« Nous constatons à ce moment là, le niveau zéro de la sécurisation dont le backoffice fait l’objet : n’importe quel internaute peut se balader dans les répertoires destinés à l’application de traitement des votes. Des numéros sont attribués à ces répertoires, ils se réfèrent chacun à un scrutin. Tout ceci est clairement écrit dans des fichiers javascripts, parfaitement accessibles de tous et des développeurs à leur simple lecture en attraperaient des boutons. Dans ces fichiers, on trouve évidemment en clair le nom des répertoires destinés à accueillir les votes… ça sent très mauvais.

[...]

Les premières déclarations tombent rapidement et on apprend qu’entre 20h15 et 22h, le site aurait été victime d’une attaque par saturation de 26 000 connexions par secondes émanant d’un seul serveur. [NDLR : la partie mauvaise foi : « Le problème de plomberie, c’est cette attaque on ne peut plus classique par saturation (déni de service) venant d’un seul serveur se bloque en un clin d’œil, un simple ligne de commande pour ajouter une directive au firewall suffit. » -> ouuuuuais : saturation des uplinks en fonction de la capacité réseau de l'attaquant, de plus on se base sur les stats (26000/un seul serveur) fournies par des cadres du parti ... prudence quoi. ]

[...]

des vulnérabilités de plus de 6 mois dont tous les médias ont pourtant abondamment parlé n’étaient pas corrigées. La version d’OpenSSL installée sur le backoffice était vulnérable à la célèbre attaque Heartbleed (CVE-2014-0160 datant d’avril 2014) et à une autre faille critique, dite CCS ( CVE-2014-0224 datant de juillet 2014).

[...]

À ce niveau, on peut parler de failles inadmissibles et les faits observés parlent d’eux mêmes :
    - la sécurité de l’infrastructure n’a pas été sérieusement vérifiée. Elle n’était pas même à jour de vieilles vulnérabilités bien connues de n’importe quel administrateur système digne de ce nom ;
    - la lecture du code accessible (le code javascripts servant au traitement des données) ne fait que confirmer ce que nous avons observé, le système de vote en ligne n’est pas au niveau ;
    - les tentatives de corrections au fil de l’eau ont été elles aussi une superbe démonstration d’amateurisme, à l’image du placement dans l’urgence d’un fichier « index.html » pour « sécuriser » un répertoire au lieu d’une simple directive dans un fichier de configuration du serveur à même de sécuriser l’ensemble des répertoires du serveur ou de l’application.

L’UMP a peut-être essuyé une attaque par déni de service, mais Paragon Elections, à qui incombe la partie applicative et la sécurité du système de vote, nommé Smartvotation, est loin d’être la forteresse imprenable que l’on nous a présenté.

[...]

Dans ces conditions, il est légitime de se demander si le vote des primaires de l’UMP n’a pas été altéré par des tiers. »

Ce qui m'attriste le plus : « Au-delà des mésaventures UMP, il faut se rappeler que le vote électronique a pour principale propriété d'empêcher le contrôle par l'électeur » (https://twitter.com/bortzmeyer/status/538628770543185920). Par un grand parti politique de France. Les vulnérabilités vont être oubliées et "on" se souviendra que le vote électronique, ça marche, c'est pratique et tout ce qu'on veut. :(