Le 25 avril 2019, la CNIL a adopté une recommandation relative à la sécurité des systèmes de vote par correspondance électronique, notamment via Internet. Elle présente aux responsables de traitement souhaitant recourir à un tel système de vote une approche par niveau de risque et par objectifs de sécurité à atteindre.

La recommandation s’accompagne d’une fiche pratique qui présente une méthodologie en deux temps :

• - une grille d’analyse pour déterminer le niveau de sécurité que le système de vote par correspondance électronique, notamment via Internet, doit respecter ;
• - des niveaux d’objectifs de sécurité avec des exemples de moyens , non limitatifs, à mettre en œuvre pour atteindre ces objectifs.

Tout comme pour les recommandations de 2010, VOTEO n'a aucune obligation légale à respecter les éléments décrits dans cette délibération. Malgré cela, et toujours avec l'objectif de rendre VOTEO plus sûr et plus sécurisé, AKG SOLUTIONS a rendu conforme l'application VOTEO aux trois niveaux d'objectifs proposés par la CNIL. Chaque version applicative est certifiée conforme à ces recommandations par une entreprise tierce. Vous trouverez ci-dessous les différents objectifs de sécurité avec, pour chaque article, comment VOTEO satisfait aux exigences.

L’ensemble de la solution technique et organisationnelle répond à cette exigence. En effet il n’existe à ce jour aucune faille majeure publiée concernant les technologies utilisées dans la solution Voteo.

La solution utilise des versions à jours des différents logiciels qu’elle exploite et utilise des algorithmes publics de chiffrement réputés « forts » (TLS et RSA-4096).

Le choix et la validation se font sur le navigateur de l’électeur. Si une de ces étapes échoue, l’enregistrement ne sera pas déclenché. L'enregistrement du bulletin est couplé à l'émargement. Si l'enregistrement échoue, l'émargement n'est pas réalisé.

Si l'enregistrement réussit et l'émargement échoue alors l'enregistrement est retiré. Pour obtenir le récépissé, il faut que toutes les étapes précédentes se soient bien déroulées.

L'adressage des moyens d'authentification se feront soit par courrier à l'adresse de l’électeur, soit par courriel à son adresse électronique. L'authentification de l'électeur se fait au travers d'un identifiant et d'un mot de passe qui seront communiqués par Voteo.

L’utilisation du système de chiffrement cryptographique réseau (TLS) permet d’assurer la transmission sécurisée des informations d’authentification de l’électeur.

Le chiffrement se fait directement sur le poste client grâce à la clé publique du serveur, et aucune donnée du bulletin de vote ne circule en clair sur le réseau grâce au chiffrement TLS.

Le serveur, possédant la clé privée, sera la seule entité en mesure de déchiffrer les informations.

Si jamais le bulletin est corrompu (altération de son intégrité) il sera compté comme nul au moment du dépouillement.

Pour générer le secret permettant le dépouillement, une chaîne de caractères est créée à partir de l'ensemble des données du vote.

Cette chaine de caractères est chiffrée et stockée en binaire afin d'être illisible et inaliénable.

La clef de chiffrement est divisée en trois parties dont chacune est communiquée, de manière sécurisée, à chaque tiers gestionnaire.

Après la clôture du vote, les clefs de descellement sont renseignées dans le système et la clef de chiffrement est reconstituée. L’intégrité de la base est vérifiée puis si elle est intacte, le dépouillement peut avoir lieu.

La gestion des différents états du vote permet de définir le dépouillement comme impossible à effectuer avant le scellement de l’urne et donc la fin du vote.

La saisie des clefs de déchiffrement est indispensable pour déclencher le dépouillement.

La procédure de dépouillement édite automatiquement un rapport présentant le décompte des voix pour le scrutin.

Une empreinte de tous les fichiers composants de l’application est réalisée lors de l’audit du code source de l’application.

Il est possible de vérifier que les empreintes sont les mêmes sur l’application en production.

De plus, lors de chaque vote, une empreinte unique est calculée grâce à tous les éléments du vote (candidats, électeurs, détails du scrutin, etc.…).

Cette empreinte est unique à chaque configuration de vote. Si l’empreinte change au cours du vote, le système déclenchera une alerte et empêchera le dépouillement.

Dès la clôture du dépouillement, le système de vote reste figé dans son état.

Il est impossible d’en modifier l’état. De plus, le rapport généré automatiquement reste consultable.