Critiqué de toutes parts, le vote électronique se confronte aux pirates

La documentation pour le test est confuse et par conséquent propice aux erreurs, critiquent les experts de la cryptographie. Keystone / Salvatore Di Nolfi

Depuis lundi, le système de vote électronique utilisé par plusieurs cantons est attaqué par des pirates informatiques du monde entier. Mais ces attaques ne sont pas hostiles. Elles ont été sollicitées afin de tester la fiabilité du système et de trouver d’éventuelles failles de sécurité. Reste que le test ainsi que les données qui ont été dévoilées devraient donner du grain à moudre aux opposants au vote électronique.

Le vote électronique fait l’objet de discussions en Suisse depuis près de 20 ans. Depuis 2016, La Poste exploite un système utilisé par quatre cantons. Celui-ci fait actuellement l’objet d’un examen minutieux. La Poste Suisse a demandé publiquement le piratage de son système de vote électronique. Des informaticiens et des pirates informatiques du monde entier sont invités à participer à ce test, que l’on appelle un «Public Intrusion Test (PIT)» en jargon technique.

Environ 2700 «hackers» se sont enregistrés. Ils ont quatre semaines pour réaliser leurs attaques, ce qui correspond à la durée pendant laquelle le système de vote électronique est accessible en ligne lors d’un scrutin.  

Cela fonctionne de la manière suivante: les «hackers» se connectent à une plate-forme spéciale, où ils reçoivent un certain nombre d’accréditations leur permettant de voter. A partir de là, ils tenteront d’attaquer le système, c’est-à-dire de manipuler les votes, de falsifier le résultat ou de percer le secret du vote ou de l’élection.

En cas d’attaque réussie, les participants s’engagent à signaler les points faibles découverts. Pour cela, ils reçoivent une récompense de 100 à 50’000 francs. 

Les pirates informatiques n’ont pas le droit de tout attaquer. Il est interdit de s’en prendre à l’ordinateur des votants ou d’autres système de La Poste, ainsi que de saturer le système de vote électronique.

Critiques

Avant même le lancement officiel du projet, certains hackers se moquaient de ces restrictions dans les médias.  Ils critiquent le fait que le test ne correspond pas aux conditions réelles.

Le PIT se limite délibérément au système central, rétorquent les responsables du projet. C’est l’une des nombreuses mesures visant à améliorer la sécurité. Grâce aux faiblesses mises en évidence par les pirates, le système pourra être encore développé.

Pour les besoins du test, La Poste a dû rendre public les code sources, c’est-à-dire la structure du programme du système de vote électronique. Certaines parties du code étaient déjà en ligne il y a environ deux semaines.

Les experts en cryptographie s’y sont précipités – et ont rapidement trouvé des défauts majeurs: la documentation était confuse et donc sujette aux erreurs, se plaignent-ils. Même en détail – c’est-à-dire dans les profondeurs du code source extrêmement étendu – des lacunes peuvent être trouvées, comme le suggèrent les discussions d’experts sur Twitter et les forums pertinents.

Our focus is on the official GitLab repository (see https://t.co/YhR1V53o6eLien externe) and the feedbacks there. Concerning this observation: We are aware of this and looking into it. Some of the scanner issues are false positives. Example with jackson-databind. 1/2

— Swiss Post (@swisspost) 21. Februar 2019Lien externe

Les responsables du projet ne nient pas que des améliorations sont nécessaires et seront apportées.

De l’eau au moulin des adversaires

La critique du test fait le jeu des milieux politiques qui ont déclaré la guerre au vote électronique par l’intermédiaire d’une initiativeLien externe populaire réclamant un moratoire national. «De plus en plus de gens se rendent compte que le vote électronique constitue une grande menace pour la démocratie directe», déclare par exemple dans plusieurs médias Franz Grüter, député de l’Union démocratique du centre (UDC / droite conservatrice).

L’objectif du gouvernement, qui est de permettre le vote électronique pour les élections fédérales de cet automne dans au moins deux tiers des cantons, n’est plus guère réalisable. Non seulement en raison de l’initiative qui est sur le point d’être lancée, mais aussi à cause de la décision du canton de Genève de mettre un coup d’arrêt à son système de vote électronique en février 2020 pour des raisons financières.

Baptisé «CHvote», le système genevois était jusqu’à présent utilisé par cinq autres cantons: Berne, Lucerne, Argovie, Vaud et Saint-Gall. Depuis lors, ils se demandent s’ils doivent passer au système de La Poste. Le canton de Saint-Gall l’a déjà fait. Le système de La Poste est utilisé depuis 2016 dans les cantons de Thurgovie, Neuchâtel, Fribourg et Bâle-Ville. Ce dernier a cependant récemment décidé de ne plus utiliser ce canal de vote.

Encore et toujours s’armer de patience

Ces revers irritent les quelque 140’000 Suisses de l’étranger inscrits sur les registres électoraux et qui attendent parfois depuis des années de pouvoir profiter du vote électronique. Compte tenu des problèmes d’acheminement du courrier dans certains pays, le vote électronique constitue une revendication centrale de la Cinquième Suisse. Leur représentation en Suisse, l’Organisation des Suisses de l’étranger (OSE), craint que les citoyens ne finissent par perdre confiance dans le vote électronique.

Concernant la question de la sécurité du vote électronique, une chose est en tout cas certaine: la discussion va se poursuivre.

(Traduction de l’allemand: Olivier Pauchard)