Rapport explicatif

5.2.2 Annexe contenant les exigences techniques et administratives applicables au vote électronique

Observations générales

La référence au profil de protection de l’Office fédéral de la sécurité des techniques de l’information (BSI Allemagne ; ch. 3.15 dans la version précédente) a été supprimée, car celui-ci n’est plus géré par le BSI et a été archivé. Les exigences pertinentes du profil de protection ont été incluses de manière sélective dans les exigences existantes ou dans de nouvelles exigences.

Commentaire de dispositions choisies

Ch. 1 Définitions

Ch. 1.5 : Le votant compare les codes affichés à l’écran avec les codes de la référence de vérification.

Ch. 1.6 : Les données qui permettent de déterminer si l’électeur a émis un suffrage n’entrent pas dans ce champ d'application.

Ch. 2 Exigences applicables au protocole cryptographique pour la vérifiabilité complète (art. 5)

Entre son émission et son dépouillement, un suffrage électronique se déplace depuis les plates-formes utilisateur jusqu’au canton, en passant par l’Internet et les nombreux serveurs du fournisseur du système. Les différents éléments de l’infrastructure utilisée sont nombreux et difficiles à contrôler. Les protocoles cryptographiques permettent de ramener au minimum le nombre des éléments qu’un attaquant devrait contrôler pour modifier les suffrages sans se faire remarquer ou pour briser le secret du vote. Les mesures visant à empêcher un attaquant de prendre un élément sous son contrôle peuvent ainsi être concentrées sur un nombre limité d’éléments. Ceux-ci sont donc particulièrement dignes d’être protégés et, idéalement, peuvent également l’être de manière particulièrement efficace et convaincante.

Ces éléments, qui se trouvent parmi les participants du système et les canaux de communication énumérés aux ch. 2.1 et 2.2, sont qualifiés de « fiables ». À première vue, cela peut paraître surprenant : pourquoi qualifier de « fiable » un élément particulièrement digne de protection ? L’explication réside dans le fait que les protocoles cryptographiques ne visent pas à protéger ces éléments. Le qualificatif « fiable » signale aux auteurs et aux lecteurs du document dans lequel le protocole cryptographique est spécifié qu’ils n'ont pas à s’inquiéter d’éventuelles attaques dans lesquelles un attaquant prendrait ces éléments sous son contrôle. Du fait de leur caractère fiable, les participants du système refusent de coopérer avec un attaquant. Le protocole doit être défini de telle sorte que, tant que les participants fiables du système s’en tiennent au protocole, l’attaquant ne parviendra pas à ses fins, même s’il met sous son contrôle les autres participants, non fiables, du système. L’utilisation de ce terme est basée sur la littérature spécialisée.

Le protocole cryptographique consiste en des instructions abstraites, écrites en langage mathématique, destinées à tous les participants du système et indiquant les calculs qu’ils doivent effectuer lors de la réception des différents messages, les données qu’ils doivent stocker et les messages qu’ils doivent envoyer via quels canaux. Le protocole est conforme à l’OVotE si l’attaquant au sens du ch. 2.3 ne peut atteindre les objectifs visés aux ch. 2.5 à 2.8 dans les conditions prévues aux ch. 2.11 et 2.12 malgré le contrôle qu’il exerce sur les participants du système et les canaux de communication non fiables énumérés aux ch. 2.1, 2.2 et 2.9. Le ch. 2.13 exige à cet égard que soient utilisés des éléments cryptographiques sûrs (par ex. des algorithmes de chiffrement) et que les instructions données aux participants du système soient claires et suffisamment précises. Le ch. 2.14 exige des preuves mathématiques de la conformité du protocole, comme le veut la pratique scientifique usuelle.

Le développement du système repose sur le protocole cryptographique. Celui-ci ne peut être pleinement efficace que si les instructions des éléments fiables sont correctement mises en œuvre sous forme logicielle et si les composants sur lesquels le logiciel s’exécute sont suffisamment protégés. C’est pourquoi l’OVotE prévoit plusieurs exigences à cet égard. Voir également le commentaire des ch. 2.3 et 2.4.