch. E 7.40), apporter la preuve que les risques sont

suffisamment faibles (art. 2, al. 1).

Il est possible d’identifier un risque au moyen de menaces et de failles du système de VE. Il y a risque quand une faille du système de VE est exploitée par une menace et que la réalisation d’un objectif de sécurité s’en trouve potentiellement compromise. Des mesures de sécurité permettent de réduire les risques. Elles doivent satisfaire aux exigences de sécurité dans les domaines de l’infrastructure, des fonctionnalités et de l’exploitation de sorte que les risques identifiés puissent être réduits à un

minimum acceptable.

Le sous-chapitre 3.1 comporte une liste de menaces d’ordre général et met celles-ci en rapport avec les objectifs de sécurité. Ces objectifs doivent être pris en compte lors de l’identification des risques. En fonction des failles identifiées du système de VE, ils doivent être concrétisés et complétés dans la mesure du nécessaire.

Les exigences de sécurité des sous-chapitres 3.2 à 3.15 peuvent être résumées comme suit:

− Elles se rapportent d’une part aux menaces. Des mesures de sécurité qui satisfont aux exigences de sécurité selon les meilleures pratiques sont à prévoir pour toutes les failles du système de VE exposées à des menaces, afin que les objectifs de sécurité puissent être atteints.

− Elles se rapportent d’autre part aux exigences relatives à l’aménagement des processus élémentaires (voir chap. 2). Ceci aide à comprendre à quelles failles il faut prêter attention lors de la mise en œuvre d’une exigence de sécurité. D’autres failles du système de VE doivent être identifiées et les exigences de sécurité doivent s’y rapporter de manière analogue.

Le sous-chapitre 3.15 comprend les exigences de sécurité du profil de protection (PP) du Bundesamt für Sicherheit in der Informationstechnik (BSI) [4], c’est-à-dire de l’office fédéral allemand de la

sécurité des techniques de l’information. Il est cependant permis de s’en écarter dans certains cas. Les écarts et les références par rapport aux menaces, de même que les exigences relatives à

l’aménagement des processus élémentaires, sont présentés au sous-chapitre 3.15.

3.1. Menaces

Men3.10 Un logiciel malveillant modifie le suffrage Objectif de sécurité (OS): exactitude du sur la plate-forme de l’électeur. résultat

Men3.20 Le suffrage est détourné au moyen d’un OS: exactitude du résultat

empoisonnement du cache DNS.

Men3.30 Un « homme du milieu » (MITM) modifie OS: exactitude du résultat

le suffrage.

Men3.40 Un MITM envoie un bulletin de vote OS: exactitude du résultat

corrompu.

Men3.50 Un administrateur manipule le logiciel OS: exactitude du résultat

qui n’enregistre alors plus les suffrages.

Men3.60 Un administrateur modifie les suffrages. OS: exactitude du résultat

Men3.70 Un administrateur ajoute des suffrages OS: exactitude du résultat

dans l’urne électronique.

Men3.80 Une organisation criminelle pénètre OS: exactitude du résultat (ici en relation dans le système et y cause des avec les menaces Men3.50, Men3.60,

dommages. Men3.70, Men3.90)

Men3.90 Un administrateur copie des bulletins de OS: exactitude du résultat

vote et les utilise.

Men2.10 Un logiciel malveillant installé sur la OS: protection du secret du vote et