Projet (Annexe)

Annexe du règlement technique de la Chancellerie fédérale du ... concernant le vote électronique (RS ...)

comme n’étant pas fiables. Par ailleurs, on part de l’hypothèse que, parmi les canaux de communication supplémentaires, le seul qui est fiable est celui qui relie les vérificateurs et leur dispositif technique. Le système de VE doit être considéré comme n’étant pas fiable.

Objectif de sécurité dans le modèle abstrait (vérifiabilité complète du protocole):

− compte tenu des hypothèses de confiance qui ont été formulées à propos de la vérifiabilité complète du protocole, l’attaquant n’est pas en mesure d’atteindre les objectifs suivants sans qu’il y ait une grande probabilité qu’un votant ou un vérificateur fiable s’aperçoive qu’une attaque a eu lieu:

− modifier le suffrage avant son enregistrement par la partie fiable du système

− faire disparaître le suffrage avant son enregistrement par la partie fiable du système − exprimer un suffrage

− modifier un suffrage qui a été exprimé conformément à la procédure prévue par le système et qui a été enregistré par la partie fiable du système

− faire disparaître un suffrage qui a été exprimé conformément à la procédure prévue par le système et qui a été enregistré par la partie fiable du système

− ajouter un suffrage qui n’a pas été exprimé conformément à la procédure prévue par le système

− compte tenu des hypothèses de confiance qui ont été formulées à propos de la vérifiabilité complète du protocole, l’attaquant ne peut ni violer le secret du vote, ni collecter des résultats partiels anticipés sans corrompre les électeurs ou leurs plates-formes utilisateurs respectives.

Pour atteindre l’objectif de sécurité, il ne faut utiliser que des éléments cryptographiques qui sont réputés sûrs.

Vérifiabilité complète du système de VE dans la mise en oeuvre: elle est régie par les dispositions

applicables à la vérifiabilité individuelle.

Le sous-chapitre 4.4 met en relation les dispositions de l’art. 4 et l’objectif de sécurité dans le modèle abstrait tout en les explicitant là où cela est nécessaire. Il renferme par ailleurs des exigences de sécurité relatives aux éléments du système et aux canaux de communication considérés comme fiables dans le modèle abstrait.

4.4. Dispositions complémentaires concernant la vérifiabilité complète

D4.10 (ad art. 4, al. 1) Le recours à des vérificateurs concourt à la transparence. Les électeurs doivent pouvoir partir de l’idée que les vérificateurs leur signaleraient toute irrégularité en cas de doute. C’est toutefois à dessein que l’on ne précise pas de quels milieux doivent venir les personnes mandatées pour revêtir le rôle de vérificateur.

D4.20 (ad art. 4, al. 2, let. a) Forts des informations figurant dans la partie fiable du système (le suffrage crypté lui-même peut s’y trouver), les vérificateurs peuvent déterminer si tel ou tel suffrage a été pris en compte, sous une forme non modifiée, pour l’établissement des résultats. Les votants doivent ainsi pouvoir se fier au fait que les données se trouvant

dans la partie fiable du système n’en ont pas été retirées ou n’ont pas été manipulées. La littérature spécialisée contient à ce propos des propositions consistant à publier les

suffrages cryptés sur un tableau d’affichage électronique (« public board » en anglais).

Pour créer un tableau d’affichage, il faut y intégrer plusieurs composants fiables, de telle sorte que que les inscriptions ne puissent être supprimées ou modifiées sans qu’on s’en aperçoive que si plusieurs de ces composants sont corrompus. Grâce à une plate-forme utilisateur fiable, les votants peuvent constater à tout moment que leur suffrage se trouve dans la masse des suffrages exprimés. A l’issue de la votation, le tableau d’affichage

contient les résultats et la preuve que les résultats ont été établis correctement, preuve qui est générée dans le cadre de la vérifiabilité universelle. Les votants pourraient,

animés par la volonté d’avoir une transparence maximale, revêtir le rôle des

« vérificateurs ». Plusieurs réflexions sur les risques, qui ont notamment un lien avec

l’hypothèse concrète selon laquelle les plates-formes utilisateurs doivent être

considérées comme n’étant pas fiables, peuvent militer en faveur de la publication

restreinte des données pertinentes pour la vérifiabilité qui figurent dans la partie fiable du système. C’est la raison pour laquelle il est permis de ne fournir les données qu’à un