À propos de cette démo
Trois façons de collecter et compter le même vote simple (un choix parmi M candidats), pour rendre visibles les compromis entre fiabilité, rapidité et confidentialité.
V1 : Bulletin papier
L'électeur trace une croix à la main. Le présentateur dépouille bulletin par bulletin, à voix haute — travail humain, répétitif, faillible. Le résultat révèle l'écart entre le tracé réel et ce que le dépouillement a compté.
- Poste de vote virtuel unique, pas de vrais isoloirs.
- Détection "bulletin ambigu" simplifiée, pas les règles légales réelles.
- Erreurs simulées volontairement pour illustrer le propos.
V2 : QR code en clair
Même vote, mais la machine imprime le choix en QR lisible sans ambiguïté ; le dépouillement se fait par scan, plus de jugement humain. Uniformiser le format accélère le dépouillement, mais côté confidentialité V2 vaut V1 : le QR en clair est aussi visible qu'une croix sur papier.
- Vote stocké et transmis sans protection de confidentialité (choix pédagogique).
- L'identité unique par bulletin empêche le double comptage informatique, mais ne remplace pas la chaîne de garde physique de l'urne.
V3 : Bulletin scellé avec reçu vérifiable
Même geste qu'en V2, mais avant impression la machine chiffre le choix — illisible, mais avec une preuve mathématique intégrée que le bulletin est authentique, sans révéler le vote. L'électeur reçoit aussi un reçu personnel (sans son vote) pour vérifier plus tard son inclusion. Le total reste scellé pendant tout le dépouillement ; le résultat n'est révélé qu'à la toute fin.
Déroulé : choix du candidat (aperçu brouillon), impression du bulletin scellé (QR portant seulement son identifiant), puis dépôt dans l'urne, qui revérifie la preuve avant de l'ajouter au total chiffré. Chaque bulletin apparaît sur le tableau public des bulletins, « imprimé » puis « déposé ».
Ce que ça change : contrairement à V1/V2, même la personne qui dépouille ne connaît pas le résultat avant sa révélation officielle — ça retire l'occasion d'ebruiter ou d'influencer un résultat partiel.
- Paramètres de sécurité réduits pour rester lisibles à l'écran.
- Le "code participant" simplifie grossièrement un vrai contrôle d'identité électorale.
- Le bourrage des urnes reste un problème d'organisation, pas quelque chose qu'un bulletin scellé garantit seul.
- Instance unique, sans les contrôles de résilience/audit d'un vrai scrutin.
Le reçu de vote : ce qu'il prouve
Le reçu de V3 porte une preuve que n'importe qui peut recalculer soi-même pour vérifier :
- Authenticité : le bulletin encode un vote valide.
- Inclusion : l'identifiant du reçu figure dans la liste publique des bulletins comptés.
Ce qu'il ne prouve jamais, volontairement : pour qui l'électeur a voté — impossible à démontrer à un tiers, même en le montrant, ce qui protège contre pression ou achat de votes.
Limite : le reçu garantit un bulletin bien formé et bien compté, pas le droit de l'avoir produit — c'est le rôle du code participant ci-dessous.
Le code participant : séparation des rôles
Chaque électeur tape un code personnel avant de voter, jamais partagé avec l'agent du bureau. Trois rôles distincts : l'autorité d'inscription distribue les codes, l'électeur l'active en votant, la machine de vote ne fait que produire un bulletin à partir d'un code valide.
Cette séparation encadre identiquement V1, V2 et V3 — c'est elle, pas la cryptographie de V3, qui protège contre le bourrage des urnes. Elle ne couvre pas la distribution des codes en amont.
En résumé
V1 et V2 partagent le même point faible : le vote est visible en clair par quiconque regarde ou scanne le bulletin. Le gain de V2 sur V1 est la rapidité, pas la confidentialité. V3 apporte un vrai changement : même le dépouillement ne connaît pas le résultat avant sa révélation officielle.