Projet (Annexe)

Annexe du règlement technique de la Chancellerie fédérale du ... concernant le vote électronique (RS ...)

nombre restreint de vérificateurs. Dans la terminologie utilisée dans la littérature

spécialisée, cette exigence peut donc être comprise de la façon suivante: les composants responsables du tableau d’affichage envoient aux votants la preuve attestant qu’ils ont reçu leur suffrage (ou les données qui sont suffisantes pour la vérification universelle). Le caractère concluant de cette preuve ne doit pas dépendre de la fiabilité d’une plate-forme utilisateur qui n’est pas fiable ou du système de VE. Les vérificateurs se voient octroyer, au plus tard après l’établissement des résultats (mais avant la publication), l’accès au tableau d’affichage et constatent que les résultats ont pris en compte chaque suffrage sur le tableau d’affichage, conformément aux règles en vigueur.

D4.30 (ad art. 4, al. 2, let. b) L’objectif consiste à empêcher que des éléments du système qui

ne sont pas fiables puissent exprimer un suffrage sans qu’on s’en aperçoive. Il faut interpréter cette disposition dans ce sens et vérifier le protocole en conséquence.

D4.40 (ad art. 4, al. 2, let. c) La confidentialité des données relatives à une éventuelle référence

de vérification ne peut donc dépendre, même au sein de l’infrastructure du VE, que de la partie fiable du système.

D4.50 (ad art. 4, al. 3, let. a) Le fait que le dispositif technique doive être indépendant et séparé

du reste du système a pour but de garantir que l’évaluation de la preuve ne pourra pas être influencée par le système de VE. C’est toutefois à dessein que la disposition ne précise pas si les dispositifs techniques et les programmes correspondants doivent être fournis par le système de VE ou par les vérificateurs. Les vérificateurs doivent néanmoins pouvoir déterminer facilement si le dispositif fonctionne correctement. Une solution consiste notamment à faire en sorte que les vérificateurs écrivent eux-mêmes les

programmes ou puissent à tout le moins les analyser préalablement. Avant la vérification, ils pourraient installer le dispositif avec les responsables du système, puis compiler et installer les programmes de vérification. D’une manière générale, les programmes de vérification doivent être faciles à écrire dans un souci de transparence.

D4.60 (ad art. 4, al. 3, let. b) Un suffrage n’est valable que si les données d’authentification

client correspondent aux données d’authentification serveur qui ont été établies durant la phase de préparation du scrutin et « attribuées » à un électeur. La preuve doit donc attester qu’on n’a pas établi de données d’authentification non atttribuées dans le but d’exprimer des suffrages non valables. C’est pourquoi il faut que des données

correspondantes servant de base de comparaison aient été transmises aux composants de contrôle ou aux vérificateurs pendant la phase de préparation du scrutin. Les

vérificateurs doivent constater que le nombre de données d’authentification correspond au nombre (officiel) d’électeurs autorisés à participer au scrutin. Dans ce cas, on peut considérer que les données d’authentification ont été « attribuées » à un électeur. Cette procédure ne donne certes pas encore la garantie qu’une personne n’a pas, pour voter valablement, utilisé abusivement les données d’authentification client d’un électeur fiable, mais l’électeur en question peut s’en rendre compte eu égard au point correspondant dans l’objectif de sécurité du modèle abstrait, mais aussi eu égard à l’art. 4, al. 2, let. b.

D4.70 (ad art. 4, al. 4) La preuve est concluante si elle permet aux votants ou aux vérificateurs

d’identifier une manipulation des suffrages conformément à l’objectif de sécurité et

compte tenu des hypothèses de confiance qui ont été formulées. Par conséquent,

l’attaquant ne peut pas induire en erreur les éléments du système qui ont un rôle de vérification en confectionnant, à l’aide des éléments du système qui ne sont pas fiables, une preuve pour justifier des résultats manipulés, ou en influençant la confection de ladite preuve. Les dispositions suivantes s’appliquent dans le cadre de la vérifiabilité

universelle:

− Les vérificateurs doivent pouvoir identifier tous les cas dans lesquels on fait disparaître – sans le remplacer – un suffrage valable qui a été enregistré par la partie fiable du système.

− Les vérificateurs doivent pouvoir identifier tous les cas dans lesques on ajoute un suffrage non valable sans qu’on ait fait disparaître un autre suffrage.

− La probabilité de réussir à manipuler 0,1 % des suffrages partiels (par exemple en faisant disparaître des suffrages tout en en ajoutant), de telle sorte qu’ils ne restituent plus le contenu de la preuve générée dans le cadre de la vérification individuelle, ne doit pas dépasser 1 %. Si la probabilité n’est pas négligeable au sens cryptographique du terme, il faut pouvoir réduire suffisamment le risque en procédant à plusieurs dépouillements en utilisant de nouvelles valeurs aléatoires.

D4.80 (ad art. 4, al. 4) Si l’application utilisée sur la plate-forme utilisateur pour le cryptage du

suffrage est mise à disposition par le système de VE, elle doit être attribuée aussi à la partie serveur du système de VE. Il s’agit d’éviter que, dans la partie serveur, une