C'est le genre de faille de sécurité qui donne des cauchemars aux responsables électoraux. En 2017, un entrepreneur privé a laissé des données sur les 1,8 million d'électeurs inscrits de Chicago, y compris les adresses, dates de naissance et numéros de sécurité sociale partiels — exposés publiquement pendant des mois sur un serveur cloud Amazon.

Plus tard lors d'une audience tendue, Le Conseil des élections de Chicago a habillé les trois principaux dirigeants d'Election Systems &Software, principal fournisseur national d'équipements et de services électoraux.

Les trois se sont déplacés mal à l'aise sur des chaises pliantes pendant que les membres du conseil d'administration leur disaient ce qui n'allait pas. Le PDG d'ES&S, Tom Burt, s'est excusé et a souligné à plusieurs reprises qu'il n'y avait aucune preuve que des pirates aient téléchargé les données.

La défaillance de Chicago a fourni un rare moment de responsabilité publique pour les entreprises étroitement détenues qui sont devenues les gardiens de première ligne de la sécurité des élections américaines.

Un trio d'entreprises - ES&S d'Omaha, Nebraska; Dominion Voting Systems de Denver et Hart InterCivic d'Austin, Texas—vendre et entretenir plus de 90 pour cent des machines sur lesquelles les votes sont exprimés et les résultats compilés. Les experts disent qu'ils ont longtemps lésiné sur la sécurité au profit de la commodité, ce qui rend plus difficile la détection d'intrusions telles que celles survenues lors de l'ingérence électorale de la Russie en 2016.

Les entreprises ne sont également confrontées à aucune surveillance fédérale importante et opèrent sous un voile de secret financier et opérationnel malgré leur rôle central dans la démocratie américaine.

Dans une grande partie du pays, surtout là où l'expertise technologique et les budgets sont minces, les entreprises organisent effectivement les élections soit directement, soit par l'intermédiaire de sous-traitants.

"Ils bricolent les choses du mieux qu'ils peuvent, " L'expert en technologie électorale de l'Université du Connecticut, Alexander Schwartzman, a déclaré à propos des leaders de l'industrie. Construire des systèmes vraiment sécurisés les rendrait probablement non rentables, il a dit.

Les coûts d'une sécurité inadéquate peuvent être élevés. N'a pas été mentionné lors de l'audience de Chicago :le cache de données exposé comprenait environ une douzaine de mots de passe cryptés pour les comptes d'employés ES&S. Dans le pire des cas, un attaquant sophistiqué aurait pu les utiliser pour infiltrer les systèmes de l'entreprise, a déclaré Chris Vickery de la société de sécurité Upgard, qui a découvert la défaillance des données.

"C'est le genre de truc qui mène à un compromis complet, ", a-t-il déclaré. ES&S a déclaré que les mots de passe n'étaient utilisés que pour accéder au compte cloud Amazon de l'entreprise et qu'"il n'y avait à aucun moment aucun accès non autorisé à des données ou à des systèmes".

Les trois principaux fournisseurs ont refusé de discuter de leurs finances et insistent sur le fait que les problèmes de sécurité sont exagérés. ES&S, par exemple, a déclaré dans un e-mail que "toute affirmation concernant la résistance à l'entrée sur la sécurité est tout simplement fausse" et a fait valoir que pendant des décennies, l'entreprise avait "réussi à protéger le processus de vote".

PIERRE SUR LA SÉCURITÉ

De nombreux systèmes de vote en usage aujourd'hui dans les plus de 10, 000 juridictions électorales américaines sont sujettes à des problèmes de sécurité. Les informaticiens universitaires ont commencé à les pirater facilement il y a plus de dix ans, et peu de choses ont changé.

Les pirates informatiques pourraient théoriquement faire des ravages à plusieurs étapes du processus électoral. Ils pourraient modifier ou effacer des listes d'électeurs inscrits pour semer la confusion, introduire secrètement un logiciel pour inverser les votes, brouiller les systèmes de tabulation ou déconnecter les sites de rapports de résultats.

Il n'y a aucune preuve que tout cela se soit produit, au moins pas encore.

Les fournisseurs disent qu'il n'y a aucune indication que des pirates informatiques ont pénétré l'un de leurs systèmes. Mais les autorités reconnaissent que certains méfaits électoraux ou pièges malveillants peuvent être passés inaperçus.

Le 13 juillet, L'avocat spécial américain Robert Mueller a inculpé 12 agents du renseignement militaire russe pour, entre autres, infiltrer les systèmes électoraux étatiques et locaux. De hauts responsables du renseignement américain affirment que le Kremlin est bien placé pour ébranler la confiance dans l'intégrité des élections au cours de la mi-mandat de cette année, devrait-il choisir.

Les fournisseurs d'élections ont longtemps résisté aux tests de vulnérabilité ouverts par des hackers éthiques :un processus qui vise à identifier les faiblesses qu'un adversaire pourrait exploiter. De tels tests sont désormais la norme pour le Pentagone et les grandes banques.

Alors que les principaux fournisseurs affirment avoir intensifié leur jeu de cybersécurité, les experts sont sceptiques.

"L'industrie continue de bloquer le problème, " a déclaré Bruce McConnell, un tsar de la cybersécurité du Department of Homeland sous l'administration Obama. Les dirigeants des fournisseurs d'élections émettent régulièrement des assurances, il a dit, mais n'encouragez pas les étrangers à inspecter leur code ou à offrir des « bounties » aux chercheurs pour rechercher des failles dans leur logiciel.

le sénateur Ron Wyden, un démocrate de l'Oregon, a longtemps critiqué ce qu'il appelle le "sous-investissement grave de l'industrie dans la cybersécurité". Lors d'une audience en juillet, il a accusé les entreprises de « esquiver, sautillant et tissant" sur une série de questions de sécurité de base qu'il leur avait posées.

ES&S a déclaré à l'Associated Press qu'il permet aux indépendants, des tests ouverts de ses systèmes d'entreprise ainsi que de ses produits. Mais la société n'a pas nommé les testeurs et a refusé de fournir une documentation sur les tests ou leurs résultats.

vice-président des affaires gouvernementales du Dominion, Kay Stimson, a déclaré que son entreprise avait également demandé à des tiers indépendants de sonder ses systèmes mais ne les nommerait pas ni ne partagerait les détails. Hart InterCivique, le vendeur n°3, a déclaré avoir fait de même en utilisant la société canadienne de cybersécurité Bulletproof, mais ne discuterait pas des résultats.

ES&S a embauché son premier directeur de la sécurité de l'information en avril. Aucun des trois grands fournisseurs ne dirait combien d'experts en cybersécurité ils emploient. Stimson a déclaré que "les protections de confidentialité et de sécurité des employés l'emportent sur toute divulgation potentielle".

LOGICIEL BALADE ET VULNÉRABILITÉ

Les experts disent qu'ils pourraient prendre les garanties de sécurité de l'industrie plus au sérieux si ce n'est pour les preuves abondantes de développement logiciel bâclé, une source majeure de vulnérabilités.

Lors des élections primaires de cette année, La technologie ES&S a échoué sur plusieurs fronts.

Dans le comté de Los Angeles, plus de 118, 000 noms n'ont pas été inscrits sur les listes électorales imprimées. Un audit externe ultérieur a blâmé l'intégration du système bâclée par une filiale ES&S lors d'une fusion de base de données.

Aucun audit de ce type n'a été effectué dans le comté le plus peuplé du Kansas après qu'un autre type d'erreur dans les systèmes ES&S nouvellement installés a retardé le décompte des votes de 13 heures alors que les données téléchargées à partir des clés USB exploraient.

L'informaticien de l'Université de l'Iowa, Douglas Jones, a déclaré que les deux incidents révèlent une programmation médiocre et des tests préélectoraux insuffisants. Et les vendeurs d'équipements de vote n'ont jamais semblé soucieux de la sécurité "à aucune phase de leur conception, " il a dit.

Par exemple, leader de l'industrie ES&S vend des systèmes de tabulation des votes équipés de modems cellulaires, une fonctionnalité que les experts disent que des pirates informatiques sophistiqués pourraient exploiter pour falsifier le décompte des voix. Quelques états interdisent de telles connexions sans fil; en Alabama, l'État a dû forcer ES&S à les retirer des machines en janvier.

"Il semblait qu'il y avait beaucoup plus d'accent sur la fraîcheur des machines qu'il n'y avait de preuves réelles qu'elles étaient sécurisées, " dit John Bennett, le chef de cabinet adjoint du secrétaire d'État de l'Alabama.

La Californie effectue certains des examens les plus rigoureux des systèmes de vote aux États-Unis et a constaté à plusieurs reprises des problèmes chroniques avec les systèmes de vote les plus populaires. L'année dernière, un entrepreneur de la sécurité de l'État a trouvé plusieurs vulnérabilités dans le système Electionware d'ES&S qui pourraient, par exemple, permettre à un intrus d'effacer tous les votes enregistrés à la clôture du scrutin.

En 2014, le même entrepreneur, Jacob Stauffer de la société de sécurité Coherent Cyber, a découvert de « multiples vulnérabilités critiques » dans Dominion's Democracy Suite qui pourraient permettre à des pirates informatiques qualifiés de compromettre le résultat d'une élection.

"Ces systèmes sont le monstre de Frankenstein, essentiellement, " a déclaré Stauffer.

Le département fédéral de la Sécurité intérieure a commencé à proposer des tests de vulnérabilité confidentiels aux fournisseurs au cours de l'été. Mais un seul fournisseur s'est soumis à de tels tests, a déclaré un responsable de l'agence qui a parlé sous couvert d'anonymat parce que le responsable n'était pas autorisé à discuter de la question publiquement.

L'INNOVATION BLOQUE

Plus de concurrence pourrait aider, mais les barrières de l'industrie aux petits fournisseurs sont "absolument énormes, " a déclaré Larry Moore, président de Clear Ballot. Son système de vote vérifiable a pris deux ans et demi pour obtenir la certification fédérale au coût de 1 million de dollars.

Les startups ont du mal à perturber une industrie dont les principaux acteurs s'appuient fortement sur des technologies propriétaires. ES&S et d'autres fournisseurs les ont jalousement protégés devant les tribunaux et ont également déchaîné les avocats contre les fonctionnaires électoraux qui achètent les produits des concurrents.

En octobre, ES&S a poursuivi le comté de Cook, Illinois, cherchant à annuler ses 30 millions de dollars, Contrat de 10 ans avec un concurrent. Il a également récemment menacé la Louisiane et le comté de Douglas, Kansas, avec des poursuites judiciaires pour le choix d'autres fournisseurs.

Le directeur des élections du comté de Cook, Noah Praetz, a déclaré que poursuivre en justice pour défendre sa part de marché ne faisait que refroidir la concurrence dans une industrie avec des marges "horriblement faibles", surtout compte tenu du financement limité du gouvernement pour l'équipement électoral.

"Le marché ne fonctionne pas très bien en termes d'innovation, " il a dit.

SURVEILLANCE LIMITÉE

Les élections sont gérées par les États, dont la surveillance des fournisseurs varie. Californie, New York et le Colorado font partie des États qui surveillent de près les vendeurs, mais beaucoup d'autres ont des relations plus confortables avec eux.

Et les vendeurs peuvent être récalcitrants. En 2017, par exemple, Hart InterCivic a refusé de fournir à Virginia une machine de vote sans papier à écran tactile e-Slate pour les tests, dit Edgardo Cortés, puis le commissaire aux élections de l'État.

Dans les mi-mandats de cette année, comme lors des élections de 2016, environ 1 électeur sur 5 utilisera de telles machines électroniques. Leurs décomptes ne peuvent pas être vérifiés car ils ne produisent aucun document papier.

Cortes a décidé de retirer la certification de tous ces systèmes. Si quelqu'un tentait d'entrer par effraction et de modifier des votes, a-t-il conclu, "il n'y avait vraiment aucun moyen pour nous de dire si cela s'était produit." Vice-président des opérations de Hart InterCivic, Peter Lichtenheld, n'a pas contesté le récit de Cortes lors du témoignage au Sénat de juillet, mais a déclaré que ses clients de Virginie passaient déjà à des machines plus récentes.

Au niveau fédéral, aucune autorité n'accrédite les vendeurs électoraux ni ne les contrôle, eux ou leurs sous-traitants. Aucune loi fédérale ne les oblige à signaler les atteintes à la sécurité ou à effectuer des vérifications des antécédents des employés ou des sous-traitants.

Les fournisseurs d'élections n'ont même pas besoin d'être des entreprises américaines. Dominion appartenait à des Canadiens jusqu'en juillet, lorsqu'une société de capital-investissement de New York a acheté une participation majoritaire.

La surveillance fédérale est limitée à la Commission d'assistance électorale peu connue, une agence de 30 employés qui certifie le matériel de vote mais dont les recommandations sont strictement volontaires. Il n'a aucun pouvoir de surveillance et ne peut sanctionner les fabricants pour des manquements.

"On ne peut pas réguler, " Le président de l'EAC, Thomas Hicks, a déclaré lors d'une audience au Congrès le 11 juillet lorsque la question a été soulevée. Le DHS non plus, même s'il a désigné les systèmes électoraux du pays « infrastructure critique » au début de 2017.

© 2018 La Presse Associée. Tous les droits sont réservés.