En fait il faut que le vote soit secret, bien sûr vérifiable par tous (ce second point est le seul point principal évident: on veut un résultat valide) mais aussi non vérifiable individuellement. Il faut ces 3 points pour un vote institutionnel. Et c'est là ce qu'on n'arrive pas à faire bien avec du vote électronique. Dans le cas Debian, même si le vote est maintenant secret, il est toujours vérifiable par le voteur avec un hash. Cela permet de pouvoir dire que le vote n'a pas été truqué si (1) suffisamment de personne ont vérifié leur vote et confirmé qu'il n'a pas été changé, (2) le nombre de votants est valide (c.a.d. pas de faux votants ajoutés) et (3) n'importe qui peut alors recalculer les résultats avec les votes publics que l'on considère donc non falsifiés.
C'est tout ça qui fait que les votes Debian peuvent être considérés relativement sûrs mais c'est bien parce qu'on a assoupli un des 3 points importants: on a rendu le vote vérifiable par soi-même (c'est même cela qui permet de rendre le vote vérifiable par tous).
Mais alors c'est quoi le problème avec la vérifiabilité par soi-même si cela rend le vote en ligne sûr (comme on vient de le montrer)? Ben en fait, ça permet aussi de forcer les votes sans même avoir besoin d'être physiquement présent. Comme on sait, l'un des principaux buts du secret du vote, c'est d'une part de protéger les gens (tu vis peut-être dans un endroit où voter pour certains peut te mettre en danger) et aussi protéger la sincérité du vote. L'exemple typique: vivre avec un conjoint qui veut forcer pour qui l'autre vote; être sous l'emprise de malfrats qui nous forcent la main; ou simplement faire du business en vendant son vote contre de l'argent. Si le contenu de son vote est vérifiable après coup, alors cela amplifie tous ces problèmes (car on peut facilement prouver son vote, forcé ou non; il n'est plus possible de faire croire qu'on vote pour X quand en fait on vote pour Y).
En ce sens, les votes de Debian ne sont plus sûrs si on peut avoir des raisons de penser que ce genre de problèmes peut arriver. C'est une relative petite communauté de gens qui se connaissent et contribuent volontairement dans des tâches techniques, donc le consensus est plutôt qu'on a du mal à imaginer que ce types de problèmes arrivent, du moins de manière suffisamment sérieuse. C'est pour cela que cette imperfection du vote est admise comme acceptable.
Pour une élection gouvernementale maintenant, c'est une autre histoire. On le sait, certains feraient tout pour le pouvoir et l'argent. Et ça peut aller loin. On ne peut donc pas laisser la moindre porte ouverte à une triche facile. Il ne faut donc pas que le vote soit vérifiable individuellement. Mais s'il ne l'est pas, on ne trouve toujours pas de moyen de rendre le vote vérifiable par tous (les votes utilisés au final pourraient être totalement aléatoires que vous n'y verriez que du feu).
Le papier est pour l'instant le seul moyen qu'on a trouvé qui respecte les 3:
Le bulletin est secret (isoloir, enveloppe, etc.).
On ne peut pas vérifier son propre bulletin après coup (donc pas de contrôle de votre vote par une entité tierce qui pourrait vouloir valider pour qui vous avez voté).
Néanmoins le vote est bien vérifiable par tous (en d'autres termes, le résultat est valide), avec l'utilisation d'une boîte transparente et fermée avec cadenas, de même que de nombreux yeux fixés dessus. Quiconque a d'ailleurs le droit de participer à cette vérification en se portant volontaire. Les chances que des bulletins aient été retirés/ajoutés et que le décompte final soit truqué sont faibles.
En électronique, on perd toujours au moins un des 3 points. Dans le pire des cas, on perd même le point principal de validité, ce qui est le pire cas (c'est le cas des machines à voter sur place, on a bien le secret du vote et des votes non vérifiables individuellement, mais qui peut assurer que les résultats donnés par la machine correspondent aux votes?). Dans des cas comme les votes Debian, on perd l'impossibilité d'auto-vérification (d'ailleurs même le secret du bulletin n'est pas totalement assuré; quelqu'un pourrait être derrière notre dos au moment du vote et nous forcer directement).
En fait, c'est pas tout à fait vrai. Je peux imaginer une alternative où on pourrait avoir les 3 points en vote électronique. Mais je sais qu'on me dirait que c'est trop compliqué (ça l'est pas tant que ça, mais bon...) et surtout je pense que ce type de logique de vote a une limite du fait du nombre élevé de votants. Et sincèrement je suis pas sûr qu'on y gagne beaucoup (comme d'hab, certains dans les hauts postes semblent penser que tout doit être informatisé sans même se demander si le non-informatique est vraiment un problème dans un sujet donné). Au final, pour une élection institutionnelle, rien ne vaut le papier.
Film d'animation libre en CC by-sa/Art Libre, fait avec GIMP et autre logiciels libres: ZeMarmot [ http://film.zemarmot.net ]
[^] # Re: Résumé rapide
Posté par Jehan (site web personnel, Mastodon) . En réponse au lien Comment vérifier un système de vote en ligne. Évalué à 10. Dernière modification le 03 juillet 2022 à 16:58.
En fait il faut que le vote soit secret, bien sûr vérifiable par tous (ce second point est le seul point principal évident: on veut un résultat valide) mais aussi non vérifiable individuellement. Il faut ces 3 points pour un vote institutionnel. Et c'est là ce qu'on n'arrive pas à faire bien avec du vote électronique. Dans le cas Debian, même si le vote est maintenant secret, il est toujours vérifiable par le voteur avec un hash. Cela permet de pouvoir dire que le vote n'a pas été truqué si (1) suffisamment de personne ont vérifié leur vote et confirmé qu'il n'a pas été changé, (2) le nombre de votants est valide (c.a.d. pas de faux votants ajoutés) et (3) n'importe qui peut alors recalculer les résultats avec les votes publics que l'on considère donc non falsifiés.
C'est tout ça qui fait que les votes Debian peuvent être considérés relativement sûrs mais c'est bien parce qu'on a assoupli un des 3 points importants: on a rendu le vote vérifiable par soi-même (c'est même cela qui permet de rendre le vote vérifiable par tous).
Mais alors c'est quoi le problème avec la vérifiabilité par soi-même si cela rend le vote en ligne sûr (comme on vient de le montrer)? Ben en fait, ça permet aussi de forcer les votes sans même avoir besoin d'être physiquement présent. Comme on sait, l'un des principaux buts du secret du vote, c'est d'une part de protéger les gens (tu vis peut-être dans un endroit où voter pour certains peut te mettre en danger) et aussi protéger la sincérité du vote. L'exemple typique: vivre avec un conjoint qui veut forcer pour qui l'autre vote; être sous l'emprise de malfrats qui nous forcent la main; ou simplement faire du business en vendant son vote contre de l'argent. Si le contenu de son vote est vérifiable après coup, alors cela amplifie tous ces problèmes (car on peut facilement prouver son vote, forcé ou non; il n'est plus possible de faire croire qu'on vote pour X quand en fait on vote pour Y).
En ce sens, les votes de Debian ne sont plus sûrs si on peut avoir des raisons de penser que ce genre de problèmes peut arriver. C'est une relative petite communauté de gens qui se connaissent et contribuent volontairement dans des tâches techniques, donc le consensus est plutôt qu'on a du mal à imaginer que ce types de problèmes arrivent, du moins de manière suffisamment sérieuse. C'est pour cela que cette imperfection du vote est admise comme acceptable.
Pour une élection gouvernementale maintenant, c'est une autre histoire. On le sait, certains feraient tout pour le pouvoir et l'argent. Et ça peut aller loin. On ne peut donc pas laisser la moindre porte ouverte à une triche facile. Il ne faut donc pas que le vote soit vérifiable individuellement. Mais s'il ne l'est pas, on ne trouve toujours pas de moyen de rendre le vote vérifiable par tous (les votes utilisés au final pourraient être totalement aléatoires que vous n'y verriez que du feu).
Le papier est pour l'instant le seul moyen qu'on a trouvé qui respecte les 3:
En électronique, on perd toujours au moins un des 3 points. Dans le pire des cas, on perd même le point principal de validité, ce qui est le pire cas (c'est le cas des machines à voter sur place, on a bien le secret du vote et des votes non vérifiables individuellement, mais qui peut assurer que les résultats donnés par la machine correspondent aux votes?). Dans des cas comme les votes Debian, on perd l'impossibilité d'auto-vérification (d'ailleurs même le secret du bulletin n'est pas totalement assuré; quelqu'un pourrait être derrière notre dos au moment du vote et nous forcer directement).
En fait, c'est pas tout à fait vrai. Je peux imaginer une alternative où on pourrait avoir les 3 points en vote électronique. Mais je sais qu'on me dirait que c'est trop compliqué (ça l'est pas tant que ça, mais bon...) et surtout je pense que ce type de logique de vote a une limite du fait du nombre élevé de votants. Et sincèrement je suis pas sûr qu'on y gagne beaucoup (comme d'hab, certains dans les hauts postes semblent penser que tout doit être informatisé sans même se demander si le non-informatique est vraiment un problème dans un sujet donné). Au final, pour une élection institutionnelle, rien ne vaut le papier.
Film d'animation libre en CC by-sa/Art Libre, fait avec GIMP et autre logiciels libres: ZeMarmot [ http://film.zemarmot.net ]