Projet (Annexe)

Annexe du règlement technique de la Chancellerie fédérale du ... concernant le vote électronique (RS ...)

Qui plus est, le modèle abstrait prévoit un attaquant qui peut corrompre tous les éléments du système et les canaux de communication qui ne sont pas fiables et en prendre le contrôle. Les éléments du système qui sont corrompus communiquent toutes les données secrètes à l’attaquant et agissent librement en fonction des instructions de ce dernier. L’attaquant peut aussi consulter ou intercepter tous les messages échangés sur les canaux qui ne sont pas fiables, et même envoyer des messages à loisir.

Hypothèses de confiance dans le modèle abstrait (vérifiabilité individuelle du protocole): dans

ce modèle, on part des trois hypothèses suivantes en ce qui concerne la vérifiabilité individuelle: premièrement, les dispositifs techniques fiables, le système de VE et l’imprimerie sont fiables; deuxièmement, les plates-formes utilisateurs et un pourcentage significatif d’électeurs ne sont pas fiables; troisièmement, les seuls canaux de communication à ne pas être fiables sont les deux canaux « plate-forme utilisateur ↔ système de VE » et « système de VE ↔ imprimerie ».

Objectif de sécurité dans le modèle abstrait (vérifiabilité individuelle du protocole): compte tenu

des hypothèses de confiance qui ont été formulées, l’attaquant n’est pas en mesure d’atteindre les objectifs suivants sans qu’il y ait une grande probabilité qu’un votant s’aperçoive qu’une attaque a eu lieu:

− modifier le suffrage avant son enregistrement

− faire disparaître le suffrage avant son enregistrement

− exprimer un suffrage

Pour atteindre l’objectif de sécurité, il ne faut utiliser dans le protocole que des éléments cryptographiques qui sont réputés sûrs.

Vérifiabilité individuelle du système de VE dans la mise en oeuvre: le système de VE met en

oeuvre un protocole cryptographique qui répond à l’objectif de sécurité relatif à la vérifiabilité individuelle dans le modèle abstrait. La où cela est nécessaire, l’hypothèse selon laquelle les éléments du système et les canaux de communication sont fiables est justifiée par des mesures de sécurité correspondantes.

Le sous-chapitre 4.2 met en relation les dispositions de l’art. 3 et l’objectif de sécurité dans le modèle abstrait tout en les explicitant là où cela est nécessaire. Il renferme par ailleurs des exigences de sécurité relatives aux éléments du système et aux canaux de communication considérés comme fiables dans le modèle abstrait.

4.2. Dispositions complémentaires concernant la vérifiabilité individuelle

D2.05 (ad art. 3, al. 1) La preuve ne doit pas forcément être apportée au cours d’une seule et

unique transaction. Elle peut aussi être répartie entre plusieurs messages que le votant reçoit durant le processus de vote. (Dans ce cas, le dernier message confirme que le

suffrage a été exprimé conformément à la procédure prévue par le système.) Si le votant décide d’interrompre le processus avant de procéder au vote définitif (et donc avant la

réception du dernier message), il doit toujours avoir la possibilité de voter de façon

traditionnelle.

D2.06 (ad art. 3, al. 2) L’objectif consiste à empêcher que des éléments du système qui ne sont

pas fiables puissent exprimer un suffrage sans qu’on s’en aperçoive. Il faut interpréter

cette disposition dans ce sens et vérifier le protocole en conséquence.

D2.07 (ad art. 3, al. 4) La preuve est concluante si elle permet aux votants d’identifier les

manipulations de leur suffrage conformément à l’objectif de sécurité et compte tenu des hypothèse de confiance qui ont été formulées. L’attaquant n’est ainsi pas en mesure de tromper les votants en fabriquant, avec l’aide des éléments du système qui ne sont pas fiables, une preuve faisant croire aux votants que leur suffrage a été enregistré, tel qu’il a été exprimé, comme étant valable. La probabilité que l’attaquant réussisse à établir une telle preuve en devinant le choix des votants (au même titre que la preuve attestant

qu’aucun suffrage n’a été exprimé) ne doit pas dépasser 0,1 %.

D2.08 (ad art. 3, al. 4) On peut prévoir des facilités pour permettre aux électeurs handicapés de

vérifier les preuves fournies. C’est uniquement dans ce cas qu’on peut déroger à l’objectif de sécurité. En l’occurrence, on peut faire dépendre le caractère concluant des preuves de la fiabilité de la plate-forme utilisateur. Cela permet par exemple de numériser la

référence de vérification avant le vote. Ces facilités sont réservées à un petit groupe

d’électeurs qui, sans elles, ne pourraient pas interpréter la preuve dans tout son caractère