Projet (Annexe)

Annexe du règlement technique de la Chancellerie fédérale du ... concernant le vote électronique (RS ...)

manipulation de l’application entraîne la violation du secret du vote par des votants fiables sans qu’il y ait eu corruption de leur plate-forme utilisateur. Les votants doivent donc avoir la possibilité de se convaincre, grâce à une plate-forme utilisateur fiable, que l’application enverra leur suffrage de façon cryptée avec la clé correcte. On peut par exemple y parvenir en recourant à une technologie de navigation qui permette de

consulter le code source de l’application de l’utilisateur. Les votants peuvent ainsi se convaincre du fait que la clé publique utilisée correspond à celle du scrutin, mais aussi que l’application exécute exclusivement les opérations prévues. On pourrait aussi

imaginer, à titre de variante, que le code source soit signé par un groupe de composants de contrôle.

D4.90 (ad art. 4, al. 4) Conformément à l’objectif de sécurité, il faut éviter que la partie serveur

du système de VE puisse, en collaboration avec un électeur non fiable, accéder au contenu d’un suffrage exprimé. Pour y parvenir, il faut faire en sorte que cet électeur ne puisse pas faire passer pour le sien un suffrage crypté autre que le sien qui a été

exprimé, même après l’avoir modifié extérieurement, son objectif étant de connaître le contenu du suffrage au moyen de la preuve qu’il reçoit dans le cadre de la vérifiabilité individuelle.

D4.A0 (ad art. 4, al. 4) En raison de l’exigence qui veut que le secret du vote soit garanti et

qu’aucun résultat partiel ne soit établi ne manière anticipée, les éléments du système ne doivent pas avoir accès aux clés privées servant à décrypter des suffrages au moins tant que le canal permettant de voter par voie électronique est ouvert. Il est toutefois permis de calculer les clés privées en cas de recours à tous les composants de contrôle d’un groupe. Il est aussi permis de prévoir un groupe de composants de contrôle qui serait un groupe de personnes. Chaque membre de ce groupe pourrait détenir une partie de la clé privée sur un support d’enregistrement portable. Pour que le secret du vote soit préservé, la clé privée ne pourrait exister, après le décryptage, qu’à condition que les suffrages aient été exprimés anonymement et que, compte tenu des hypothèses de confiance formulées, il soit impossible d’établir un lien entre le cryptage d’un suffrage et l’identité d’un votant. Par ailleurs, eu égard à l’exigence qui veut qu’aucun résultat partiel ne soit établi à titre anticipé, il n’est pas permis que des suffrages se trouvent en dehors de la plate-forme utilisateur, sous une forme non cryptée, à quelque moment que ce soit pendant la durée d’ouverture du canal permettant de voter par voie électronique.

D4.B0 (ad art. 4, al. 5) L’identification de dysfonctionnements sérieux du système de VE dépend

de la fiabilité de la « partie fiable du système ». Ces dysfonctionnements englobent notamment les erreurs de calcul qui influencent les résultats, la violation du secret du vote et l’établissement de résultats partiels anticipés. A cet égard, la mise en œuvre de propositions connues qui figurent dans la littérature spécialisée garantit une fiabilité particulièrement élevée. Ces propositions sont tellement poussées que c’est seulement dans les cas où tous les composants de contrôle d’un groupe ne fonctionnent pas

correctement – par exemple à la suite de manipulations passées inaperçues – que l’on ne parvient pas à identifier des dysfonctionnements sérieux. Mais s’il n’y a qu’un seul composant de contrôle qui fonctionne correctement, il est possible d’identifier tout

dysfonctionnement du système de VE. Les composants de contrôle sont souvent appelés « trustees » dans les modèles abstraits en anglais. Ce terme qualifie des entités

capables d’effectuer des calculs complexes et de garder secrets des éléments privés. Les calculs peuvent consister à mélanger et à recrypter correctement – selon une

méthode démontrable – des suffrages (pour les rendre anonymes; chaque « trustee » correspond au nœud mélangeur d’un réseau de recryptage), à gérer un tableau

d’affichage électronique fiable, à mettre en place une infrastructure à clés publiques et à décrypter correctement les suffrages – selon une méthode démontrable – à l’aide d’une de ces clés publiques qui a été distribuée. Dans les modèles abstraits, les « trustees » sont souvent présentés comme des personnes qui peuvent calculer comme des

machines. Le fait qu’ils conservent à l’abri les éléments secrets, ou qu’ils ne les utilisent pas pour envoyer des messages dont on peut faire un usage abusif, dépend uniquement de leur volonté de ne pas coopérer avec l’attaquant. En pratique, il faut certes faire une distinction entre la machine et la personne qui la configure et qui la surveille, mais la description du protocole cryptographique peut présenter les composants de sécurité comme des « trustees » autonomes.

D4.C0 (ad art. 4, al. 5) Le logiciel des composants de contrôle doit être simple à analyser et ne

disposer, si possible, que de fonctions cryptographiques élémentaires

D4.D0 (ad art. 4, al. 5) Les composants de contrôle doivent être installés, actualisés, configurés

et sécurisés au cours d’un processus observable.