Publication du «manuel de construction» du système de vote électronique

Publication du «manuel de construction» du système de vote électronique 05.05.2021

La publication du nouveau système de vote électronique de la Poste se poursuit. Diverses améliorations ont déjà pu être mises en œuvre grâce aux retours d’experts nationaux et internationaux. La spécification du système est désormais prête à être contrôlée. Un programme bug bounty public relatif au vote électronique sera lancé au cours du second semestre de l’année.

Initiée au début de l’année 2021, la publication du futur système de vote électronique, dont la vérifiabilité est totale, se poursuit étape par étape. La Poste a volontairement lancé ce processus le plus tôt possible afin de disposer de suffisamment de temps pour mettre en œuvre les améliorations signalées. Le protocole cryptographique ainsi qu’une Library open source contenant les algorithmes cryptographiques centraux ont déjà été publiés. À présent, la Poste publie la spécification du système.

Les experts peuvent désormais contrôler la spécification du système

La spécification correspond à une description détaillée du protocole cryptographique. Il s’agit pour ainsi dire du «manuel de construction» du système de vote électronique, qui contient des explications sur tous les éléments nécessaires à sa composition. Ce manuel décrit en effet l’ensemble du processus, de la configuration du scrutin électronique au dépouillement, en passant par la phase de vote, et contient ce que l’on appelle des pseudocodes, qui servent à la description des algorithmes. La spécification décrit les algorithmes les plus généraux et quelques-uns des éléments constitutifs qui les sous-tendent.

Intégration de diverses améliorations grâce aux retours reçus suite à la publication

Depuis le lancement de la publication, le programme communautaire a pris de l’ampleur: différents experts nationaux et internationaux ont ainsi pu signaler les failles qu’ils avaient identifiées. La Poste documente toutes les failles identifiées sur GitLab et entretient un dialogue permanent avec la communauté et les personnes qui déposent des signalements. Sur la base des signalements déjà reçus, la Poste a pu identifier diverses améliorations à apporter aux algorithmes publiés dans la Library open source. Dans la nouvelle version du protocole cryptographique actuellement publiée, une correction relative à la vérifiabilité individuelle a notamment été apportée. Cette correction avait pu être identifiée grâce à un signalement reçu dans le cadre de la publication.

Programme bug bounty public et prochaines étapes

La Poste a décidé de mettre en place un programme bug bounty. Au niveau international, ce type de programmes est considéré comme une pratique d’excellence, mais reste encore peu utilisés en Suisse. La Poste veut ainsi contribuer à ouvrir la voie à ces nouvelles méthodes en Suisse. Cette démarche repose sur la compréhension du fait que le développement de systèmes informatiques est un processus continu, qui ne peut jamais être considéré comme véritablement achevé, et dans lequel les failles de sécurité doivent constamment être identifiées et corrigées. Une telle manière de procéder est indispensable, notamment parce que les méthodes employées pour attaquer les systèmes n’ont de cesse d’évoluer. Dans un tel contexte, la collaboration avec des hackers éthiques s’avère particulièrement utile au processus afin de garder une longueur d’avance sur les cybercriminels.

La Poste étend désormais progressivement son programme bug bounty au vote électronique et lancera ainsi un programme bug bounty public en ce sens dans le courant du second semestre de l’année 2021. Les personnes intéressées peuvent d’ores et déjà s’inscrire auprès de la Poste afin d’être informées du démarrage du programme.

Dans les prochains mois, la Poste publiera le code source du système ainsi que du logiciel de vérification séparé.

Des informations complémentaires sur la publication du nouveau système de vote électronique sont à disposition sur le site de la communauté.

Base légale pour la phase d’essai du vote électronique: le Conseil fédéral entame la procédure de consultation
Analyse indépendante: maturité des composantes du système rendues publiques