L’explication qui suit est un peu technique. Il est tout à fait naturel que vous ne la compreniez pas. Nous vous invitons alors à la soumettre à quelqu’un de votre entourage ayant quelques bases en informatique. Que vous ne compreniez pas est néanmoins significatif. Si vous étiez assesseur, vous auriez l’illusion d’effectuer un contrôle de l’ordinateur, mais la présence de technologie vous empêcherait d’exercer votre sens critique, et de comprendre que ce contrôle est inopérant.
France-Élection, importateur des ordinateurs Nedap, prétend contrôler l’authenticité de ce logiciel au moyen de la vérification des checksums. De quoi s’agit-il ? L’ordinateur de vote sait calculer un nombre appelé checksum (en français : somme de contrôle) à partir de tous les 0 et 1 qui constituent son logiciel intégré. Si le moindre de ces 0 ou 1 est modifié, ce checksum va changer de valeur. En pratique, deux checksums sont calculés, chacun concernant la moitié de la mémoire. Leur valeur est indiquée dans le manuel d’utilisation de l’ordinateur. Le matin de l’élection, les assesseurs doivent donc demander à l’ordinateur d’imprimer ces checksums et vérifier qu’ils soient identiques à ce qu’indique le manuel.
Cette procédure est recommandée et considérée comme efficace par le rapport du PTB (Physikalisch-Technische Bundesanstalt), organisme en charge de certifier le logiciel intégré. A l’exigence [2] "Dans le cas d’une machine à microprocesseur, toute altération du logiciel intégré par une personne non autorisée sera détectée.", le PTB répond que l’exigence est satisfaite, et se justifie ainsi :
« Les numéros de version des programmes et les checksums du logiciel intégré, pour la carte principale de contrôle [3], la carte de connexion (communication), et les cinq cartes d’affichage peuvent être affichés, et imprimés, par l’ordinateur de vote.
Cela permet au personnel électoral de comparer ces numéros de version des programmes et ces checksums avec les valeurs indiquées par le fabricant dans la documentation (manuel d’utilisateur), ou par exemple inscrits sur un certificat agréé. »
Qu’est-ce qui ne va pas ? C’est déjà se tromper de technologie. Un checksum a pour vocation de détecter des modifications accidentelles : par exemple si l’un des 0 ou 1 s’est modifié à cause d’une défaillance physique de la puce électronique qui le stocke. Par contre, cela ne protège pas des modifications intentionnelles : à cet effet, on utilisera la technique du hash cryptographique [4].
Soyons charitables, et plaçons ce choix en perspective avec l’époque de conception de cet ordinateur. Parce que finalement, tout cela n’a guère d’importance : le principe même de cette vérification est inepte , quelle que soit la technique employée. En effet, on demande d’imprimer cette checksum au logiciel que l’on cherche à contrôler. L’alternative se présente ainsi : soit il est authentique, et il va réellement le calculer et le résultat sera conforme, sauf défaillance de l’électronique ; soit il a été modifié frauduleusement, et il se gardera de faire le moindre calcul, et se contentera d’imprimer la valeur indiquée dans le manuel d’utilisateur. L’infinie flexibilité d’un logiciel fait que cela ne pose aucune difficulté de réalisation.
Dans le cadre d’une expertise judiciaire d’un ordinateur, on ne l’allume surtout pas. On le démonte pour en extraire ses mémoires (en général son disque dur), et on les place dans un autre ordinateur que l’on considère comme sûr.
Faire confiance à cette vérification de checksum est comme d’arrêter un inconnu dans la rue, de lui demander si il est honnête, et en cas de réponse affirmative, de le charger de faire un retrait d’argent en lui confiant notre carte bleue.
L’ineptie de cette vérification de checksum a été pointée par le rapport [5] de la Commission on Electronic Voting, commission indépendante qui a déconseillé l’utilisation des ordinateurs Nedap en Irlande.
Par quel bout que l’on prenne cette procédure de vérification de checksum, on n’en comprend pas la mise en oeuvre. En effet, si l’objectif se réduisait à vérifier le bon fonctionnement de l’électronique, une procédure bien plus simple suffirait : si tout va bien, l’ordinateur de vote démarre sans rien dire, sinon il s’arrête en affichant un message d’erreur. Tous les PC du monde vérifient ainsi leur mémoire lorsqu’on les allume [6], sans pour autant vous demander d’aller consulter leur manuel d’utilisation. L’ordinateur Nedap utilise d’ailleurs à cet usage un troisième checksum interne.
La difficulté de contrôle de l’authenticité du logiciel intégré est générale à tous les ordinateurs de vote. Les ordinateurs concurrents Indra et ES&S iVotronic ne font pas mieux. Ils ne tentent même pas de réaliser cette vérification du logiciel intégré. On peut toutefois leur reconnaître le mérite de la franchise.
Syndication/fil RSS 2.0