La Poste mise sur la transparence en matière de vote électronique: depuis 2021, tous les composants de son système de vote électronique ayant une incidence sur la sécurité sont accessibles au public. Grâce à un programme bug bounty à durée indéterminée, les spécialistes du monde entier peuvent tester le système 24 heures sur 24, avec la perspective de primes financières pour les failles confirmées.
De plus, la Poste effectue régulièrement des tests d’intrusion publics. Durant une période définie, des hackeuses et hackers éthiques tentent de s’introduire de manière ciblée dans le système. Ces tests sont prescrits par la loi et constituent un élément central de l’exploitation à l’essai du vote électronique dans les cantons. Le test d’intrusion public, qui s’étend sur plusieurs semaines, fait partie du programme de la Communauté Vote électronique de la Poste.
À partir d’aujourd’hui et jusqu’au 24 août, la Poste met à disposition son environnement de vote électronique pour des attaques ciblées sur pit.evoting.ch. Le test portera sur la dernière version du système qui entrera en service à partir de 2026 pour les votations et les élections. Les spécialistes en informatique du monde entier peuvent tester le processus de vote, déceler les failles de sécurité et tenter de s’introduire dans l’urne électronique. Pour la première fois, ils peuvent aussi tester la fonctionnalité des champs de texte ouverts. Ces «votes manuscrits» peuvent être utilisés lors d’élections au cours desquelles les électrices et les électeurs peuvent inscrire eux-mêmes les candidats de leur choix s’ils ne figurent pas sur les listes officielles.
Pour les failles confirmées, la Poste verse des primes allant jusqu’à 250 000 francs. Pour les personnes ayant signalé les trois premières failles confirmés, un bonus de 3000 francs est accordé en plus de la prime. Depuis le lancement du programme bug bounty pour le vote électronique, la Poste a déjà versé plus de 220 000 francs à des hackeuses et hackers éthiques pour des failles avérées.
Les tests d’intrusion publics sont un moyen éprouvé de cybersécurité. Ils complètent les audits internes et externes par des contrôles indépendants effectués par la communauté informatique mondiale.
Des tests publics comme le PIT et des événements comme BärnHäckt sont des éléments importants de l’exploitation à l’essai du vote électronique et de la stratégie de cybersécurité de la Poste. Mais ceux-ci ne constituent qu’une partie d’une approche globale de la sécurité:
Comme les années précédentes, la Poste publiera un rapport à l’issue du test d’intrusion. Les personnes intéressées pourront y découvrir si et comment le système a résisté aux attaques.