Vote par internet. Un Nantais montre qu'il peut être piraté [Vidéo]

Dans un document d’une vingtaine de pages accompagné d’une vidéo, Laurent Grégoire, informaticien de profession, explique comment il est possible de truquer le vote par internet, mis à disposition des Français de l’étranger.

Le vote par internet est-il sûr comme l'affirme le ministère des Affaires étrangères ? Non, répond Laurent Grégoire. En décrivant, dans un document d’une vingtaine de pages, le moyen de pirater le système de vote par internet des expatriés, il espère ainsi démontrer que le scrutin n’est pas si fiable que ce que le ministère des Affaires étrangères le prétend. Son but ? Déclencher « un vrai débat démocratique sur l’utilisation de ces systèmes de vote ».

Contre le vote électronique

Habitant à Amsterdam, Nantais d'origine, cet informaticien notamment spécialiste d’application Java, a déjà un avis bien tranché sur la question. S’il refuse qu’on l’assimile à un « hacker » (pirate informatique) ni à un spécialiste en sécurité informatique, il est pourtant favorable à l'une des idées défendues par le Parti pirate - et par une partie de la communauté des informaticiens - en se prononçant contre le système de vote électronique. « Que ce soit par internet ou via des machines à voter » dit-il.

Comme les 700 000 Français de l’étranger, il reçoit l’année dernière un courriel du ministère des Affaires étrangères pour tester, en décembre 2011, le nouveau système de vote mis en place par le ministère des Affaires étrangères. « Par curiosité j’ai dit oui, et c’est là que je me suis rendu compte de potentielles failles de sécurité par ce mécanisme d’injection de code, mais sans pousser plus loin. »

Un mail comme déclencheur

Le 22 février, il reçoit comme l’ensemble des testeurs un mail signé par François Saint-Paul, directeur des Français à l’étranger et de l’administration consulaire Ministère des Affaires étrangères et européennes. On peut y lire que 4 800 votants au premier tour et 5 200 votants au second ont participé à ce test achevé le 4 février dernier. Mais également : « tous les bulletins que vous avez insérés dans l’urne électronique ont été correctement dépouillés. Les nombreux contrôles effectués ont montré que toutes les exigences de sécurité ont été respectées. »

Ce mail offre par ailleurs la possibilité aux électeurs de faire remonter leurs remarques par un questionnaire en ligne. Laurent Grégoire s’y applique. « Mais je n’ai malheureusement pas eu de réponses » souligne-t-il.

Qu’à cela ne tienne, Laurent Grégoire n’abdique pas. Car l’hypothèse d’une faille, il va parvenir à la confirmer. « Par réaction, et pour vérifier si les failles que j’avais annoncées avaient été corrigées, j’ai regardé si l’attaque que j’avais envisagée à première vue était réalisable, mais cette fois avec le vote en grandeur nature. Et non, la faille était toujours là. » D’où la publication de ce document accompagné d’une vidéo filmant son acte de « piratage ».

En quoi consiste sa démonstration ?

Laurent Grégoire démontre plusieurs choses en s’appuyant sur un postulat : que l’ordinateur depuis lequel l’électeur déclenche le vote peut-être « compromis ». Autrement dit : il peut recevoir un logiciel malveillant qui n’est pas censé être là. C’est le cas d’un cheval de Troie qui peut se transmettre sous la forme d’un fichier inoffensif et qui se balade par exemple de mail en mail. Si l’utilisateur le déclenche, alors il l’installe… comme de nombreux virus.

Ce serait à partir de ce logiciel malveillant, installé sur la machine de l’électeur, que le piratage pourrait se dérouler. Si le processus informatique est un peu compliqué, on peut le résumer ainsi : pendant le processus du vote, ce logiciel intrus est parvenu à modifier le programme qui fait tourner le vote par internet. Et quand l’électeur croit voter pour le candidat A, le logiciel envoie en vérité l’information qu’il a votée pour le candidat B.

Des risques d’exposer de telles failles

Quand on lui demande les risques qu’il encourt après avoir exposé une faille aussi importante, il reste lucide. « Oui, je me suis posé la question de savoir quel risque j’encourais bien sûr, mais l’enjeu me paraît tellement important que c’est un risque à prendre. » Il n’hésite pas à citer Thomas Jefferson : « Le prix de la liberté, c’est la vigilance éternelle. »

Bien qu’il se sente compréhensif face aux éventuelles critiques, il croit tout de même croit dur comme fer en sa démarche. « J’aurais pu être malhonnête et proposer mes services à un parti politique, ou plus simplement rançonner la société qui édite le logiciel de vote ! Qu’on me reproche de mettre le doigt sur le problème me paraît injustifié, même si ça peut se comprendre. »

Autre faille dans l’élaboration du programme de vote

Il nous pointe par ailleurs deux autres failles, tout du moins morales, du vote. Tel que la procédure a été conçue, elle s’expose selon lui à une infime probabilité qu’une partie des votes puisse être invalidés à cause - là, ça devient un peu compliqué - de la génération aléatoire de l’ID de vote.

« Il existe donc la possibilité d’avoir des 'collisions' entre votes, ce qui potentiellement invalide votre vote. La probabilité est très faible, mais mathématiquement non-nulle. On peut donc se poser la question d’un point de vue 'moral’de proposer un système de vote qui, par sa conception même, autorise une très faible probabilité de ne PAS tenir compte de votre vote. »

Contactée, la direction des Français à l'étranger et de l'administration consulaire, chargée du vote des expatriés, n'était pas en mesure de nous répondre dans l'immédiat.

Manuel Raynaud.