Les niveaux de sécurité du vote électronique

Le niveau de sécurité dépend des facteurs suivants :

• Les ressources et motivations des attaquants potentiels (votants, organisateurs, personnes extérieures).
• Le nombre d’électeurs impliqués.
• Le niveau de conflictualité du scrutin.
• Le niveau de responsabilité pour les personnes élues.

Le niveau 1 concerne les scrutins impliquant peu d’électeurs, dans un cadre non conflictuel, où les résultats ont un faible impact.

Objectifs et garanties de sécurité du niveau 1 :

• Solution technique fiable sans faille majeure (exempte de vulnérabilités connues).
• Vote atomique : une seule action comprend le choix du vote, l’enregistrement et la délivrance du récépissé.
• Authentification des électeurs pour minimiser le risque d’usurpation d’identité.
• Confidentialité du vote dès sa création sur l’ordinateur du votant.
• Chiffrement du bulletin de vote durant son transport et son stockage.
• Séparation entre identité et bulletin de vote (anonymat total).
• Clés de chiffrement gérées uniquement par le bureau de vote.
• Dépouillement possible uniquement après la clôture du scrutin.
• Vérifiabilité du scrutin après son déroulement.

Le niveau 2 est appliqué aux élections professionnelles ou institutionnelles importantes, dans un contexte sans forte conflictualité, mais avec des risques modérés.

En plus des exigences du niveau 1, il faut garantir :

• Haute disponibilité de la solution pour éviter toute interruption.
• Vérification automatique de l’intégrité du système, de l’urne et des listes d’émargement.
• Surveillance continue par le bureau électoral pendant tout le scrutin.
• Authentification renforcée pour réduire au maximum l’usurpation d’identité.
• Cloisonnement logique des scrutins (un scrutin peut être annulé sans affecter les autres).
• Sécurisation physique et logique conforme aux recommandations de l’ANSSI.
• Transparence de l’urne : les électeurs doivent pouvoir vérifier que leur vote a bien été pris en compte.

Le niveau 3 concerne les élections très sensibles où le scrutin peut être contesté et où les enjeux sont élevés (grande entreprise, syndicats, élections politiques internes, etc.).

En plus des exigences des niveaux 1 et 2, il faut garantir :

1. Analyse approfondie des risques avant la mise en place du vote électronique.
2. Outils tiers pour permettre la transparence de l’urne et la vérification des votes.
3. Très haute disponibilité pour éviter toute interruption du scrutin (ex : infrastructure redondante).
4. Contrôle automatique et manuel de l’intégrité du système par le bureau de vote.
5. Cloisonnement physique total entre les scrutins pour éviter toute interaction entre eux.

Pour être conforme, une solution de vote doit :

• Respecter les niveaux de sécurité requis en fonction du scrutin.
• Obtenir un audit indépendant validant la robustesse du système.
• Mettre en place un protocole sécurisé pour l’authentification et la confidentialité des votes.
• Conserver les preuves d’intégrité et de traçabilité pour une vérification a posteriori.

L’organisateur du scrutin (entreprise, syndicat, ordre professionnel) doit :

• Choisir un prestataire conforme aux exigences CNIL.
• Valider la conformité par un audit indépendant.
• Assurer la transparence et l’acceptabilité du vote auprès des électeurs.

Le prestataire de vote électronique doit garantir que la solution respecte les exigences techniques et légales définies par la CNIL.