Qstamp / Élections

Intégrité électorale

Des enregistrements électoraux impossibles à falsifier, sans révéler un seul vote.

Les gouvernements doivent être en mesure de démontrer que chaque procès-verbal certifié, chaque dépouillement et chaque résultat proclamé correspond exactement à ce qui a été enregistré, et qu’aucun enregistrement n’a été modifié, inséré ou antidaté. QBallot, le SDK d’intégrité électorale de la famille Qstamp, fournit aux autorités électorales, aux observateurs et aux juridictions une preuve post-quantique de l’ensemble du dossier électoral, tout en préservant de manière absolue le secret du vote.

Live flow

How QBallot runs inside an election.

Each step lights in turn as a record moves through it. Steps inside your systems never send content out. Only the anchor reaches the Quantova network, and only chain facts are public on QVMScan.

Live flowQBallot, from polling station to the explorer

Your systemsElection management systemSoftware builds and the mandates of officials registered
Your systemsPolling stationReturn signed by the presiding officer and witnesses
Your systemsCount centreBallot records fingerprinted with fresh salts, no voter identified
Your systemsTabulationEvery action sealed in a hash chained log
Quantova networkAnchorOne salted 32 byte commitment per batch, sent under record kind 1106 in a transaction signed with ML DSA 65
PublicQVMScanFinal in about 0.2 seconds and indexed on the explorer under QBallot, with no record content
PublicObservers and courtsProve the declared result equals the certified returns

Inside your systemsQuantova networkPublic and verifiable

L’enjeu

La confiance du public repose sur des enregistrements vérifiables.

Les élections nationales, régionales et de désignation des dirigeants, les référendums ainsi que les votes au sein des parlements et des partis produisent tous une chaîne d’enregistrements, du procès-verbal du bureau de vote jusqu’au résultat proclamé. Aujourd’hui, cette chaîne est protégée par des procédures sur papier et, lorsqu’elle est numérique, par des signatures classiques qu’un ordinateur quantique sera en mesure de falsifier. Un résultat contesté repose alors sur la confiance accordée aux systèmes de l’autorité dont la conduite est précisément mise en cause.

Procès-verbaux altérés

Un procès-verbal de bureau de vote modifié entre le dépouillement et la centralisation nationale des résultats peut être difficile à détecter lorsque la seule copie est détenue par le système qui l’a modifié.

Habilitation usurpée

Un résultat transmis au nom d’un responsable qui ne l’a jamais certifié, ou par un logiciel qui n’a jamais été homologué, compromet l’ensemble de la proclamation.

Falsification future

Les enregistrements électoraux sont conservés pendant des années et peuvent être contestés longtemps après le jour du scrutin. Les enregistrements signés avec des clés RSA ou à courbes elliptiques deviendront falsifiables dès que de grands ordinateurs quantiques existeront.

Le cadre

Six étapes, chacune scellée et liée.

QBallot suit la structure établie d’une élection et ajoute un sceau cryptographique à chaque étape. Chaque sceau est signé avec ML DSA conformément à FIPS 204 et fixé dans le temps sur le réseau Quantova, de sorte que l’intégrité de l’enregistrement peut être vérifiée indépendamment de l’autorité qui l’a produit.

Étape 1 · Avant le jour du scrutin

Logiciels et habilitations enregistrés

L’autorité électorale enregistre l’empreinte de chaque version certifiée des logiciels de centralisation et de gestion électorale, et signe le mandat de chaque directeur du scrutin, président de bureau de vote et responsable du dépouillement, en désignant le bureau de vote ou le dépouillement dont il a la charge. Tout logiciel ou responsable qui n’a pas été enregistré à l’avance est détecté lors du dépouillement.

Étape 2 · Au bureau de vote

Des enregistrements scellés là où ils sont établis

À la clôture du scrutin, le président du bureau de vote et les témoins désignés signent le procès-verbal du bureau, y compris le décompte des bulletins et le résultat, au moyen de leurs clés enregistrées. L’empreinte du procès-verbal est calculée et ancrée avant qu’il ne quitte le bureau de vote, de sorte que son contenu est fixé au moment où il a été certifié.

Étape 3 · Lors du dépouillement

L’empreinte de chaque enregistrement de bulletin, aucun électeur identifié

L’empreinte de chaque image de bulletin numérisé ou de chaque enregistrement de vote exprimé est calculée au centre de dépouillement avec un nouveau sel aléatoire, puis ancrée par lots. Seuls des engagements salés quittent le centre. Aucune identité d’électeur, aucun numéro de bulletin rattaché à un électeur et aucun contenu de bulletin n’est jamais publié.

Étape 4 · Pendant la transmission

Des résultats qui ne peuvent pas être altérés en cours d’acheminement

Les résultats sont acheminés du bureau de vote à la circonscription, puis à la centralisation nationale, sous forme d’enregistrements signés. Le système de centralisation n’accepte un résultat que s’il porte les signatures valides des responsables enregistrés pour ce bureau de vote, de sorte qu’un résultat altéré ou inséré en cours de transmission est rejeté.

Étape 5 · Pendant la centralisation

Un enregistrement révélant toute altération de chaque action

Chaque action effectuée dans le système de gestion électorale, y compris la décision sur un bulletin contesté, une correction ou un recomptage, est inscrite dans un journal chaîné par hachage et scellé par des points de contrôle ancrés. Aucune action ne peut être supprimée, réordonnée ou antidatée sans que cela soit détecté, et il est démontré que chaque décision suit le motif enregistré.

Étape 6 · Après la proclamation

Vérification indépendante par les observateurs et les juridictions

Les candidats, les partis, les observateurs et les juridictions peuvent confirmer que le résultat proclamé est la somme des procès-verbaux certifiés des bureaux de vote, que chaque procès-verbal n’a pas été modifié depuis sa signature et que chaque enregistrement ancré existait au moment indiqué, sans devoir faire confiance aux propres systèmes de l’autorité électorale.

QBallot

Le SDK d’intégrité électorale de la famille Qstamp.

QBallot réunit les éléments éprouvés de la famille au service des élections. Qstamp fixe chaque enregistrement dans le temps. QSign porte les signatures des présidents de bureau de vote et des directeurs du scrutin. QMandate prouve quel responsable était habilité pour quel bureau de vote et quel dépouillement. QLog tient l’enregistrement révélant toute altération de chaque action de la centralisation. QBallot y ajoute les règles propres aux élections, la structure des procès-verbaux des bureaux de vote et la procédure de vérification destinée aux observateurs et aux juridictions.

QBallot is being built for release as part of QGov, the government branch of the Qstamp family, and will be published only after rounds of security review and live testing on the Quantova network. Election authorities can begin pilots today with the live SDKs, which provide each of the protections described on this page.

Ce que QBallot détecte

Un procès-verbal de bureau de vote modifié après certification
Un résultat inséré au nom d’un responsable non enregistré
Un résultat produit par un logiciel non enregistré
Un enregistrement de bulletin modifié après le calcul de son empreinte
Une décision ou une correction supprimée, réordonnée ou antidatée
Un total proclamé qui diffère des procès-verbaux certifiés

Secret du vote

Intégrité de l’enregistrement, secret du vote.

QBallot n’enregistre jamais qui a voté, comment une personne a voté ni aucun lien entre un électeur et un bulletin. L’empreinte des enregistrements de bulletins est calculée avec un nouveau sel aléatoire et seul l’engagement salé est ancré, de sorte que rien de ce qui est publié ne peut être rattaché à un électeur ni servir à confirmer une hypothèse sur un bulletin. Les listes électorales et les données d’identité restent intégralement dans les systèmes de l’autorité électorale.

Intégration

Comment une autorité électorale adopte le cadre.

1. Fondement juridique et procédural

L’autorité définit dans son règlement électoral les enregistrements qui sont scellés, les personnes qui les signent et la manière dont les observateurs et les juridictions peuvent les vérifier, conformément au droit électoral national et sous le contrôle de sa commission électorale.

2. Cérémonie des clés

Les clés de l’autorité, des directeurs du scrutin et des présidents de bureau de vote sont créées lors d’une cérémonie tenue en présence de témoins et conservées dans des dispositifs de stockage protégés par du matériel. Le mandat de chaque responsable désigne les bureaux de vote et les dépouillements qu’il peut certifier ainsi que la période de son habilitation.

3. Enregistrement des logiciels

L’empreinte de chaque version certifiée des logiciels de centralisation et de gestion électorale est enregistrée et ancrée avant le jour du scrutin, après approbation par la procédure nationale de certification.

4. Scrutin et dépouillement

Les procès-verbaux des bureaux de vote, les enregistrements de bulletins et les actions de centralisation sont scellés au fur et à mesure de leur production, selon les six étapes décrites ci-dessus. Les bulletins papier demeurent la trace de l’intention de l’électeur partout où la loi les impose.

5. Audit et recomptage

Les audits postélectoraux, y compris les audits à limitation de risque, comparent un échantillon de bulletins papier aux enregistrements de bulletins scellés. Chaque recomptage et chaque correction sont eux-mêmes scellés, de sorte que la piste d’audit ne peut pas être réécrite.

6. Contentieux et conservation

En cas de contestation, l’autorité produit les enregistrements et les reçus pertinents, et toute partie ou juridiction les vérifie de manière indépendante. Les preuves restent vérifiables pendant toute la durée de conservation des documents électoraux.

Périmètre

Ce que le cadre fait et ne fait pas.

QBallot prouve que les enregistrements électoraux n’ont pas été modifiés depuis leur scellement, qu’ils ont été scellés par des responsables et des logiciels enregistrés, et à quel moment. Il ne remplace ni les équipements de vote certifiés, ni les bulletins papier, ni les procédures de la commission électorale, il n’établit pas qu’un bulletin reflète l’intention de l’électeur et il n’empêche pas à lui seul la contrainte ou l’achat de voix, qui relèvent du droit électoral et de son application. Il est conçu pour soutenir les normes applicables dans chaque juridiction, telles que la Recommandation CM/Rec(2017)5 du Conseil de l’Europe sur les normes relatives au vote électronique et les Voluntary Voting System Guidelines de l’Election Assistance Commission des États-Unis, et chaque autorité demeure responsable du respect de son propre droit.

Les versions actuelles des SDK Qstamp effectuent leurs ancrages sur le réseau de test Quantova en vue d’une utilisation en production.