3 Questions : Ron Rivest sur la confiance dans les systèmes de vote électronique

Ron Rivest est professeur au MIT Institute dans le département de génie électrique et d’informatique. Il fait autorité en matière d’algorithmes et est l’inventeur du système de cryptographie à clé publique RSA, l’un des algorithmes les plus utilisés pour transmettre des données en toute sécurité. Depuis les années 1980, il enseigne aux étudiants comment utiliser la cryptographie pour sécuriser les systèmes de vote. Puis, en 2000, un recomptage historique en Floride a déterminé le résultat de l’élection présidentielle américaine, et le Projet de technologie de vote Caltech / MIT a été fondée avec la mission de sécuriser les futures élections, en faisant appel à Rivest, qui a participé depuis, ainsi qu’à d’autres professeurs du département de sciences politiques et de la Sloan School of Management du MIT.

Pendant cinq ans, M. Rivest a conseillé la Commission américaine d’assistance électorale, où il a contribué à établir des normes pour la certification des systèmes de vote. À cette époque, il s’est fait l’avocat de la conservation des bulletins de vote en papier et de la vérification des résultats des élections sur la base d’une analyse statistique d’un échantillon aléatoire de bulletins de vote, et a recommandé des mesures pour vérifier les résultats déclarés. Dans le cadre de ses recherches, il a également mis au point des technologies permettant d’utiliser la cryptographie pour le vote, contribuant ainsi à sécuriser les élections dépendantes des enregistrements électroniques.

Alors que la sécurité des élections devient une préoccupation majeure aux États-Unis, M. Rivest continue d’appliquer son expertise en matière de cryptographie pour aider à améliorer les systèmes de vote. Il aborde ici les principaux problèmes liés à la sécurisation des systèmes de vote entièrement électroniques et explique pourquoi il préfère conserver les bulletins de vote en papier comme support pour vérifier que les intentions des électeurs ont été enregistrées — et que le résultat des élections n’est pas basé sur un bug informatique.

Q : Si un système de vote électronique a été certifié, cela signifie-t-il qu’il est sûr ?

A : Vous devez faire attention à ce que vous attendez du processus de certification. Vous pourriez y aller en pensant, eh bien, je vais faire certifier ces systèmes, et parce qu’ils sont certifiés, ils sont sécurisés, et donc, parce que les systèmes de vote sont sécurisés, je peux croire que les résultats des élections sont justes. Et il s’avère que ce n’est pas un très bon mode de pensée. D’une part, on ne peut pas vraiment montrer que quelque chose est sûr en le testant.

La sécurité est liée à l’absence de moyens par lesquels un adversaire peut affecter le résultat des élections. L’essai d’un système de vote peut montrer que certaines attaques contradictoires ne fonctionnent pas, mais il ne révèle pas qu’il n’y a pas des attaques qui fonctionnent. En outre, les logiciels commerciaux sont bien connus pour présenter plusieurs bogues par millier de lignes de code, dont chacun pourrait constituer une faille de sécurité. Il est pratiquement impossible de trouver tous les bogues, même en procédant à des tests rigoureux, de sorte que la certification ne fournira jamais la garantie qu’un système de vote est sûr.

Q : Un système de vote électronique peut-il jamais être sûr ?

A : Un problème majeur est que l’on ne sait jamais si le système qui fonctionne est bien celui qui a été testé. Il existe des procédures qui sont censées garantir cela, mais une façon courante d’attaquer un système est d’attaquer la chaîne d’approvisionnement, de sorte que le système de vote que quelqu’un installe n’est pas ce qu’il croit être.

Vous ne voulez jamais vous retrouver dans une position où vous devez dire : « Je fais confiance aux résultats des élections parce que je fais confiance à l’ordinateur ». Parce que les ordinateurs, en fin de compte, ne sont pas si fiables. Ils peuvent être manipulés. Ils peuvent faire modifier leur programmation. Chaque jour, de nouvelles violations des principaux systèmes informatiques sont signalées. Les systèmes informatiques sont tout simplement très difficiles à sécuriser, surtout pour quelque chose de très important, comme les élections.

Les systèmes de vote entièrement électroniques sont donc pratiquement impossibles à sécuriser. Un système de vote fondé plutôt sur des bulletins de vote en papier vérifiables par l’électeur (de préférence des bulletins en papier marqués à la main) permet de vérifier que les résultats des élections sont correctement dérivés des intentions exprimées par les électeurs, plutôt que d’un quelconque bug informatique.

Q : Quelle est votre nouvelle philosophie en matière de sécurisation des élections américaines ?

A : La nouvelle philosophie et le changement de perspective que j’ai adoptés ne consiste pas à croire que le résultat d’une élection est juste parce que vous pensez que la machine fait ce qu’il faut, mais plutôt à vérifier que le résultat est juste pour chaque élection.

Vous examinez un échantillon de bulletins de vote en papier, vous utilisez certaines statistiques et vous confirmez avec une grande confiance que le résultat des élections rapporté est conforme à cet échantillon. Un certain nombre d’entre nous ont travaillé sur cette technologie ; Philip Stark, de l’université de Californie à Berkeley, est le principal statisticien impliqué dans ce domaine et l’inventeur de ces « audits de limitation des risques ».

J’ai récemment participé à un panel de l’Académie nationale des sciences qui a produit un rapport intitulé « Sécuriser le vote” (septembre 2018). Ce rapport recommandait fortement deux choses : l’utilisation de bulletins de vote en papier, et la réalisation d’audits statistiques post-électoraux pour vérifier la tabulation des bulletins de vote en papier. En conjonction avec d’autres procédures (qui, par exemple, garantissent que les bulletins de vote vérifiés sont ceux qui sont déposés et comptabilisés), on peut avoir la certitude que les résultats de nos élections sont effectivement corrects.