GuiGui's Show

Un vote peut avoir plusieurs propriétés / caractéristiques : confidentialité+anonymat (= secret du vote), résistance à la coercition, sincérité (qui se décompose en vérifier que mon vote est pris en compte et que le calcul du résultat à partir des votes est correct), éligibilité+unicité (= pas de bourrage, uniquement les membres de la liste électorale), disponibilité (accéder à l'urne électronique est compliqué en cas de déni de service), transparence, compréhensibilité. Toutes ces propriétés ne sont pas forcément nécessaires pour tout vote : certains votes sont à main levée. Tous les votes ne se valent pas : celui du club des jeux de cartes du village n'a pas besoin d'être fortement résistant à la coercition.

La vérifiabilité individuelle (vérifier à tout moment que mon bulletin est dans l'urne) est antagoniste à la résistance à la coercition (c'est évident, mais je source quand même). Le système de vote Civitas résoudrait cela (via un faux identifiant qui permet de voter ce que le méchant demande et/ou de prouver son vote… qui sera ignoré, mais bonjour la complexité, et, surtout, le faux identifiant est aussi reçu par le votant, donc il peut tomber entre les mains du méchant…). Belenios n'assure pas la résistance à la coercition.

Une étude (Chevallier-Mames et al.) démontre une incompatibilité formelle entre la vérifiabilité universelle (vérifier que le résultat a été correctement calculé à partir des votes individuels), l'anonymat et la résistance à la coercition. Source. Voir l'excellent schéma page 7. Comme d'hab, certains systèmes contournent en réduisant les exigences démocratiques ou en sacrifiant une propriété (tiers de confiance, supposer comme vraies des conditions inatteignables comme l'existence de canaux parfaitement anonymes, etc.). Le chiffrement homomorphe permet la vérifiabilité universelle mais pas l'anonymat (le papier l'affirme par les maths, mais il suffit de constater que la distribution des clés privés par les autorités laisse des traces et/ou la machine de vote donne un récépissé, etc.), d'où Belenios, qui l'utilise et qui garantit la vérifiabilité individuelle, ne garantit pas la résistance à la coercition.

Le vote papier parvient à concilier ces propriétés par sa localité et sa temporalité. L'absence de résistance à la coercition dure uniquement tant que j'ai le bulletin en main, et la présence de public empêche de vérifier mon vote. La vérifiabilité individuelle se constate de fait puis en assistant au dépouillement. Vérifier qui je suis et que j'ai le droit de participer à l'élection est aussi plus facile. La vérifiabilité universelle est plus compliquée à vérifier : je peux vérifier que le résultat de mon bureau de vote est correct sur le site web du ministère de l'Intérieur, mais je dois faire confiance pour tous les autres bureaux.

J'ignorais l'existence des preuves à divulgation nulle, qui permettent de prouver le contenu d'un vote chiffré (vote blanc ou pour l'un des candidats, rien d'autre, un seul vote, etc.) sans le déchiffrer.