Présentation de Shutter Governance

Aujourd’hui, nous présentons Shutter Governance : un système destiné aux communes, conseils, universités, syndicats et coopératives pour organiser des élections où chaque bulletin reste confidentiel et chaque résultat peut être vérifié de manière indépendante par quiconque.

C’est un objectif que nous poursuivons depuis des années. Depuis 2022, notre chiffrement des votes sur Snapshot a protégé plus de 370 000 votes dans plus de 800 communautés numériques.

Shutter Governance s’appuie sur ce travail, désormais au service des institutions.

Pourquoi nous avons tenu à le construire

Posez-vous la question. La dernière fois que vous avez consulté des résultats électoraux, étiez-vous vraiment en mesure de les vérifier – ou avez-vous simplement dû faire confiance à ceux qui travaillaient dans les coulisses ?

Jusqu’à récemment, il fallait toujours se fier à ceux qui organisaient l’élection.

Le dépouillement se déroule quelque part hors de votre vue, et vous êtes invité à l’accepter sur parole. C’est ainsi que le doute s’installe. Une fuite par-ci, un chiffre contesté par-là, une rumeur qui se propage plus vite que les faits – et un résultat parfaitement honnête peut devenir source de discorde.

Nous ne voulions pas que les gens débattent de la fiabilité des résultats. Nous voulions qu’ils puissent les vérifier eux-mêmes.

Ce que fait Shutter Governance

Shutter Governance préserve le secret de chaque vote et permet à quiconque de confirmer que le décompte final est correct. Votre choix nous est caché, caché aux organisateurs, au gouvernement, à tout le monde. Et pourtant, vous pouvez vérifier que votre propre vote a bien été comptabilisé, et n’importe qui peut contrôler le résultat, sans compte et sans accès particulier.

Pour mieux comprendre le fonctionnement, essayez notre démonstration interactive.

Trois techniques éprouvées qui fonctionnent ensemble

Le système Shutter Governance sécurise les votes grâce au chiffrement homomorphe ElGamal. Il s’agit d’un type de chiffrement particulier dont la propriété semble impossible : on peut additionner des nombres sans jamais les voir. L’autorité électorale ne déchiffre jamais les votes individuels. Elle additionne tous les votes chiffrés et ne déchiffre que la somme finale – le résultat – sans que les données sources ne soient jamais révélées.

La question qui vient naturellement ensuite : des votes chiffrés ne pourraient-ils pas contenir n’importe quoi, comme des choix invalides ou plusieurs votes d’un même électeur ? C’est là qu’interviennent les preuves à divulgation nulle de connaissance. Lorsque vous soumettez votre vote chiffré, vous joignez également une preuve mathématique démontrant que votre vote est valide, sans jamais révéler votre choix. Ces preuves sont liées à l’identité unique de l’électeur, garantissant que chaque électeur éligible ne peut soumettre qu’une seule preuve valide par élection. Si quelqu’un tente de voter deux fois, le système détecte qu’une preuve de cet électeur existe déjà et rejette le doublon. Le système rejette tout vote sans preuve valide et toute soumission en double, rendant impossible le bourrage des urnes comme le double vote.

Le processus de déchiffrement utilise la cryptographie à seuil, où la clé de déchiffrement est répartie entre plusieurs parties indépendantes – telles que des observateurs électoraux, des organisations civiles et des observateurs internationaux. Un nombre prédéfini de ces parties (par exemple trois sur cinq) doit coopérer pour déchiffrer le décompte final, car aucune entité seule ne peut déchiffrer les votes. Cette approche distribuée élimine la nécessité d’une autorité centrale qui avait rendu les précédents systèmes de vote numérique vulnérables.

Le résultat ? Un système définitivement privé, publiquement vérifiable et pratiquement extensible à des millions d’électeurs.

Pourquoi cela n’était pas possible jusqu’à présent

Si cela semble être quelque chose qui aurait dû déjà exister, vous avez raison – et de nombreux acteurs sérieux l’ont tenté. Virginie-Occidentale, Suisse, Moscou, Iowa : le bilan est un cimetière de fuites, de failles et de pannes. Chaque tentative a buté sur le même mur. Il était possible d’avoir la confidentialité, la transparence ou l’extensibilité – mais jamais les trois à la fois.

Ce qui a changé, ce n’est pas un ordinateur plus puissant. Le secteur cherchait à résoudre le mauvais problème.

Les développeurs cherchaient un chiffrement capable d’effectuer n’importe quel calcul sur des données scellées. C’est comme construire une voiture de Formule 1 pour aller faire ses courses. Impressionnant, mais inutile, peu pratique, et beaucoup trop lent et coûteux pour une vraie élection. Car une élection n’a pas besoin d’effectuer des calculs sur votre bulletin. La seule chose dont elle a besoin, c’est d’un résultat final et précis.

C’est pourquoi nous avons construit sur le chiffrement ElGamal, en l’associant à des preuves à divulgation nulle et à la cryptographie à seuil. Le résultat : les votes restent chiffrés pour toujours, et pourtant n’importe qui peut vérifier que le décompte est correct. Comme compter des bulletins dans des enveloppes scellées sans en ouvrir une seule. Le mur a simplement disparu.

Un nouveau standard pour le vote moderne

Shutter Governance n’est pas là pour remplacer la façon dont les élections sont organisées, mais pour la renforcer.

Le système fonctionne aux côtés des systèmes de vote que les institutions utilisent déjà, permettant aux communes, conseils, universités, syndicats et coopératives d’ajouter confidentialité et vérifiabilité sans tout recommencer. La même approche s’adapte d’un vote de comité d’entreprise à une élection avec des millions d’électeurs. Tout est conçu en Europe, conforme au RGPD par défaut et entièrement open source, afin que quiconque puisse vérifier son fonctionnement.

Shutter Governance lui-même est nouveau et apporte de nouvelles capacités – mais les idées qui le sous-tendent ne le sont pas.

Les bulletins chiffrés, les décomptes publiquement vérifiables et les clés de déchiffrement réparties entre parties indépendantes constituent depuis des années le fondement de la recherche académique sur le vote. Des systèmes comme Belenios, issu de la recherche publique française, organisent des élections sur ces mêmes principes depuis 2015.

Le terrain sur lequel il repose a été éprouvé par des cryptographes.

Si vous organisez des élections ou concevez les plateformes qui le font, nous aimerions vous entendre. Contactez-nous pour un appel de découverte et commencez par un projet pilote pour voir par vous-même un résultat vérifiable.

La démocratie ne devrait pas reposer sur la confiance aveugle. Et désormais, chacun peut vérifier chaque vote.