Primaire UMP, élection en Norvège : il est nécessaire de mieux sécuriser le vote sur Internet !

Élection norvégienne, primaire UMP, législatives 2012 : des bugs similaires

La mise en place du vote sur Internet dans 12 villes norvégiennes lors des élections parlementaires faisait office de test avant un éventuel déploiement à l'échelle nationale. Une expérimentation qui s'est soldé par un succès en terme de participation puisqu'elle a attiré 28% des votants, soit une augmentation de 12% du niveau de participation comparé au premier essai de vote sur Internet de 2011. Le test n'a par contre pas convaincu en terme de sécurisation du traitement des bulletins de votes : une équipe de chercheurs de la BFH-TI (École technique et Informatique de Vienne) a montré que des failles de sécurité permettait d'usurper l'identité d'un électeur en votant en ligne via l'utilisation d'un Smartphone ou d'une tablette. Le site ZDnet révélait ainsi que les problèmes de sécurité se concentraient essentiellement sur le chiffrement (cryptage) des données émises sur le poste de travail de l'électeur. Ce chiffrement, sensé assurer la protection des données transmises, utilisait une clés d'algorithme de cryptage bien trop facile à déceler : c'est ce qu'à démontré l'entreprise de sécurité informatique Computas engagée par le gouvernement norvégien pour contrôler le processus. Un pirate informatique pouvait ainsi parvenir à détourner et modifier les informations transmises afin d'usurper l'identité d'un électeur, changer son vote ou encore avoir recours aux votes multiples. Ces incidents ont amené les organisateurs à conserver 40.000 bulletins douteux, soit tout de même 12% des 350 000 bulletins de votes.

Un sujet d'autant plus préoccupant que des problèmes similaires ont eu lieu en France lors des premières expérimentations du vote sur Internet. Les français résidant à l'étranger avaient ainsi pu voter par Internet lors des élections législatives de 2012 : le processus était similaire au vote norvégien qui utilisait le même prestataire, la société Stycl. Un informaticien nantais, Laurent Grégoire, avait démontré qu'il était possible de modifier à leur insu les bulletins de votes en effectuant une modification simple de l'applet Java sur le poste de travail de l'électeur. Le Conseil Constitutionnel en avait été alerté : bien qu'il ait reconnu les failles de sécurité, il avait validé les résultats de l’élection. Même constat en mai dernier lors des primaires parisiennes de l'UMP : des bugs de l'applet Java nécessaires au chiffrement des données sur le post du votant permettait de voter à plusieurs reprises et d'usurper l'identité d'un électeur UMP. Un internaute avait même montré qu'il était facile de voter à la place de Nicolas Sarkozy. Des bugs inhérent au système de vote qui utilise le chiffrement du bulletin de vote sur le poste de travail de l'électeur : un poste de travail qui devient dans ces conditions le maillon faible de la chaîne de sécurité et une cible potentiel pour des cyberattaques. Autre problème : le processus de vote nécessite de disposer d'une version compatible de l'applet Java (les primaires UMP nécessitait ainsi la dernière version 7.0) et met à l'écart les électeurs disposant d'un ordinateur non compatible.

Ces failles de sécurité en feraient presque oublier les avantages du vote sur Internet et en premier lieu sa capacité à augmenter la participation d'une élection, un élément non négligeable à l'heure où la participation est en baisse constante. En donnant la possibilité aux électeurs de ne pas se déplacer (notamment pour les électeurs qui n'habitent pas à l'endroit où ils sont enregistrés sur les listes électorales), de pouvoir effectuer des relances par email ou encore de pouvoir voter tout au long de la journée, le vote sur Internet gagnerait à être étendu à une plus grande échelle : encore faudrait il pour cela que sa sécurité soit garantie.

L'ANSSI vs CNIL

C'est pourquoi il apparaît nécessaire qu'un organisme de validation légitime puisse valider les normes de sécurité relatives au vote sur Internet. Si pour le moment la CNIL (Commission National de l'Informatique et des Libertés) semble vouloir tenir ce rôle en France, elle ne dispose ni des compétences techniques ni de la légitimité d'une autorité électorale. En validant le processus de vote sur Internet lors des primaires parisiennes UMP, qui avaient pourtant tourné au fiasco, elle a mis en avant la non pertinence de ses recommandations. L'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Informations) semblerait être un interlocuteur autrement plus légitime, notamment de par ses compétences techniques en matières de sécurité informatique et de transmission d'informations : ses recommandations en faveur des risques liés à l'utilisation de Java se sont ainsi révélées autrement plus pertinentes.