Signaler un abus

@Tall,

Aldoo a tout à fait raison sur ses objections.

La seule possibilité d’assurer un minimum de sécurité consiste à avoir du matériel sécurisé : mémoire sécurisé, registres de l’ALU sécurisés, piles sécurisés ... pour éviter toute intrusion par un cheval de Troie.

Sans cela, la confidentialité peut être violée avec une facilité déconcertante ; un simple cheval de Troie de type inputs bloquants rend totalement inopérant n’importe quel système de protection.

L’intégrité peut tout autant être violée. Pour éviter tout problème par contrôle administratif, un cheval de Troie peut émettre un vote supplémentaire à celui qui est opéré ; il peut être fréquencé et ne réaliser cette opération que pour un nombre x de vote ; exemple : chaque 10 votes, je génère un vote virtuel pour tel candidat. La seule et unique garantie que nous pourrions avoir serait que tous les petits papiers soient renvoyés pour comptabilité manuelle (autant dire que le vote électronique, dans ce cas, devient obsolète).

En fait, un cheval de Troie peut faire ce qu’il veut, il suffit d’avoir un peu d’imagination et savoir attaquer la couche matériel (donc niveau inférieur au système opératoire). Entrer dans un système est facile. Si vous mettez un système de traces pour la surveillance, il peut être déjoué par un système pirate multipostes ; chacun ayant en charge une partie du processus d’attaque.

En sécurité informatique, nous savons générer des canaux cachés manipulant des informations sur des 1/2 bits (Ce que nous appelons des half bits channel). De plus, ils peuvent être bruités.

Il faut donc dissocier deux approches de la sécurité : statique et dynamique. Cela peut se résumer par :

Les types de contrôle d’accès à l’information sont directement liés à la façon dont un ordinateur traite globalement les données. Nous pouvons considérer l’accès direct par le fait de demander un chargement d’une information statique (stockée sur un support).

L’accès indirect peut être matérialisé par un accès à une donnée statique par le biais d’un ou plusieurs intermédiaires (processus).

La gestion des flux d’informations est lié surtout à l’aspect du traitement dynamique d’une donnée (exploitation en mémoire centrale, transfert de ou vers les registres du microprocesseur, ...).

Ces trois types d’accès doivent être pris en compte dans le traitement de la sécurité de l’information. Le problème majeur est que, généralement, les processus de bas niveaux sont implantés dans les systèmes sans tenir compte des politiques de sécurité. Un exemple concret : les processus d’accès à la mémoire sont en mode lecture et écriture pour tous les utilisateurs du système. Les modèles de sécurité représentent le système informatique à un niveau d’abstraction trop élevé pour tenir compte de tous les mécanismes de ce système (interruptions, accès à la mémoire, accès aux registres, ...).

Désolé, ceci est un copier/coller d’un de mes rapports fait au CERT/ONERA dans le Département de Traitement de l’Information et Modélisation secteur Sécurité.

Quant au principe de cryptage, tout en n’étant pas un grand spécialiste, ils ne sont en aucun cas sûr si ils sont permanents. De mémoire, les forces armées, pour leurs communications, changent d’algorythme de cryptage toutes les 1/2 heures.

Cela est juste pour signaler que si nous voulons mettre en oeuvre un système de vote électronique qui possède un bon niveau de sécurité, entre E4 et E6 (voir European Economic Community. Information Technology Security Evaluation Criteria (ITSEC). Technical Report, 1990.), le prix d’un tel système serait très couteux.

Un autre point très important. Il faut que chaque station de vote soit sûre, il faut que chaque serveur de vote soit sûr et il faut que chaque connexion soit sûre. Malgré cela, l’interconnexion de systèmes sûrs n’assurent pas que l’ensemble le soit. A chaque étape, le système devrait être éprouvé conformément à un système logique de type non déduction.

Autant dire qu’avant d’avoir un système sûr, nous pouvons encore patienter. L’intérêt porté aux résultats d’une élection ne peut souffrir d’aucune suspicion.