Non au vote électronique

Cornelia Schneider

09/04/2007 à 18:59

Jacques Belin wrote in
news::

Et a-t-il install un isoloir autour de son ordinateur, afin que sa femme
puisse voter selon ses convictions, en dehors de toute contrainte ?

Ta femme voit tout ce que tu tapes sur ton clavier, et vice-versa ?
Bizarre, pas la mienne...

Cornelia

--
Be out and be proud - today is the first day of the rest of your life
Support Transgenre Strasbourg : http://www.sts67.org
BoW : http://www.bownbend.com
GPG key ID 83FF7452, 659C 2B9F 7FD5 5C25 8C30 E723 4423 F8B8 83FF 7452

Jacques Belin

09/04/2007 à 20:43

Le lundi 9 avril 2007 18:12:55,
Xavier Roche a écrit:

Par "contrainte", je pense que M. Belin parlait du "si je vois pas ce
que tu tapes et pour qui tu votes, tu vas à l'hopital"

...Et si un jour on donne le choix entre le vote normal et le vote
électronique, on arrivera fatalement au cas : "Tu votes électronique
(avec moi à côté), ou alors tu te retrouves à l'hopital à la sort ie du
bureau de vote"...

A+ Jacques.
--
Le dernier Homme connecté sur le Net regardait d'anciens sites Webs.
"Vous avez du courrier" apparut sur l'écran...
--------------------------- adapté d'une courte histoire de Fredric Brown

Francois Grieu

09/04/2007 à 20:51

Dans l'article <u6sSh.67366$, hg ecrit:

Je n'ai pas étudié ces articles ni la spéc mais (pour généraliser);
qu'une transaction soit "financière" ou "civique", je suis convaincu
qu'elle ne peut être que plus sécurisée si électronique VS manuelle
(sans compter les risques d'erreurs "naturels" )

Cette généralisation me semble basée sur une perception incorrecte
du risque. Dans une élection présidentielle Il n'est pas du très
grave qu'un individu parvienne à ajouter 200 voix à un candidat au
détriment des autres dans le bureau de vote où il est président.
Si par contre cet individu parvient à modifier le logiciel des
machines à voter du pays, il est vraissemblable qu'il fasse basculer
le résultat sur le plan national. Il est normal, compte tenu de
l'enjeu différent, d'avoir des exigences de sécurité différentes.

Aussi, même sans fraude, il est vraissemblable que les citoyens
condamnés à se servir d'une machine produisant un résultat que
rien ne relie tangiblement à leur choix, vont se détourner des
bureaux de vote.

Bien sûr la spéc doit être publique (pour éviter les "back door")

Une spécification publique n'empêche nullement les back-door
dans le matériel qui la met en oeuvre. Et le problème principal
n'est pas là, mais dans la possibilité pour le citoyen de comprendre
et contrôler le processus du scrutin.

et le système certifié par un paquet de CESTI... les gars de la
DCSSI sont aussi des votants, j'ai dans l'idée qu'ils veulent
aussi que leurs votes arrivent au bon endroit.

Sans doute. Pour l'instant, la loi ne prévoit pas de les consulter,
bien que la DCSSI ait établi et certifié un profil de protection
à cet effet
http://www.ssi.gouv.fr/fr/confiance/pp/pp_2006_04.html
mais profil qui reste, justement, sans effet. C'est un garde fou
de moins.

François Grieu

Francois Grieu

09/04/2007 à 22:26

Dans l'article <RawSh.69071$, hg a écrit:

Francois Grieu wrote:

Cette généralisation me semble basée sur une perception incorrecte
du risque. Dans une élection présidentielle Il n'est pas du très
grave qu'un individu parvienne à ajouter 200 voix à un candidat au
détriment des autres dans le bureau de vote où il est président.
Si par contre cet individu parvient à modifier le logiciel des
machines à voter du pays, il est vraissemblable qu'il fasse basculer
le résultat sur le plan national. Il est normal, compte tenu de
l'enjeu différent, d'avoir des exigences de sécurité différentes.

Aussi, même sans fraude, il est vraissemblable que les citoyens
condamnés à se servir d'une machine produisant un résultat que
rien ne relie tangiblement à leur choix, vont se détourner des
bureaux de vote.

Je suis pas certain de comprendre.

Est-ce que la sécurité est dans la "machine à voter" aujourd'hui ?

Oui. Il est réglementairement exclu qu'il y ait une trace papier.
Mis a part les totaux de votes, il n'est prévu aucun enregistrement
des votes ailleurs que dans la mémoire de la machine, à des
emplacements aléatoires, pour précisément rendre impossible de
reconstituer l'historique des votes, interdisant de fait tout contrôle
a posteriori que les votes enregistrés et totalisés étaient conformes
aux choix des l'électeurs.

Concrètement, la machine en dans le bureau de vote, et comporte un
isoloir propre, ou est placé dans un isoloir standardisé.
L'objet de la machine est de "totaliser le nombre des votants sur un
compteur qui peut être lu pendant les opérations de vote ; (et) les
suffrages obtenus par chaque liste ou chaque candidat ainsi que les
votes blancs, sur des compteurs qui ne peuvent être lus qu'après la
clôture du scrutin ; (de) ne pouvoir être utilisées qu'à l'aide de
deux clefs différentes, de telle manière que, pendant la durée du
scrutin, l'une reste entre les mains du président du bureau de vote
et l'autre entre les mains de l'assesseur tiré au sort parmi
l'ensemble des assesseurs."
"Le bureau de vote s'assure publiquement, avant le commencement du
scrutin, que la machine fonctionne normalement et que tous les
compteurs sont à la graduation zéro."
Pour le vote, "l'électeur fait constater son identité ou fait la
preuve de son droit de voter (et) fait enregistrer son suffrage par
la machine à voter".
"Le président, à la fin des opérations de vote, rend visibles les
compteurs totalisant les suffrages obtenus par chaque liste ou chaque
candidat ainsi que les votes blancs, de manière à en permettre la
lecture par les membres du bureau, les délégués des candidats et
les électeurs présents. Le président donne lecture à haute voix des
résultats qui sont aussitôt enregistrés par le secrétaire."

Les textes cités entre guillements, toujours en vigueur, ont été pris
bien avant l'existence de machines à voter informatiques; ils sont
prévus pour des machines mécaniques. Ces machines, malgré leurs
défauts (en particulier, bruit différent selon le choix qui compromet
un peu la confidentiaité du vote), avaient l'avantage qu'il était
possible de vérifier leur fonctionnement, et pratiquement impossible
que quelqu'un d'extérieur au bureau de vote en altère le résultat.

Je visualise (surement à tord) un système de vote comme une carte
bancaire: un certificat _et_ un seul est généré par la carte du
votant (sous clef diversifiée) puis ... éventuellement décrypté
par un HSM _sous_ _clefs_ qui se chargera du decryptage (non
répudiation .... etc) - cela avec PIN, photo, holog. ... bien sûr
- vu ce que je viens de payer pour mon passeport BIO, c'est pas
le prix de la carte qui va géner.

Ben non, c'est pas comme cela. Et je ne suis pas sur que ce soit
souhaitable. Car
- le HSM sous clefs (physisues ou cryptographiques) c'est trop
compliqué pour être intelligible par autre chose qu'une poignée
de sécialistes.
- le bon fnctionnement et la sincérité du ccomptage ne sont pas
vérifiables par le président du bureau de vote et ses assesseurs,
ni d'ailleurs par les spécialistes qui comprennent mais ne peuvent
vraiment savoir ce qui se passe réellement dans ce HSM, sans faire
une kirielle d'hypothèses sur ce qui s'est passé auparavant pour
la préparation de ce HSM.
- il est essentiel pour la liberté de vote qu'il ne soit pas
envisageable de savoir pour qui a voté l'électeur au moyen de
sa carte, de données l'identifiant lues dedans au moment du vote,
ou de certificats produits par la carte (sinon on peut casser la
gueule du premier qui n'a pas voté comme exigé; ils n'est meme
pas besoin que le machin sensé révéler le vote le fasse vraiment,
il suffit que ce soit assez plausible et de casser la gueule du
premier votant, pour que ça impressionne utilement ceux qui n'ont pas
encore voté et non pas une confiance absolue dans le secret de leur
futur vote.
- sauf à violer le pricipe ci-dessus, tout ce fatras de cartes et
de cryptographie ne sert pratiquement à rien pour ce qui importe
réellement: que la machine a comptabilisé votre vote, et pas autre
chose; et que le plus grand nombre (au minimum: ;e bureau) en ait
une preuve accessible à ses sens et à sa raison.

François Grieu

Dans l'article <RawSh.69071$s8.735@newsfe21.lga>, hg a écrit:

Francois Grieu wrote:

Cette généralisation me semble basée sur une perception incorrecte
du risque. Dans une élection présidentielle Il n'est pas du très
grave qu'un individu parvienne à ajouter 200 voix à un candidat au
détriment des autres dans le bureau de vote où il est président.
Si par contre cet individu parvient à modifier le logiciel des
machines à voter du pays, il est vraissemblable qu'il fasse basculer
le résultat sur le plan national. Il est normal, compte tenu de
l'enjeu différent, d'avoir des exigences de sécurité différentes.

Aussi, même sans fraude, il est vraissemblable que les citoyens
condamnés à se servir d'une machine produisant un résultat que
rien ne relie tangiblement à leur choix, vont se détourner des
bureaux de vote.

Je suis pas certain de comprendre.

Est-ce que la sécurité est dans la "machine à voter" aujourd'hui ?

Oui. Il est réglementairement exclu qu'il y ait une trace papier.
Mis a part les totaux de votes, il n'est prévu aucun enregistrement
des votes ailleurs que dans la mémoire de la machine, à des
emplacements aléatoires, pour précisément rendre impossible de
reconstituer l'historique des votes, interdisant de fait tout contrôle
a posteriori que les votes enregistrés et totalisés étaient conformes
aux choix des l'électeurs.

Concrètement, la machine en dans le bureau de vote, et comporte un
isoloir propre, ou est placé dans un isoloir standardisé.
L'objet de la machine est de "totaliser le nombre des votants sur un
compteur qui peut être lu pendant les opérations de vote ; (et) les
suffrages obtenus par chaque liste ou chaque candidat ainsi que les
votes blancs, sur des compteurs qui ne peuvent être lus qu'après la
clôture du scrutin ; (de) ne pouvoir être utilisées qu'à l'aide de
deux clefs différentes, de telle manière que, pendant la durée du
scrutin, l'une reste entre les mains du président du bureau de vote
et l'autre entre les mains de l'assesseur tiré au sort parmi
l'ensemble des assesseurs."
"Le bureau de vote s'assure publiquement, avant le commencement du
scrutin, que la machine fonctionne normalement et que tous les
compteurs sont à la graduation zéro."
Pour le vote, "l'électeur fait constater son identité ou fait la
preuve de son droit de voter (et) fait enregistrer son suffrage par
la machine à voter".
"Le président, à la fin des opérations de vote, rend visibles les
compteurs totalisant les suffrages obtenus par chaque liste ou chaque
candidat ainsi que les votes blancs, de manière à en permettre la
lecture par les membres du bureau, les délégués des candidats et
les électeurs présents. Le président donne lecture à haute voix des
résultats qui sont aussitôt enregistrés par le secrétaire."

Les textes cités entre guillements, toujours en vigueur, ont été pris
bien avant l'existence de machines à voter informatiques; ils sont
prévus pour des machines mécaniques. Ces machines, malgré leurs
défauts (en particulier, bruit différent selon le choix qui compromet
un peu la confidentiaité du vote), avaient l'avantage qu'il était
possible de vérifier leur fonctionnement, et pratiquement impossible
que quelqu'un d'extérieur au bureau de vote en altère le résultat.

Je visualise (surement à tord) un système de vote comme une carte
bancaire: un certificat _et_ un seul est généré par la carte du
votant (sous clef diversifiée) puis ... éventuellement décrypté
par un HSM _sous_ _clefs_ qui se chargera du decryptage (non
répudiation .... etc) - cela avec PIN, photo, holog. ... bien sûr
- vu ce que je viens de payer pour mon passeport BIO, c'est pas
le prix de la carte qui va géner.

Ben non, c'est pas comme cela. Et je ne suis pas sur que ce soit
souhaitable. Car
- le HSM sous clefs (physisues ou cryptographiques) c'est trop
compliqué pour être intelligible par autre chose qu'une poignée
de sécialistes.
- le bon fnctionnement et la sincérité du ccomptage ne sont pas
vérifiables par le président du bureau de vote et ses assesseurs,
ni d'ailleurs par les spécialistes qui comprennent mais ne peuvent
vraiment savoir ce qui se passe réellement dans ce HSM, sans faire
une kirielle d'hypothèses sur ce qui s'est passé auparavant pour
la préparation de ce HSM.
- il est essentiel pour la liberté de vote qu'il ne soit pas
envisageable de savoir pour qui a voté l'électeur au moyen de
sa carte, de données l'identifiant lues dedans au moment du vote,
ou de certificats produits par la carte (sinon on peut casser la
gueule du premier qui n'a pas voté comme exigé; ils n'est meme
pas besoin que le machin sensé révéler le vote le fasse vraiment,
il suffit que ce soit assez plausible et de casser la gueule du
premier votant, pour que ça impressionne utilement ceux qui n'ont pas
encore voté et non pas une confiance absolue dans le secret de leur
futur vote.
- sauf à violer le pricipe ci-dessus, tout ce fatras de cartes et
de cryptographie ne sert pratiquement à rien pour ce qui importe
réellement: que la machine a comptabilisé votre vote, et pas autre
chose; et que le plus grand nombre (au minimum: ;e bureau) en ait
une preuve accessible à ses sens et à sa raison.

François Grieu

Vous avez filtré cet utilisateur ! Consultez son message

Dans l'article <RawSh.69071$, hg a écrit:

Francois Grieu wrote:

Cette généralisation me semble basée sur une perception incorrecte
du risque. Dans une élection présidentielle Il n'est pas du très
grave qu'un individu parvienne à ajouter 200 voix à un candidat au
détriment des autres dans le bureau de vote où il est président.
Si par contre cet individu parvient à modifier le logiciel des
machines à voter du pays, il est vraissemblable qu'il fasse basculer
le résultat sur le plan national. Il est normal, compte tenu de
l'enjeu différent, d'avoir des exigences de sécurité différentes.

Aussi, même sans fraude, il est vraissemblable que les citoyens
condamnés à se servir d'une machine produisant un résultat que
rien ne relie tangiblement à leur choix, vont se détourner des
bureaux de vote.

Je suis pas certain de comprendre.

Est-ce que la sécurité est dans la "machine à voter" aujourd'hui ?

Oui. Il est réglementairement exclu qu'il y ait une trace papier.
Mis a part les totaux de votes, il n'est prévu aucun enregistrement
des votes ailleurs que dans la mémoire de la machine, à des
emplacements aléatoires, pour précisément rendre impossible de
reconstituer l'historique des votes, interdisant de fait tout contrôle
a posteriori que les votes enregistrés et totalisés étaient conformes
aux choix des l'électeurs.

Concrètement, la machine en dans le bureau de vote, et comporte un
isoloir propre, ou est placé dans un isoloir standardisé.
L'objet de la machine est de "totaliser le nombre des votants sur un
compteur qui peut être lu pendant les opérations de vote ; (et) les
suffrages obtenus par chaque liste ou chaque candidat ainsi que les
votes blancs, sur des compteurs qui ne peuvent être lus qu'après la
clôture du scrutin ; (de) ne pouvoir être utilisées qu'à l'aide de
deux clefs différentes, de telle manière que, pendant la durée du
scrutin, l'une reste entre les mains du président du bureau de vote
et l'autre entre les mains de l'assesseur tiré au sort parmi
l'ensemble des assesseurs."
"Le bureau de vote s'assure publiquement, avant le commencement du
scrutin, que la machine fonctionne normalement et que tous les
compteurs sont à la graduation zéro."
Pour le vote, "l'électeur fait constater son identité ou fait la
preuve de son droit de voter (et) fait enregistrer son suffrage par
la machine à voter".
"Le président, à la fin des opérations de vote, rend visibles les
compteurs totalisant les suffrages obtenus par chaque liste ou chaque
candidat ainsi que les votes blancs, de manière à en permettre la
lecture par les membres du bureau, les délégués des candidats et
les électeurs présents. Le président donne lecture à haute voix des
résultats qui sont aussitôt enregistrés par le secrétaire."

Les textes cités entre guillements, toujours en vigueur, ont été pris
bien avant l'existence de machines à voter informatiques; ils sont
prévus pour des machines mécaniques. Ces machines, malgré leurs
défauts (en particulier, bruit différent selon le choix qui compromet
un peu la confidentiaité du vote), avaient l'avantage qu'il était
possible de vérifier leur fonctionnement, et pratiquement impossible
que quelqu'un d'extérieur au bureau de vote en altère le résultat.

Je visualise (surement à tord) un système de vote comme une carte
bancaire: un certificat _et_ un seul est généré par la carte du
votant (sous clef diversifiée) puis ... éventuellement décrypté
par un HSM _sous_ _clefs_ qui se chargera du decryptage (non
répudiation .... etc) - cela avec PIN, photo, holog. ... bien sûr
- vu ce que je viens de payer pour mon passeport BIO, c'est pas
le prix de la carte qui va géner.

Ben non, c'est pas comme cela. Et je ne suis pas sur que ce soit
souhaitable. Car
- le HSM sous clefs (physisues ou cryptographiques) c'est trop
compliqué pour être intelligible par autre chose qu'une poignée
de sécialistes.
- le bon fnctionnement et la sincérité du ccomptage ne sont pas
vérifiables par le président du bureau de vote et ses assesseurs,
ni d'ailleurs par les spécialistes qui comprennent mais ne peuvent
vraiment savoir ce qui se passe réellement dans ce HSM, sans faire
une kirielle d'hypothèses sur ce qui s'est passé auparavant pour
la préparation de ce HSM.
- il est essentiel pour la liberté de vote qu'il ne soit pas
envisageable de savoir pour qui a voté l'électeur au moyen de
sa carte, de données l'identifiant lues dedans au moment du vote,
ou de certificats produits par la carte (sinon on peut casser la
gueule du premier qui n'a pas voté comme exigé; ils n'est meme
pas besoin que le machin sensé révéler le vote le fasse vraiment,
il suffit que ce soit assez plausible et de casser la gueule du
premier votant, pour que ça impressionne utilement ceux qui n'ont pas
encore voté et non pas une confiance absolue dans le secret de leur
futur vote.
- sauf à violer le pricipe ci-dessus, tout ce fatras de cartes et
de cryptographie ne sert pratiquement à rien pour ce qui importe
réellement: que la machine a comptabilisé votre vote, et pas autre
chose; et que le plus grand nombre (au minimum: ;e bureau) en ait
une preuve accessible à ses sens et à sa raison.

François Grieu

remy

10/04/2007 à 11:10

IMPORTANT: ce post remplace le précédent

basé sur des informations erronées quand à la date d'un document.

Dans l'article ,
Erwan David a écrit:

Francois Grieu écrivait :

Voir par exemple la liste des produits civils certifiés surs par les
services Français officiels en charge de la sécurité informatique:
http://www.ssi.gouv.fr/fr/confiance/certificats.html

aucune machine à voter.
Aux dernières nouvelles la DCSSI était en train de travailler sur un

profil de protection pour ce genre de machine. C'est quand même la
moindre des choses de définir ce profil (c'est à dire la liste des
propriétés qu'on demande à une telle machine) puis de certifier les
machines utilisées.

J'ai localisé le Profil de Protection en question, estampillé
République Française, commandité et certifié par la DCSSI.
http://www.ssi.gouv.fr/fr/confiance/pp/pp_2006_04.html

En résumé, c'est essentiellement la transcription dans le language
Critère Commun des exigences légales et réglementaires, et il est
souvent proche sur le fond du "Règlement technique fixant les
conditions d'agrément des machines à voter", pour ce qui a la place
dans un profil de protection.

Une différence importante avec le "Règlement technique fixant les
conditions d'agrément des machines à voter", c'est que pour une
certification Critères Commun, il faut suivre des procédures de
certification de sécurité sous le contrôle de la DCSSI; sans être
parfait, c'est ce qui existe de moins fantaisiste en matière
d'assurance de sécurité; les procédures sont élaborées exactement
pour cela, par un processus internationalement reconnu, qui a pris
des années. Des labos spécilisés font des tests qui ont une
valeur technique certaines, avec une gradation de moyens codifiée
et un tant soit peu reproductible et rationelle.

Ce profil de protection est pour l'instant lettre morte: il n'est
ni obligatoire, ni appliqué, les machines à voter ne sont PAS
certifiées en fonction de ce document, voir
http://www.ssi.gouv.fr/fr/confiance/certificats.html
où les machines à voter brillent par leur absence.
Néanmoins, mes commentaires techniques:

Ce profil de protection est réalisé sans se poser de question de fond
sur le problème de la vérification de l'intégrité de la machine,
ni de la confiance que peut avoir l'utilisateur dans le dispositif,
et c'est le pricipal reproche que je formule à son égard. A décharge
du rédacteur, le législateur est coupable d'avoir fixé un cadre qui
n'explicite pas cette exigence première.

Autre problème: le niveau de sécurité exigé est EAL2+; à titre de
comparaison, pour enregistrer les temps de conduite du chauffeur
d'un camion, la loi exige un niveau ITSEC E3 fort, équivalent à
EAL4+; pour être reconnue comme légalement valable, une signature
électronique doit être réalisée par un dipositif certifié EAL4+;
les cartes à puce récentes sont souvent certifiées EAL5+.
Bref, le niveau d'assurance de sécurité est très en dessous de
l'état de l'art (en matière civile), tout en étant, à mon avis,
très au dessus des machines actuellement homologuées, pour ce que
l'on en sait.

Indépendemment de la rigueur méthodologique d'une évaluation
Critères Commun, les exigences du Profil de Protection tendent
parfois à être plus sévères que celles du règlement. Par exemple
il est demandé une autonomie de 12 heures dans le PP, et de
2 heures dans le Règlement.

En résumé, la Direction Centrale de la Sécurité des Systèmes
d'Information a commandité un profil de protection des machines
à voter, mais il n'est ni satisfaisant, ni appliqué, ni obligatoire;
ce qui s'appliqué est un dispositif antérieur, moins exigeant,
contrôlé par un organisme privé, désigné par le Ministère de
l'Intérieur, et non sous le contrôle de la DCSSI, services du
Premier Ministre explicitement en charge de la sécurité des
systèmes d'information essentiels de l'Etat, et dont la compétence
en la matière est généralement reconnue.

Plus je creuse ce sujet, plus je vois qu'il faut réagir;
trop tard :-(

comme dab si il a une connerie à faire l'on peut être sûr
qu'elle se fera

hier soir sur France 2 ils ont présenté
la machine à voter électronique
le principal argument a été se n'est pas une solution que l'on sort
de notre chapeau se sont des solutions éprouvées dans d'autres pays

traduction
"je suis un spécialiste et tu es trop con pour comprendre"

je ne garantis pas les chiffres
mais j'ai bien entendu qu'il y aurait plus de 1 Millions
de français qui voteront avec ce type de machine
et l'on sait qu'une élection présidentielle se joue en moyenne
sur quelques centaines de milliers de votes

même pas besoin dans mettre partout

bon maintenant je ne suis pas un partisan de la théorie du complot
mais mathématiquement sous réserves d'exactitude des chiffres cela peut
le faire il etait tard et je n'étais pas très attentif

remy

IMPORTANT: ce post remplace le précédent
<fgrieu-67693F.17511609042007@news-1.proxad.net>
basé sur des informations erronées quand à la date d'un document.

Dans l'article <87lkh5u267.fsf@nez-casse.depot.rail.eu.org>,
Erwan David <erwan@rail.eu.org> a écrit:

Francois Grieu <fgrieu@gmail.com> écrivait :

Voir par exemple la liste des produits civils certifiés surs par les
services Français officiels en charge de la sécurité informatique:
http://www.ssi.gouv.fr/fr/confiance/certificats.html

aucune machine à voter.
Aux dernières nouvelles la DCSSI était en train de travailler sur un

profil de protection pour ce genre de machine. C'est quand même la
moindre des choses de définir ce profil (c'est à dire la liste des
propriétés qu'on demande à une telle machine) puis de certifier les
machines utilisées.

J'ai localisé le Profil de Protection en question, estampillé
République Française, commandité et certifié par la DCSSI.
http://www.ssi.gouv.fr/fr/confiance/pp/pp_2006_04.html

En résumé, c'est essentiellement la transcription dans le language
Critère Commun des exigences légales et réglementaires, et il est
souvent proche sur le fond du "Règlement technique fixant les
conditions d'agrément des machines à voter", pour ce qui a la place
dans un profil de protection.

Une différence importante avec le "Règlement technique fixant les
conditions d'agrément des machines à voter", c'est que pour une
certification Critères Commun, il faut suivre des procédures de
certification de sécurité sous le contrôle de la DCSSI; sans être
parfait, c'est ce qui existe de moins fantaisiste en matière
d'assurance de sécurité; les procédures sont élaborées exactement
pour cela, par un processus internationalement reconnu, qui a pris
des années. Des labos spécilisés font des tests qui ont une
valeur technique certaines, avec une gradation de moyens codifiée
et un tant soit peu reproductible et rationelle.

Ce profil de protection est pour l'instant lettre morte: il n'est
ni obligatoire, ni appliqué, les machines à voter ne sont PAS
certifiées en fonction de ce document, voir
http://www.ssi.gouv.fr/fr/confiance/certificats.html
où les machines à voter brillent par leur absence.
Néanmoins, mes commentaires techniques:

Ce profil de protection est réalisé sans se poser de question de fond
sur le problème de la vérification de l'intégrité de la machine,
ni de la confiance que peut avoir l'utilisateur dans le dispositif,
et c'est le pricipal reproche que je formule à son égard. A décharge
du rédacteur, le législateur est coupable d'avoir fixé un cadre qui
n'explicite pas cette exigence première.

Autre problème: le niveau de sécurité exigé est EAL2+; à titre de
comparaison, pour enregistrer les temps de conduite du chauffeur
d'un camion, la loi exige un niveau ITSEC E3 fort, équivalent à
EAL4+; pour être reconnue comme légalement valable, une signature
électronique doit être réalisée par un dipositif certifié EAL4+;
les cartes à puce récentes sont souvent certifiées EAL5+.
Bref, le niveau d'assurance de sécurité est très en dessous de
l'état de l'art (en matière civile), tout en étant, à mon avis,
très au dessus des machines actuellement homologuées, pour ce que
l'on en sait.

Indépendemment de la rigueur méthodologique d'une évaluation
Critères Commun, les exigences du Profil de Protection tendent
parfois à être plus sévères que celles du règlement. Par exemple
il est demandé une autonomie de 12 heures dans le PP, et de
2 heures dans le Règlement.

En résumé, la Direction Centrale de la Sécurité des Systèmes
d'Information a commandité un profil de protection des machines
à voter, mais il n'est ni satisfaisant, ni appliqué, ni obligatoire;
ce qui s'appliqué est un dispositif antérieur, moins exigeant,
contrôlé par un organisme privé, désigné par le Ministère de
l'Intérieur, et non sous le contrôle de la DCSSI, services du
Premier Ministre explicitement en charge de la sécurité des
systèmes d'information essentiels de l'Etat, et dont la compétence
en la matière est généralement reconnue.

Plus je creuse ce sujet, plus je vois qu'il faut réagir;
trop tard :-(

comme dab si il a une connerie à faire l'on peut être sûr
qu'elle se fera

hier soir sur France 2 ils ont présenté
la machine à voter électronique
le principal argument a été se n'est pas une solution que l'on sort
de notre chapeau se sont des solutions éprouvées dans d'autres pays

traduction
"je suis un spécialiste et tu es trop con pour comprendre"

je ne garantis pas les chiffres
mais j'ai bien entendu qu'il y aurait plus de 1 Millions
de français qui voteront avec ce type de machine
et l'on sait qu'une élection présidentielle se joue en moyenne
sur quelques centaines de milliers de votes

même pas besoin dans mettre partout

bon maintenant je ne suis pas un partisan de la théorie du complot
mais mathématiquement sous réserves d'exactitude des chiffres cela peut
le faire il etait tard et je n'étais pas très attentif

remy

Vous avez filtré cet utilisateur ! Consultez son message

IMPORTANT: ce post remplace le précédent

basé sur des informations erronées quand à la date d'un document.

Dans l'article ,
Erwan David a écrit:

Francois Grieu écrivait :

Voir par exemple la liste des produits civils certifiés surs par les
services Français officiels en charge de la sécurité informatique:
http://www.ssi.gouv.fr/fr/confiance/certificats.html

aucune machine à voter.
Aux dernières nouvelles la DCSSI était en train de travailler sur un

profil de protection pour ce genre de machine. C'est quand même la
moindre des choses de définir ce profil (c'est à dire la liste des
propriétés qu'on demande à une telle machine) puis de certifier les
machines utilisées.

J'ai localisé le Profil de Protection en question, estampillé
République Française, commandité et certifié par la DCSSI.
http://www.ssi.gouv.fr/fr/confiance/pp/pp_2006_04.html

En résumé, c'est essentiellement la transcription dans le language
Critère Commun des exigences légales et réglementaires, et il est
souvent proche sur le fond du "Règlement technique fixant les
conditions d'agrément des machines à voter", pour ce qui a la place
dans un profil de protection.

Une différence importante avec le "Règlement technique fixant les
conditions d'agrément des machines à voter", c'est que pour une
certification Critères Commun, il faut suivre des procédures de
certification de sécurité sous le contrôle de la DCSSI; sans être
parfait, c'est ce qui existe de moins fantaisiste en matière
d'assurance de sécurité; les procédures sont élaborées exactement
pour cela, par un processus internationalement reconnu, qui a pris
des années. Des labos spécilisés font des tests qui ont une
valeur technique certaines, avec une gradation de moyens codifiée
et un tant soit peu reproductible et rationelle.

Ce profil de protection est pour l'instant lettre morte: il n'est
ni obligatoire, ni appliqué, les machines à voter ne sont PAS
certifiées en fonction de ce document, voir
http://www.ssi.gouv.fr/fr/confiance/certificats.html
où les machines à voter brillent par leur absence.
Néanmoins, mes commentaires techniques:

Ce profil de protection est réalisé sans se poser de question de fond
sur le problème de la vérification de l'intégrité de la machine,
ni de la confiance que peut avoir l'utilisateur dans le dispositif,
et c'est le pricipal reproche que je formule à son égard. A décharge
du rédacteur, le législateur est coupable d'avoir fixé un cadre qui
n'explicite pas cette exigence première.

Autre problème: le niveau de sécurité exigé est EAL2+; à titre de
comparaison, pour enregistrer les temps de conduite du chauffeur
d'un camion, la loi exige un niveau ITSEC E3 fort, équivalent à
EAL4+; pour être reconnue comme légalement valable, une signature
électronique doit être réalisée par un dipositif certifié EAL4+;
les cartes à puce récentes sont souvent certifiées EAL5+.
Bref, le niveau d'assurance de sécurité est très en dessous de
l'état de l'art (en matière civile), tout en étant, à mon avis,
très au dessus des machines actuellement homologuées, pour ce que
l'on en sait.

Indépendemment de la rigueur méthodologique d'une évaluation
Critères Commun, les exigences du Profil de Protection tendent
parfois à être plus sévères que celles du règlement. Par exemple
il est demandé une autonomie de 12 heures dans le PP, et de
2 heures dans le Règlement.

En résumé, la Direction Centrale de la Sécurité des Systèmes
d'Information a commandité un profil de protection des machines
à voter, mais il n'est ni satisfaisant, ni appliqué, ni obligatoire;
ce qui s'appliqué est un dispositif antérieur, moins exigeant,
contrôlé par un organisme privé, désigné par le Ministère de
l'Intérieur, et non sous le contrôle de la DCSSI, services du
Premier Ministre explicitement en charge de la sécurité des
systèmes d'information essentiels de l'Etat, et dont la compétence
en la matière est généralement reconnue.

Plus je creuse ce sujet, plus je vois qu'il faut réagir;
trop tard :-(

comme dab si il a une connerie à faire l'on peut être sûr
qu'elle se fera

hier soir sur France 2 ils ont présenté
la machine à voter électronique
le principal argument a été se n'est pas une solution que l'on sort
de notre chapeau se sont des solutions éprouvées dans d'autres pays

traduction
"je suis un spécialiste et tu es trop con pour comprendre"

je ne garantis pas les chiffres
mais j'ai bien entendu qu'il y aurait plus de 1 Millions
de français qui voteront avec ce type de machine
et l'on sait qu'une élection présidentielle se joue en moyenne
sur quelques centaines de milliers de votes

même pas besoin dans mettre partout

bon maintenant je ne suis pas un partisan de la théorie du complot
mais mathématiquement sous réserves d'exactitude des chiffres cela peut
le faire il etait tard et je n'étais pas très attentif

remy

Francois Grieu

10/04/2007 à 12:25

Dans l'article <evfm1f$ko9$, remy signale

http://elections.france3.fr/presidentielles/2007/actu/29633416-fr.php

J'aime particulièrement cette citation de Sciences et Avenir par FR3:
Les précautions indispensables contre le piratage ne sont pas
toujours prises par les municipalités. Dans deux mairies où le
journal a enquêté, "des techniciens venaient de passer pour
faire des modifications sur les machines. Interrogée sur
l'intervention, la personne responsable des élections de la
mairie A n'était pas en mesure d'expliquer ce qui avait été
fait (par le technicien) : "Nous l'avons laissé dans une pièce
avec les machines pour qu'il fasse son travail".

Consternant, mais oh combien plausible.

François Grieu

remy

10/04/2007 à 12:42

http://elections.france3.fr/presidentielles/2007/actu/29633416-fr.php

Un million et demi d'électeurs voteront par machine électronique le 22
avril et le 6 mai

il serait intéressant de jeter un oeil sur les stat des urnes électroniques

Arnold McDonald $AMcD$

10/04/2007 à 14:01

Francois Grieu wrote:

Consternant, mais oh combien plausible.

Eh oui. Et je peux même en rajouter une couche. Quand tu vois les foules de
guignols qui bossent dans la "sécurité informatique", des gars qui n'ont
jamais vu un désassembleur, savent à peine coder (et encore, j'aurai pu dire
"ne savent pas du tout", mais je tiens à faire plaisir au seul pote
compétent dans ce domaine que je connais et qui touche au moins au PERL...),
n'entendent strictement rien, mais alors rien à la cryptographie, au reverse
engineering, aux protocoles Internet, etc., tu te dis qu'il suffit
simplement que quelqu'un ose pour se rendre compte (avec une grosse
probabilité de certitude) que tout un ensemble de possibilités est
envisageable avec le vote électronique.

Parcours la presse dite "spécialisée" dans le domaine de la sécu (ce sera
vite fait, deux titres), qu'y verras-tu ? Du blabla normatique, du blabla
administratif, mais peu de précision, peu de technique, peu de POC, j'irai
même plus loin, quasiment jamais d'idée novatrice voire d'originalité. Une
pensée bien rectiligne. Tout un tas de gens assis sur leurs certitudes
scolaires et rassurés par leurs diplômes plus ou moins élevés. J'aime bien
le "t'es trop con tu peux pas comprendre", du gars ci-dessus, c'est
exactement comment ces gens fonctionnent pour la plupart !

Pas étonnant qu'on aboutisse à ce type d'aberration que constitue le vote
électronique. Et lorsque tu vois comment se terminent les histoires sur la
carte bleue, les anti-virus en bois et autres joyeusetés, c'est pas près de
changer !

Je ne comprends pas comment on peut mettre de tels procédés en place. Sans
aller jusqu'à une théorie du complot, on met quand même à disposition de qui
le veut bien les moyens de truander. Incompréhensible.

--
Arnold McDonald (AMcD)

http://arnold.mcdonald.free.fr/

remy

10/04/2007 à 15:30

Je ne comprends pas comment on peut mettre de tels procÚdÚs en place. Sans
aller jusqu'Ó une thÚorie du complot, on met quand mÛme Ó disposition de qui
le veut bien les moyens de truander. IncomprÚhensible.

bon allez alors une petite théorie du complot
juste pour le sourire se sont les plus durs à trouver

http://www.agoravox.fr/article.php3?id_article!833

Pour mémoire, en 2002, Le Pen a battu Jospin de 200 000 voix,
soit 0,5 %. L’an dernier en Italie, Prodi
l’a emporté sur Berlusconi avec moins de 30 000 voix de différence.
On voit que détourner seulement 1% des votes peut suffire à changer
beaucoup l’issue d’un scrutin.

mais il y a un peu d'espoir de ce côté à creuser

http://www.zdnet.fr/actualites/telecoms/0,39040748,39176092,00.htm

bien que je sois toujours opposé il n'y a aucune valeur
ajoutée au vote électronique du moins moi je ne l'ai pas vue

remy

Cornelia Schneider

10/04/2007 à 17:44

Xavier Roche wrote in news:evdomc$jlq$1
@news.httrack.net:

Par "contrainte", je pense que M. Belin parlait du "si je vois pas ce
que tu tapes et pour qui tu votes, tu vas à l'hopital"

Ya vraiment des couples bizarres, et des conceptions bizarres autant de la
vie privée que de la démocratie.

Cornelia

--
Be out and be proud - today is the first day of the rest of your life
Support Transgenre Strasbourg : http://www.sts67.org
BoW : http://www.bownbend.com
GPG key ID 83FF7452, 659C 2B9F 7FD5 5C25 8C30 E723 4423 F8B8 83FF 7452

Non au vote électronique

10 réponses

Veuillez sélectionner un problème