Breton F.: August 2025

Par Breton F.

Au milieu du XIXᵉ siècle, une innovation venue de l’autre bout du monde a transformé la démocratie : le bulletin de vote australien. Introduit en 1856 à Victoria, en Australie, il apportait deux idées majeures :

Des bulletins normalisés, imprimés par le gouvernement, listant tous les candidats.
Des isoloirs, garantissant le secret du vote et réduisant l’intimidation.

Avant cela, voter signifiait souvent déclarer son choix à voix haute ou utiliser un bulletin fourni par un parti, exposant l’électeur à la fraude ou aux pressions. Ce modèle australien s’est imposé dans le monde entier et reste aujourd’hui la norme dans de nombreuses démocraties.

Mais 170 ans plus tard, ce système, aussi ingénieux fût-il en 1856, n’a pratiquement pas évolué. Dans un monde où les transactions bancaires, la communication et les services publics se font en ligne, le vote reste souvent un processus lourd, coûteux et vulnérable. En Haïti, les défis logistiques et sécuritaires accentuent ces limites, freinant la participation et alimentant les soupçons de fraude.

Trois piliers inchangés, mais de nouveaux moyens

Quel que soit le format, un scrutin doit garantir :

Un dépouillement précis
Une participation simple
Une sécurité robuste

La technologie permet aujourd’hui de répondre à ces trois exigences mieux que le papier seul.
Le modèle proposé pour Haïti repose sur :

Un vote électronique sécurisé, avec enregistrement sur blockchain pour une traçabilité infalsifiable.
Chiffrement homomorphe à seuil (HE) : chaque bulletin est chiffré sous une clé publique et seuls les totaux par centre sont ouverts via déchiffrement à seuil par un collège de dépositaires (clés partagées dans des HSM). Aucun bulletin individuel n’est jamais déchiffré.
Bulletins papier de secours pour recomptages et audits.
Fonctionnement hors ligne des appareils, avec synchronisation ultérieure vers le registre national.
Réseau minimaliste mais sécurisé : seuls quelques nœuds maîtres (serveurs) sont interconnectés via Internet, chacun protégé par la cryptographie et géré par des entités indépendantes (administration électorale, observateurs, société civile). Inutile de déployer une infrastructure massive : quelques points de confiance suffisent à garantir l’intégrité et la disponibilité du système.

Nouveau modèle : fenêtre unique et revote certifié

Pour limiter les risques de fraude, de cyberattaques et de coercition, le système intégrerait :

1. Fenêtre nationale de 30 minutes
Tous les votes électroniques, depuis un appareil personnel ou une machine officielle, sont enregistrés en même temps. Cette courte durée :

Réduit la surface d’attaque.
Facilite la supervision technique et humaine.
Supprime les longues périodes vulnérables.

2. Phase de revote dans des sites certifiés (fixes ou mobiles)
Après la fenêtre initiale, les électeurs peuvent revoter dans :

Des centres fixes sécurisés.
Des unités mobiles certifiées (véhicules spécialement équipés) qui se déplacent dans les quartiers.

Chaque appareil de vote — qu’il appartienne à l’électeur (BYOD) ou soit fourni par le centre — doit être pré-enregistré et certifié par l’autorité électorale.

Certification = contrôle logiciel et matériel, garantissant l’intégrité de l’appareil.
Un électeur = un appareil certifié : chaque terminal est lié à l’identité de l’électeur pour empêcher les votes multiples depuis différents appareils.

BYOD : l’équivalent numérique du vote par correspondance

Dans de nombreuses démocraties, le vote par correspondance permet déjà de voter depuis chez soi.
Le BYOD (Bring Your Own Device) en est la version numérique :

Le “bulletin” est envoyé de façon sécurisée sur l’appareil personnel.
L’électeur s’identifie via authentification forte.
Le vote est chiffré localement, puis transmis à la plateforme officielle.

Encadré : Vote par correspondance vs. BYOD

Aspect	Correspondance	BYOD
Lieu de vote	Chez soi	Chez soi ou ailleurs
Distribution	Bulletin papier par la poste	Bulletin numérique sécurisé
Vérification	Signature manuelle	Code unique + biométrie/MFA
Retour	Par courrier	Transmission chiffrée
Dépouillement	Manuel ou optique	Automatique sur données chiffrées
Audit	Bulletin papier	Bulletin chiffré + reçu
Coercition	Possible	Réduit par le revote
Résultats	Jours/semaines	Minutes/heures
Coût	Élevé	Réduit

Bulletins intelligents (eBallots) : ressource limitée et ancrée à la région

Allocation unitaire : pour chaque scrutin, un eBallot signé par l’autorité électorale est émis par électeur (token unique non réutilisable).
Champ d’application : chaque eBallot contient (i) un identifiant aléatoire non réutilisable, (ii) la signature cryptographique de l’autorité (HSM), (iii) la circonscription/commune autorisée, (iv) une fenêtre de validité (ex. 30 minutes + période de revote), (v) l’attestation de l’appareil certifié lié à l’électeur.
Ressource limitée, anti‑bourrage d’urnes : le registre n’accepte que des eBallots émis (pas plus que le nombre d’inscrits). Les tentatives de double dépense (soumission du même eBallot) sont rejetées. En cas de revote, le nouvel eBallot révoque automatiquement le précédent (« le dernier vote compte »). Des compteurs publics par région affichent : inscrits, eBallots émis, eBallots consommés.
Ancrage territorial : l’application vérifie que l’eBallot utilisé correspond à la région autorisée (code communal) et, selon le niveau de risque, exige une preuve de lieu (balise Bluetooth au site mobile, géorepérage doux via Wi‑Fi/cellulaire). Un vote tenté hors région est bloqué. Les électeurs déplacés peuvent faire rééditer un eBallot en site certifié (avec révocation tracée du précédent).
Mode hors‑ligne : les unités mobiles embarquent un lot limité d’eBallots pré‑signés ; chaque consommation est horodatée et synchronisée ensuite. Des quotas locaux empêchent toute sur‑émission.
Transparence sans traçage : l’eBallot n’encode aucun choix ; seules l’élection et la région y figurent. Les observateurs peuvent reconcilier allocations et usages sans lier un vote à une personne.
Équité d’affichage (ordre aléatoire des candidats) : sur chaque eBallot, l’ordre d’affichage des candidats est randomisé (pseudo‑aléatoire), de façon à supprimer tout avantage lié à la position. Le tirage peut être semé à partir de l’identifiant du eBallot (sans révéler le vote), puis auditable par échantillonnage.
Identifiant unique du bulletin : chaque eBallot possède un identifiant cryptographiquement unique (non réutilisable, non forgeable) qui permet de contrôler l’allocation (un bulletin par électeur), de prévenir le bourrage et d’assurer la traçabilité agrégée sans jamais exposer le choix individuel.

Schéma cryptographique : seuls les totaux de centre sont déchiffrés

Agrégation chiffrée : les bulletins sont additionnés directement sous chiffrement (Paillier/ElGamal en mode addition), produisant un chiffre agrégé par centre et par scrutin.
Déchiffrement à seuil + politiques HSM : les clés sont partagées entre autorités indépendantes (administration, justice, société civile, observateurs). Les HSM n’autorisent l’ouverture que d’agrégats respectant des règles : p. ex. k‑anonymat (minimum de X bulletins) et portée (centre de vote, pas d’individuels).
Aucun déchiffrement individuel : par conception et par politique HSM, il est impossible d’ouvrir un bulletin isolé.
Preuves zéro‑connaissance (ZKP) : chaque bulletin inclut une preuve « un‑et‑un‑seul choix valide » ; les observateurs peuvent vérifier l’intégrité sans voir les choix.
Alternative MPC/partage de secrets : en option maximale confidentialité, les votes sont partagés entre dépositaires (Shamir/MPC) — aucun ciphertext individuel déchiffrable n’existe, seuls les totaux peuvent être reconstitués.
Journal public vérifiable : agrégats chiffrés et preuves sont publiés sur un registre public ; toute partie peut répliquer la vérification sans porter atteinte au secret du vote.

Journal minimaliste : hash + agrégats cumulés (pas de stockage de bulletins)

Aucun bulletin conservé : le système ne stocke pas les bulletins (même chiffrés) en base durable. Le registre public n’enregistre que le hash du reçu : H = Hash(eBallotId || sel). Ce hash sert à prouver l’inclusion et à empêcher les réutilisations (anti‑rejeu), sans contenir d’information sur le choix.
Tally cumulatif en continu : à chaque vote ou revote, l’appareil envoie un incrément chiffré que les HSM du centre ajoutent atomiquement à l’agrégat chiffré du centre. L’agrégat (et lui seul) est checkpointé périodiquement sur le registre public (ou signé et répliqué sur plusieurs nœuds maîtres).
Revote sans mémoriser le bulletin : pour remplacer un vote antérieur, les HSM maintiennent temporairement (en mémoire sécurisée et répliquée) la trace cryptographique minimale liée au hash du précédent reçu afin d’appliquer un contre‑incrément (soustraction homomorphe) — sans conserver le contenu du bulletin. Cette table volatile est effacée à la clôture officielle du centre.
Robustesse : en cas de panne, les nœuds maîtres restaurent le dernier agrégat checkpointé. Les hashes de reçus permettent de vérifier publiquement qu’aucune double dépense n’a été acceptée durant la fenêtre.
Confidentialité renforcée : on ne hashe jamais le contenu du vote. Des preuves zéro‑connaissance lient chaque hash à un incrément « un‑et‑un‑seul choix valide » sans révéler le choix.

Encadré : Revote & conservation minimale (sans conserver les bulletins)

Principe : permettre à un électeur de remplacer son vote antérieur sans stocker durablement les bulletins.
Option A — État éphémère en HSM (recommandée) : les HSM gardent temporairement la contribution chiffrée courante liée au hash du reçu ; en cas de revote, ils appliquent un contre‑incrément (soustraction homomorphe) puis ajoutent le nouveau vote ; effacement à la clôture.
Option B — Stockage temporaire chiffré : conserver les ciphertexts jusqu’à la clôture pour simplifier l’audit, sans jamais déchiffrer individuellement ; le dernier vote remplace les précédents, puis suppression.
Option C — MPC/Partage de secrets : aucune copie déchiffrable n’existe ; chaque vote est partagé entre autorités et seul le total peut être reconstitué ; revote = remplacement des parts.
Auditabilité : les agrégats checkpointés et les hashs de reçus publiés sur le registre public permettent de vérifier l’inclusion et l’absence de double dépense sans exposer le contenu des votes.

Anti-achat de votes et protection des électeurs

Ce système rend le vote invérifiable par un tiers, et donc impossible à “vendre” :

Les reçus de vote ne révèlent jamais le choix.
La possibilité de revoter neutralise toute coercition : l’électeur peut changer son vote après un acte sous pression.
Un mode “sécurité” permet d’enregistrer un vote neutre en cas de contrainte, puis de le remplacer plus tard.

Coûts estimatifs

Investissement initial réutilisable (upfront) :

Développement logiciel, intégration et audits de sécurité : ~2 à 3 M USD
Achat et certification des nœuds maîtres, HSM et serveurs : ~1 à 2 M USD
Kits pour unités mobiles (tablettes, imprimantes, biométrie, énergie) : ~2 à 3 M USD
Total initial : ~5 à 8 M USD

Coûts récurrents par scrutin :

Formation et support technique : ~0,5 à 1 M USD
Logistique et déploiement des unités mobiles : ~0,8 à 1,5 M USD
Maintenance, licences et sécurité opérationnelle : ~0,7 à 1,2 M USD
Total récurrent : ~2 à 5 M USD

Coût par vote : ~0,7 à 1,5 USD selon le taux de participation.

Délais réalistes de mise en œuvre

Un tel système ne nécessite pas une infrastructure massive : quelques nœuds maîtres interconnectés via Internet et protégés par la cryptographie suffisent.
Avec une volonté politique claire et une planification en parallèle des volets juridiques, techniques et logistiques, on peut envisager :

Pilote local : 4 à 6 mois (déploiement dans 1 à 2 communes pour tester le modèle et former les équipes).
Déploiement national : 12 à 18 mois (formation de masse, certification des appareils BYOD, mise en service des unités mobiles).

Une opportunité pour Haïti

Comme l’Australie en 1856, Haïti peut marquer l’histoire en modernisant son processus électoral.
Avec un vote hybride, sécurisé, rapide et accessible, appuyé par un réseau réduit de nœuds maîtres protégés par cryptographie, le pays pourrait devenir un exemple régional de scrutin résilient, transparent et inclusif, même dans un contexte difficile.
L’innovation d’hier a changé la démocratie. Celle d’aujourd’hui peut renforcer la confiance des citoyens et redonner envie de voter.

Encadré : Chronologie des innovations électorales

Ve s. av. J.-C. – Grèce antique : vote avec cailloux ou tessons.
XIIIᵉ s. – Venise : boîtes à bulletins pour secret du vote.
1856 – Australie : bulletins officiels + isoloirs.
1890s – Diffusion mondiale du modèle australien.
1960s – Premières machines de dépouillement.
2000s – Vote en ligne national (Estonie).
2020s – Tests blockchain + chiffrement avancé.
Aujourd’hui – Haïti : saut direct vers un système hybride infalsifiable.

Breton F.

Friday, August 15, 2025

De l’Australie à Haïti : réinventer le vote pour plus de sécurité, de rapidité et de confiance