Mikhaïl Stoynov avec une explication du problème des machines : Le rapport DANS est plein de données fausses et non vérifiées – partout dans le monde et ici

« Comme cela est devenu clair, moins de 24 heures avant le Jour de la Réflexion, le système de vote automatisé qui protège le résultat des élections contre des centaines de milliers de votes invalides a été attaqué. L’attaque m’a également visé personnellement, en tant que responsable. » Afin de coordonner et de contrôler le processus, ma tâche est de signer la décision d’authentifier ou de désauthentifier les appareils. De fausses informations flagrantes ont été utilisées contre le ministère de l’e-Gouvernement et contre moi en particulier, et maintenant que je ne suis plus ne risque plus d’être accusé d’ingérence le jour du scrutin, j’apporte les précisions suivantes :

Pourquoi suis-je responsable de l’authentification des appareils ?

La loi électorale désigne le ministère de l’Administration électronique comme l’institution chargée de certifier les machines à voter.

En tant que vice-ministre, j’ai été chargé par arrêté du ministre Aleksandar Yulovsky d’être responsable de la coordination et du contrôle du processus d’authentification automatisé au sein du ministère de l’E-Gouvernement. J’ai nommé le directeur de la Direction de la sécurité des réseaux et de l’information, qui est l’employé civil le plus haut placé du MEU dans le domaine de la sécurité de l’information et est également le coordonnateur national de la cybersécurité, pour diriger le groupe qui certifie la sécurité du vote automatisé.

J’ai le plein droit légal et, surtout, l’obligation de diriger ce processus, de participer à toutes ses étapes et de signer tous les documents, y compris la loi finale, par lesquels se termine le processus de ratification.

J’ai traité toute la correspondance avec la Commission électorale centrale (CEC) relative à ce processus, j’ai participé à des ateliers avec la CEC et à aucun moment avant de commencer un travail actif contre le vote équitable, la CEC n’a remis en question la légalité de mes actions.

Je rappelle que lors des élections législatives d’octobre 2022 et d’avril 2023, toutes mes activités ont également été déléguées aux vice-ministres de l’e-Gouvernement. Sans aucune objection de la part de la Commission électorale centrale. Y compris lorsque l’ancien vice-ministre de l’e-Gouvernement signe la décision d’authentification des appareils.

Pourquoi avez-vous demandé la création d’un autre code source le 25 octobre ?

Je n’ai pas commandé. J’avais le droit et je voulais franchir une étape importante du processus d’authentification : configurer un appareil et tester le vote avec celui-ci. Le code source n’est pas impliqué dans ce processus, et ce processus n’a rien à voir avec la création d’un code source fiable. L’instauration de la confiance est par définition un processus mené par la Commission électorale centrale. Cela n’arrive qu’une seule fois – le 20 octobre, sous la direction de la Commission électorale centrale, sur un ordinateur portable de la CEC. Le MEU et les représentants de 4 partis et coalitions parlementaires étaient uniquement présents et observateurs. À aucun moment, le MEU n’a eu accès à la version de code fiable. Lors de l’événement du 20 octobre, la CEC a également créé une clé matérielle sur son ordinateur portable. À partir de ce moment, seule la CEC peut « toucher au code électoral » et modifier quoi que ce soit dans le logiciel de confiance. La tâche de leur expert (Assoc. Zlatogor Minchev du BAS) est de s’assurer que seul le CEC a accès aux clés générées.

Le résultat final de la construction fiable du code source sur l’ordinateur portable de la CEC a été capturé sur plusieurs caméras vidéo de téléphones portables – par les représentants de la CEC et presque toutes les parties – un fait qui n’a apparemment suscité aucune inquiétude de la part des services présents à l’événement. Lors de ce même événement, une machine à voter a été installée, et il n’était pas interdit de la photographier (et personne n’a demandé de vidéos aux représentants de la Commission électorale centrale et des partis) – le même processus, mais dans un environnement test, j’ai aussi photographié, quelques jours plus tard. Cela signifie que l’installation du code source peut être capturée librement, mais lorsque nous exécutons des tests, ce n’est pas possible ?

Le travail de MEU sur l’authentification matérielle se poursuit même après la création du code source – en raison des délais très courts auxquels nous devons faire face après avoir reçu le matériel source du CEC (16.10). C’est le processus dont je suis responsable. Son objectif est de tester de bout en bout le bon fonctionnement du matériel et des logiciels en simulant les opérations que chaque commission électorale sectorielle effectuera le jour du scrutin.

Lors des élections précédentes, le processus d’authentification se poursuit après la génération du code de confiance. Pourquoi? Car pour finaliser l’authentification de l’appareil, le MEU doit recevoir un certain nombre de documents, d’informations et de cartes à puce de la part du CEC. Dans toutes les élections, y compris celle en cours, ces documents arrivent tardivement.

Le 25 octobre, je me suis lancé dans les tests finaux de pré-certification – approvisionner et configurer un appareil de test avec un logiciel de test, personnellement devant moi en tant que personne légalement autorisée responsable du processus. Comme je l’ai déjà dit, peu importe que les tests soient terminés avant ou après la génération d’un code fiable. Si cela avait eu de l’importance, le DANS et la CEC auraient également réagi et manifesté leurs objections lors des élections précédentes.

Pourquoi cet enregistrement vidéo est-il obligatoire le 25 octobre et de quoi s’agit-il ?

L’enregistrement vidéo est une partie obligatoire de la procédure d’authentification de l’appareil. Aucune partie de ce processus n’est secrète.

Selon les règles internes de l’Union européenne, l’apposition de photos et de vidéos sur les documents prouvant que les machines ont été testées et conviennent au vote est obligatoire. Les enregistrements que vous avez effectués le 25 octobre ne contiennent aucune partie du code source, d’autres codes, clés privées, certificats ou toute information sensible ou confidentielle. Testez le logiciel uniquement sur un appareil de test.

Devant les caméras du hall, j’ai transféré les séquences et les images sur une clé USB protégée par mot de passe et je l’ai remise au chef de l’équipe de documentation.

Après avoir déplacé la clé USB, j’ai supprimé toutes les photos et vidéos du téléphone. Cela peut être confirmé par DANS, qui dispose du téléphone que vous avez volontairement laissé avec eux pour aider à établir les faits.

Aucun des matériels générés sur les machines de vote, puisqu’ils ne sont pas signés avec une clé CEC, mais avec une clé de test générée dans le MEU à des fins de test, ne peut être installé sur les machines de test.

Pourquoi le MEU a-t-il certifié les machines si tard ?

Comme lors de toutes les élections précédentes, la Commission électorale centrale a fourni avec un retard considérable le matériel nécessaire à l’unité du Moyen-Orient. Certains ont dû être récupérés par la Commission électorale centrale en raison d’erreurs découvertes.

Nous avons reçu la clé USB de la CEC avec uniquement des ressources matérielles dans la soirée du 16 octobre, ce qui a encore une fois considérablement réduit le délai de vérification du MEU par rapport aux 20 jours ouvrables stipulés par la loi électorale.

Le fait d’être interrogé au DANS pendant plus de 4 heures le jour où nous étions prêts à certifier les machines a retardé le processus – les machines ont donc été certifiées tard dans la soirée du 27 octobre. Mais encore une fois avant la date limite, qui est le 28 octobre à 17h00.

Qu’est-ce que le « Rapport DANS » envoyé aux organisations le 26 octobre 2023 ?

Le rapport DANS daté du 26 octobre regorge de fausses déclarations non vérifiées sur mon travail lors des tests finaux avant la certification des machines.

DANS suggère que j’ai exporté des informations sensibles sur une clé USB – un mensonge techniquement impossible. Les affirmations selon lesquelles j’ai enregistré le code source pour « regarder et jouer avec » sont non seulement fausses (facilement vérifiées par vidéo), mais aussi pratiquement impossibles – le code source se compose de plus de 500 000 lignes de texte qui ne peuvent pas être capturées par une caméra.

Tous les événements décrits dans le rapport DANS se sont produits dans la salle d’authentification automatisée officielle du ministère de l’e-Gouvernement. Le hall est équipé de caméras et d’un système de contrôle d’accès. Je travaillais uniquement en présence de membres du personnel et pas un seul instant dans des « entrepôts et des salles obscures », ni dans des pièces où se trouvaient des machines destinées à voter lors des élections. Il n’existait aucune machine permettant de voter au sein du MEU. Nous ne disposons que de six machines de test sans droit de vote.

Contrairement à ce qui est indiqué dans le rapport DANS, aucune personne présente dans la salle ne m’a empêché de prendre des photos.

Avant de soumettre le rapport DANS aux institutions, je n’étais pas sollicité par DANS, même pour les questions orales. Je ne sache pas que des représentants de DANS ont inspecté mon emplacement au MEU.

DANS n’a en aucune façon réagi aux processus et positions absolument identiques menés lors des élections précédentes.

Tous les faits peuvent être vérifiés dans les documents internes du ministère, dans les documents de certification officiels et dans la correspondance avec la Commission électorale centrale.