Miroir social 05/10/2011 à 17h37

Education nationale : le vote électronique rime avec panique

Miroir social

Fichiers confidentiels en accès libre, serveurs plantés plusieurs jours... A deux semaines des élections professionnelles dans l’Education nationale, qui vont amener plus d’un million de personnes à choisir par Internet leurs représentants, de nombreux bugs perturbent leur organisation. Le ministère minimise les problèmes, et le prestataire informatique, Atos, se mure dans le silence.

Entre le 3 et le 12 septembre, une organisation syndicale qui préfère garder l’anonymat a pu consulter en toute tranquillité listes électorales et professions de foi de tous ses homologues en lice pour les élections professionnelles du 20 octobre dans l’Education nationale. Officiellement, chaque organisation n’avait accès qu’à son espace sur une application baptisée « Candelec », au moyen d’un identifiant et d’un mot de passe. A moins... de remplacer le nom d’un syndicat par un autre dans les adresses internet et de faire ainsi apparaître la liste concurrente. Une manipulation de niveau geek débutant.

Un accès protégé... en théorie

Le syndicat à l’origine de cette découverte se dit « effaré d’un si faible niveau de protection des données pour une élection au sein de la fonction publique d’Etat ». Près de 3,2 millions d’agents sont concernés par ce scrutin de liste à un seul tour du 20 octobre, qui va leur permettre de choisir leurs représentants dans les instances de dialogue social (comités techniques et commissions administratives paritaires). Seule l’Education nationale, sur décision du ministre Luc Chatel en 2010, a hérité d’une procédure unique de vote électronique.

Contactée par Miroir social, la directrice générale des ressources humaines du ministère, Josette Théophile, ne veut pas croire à un tel bug. Et elle nous a mis au défi :

« Si une quelconque organisation a pu pénétrer dans l’application, qu’elle nous en apporte la preuve ! »

Et bien, nous le relevons : elle tient dans un procès-verbal de constatation, que nous avons consulté, effectué par un huissier à la demande du syndicat. Vingt-neuf pages qui décrivent par le menu une liste d’adresses auxquelles ont eu accès sans difficulté le syndicat à l’origine de cette information. (Cliquer pour agrandir le PV de constation)

Cliquer pour agrandir le PV de constation.

Est-ce grave ? Bien que ne pouvant pas être qualifiées de « sensibles », les données auraient dû rester confidentielles au moment où le syndicat en a pris connaissance. Il pouvait – en théorie – faire encore pression par exemple sur tel ou tel candidat.

Des serveurs bloqués pendant trois jours

Ce bug à lui seul n’aurait sans doute pas généré autant de ramdam. Mais les 24 et 25 septembre, le service en charge des élections à la DGRH a dû battre le rappel de ses troupes pour une petite astreinte de crise en plein week-end. Direction le « bunker », surnom donné par les délégués syndicaux aux locaux hébergeant l’infrastructure technique à Vendôme (Loir-et-Cher). Et selon nos informations, 26 salariés du prestataire ont aussi été appelés en renfort. Les serveurs qui devaient permettre à chaque électeur (professeur, agent du ministère, personnel académique...) de vérifier en ligne avant le 28 septembre son inscription sur les listes électorales, récupérer un mot de passe, etc. étaient restés bloqués trois jours de suite pour cause d’affluence.

L’intégrateur du système de vote électronique et de ses applications n’est pourtant pas un acteur de second rang : il s’agit de la SSII Atos (appelé Atos Origin jusqu’en juillet). Ce spécialiste de l’intégration technologique et de l’infogérance, présidé depuis 2008 par Thierry Breton, qui peut se targuer d’être leader en Europe sur son secteur, aurait-il vu un peu juste ?

Malgré nos demandes répétées, Atos a refusé de nous mettre en contact avec un interlocuteur pour évoquer la faille de sécurité constatée début septembre. Porte fermée aussi pour obtenir des informations sur son expertise en matière de vote électronique.

La seule référence véritable est une prestation, effectuée en 2009 pour le vote à distance pour l’élection de l’Assemblée des français de l’étranger. Questionnés sur le CV d’Atos en la matière, plusieurs syndicats internes nous ont livré peu ou prou la même version :

« Nous avons entendu parler de cette solution technique, mais sans savoir exactement quelle est la filiale concernée ! » [...]

Un marché cher payé

Nos interrogations se sont prolongées avec l’examen du marché public décroché par Atos, d’un montant de 4,5 millions d’euros [...]. Cela reste cher payé pour une élection professionnelle, fut-elle au service d’un million d’électeurs, comme nous l’ont expliqué plusieurs prestataires spécialisés. « Ce n’est pas le nombre de votants qui fait le montant de la facture mais bien la qualité et la fiabilité de l’infrastructure de vote », précise Erwan Léauté, directeur commercial de RDI-Univote. Or, à un coût moyen de 5 euros par électeur, nous sommes ici bien au dessus des tarifs pratiqués en matière d’élection professionnelle par voie électronique. La sécurité a sûrement un prix... à condition qu’elle fasse ses preuves.

La sécurité dans ce dossier a décidément le dos large. A ce jour, les électeurs sont en possession d’une notice de vote, avec identifiant à gratter pour récupérer le mot de passe. Mais tous ceux qui auront perdu leur identifiant après le 12 octobre ne pourront pas, hélas, le récupérer. Josette Théophile, la DGRH du ministère, nous a expliqué que cette option a été décidée justement pour accentuer la sécurité.

Sauf que les prestataires de e-vote savent par expérience que quantité d’électeurs perdent leur identifiant dans la dernière semaine. D’où en général la mise en place d’une procédure de récupération des identifiants jusqu’au tout dernier jour du vote. Sur un million , les « écartés » du scrutin pourraient être nombreux, sachant que beaucoup de non-titulaires – environ 85 000 personnes – ont composé ces dernières semaines avec un calendrier très serré d’inscription sur les listes électorales, leurs contrats étant en effet signés (ou renouvelés) courant septembre.

En partenariat avec Miroir social