[belenios-discuss] horodatage des sufrages

[Vincent Belaïche <vincent.belaiche AT gmail.com>]

Bonjour,



Je viens de participer à une élection faite avec Belenios (celle
concernant le choix du nouveau nom de domaine du site de l'association
Gutenberg https://www.gutenberg.eu.org/-L-association-)

Par curiosité, j'ai parcouru https://www.belenios.org/specification.pdf
en diagonale, et peut-être que cela m'a échappé, mais je n'ai pas trouvé
si les votes étaient horodatés et s'il existait un horodatage vérifiable
par les votants, c'est à dire également signé pour chaque électeur avec
les mêmes accrédiations que celle de l'électeur.

Je m'explique : supposons que je suis l'administrateur du serveur de
vote, et qu'on m'a corrompu pour biaiser l'election. Du coup j'attends
la date communiquée aux votants de clôture de l'élection, et une fois
celle-ci atteinte je subtilise les accréditations de tous les
absentionnistes et je vote à leur place.

Si il n'est pas possible aux votants de télécharger le contenu de l'urne
et de vérifier la distibution temporelle des horodates, alors ce pic
d'affluence juste après la date supposée de fermeture du bureau de vote
est impossible à détecter, et le système n'est robuste que si personne
ne s'abstient.

La rubrique qui se rapproche le plus de cette exigence est la 3.5, à
supposer que l'auditeur sonde très régulièrement le contenu de l'urne,
et pas seulement après la clôture du vote.

En fait l'utilisation d'horodates n'est qu'un moyen imparfait de
résoudre ce problème, elle pose le problème qu'elle menace l'anonymat du
vote (savoir quand tel vote a été effectué pourrait être utilisé pour
identifier l'électeur, par exemple le fournisseur d'accès internet
pourrait avoir les moyens de savoir quand tel ou tel électeur a
voté). De plus il est très probable qu'une partie de l'électorat soit
absentioniste à chaque élection, et donc le système pourrait voter à sa
place sans attendre la date publique de clôture de l'élection pour que
cela soit beaucoup plus furtif.

J'ai une autre question à vous poser : supposons maintenant que je ne
suis pas l'administrateur du serveur de vote, mais le fournisseur
d'accès internet (FAI), et que je peux à la fois hacker le DNS et
espioner et modifier le contenu des courriels fournissant les
accréditations à tel ou tel électeur. Du coup quand l'électeur X veut
voter je peux l'envoyer sur un faux serveur de vote et faire le vote sur
le vrai serveur à sa place. De même si X veut vérifier que son vote est
bien rempli alors je peux lui envoyer une fausse info. Du coup tout ceci
ne peut être détecté que si les électeurs communiquent entre eux par un
moyen hors de contrôle du FAI.
Comment abordez-vous cette problématique ?

Bien à vous,

  V. Belaïche.