Rapport explicatif

Ch. 2.2 :

Ch. 2.3 : en ce qui concerne les exigences applicables au protocole cryptographique, aucune distinction n’est faite entre des attaquants ayant des moyens ou un bagage technique différents : qu’un attaquant prenne sous son contrôle des participants du système en usant de menaces, de piratage ou d’ingénierie sociale est sans importance pour la définition du protocole cryptographique. Le préalable est plutôt que l’attaquant doit avoir pris sous son contrôle les participants du système et les canaux de communication non fiables. Le protocole cryptographique doit être défini de telle façon que l’attaquant ne puisse causer aucun dommage malgré des attaques réussies sur de tels participants du système et canaux de communication. Cela suppose implicitement que l’attaquant n'est pas capable de casser les éléments cryptographiques et leur mise en œuvre dans le code source. C’est cet objectif que visent les exigences prévues aux ch. 2.13 et 2.14 et les exigences applicables à la qualité du développement du logiciel au sens des ch. 24 et 25.

Ch. 2.4 : si l’attaquant pouvait contrôler tous les participants du système, plus personne ne s’intéresserait à savoir si des manipulations ont eu lieu. Il est dans la nature des élections et des votations qu’une grande partie des électeurs s’intéressent à la question de savoir si le suffrage qu’ils ont émis a été correctement pris en compte. Ces électeurs ne peuvent pas être contrôlés par l’attaquant, et sont donc qualifiés de fiables. De même, certains des vérificateurs peuvent eux aussi être considérés comme fiables, l’attaquant ne pouvant pas eux non plus les mettre sous son contrôle. Puisque les électeurs et les vérificateurs travaillent avec des dispositifs techniques, certains de ces dispositifs doivent également pouvoir être qualifiés de fiables – sinon l’attaquant pourrait facilement tromper les personnes fiables en mettant tous les dispositifs sous son contrôle, notamment ceux que les vérificateurs utilisent pour leur travail. En autorisant au titre de participants fiables du système uniquement les dispositifs techniques qui peuvent être protégés de manière particulièrement efficace dans la pratique, il devient extrêmement difficile pour un attaquant d’effectuer des manipulations ou de briser le secret du vote sans se faire remarquer. Les dispositifs techniques qui n’ont pas besoin d’être connectés à un réseau sont ceux qu’il est possible de protéger le plus efficacement. Par ailleurs, il est possible d’éviter de devoir faire confiance à tel ou tel dispositif technique particulier en faisant en sorte que ses fonctions soient exécutées par plusieurs dispositifs différents. Pour