Projet (Annexe)

Annexe du règlement technique de la Chancellerie fédérale du ... concernant le vote électronique (RS ...)

concluant. Les électeurs auxquels ce cas ne s’applique pas doivent être incités à vérifier les preuves conformément à la procédure prévue.

D2.10 (ad art. 3, al. 4) Si les votants se servent d’un dispositif technique pour procéder à la

vérification, ce dispositif doit avoir été conçu spécialement pour la sauvegarde sécurisée d’éléments secrets et pour l’exécution d’opérations cryptographiques, comme c’est le cas des appareils utilisés pour les transactions bancaires sécurisées depuis son domicile. Qui plus est, les votants doivent pouvoir acquérir la conviction que le dispositif fonctionne

correctement en exprimant des suffrages-tests.

D2.20 (ad art. 3, al. 3 et 4) La disposition suivante s’applique en plus du catalogue de critères

pour les imprimeries: tous les appareils que l’on utilise, sous quelque forme que ce soit,

pour traiter des données inhérentes à la référence de vérifiabilité doivent faire l’objet d’une surveillance oculaire (principe des quatre yeux) pendant toute la durée des opérations de calcul. Seules sont autorisées les connexions au réseau dont les éléments sont reliés par des câbles physiques, de telle sorte qu’on puisse constater qu’aucun autre appareil n’est en mesure d’accéder aux données confidentielles jusqu’à leur destruction.

D2.30 (ad art. 3, al. 3 et 4) La partie serveur du système de VE ne fait pas l’objet de dispositions

supplémentaires. Lors de la mise en oeuvre des exigences fondamentales et des

exigences de sécurité (voir art. 1, al. 1, let. a, et annexe, chap. 2 et 3), il faut toutefois tenir compte du fait qu’il est impératif de faire en sorte que les données qui sont en relation

avec la référence de vérifiabilité restent confidentielles pour garantir l’exactitude des

résultats et le secret du vote, mais aussi pour éviter que des résultats partiels soient

établis de manière anticipée.

D2.40 (ad art. 3, al. 3 et 4) La fiabilité du canal entre l’imprimerie et les électeurs n’est justifiée

que par une instanciation, à savoir par la remise physique, notamment par la Poste

suisse, ou par la remise en mains propres.

4.3. Modèle abstrait complet relatif à l’art. 4

Le modèle abstrait complet considère que le système de VE n’est pas fiable. Il prévoit des vérificateurs qui déterminent, sur la base d’un dispositif fiable et de « composants de contrôle » indépendants, si les résultats ont été établis correctement.

Ce modèle comporte ainsi les éléments supplémentaires suivants:

Composant de Il interagit avec le système de VE et les autres composants de contrôle de contrôle telle sorte que le système peut, à l’issue du scrutin, générer une preuve

concluante qui atteste que les résultats ont été établis correctement.

Vérificateurs A l’issue du dépouillement, ils reçoivent du système de VE une preuve

attestant que les résultats ont été établis correctement.

Dispositifs Les vérificateurs peuvent utiliser un dispositif technique pour évaluer la

techniques des preuve.

vérificateurs

Le protocole cryptographique peut prévoir les canaux de communication supplémentaires suivants pour l’échange de messages:

− composant de contrôle ↔ système de VE

− système de VE ↔ dispositif technique des vérificateurs

− dispositif technique des vérificateurs ↔ vérificateurs

− canaux bidirectionnels destinés à la communication entre les composants de contrôle

Hypothèses de confiance dans le modèle abstrait (vérifiabilité complète du protocole): plusieurs

composants de contrôle sont utilisés, qui sont rassemblés dans un groupe ou dans quelques groupes seulement. On doit partir de l’hypothèse qu’un seul et unique composant de contrôle n’est pas fiable, comme le système de VE. Il faut toutefois partir de l’hypothèse qu’il y a au moins un composant de contrôle fiable par groupe, mais sans déterminer lequel. La quantité de groupes de composants de contrôle constitue la partie fiable du système. La fiabilité de cette partie du système est définie par la fiabilité d’au moins un composant de contrôle dans chacun de ses groupes. Le caractère concluant de la preuve que reçoit un vérificateur en vertu de l’art. 4 ne doit dépendre que de la fiabilité de la partie fiable du système et du dispositif technique dont le vérificateur dispose. On part aussi de l’hypothèse selon laquelle il y a au moins un vérificateur fiable qui examine la preuve à l’aide d’un dispositif technique fiable. Les autres vérificateurs éventuels et leurs dispositifs techniques sont considérés