Rapport explicatif

que cela vaille vraiment la peine, il faut définir le protocole cryptographique de telle façon que l’attaquant ne puisse causer de dommage tant qu’il ne parvient pas à mettre l’un de ces dispositifs sous son contrôle. Ce raisonnement s’appuie sur la logique qui veut qu’il ne soit pas nécessaire que tous les vérificateurs soient fiables, parce qu’il suffit que l’un d’entre eux signale une incohérence qu’il aurait découverte. Une répartition similaire des responsabilités se retrouve dans les groupes de composants de contrôle : un attaquant devrait placer sous son contrôle tous les composants de contrôle pour pouvoir causer un dommage. Or, cela est particulièrement difficile si les composants de contrôle diffèrent en termes de logiciels et de modalités d’exploitation.

Les hypothèses admissibles concernant la fiabilité des différents participants du système et canaux de communication sont énumérées au ch. 2.9.

Les exigences applicables à l’exploitation des composants fiables figurent au ch. 3.

Un message est ici qualifié d’authentique si le récepteur du message peut se fier à ce que l’émetteur est bien le participant du système spécifié par la définition du canal.

Ch. 2.5 : les preuves ne peuvent déployer leur efficacité que si les votants les vérifient effectivement et s’ils s’adressent à l’autorité compétente en cas de doute. La recherche et le suivi scientifique pourraient étudier dans quelle mesure ils le font et quelles mesures pourraient inciter les votants à vérifier les preuves conformément aux instructions. Certaines exigences de l’OVotE pourraient contribuer à faire des preuves un outil efficace. Par ex., la répartition des preuves en preuves partielles conformément aux ch. 2.12.5 à 2.12.10 doit permettre aux votants de mettre fin à leur vote avant qu’il ne soit définitif pour se tourner vers le vote par correspondance ou à l’urne au cas où ils rencontreraient des difficultés liées à la vérification. Contrairement à ce qui est le cas avec les premières preuves partielles, la vérification de la preuve partielle confirmant le vote définitif doit être particulièrement facile à effectuer. L’exigence prévue au ch. 8.10 vise à rendre plus difficiles les attaques par ingénierie sociale destinées à empêcher les votants de procéder correctement à la vérification des preuves. Le ch. 8 prévoit au surplus des exigences supplémentaires en matière d’information et d’assistance aux électeurs. Les attaques par ingénierie sociale doivent être évaluées dans le cadre de l’appréciation des risques conformément au ch. 13.

Une preuve correcte confirme aux votants qu’au moins le composant de contrôle qui peut être considéré comme fiable en vertu du ch. 2.9.1 a enregistré le suffrage comme ayant été émis conformément à la procédure prévue par le système. En vérifiant les preuves selon le ch. 2.6, les vérificateurs établissent que le suffrage a également été comptabilisé correctement et donc conformément à la preuve prévue au ch. 2.5, qui a été affichée à l’intention des votants. Pour que la vérification de la preuve visée au ch. 2.6 soit réussie, tous les composants de contrôle doivent avoir enregistré les mêmes suffrages comme ayant été émis conformément à la procédure prévue par le système. Les cas où les composants de contrôle présenteraient à cet égard des incohérences doivent être anticipés conformément au ch. 11.11 et la marche à suivre doit être déterminée au préalable.

La disposition ne prescrit pas comment interpréter les cas où une preuve serait affichée de manière incorrecte ou pas du tout. Ainsi, il ne serait pas illicite que le groupe des composants de contrôle enregistre un suffrage comme ayant été émis conformément à la procédure prévue par le système alors que tel n’est pas le cas. Le ch. 2.6 impose toutefois que ces suffrages soient mis à part ultérieurement afin de permettre aux vérificateurs de s’assurer que l’attaquant n'a pas inséré de suffrages non émis conformément à la procédure prévue par le système. Enfin, en vertu du ch. 10, le système NF (pas nécessairement le groupe des composants de contrôle) doit détecter ces suffrages au moment de leur émission et il ne doit pas les assimiler à des suffrages émis conformément à la procédure prévue par le système.

En ce qui concerne la précision « n’a pas abusivement émis au nom de l’électeur de suffrage ayant ensuite été enregistré et comptabilisé en tant que suffrage émis conformément à la procédure prévue par le système », une telle preuve serait d’une utilité limitée pendant le scrutin, car l’attaquant aurait encore le temps d’émettre un suffrage. Aussi est-il suffisant que les électeurs puissent demander cette preuve après le scrutin. Pour des raisons d’efficacité, il suffit que le service cantonal compétent confirme à l’électeur qu’aucun suffrage n’a été émis en son nom. Pour ce qui est de la vérification par le service compétent, les hypothèses de confiance énoncées au ch. 2.9.1 s’appliquent, le dispositif technique des vérificateurs pouvant lui aussi être considéré comme fiable. Cette exigence va au-delà du modèle de confiance dans la mesure où l’attaquant ne doit en aucune façon pouvoir accéder aux données d’authentification client.