Elections et cyberattaques : des vulnérabilités autour du processus électoral existent-elles ?

Antony, France — jeudi 8 novembre 2018

Par Pierre-Yves Popihn, Directeur Technique France

Les élections de mi-mandat aux Etats-Unis viennent de se clôturer et les outils électoraux propres aux Etats-Unis via les machines à voter posent la question des possibilités d’interférence dans le processus électoral via les machines à voter. Si la sécurisation du scrutin reste fondamentale, la question sur la vulnérabilité de ces machines se pose : les machines à voter sont-elles piratables ?

S’il est techniquement possible de pirater une machine à voter, « jusqu’où peuvent-elles l’être » est la question qui fait débat. En effet, certaines machines peuvent s’avérer vulnérables aux attaques via Wi-Fi ou via un port USB actif, tandis que d’autres appareils seront piratés sur la base d’un accès physique à la machine.

Les machines exploitent différentes technologies et sont généralement physiquement isolées d’Internet, de sorte à rendre difficile le piratage à distance d’un grand nombre de machines via une seule attaque. Malheureusement, les composants utilisés par ces machines proviennent d’une grande variété de fournisseurs, dont certains sont suspectés d’avoir eu recours à l’insertion de puces malveillantes dans des cartes mères destinées aux marchés étrangers. C’est donc la chaîne d’approvisionnement, plus que le piratage à grande échelle des machines à voter, qui devrait susciter davantage d’inquiétudes.

Les machines bien conçues et sécurisées ne sont pas non plus à l’abri de problèmes potentiels. Elles dépendent en effet des pratiques de sécurité des administrateurs qui y ont accès. Prenons l’exemple d’un administrateur système autorisé qui installerait un logiciel d’accès à distance la veille d’une élection afin de travailler à distance. Si ce cas de figure n’est a priori pas problématique, l’ouverture d’un tel accès à distance ouvre potentiellement la voie à des vulnérabilités qui n’auraient pas existé autrement.

Mais en réalité, le problème pour les cyberattaquants n’est pas tant de pirater des machines à voter que de réussir à pirater, de manière indiscernable, un nombre de machines permettant d’affecter suffisamment de votes pour influencer les résultats d’une élection. En effet, si un cyberattaquant souhaite que le candidat A l’emporte sur le candidat B, il ne peut pas simplement changer les votes de l’ensemble des machines d’un État en 100% de votes favorables pour ce candidat. Pour que l’opération puisse passer inaperçu, il lui faudrait effectuer tout un tas de petits changements sur plusieurs machines. C’est ce qui rend l’interférence avec les machines compliquée.

La comptabilisation des votes en question

Dans le cas des Etats-Unis, les sites Internet de chaque État, qui collectent et annoncent les résultats des élections, sont probablement plus vulnérables que les machines à voter. Une grande partie de ces informations transite par un certain nombre de systèmes au sein de chaque État, et il y a moins de systèmes que de machines à voter. Ainsi, il serait beaucoup plus facile pour un cyberattaquant de s’en prendre à un seul État en ciblant sa base de données et en modifiant juste assez de votes pour altérer le résultat des élections. Ce risque est en réalité bien plus grand que le risque de piratage des machines à voter.

L’avantage est que les machines locales conservent des audits et des traces écrites sur support papier des scrutins d’origine. Ainsi, si le candidat A l’emporte de manière inattendue sur le candidat B, il est en théorie possible de vérifier le résultat des votes d’origine sur les machines et de s’assurer que les votes exprimés représentent bien les votes comptabilisés. Malheureusement, ces audits ne sont pas toujours fiables.

Néanmoins, les attaques ciblant des sites électoraux et qui permettraient d’accéder de cette manière aux résultats des votes se limitent à un petit nombre d’incidents. Cela ne veut pas dire que de telles attaques n’ont pas lieu, mais simplement que si elles se déroulaient à grande échelle, nous en entendrions parler.

Quid des données personnelles utilisées pour des campagnes sur les réseaux sociaux

Ces dernières années, on suspecte certaines attaques d’avoir entraîné la divulgation d’informations concernant des citoyens inscrits sur liste électorale, parmi lesquelles leur nom, adresse, date de naissance, sexe, numéro de permis de conduire, numéro partiel de sécurité sociale, numéro de téléphone et adresse e-mail, ainsi que la liste des élections précédentes auxquelles ils avaient voté (sans pour autant révéler la nature de leur vote). Aux Etats-Unis, dans la plupart des États, ces informations appartiennent au domaine public et sont accessibles sans qu’une manœuvre de piratage soit nécessaire. On pourrait donc se demander quel peut être l’intérêt de ces informations pour les cyberattaquants.

Toute la valeur de ces informations réside en fait dans la possibilité qu’elles offrent d’identifier les personnes à cibler dans le cadre de campagnes sur les réseaux sociaux et de pratiques dites d’ingénierie sociale. Le quotidien national américain et site internet USA Today a ainsi identifié que 3157 publicités avaient été achetées par des acteurs russes avant et après les élections présidentielles de 2016 aux Etats-Unis. Ces publicités reprenaient principalement des thèmes clivants de manière à attiser les hostilités entre libéraux et conservateurs. En exagérant l’ampleur de certains problèmes et en véhiculant des informations erronées, les messages diffusés ont pour objectif d’accroître ou de décourager la participation électorale, selon les cas. Des citoyens peuvent ainsi se retrouver ciblés par des e-mails, des publicités ou des posts de réseaux sociaux reprenant des remarques désobligeantes d’un candidat. Il n’est même pas nécessaire que ces déclarations soient véridiques puisque la propension des personnes à aller vérifier la véracité des publicités à caractère politique est faible.

De telles campagnes ne suffiront pas nécessairement à faire voter les personnes ciblées pour le candidat A ou le candidat B, mais il est possible qu’elles orientent le choix de certains. Imaginons que le cyberattaquant réplique cette tactique 200 000 fois ou 2 millions de fois. Si seulement 10% des victimes réagissent de la manière dont le cyberattaquant le souhaite, cela représente une influence potentielle sur 20 000, 200 000 ou 6 millions de votes. Et les Etats-Unis ne sont bien sûr pas le seul pays visé par de tels procédés. La France, le Royaume-Uni, la Finlande, la Suède, le Danemark, les Pays-Bas, l'Allemagne, l'Espagne et l’Italie ont tous été victimes de campagnes similaires sur les réseaux sociaux au cours de ces dernières années, avec plus ou moins de succès. On sait d’ailleurs que certaines de ces campagnes, comme dans le cas des soupçons d’ingérence russe contre le président Macron, ont été accompagnées d’activités hostiles de l’APT28, un groupe de hackers dont les actions ont été liées au gouvernement russe.

Quelles sont les actions possibles ?

Les normes relatives aux machines à voter ainsi qu’à la gestion et la déclaration des données de vote sont en train d’évoluer. La Commission d’assistance électorale américaine (EAC) a publié une mise à jour de ses normes volontaires en septembre 2016, mais certains états choisissent de suivre les initiatives fédérales et d’autres encore suivent leurs propres initiatives. Par conséquent, il n’existe pas actuellement de normes universelles régissant la protection des machines à voter ou l’ensemble du processus de vote. La meilleure chose à faire reste d’appliquer les bonnes pratiques à la conception du système de vote, et d’inclure comme exigences de base des contrôles de sécurité essentiels tels que l'isolement physique, une construction à l’épreuve de toute altération, un programme de gestion active des correctifs, et une surveillance et un audit solides de la sécurité. Ces contrôles ne doivent pas simplement être mis en place au niveau des machines à voter : ils doivent faire partie intégrante de l’ensemble des systèmes support au niveau des Etats mais aussi à l’échelle nationale.

Les contrôles techniques ne représentent qu’une partie de l’équation. L’influence sur les votes des campagnes agressives sur les réseaux sociaux a eu des répercussions dans le pays et à l’international. Si les réseaux sociaux ont fait du chemin en ce qui concerne la répression des faux comptes exclusivement utilisés à des fins d’influence politique, ce processus doit aussi s’appuyer sur la discipline individuelle d’un public informé pour être efficace.

À une époque où l’information représente le pouvoir et où les réseaux sociaux constituent le meilleur moyen d’accéder à cette information pour un très grand nombre d’utilisateurs dans les pays modernes, les manœuvres de contrôle et de manipulation de ces réseaux pourraient avoir un impact bien plus dramatique sur les élections que le piratage limité qui a pu être observé jusqu’ici. Si elles sont mises à exécution de manière suffisamment subtiles, ces manœuvres pourraient même passer inaperçu auprès des premiers intéressés.

Pour voir l’intégralité du rapport, veuillez cliquer ici.