Résumé

  • Pour l’assemblée générale d’octobre 2026, RIPE NCC annonce deux courriels envoyés par Assembly Voting : un lien unique avec le code de vote 1 prérempli et un code de vote 2 identique au numéro d’inscription à l’assemblée.
  • Lors du lancement de la plateforme en 2022, RIPE NCC décrivait un numéro d’inscription envoyé par ses propres soins et un autre courriel, envoyé par Assembly Voting, avec le lien et le second code. La description publique a changé sans qu’une carte actuelle des dépendances soit publiée.
  • Ce décalage ne démontre ni vulnérabilité, ni vote irrégulier, ni atteinte au secret. Il empêche seulement de savoir, à partir du dossier public, quelle preuve apporte chaque code et comment un renvoi modifie les droits d’accès.
  • Une fiche versionnée peut décrire l’émetteur, la fonction, le canal, l’activation, la révocation, la récupération, l’anonymisation et la mission de l’observateur sans révéler les secrets du système.

Le mode d’emploi n’est pas le modèle de confiance

Pour voter entre le 28 et le 30 octobre 2026, un membre admissible doit d’abord s’inscrire, puis attendre deux messages. RIPE NCC indique que la plateforme tierce Assembly Voting les expédiera tous les deux. Le premier parcours visible est un lien unique vers la plateforme avec le code de vote 1 déjà renseigné. Le second message apporte le code de vote 2, qui est le numéro d’inscription à l’assemblée générale. Les deux messages doivent provenir d’une même adresse d’expédition d’Assembly Voting indiquée dans le guide.

La page décrit aussi les aspérités ordinaires. Le lien ne devient actif qu’à l’ouverture du scrutin. Le serveur de messagerie du destinataire doit accepter TLS 1.2. Safari peut mal restituer le champ prérempli. En l’absence de message, l’électeur doit écrire à l’équipe de l’assemblée. Cette transparence opérationnelle a une valeur réelle : elle réduit le risque qu’un membre confonde un comportement prévu avec une panne.

Mais les numéros 1 et 2 n’ont aucune propriété intrinsèque. Deux champs ne sont pas nécessairement deux facteurs indépendants. Deux messages ne sont pas forcément deux canaux. Le numéro d’inscription peut être un secret, un identifiant, une valeur importée ou une référence à un état protégé. Le lien unique peut transporter un jeton ou simplement pointer vers une session. Les sources examinées ne permettent pas de trancher, et l’article ne prétend pas le faire.

La lacune est documentaire. Qui émet chaque valeur ? Quel système en est la source ? L’une peut-elle être déduite de l’autre ou d’une donnée connue ? Que devient le premier lien après un renvoi ? Quel acteur peut changer l’adresse de destination ? À quel moment la preuve d’identité, nécessaire pour attribuer le droit de vote, cesse-t-elle d’être associable au choix inscrit sur le bulletin ?

Une institution peut posséder d’excellentes réponses internes et ne pas les avoir publiées. Il faut donc éviter le raccourci « non documenté, donc absent ». Le constat plus rigoureux est que le membre ne dispose pas d’un objet public lui permettant de vérifier la chaîne.

En 2022, la séparation était racontée autrement

L’article de lancement de 2022 présentait Assembly Voting par ses propriétés : votes chiffrés, vérifiabilité de bout en bout, tableau d’affichage numérique, cérémonies d’ouverture et de fermeture des clés, et participation conjointe du prestataire, de RIPE NCC et d’un observateur indépendant. Il explicitait aussi le parcours des justificatifs. RIPE NCC devait envoyer au membre son numéro d’inscription ; Assembly Voting devait envoyer séparément le lien vers la plateforme et l’autre code.

Le guide de la même assemblée ajoutait la possibilité de télécharger un reçu et de vérifier, au moyen du tableau d’affichage, que le bulletin avait été enregistré. La conception était ainsi visible à deux niveaux : accès du membre et traitement vérifiable du bulletin.

Il serait imprudent de transformer cette différence en classement de sécurité. Deux expéditeurs institutionnels peuvent aboutir dans la même boîte électronique. Un transfert automatique peut réunir les parcours. Deux noms de domaine ne prouvent pas que les secrets, les administrateurs ou les systèmes sont indépendants. Inversement, un expéditeur commun ne prouve pas que les contrôles internes ont fusionné.

Ce que l’on peut affirmer, c’est que la représentation publique n’est plus la même. En mai 2026, les diapositives de procédure donnaient l’adresse d’Assembly Voting comme origine des courriels. Le rapport final qualifiait la connexion de « 2 factor », avec un premier message contenant le code 1 et le lien, puis un second contenant le code 2. La page d’octobre 2026 reprend cette expérience utilisateur. Aucun de ces documents n’expose toutefois le passage du numéro d’inscription depuis RIPE NCC jusqu’au prestataire, le cloisonnement des données ou le fondement de l’indépendance revendiquée.

La comparaison ne révèle donc pas une faille. Elle révèle la nécessité d’un historique de configuration. Si le mécanisme est resté identique et que seul le texte a changé, la fiche peut le dire. Si la livraison a été centralisée pour gagner en fiabilité, elle peut expliquer le contrôle compensatoire. Si la notion de facteur a un sens spécifique dans la plateforme, elle peut le définir. L’électeur ne devrait pas avoir à déduire l’architecture d’un ordre numérique.

L’authentification du portail précède le scrutin

L’inscription passe par le LIR Portal. Le représentant choisit l’organisation qu’il représente, indique qu’il veut voter et reçoit une confirmation avec son numéro d’inscription. RIPE NCC rappelle que l’authentification à deux facteurs est obligatoire pour les titulaires d’un compte RIPE NCC Access. L’admissibilité dépend aussi de la qualité de membre, de la durée d’adhésion, de l’absence de suspension et de l’autorisation de la personne.

Cette étape donne une réponse solide à l’objection la plus simple : le numéro n’est pas distribué à une adresse prise au hasard. Il résulte d’une action accomplie dans un compte membre protégé et d’une règle d’admissibilité.

Elle ne suffit pas à décrire le vote. L’authentification forte du portail établit une identité au moment de l’inscription. Le lien et le code établissent ensuite une capacité d’accès à la plateforme pendant la fenêtre de vote. Les documents publics ne disent pas si le facteur du portail est redemandé, lié cryptographiquement à la session de vote ou utilisé pour autoriser un changement d’adresse.

Cette dissociation peut être un choix de résilience. Réintroduire le portail au moment de chaque bulletin créerait une dépendance supplémentaire ; une panne du portail pourrait alors bloquer un scrutin pourtant prêt à fonctionner. La bonne question n’est donc pas « pourquoi ne pas tout faire dans le même système ? ». Elle est : quelle preuve traverse la frontière entre les deux systèmes, et comment la frontière reste-t-elle contrôlée lorsqu’une récupération est nécessaire ?

Le renvoi révèle le détenteur du pouvoir

Le rapport signé de mai 2026 indique 27 demandes d’assistance. Il précise que, lorsqu’une autre adresse électronique était fournie au personnel, les courriels de vote étaient renvoyés par le système de vote à cette nouvelle adresse.

Cette disposition peut protéger le droit de vote. Les filtres de messagerie, la conformité TLS, une boîte devenue inaccessible ou une correction légitime sont des incidents banals. RIPE NCC a eu raison de publier un nombre de demandes et de signaler l’existence de renvois, plutôt que de présenter un parcours sans exception.

Pourtant, la récupération est le lieu où se concentre l’autorité. Qui est habilité à demander le changement ? Le personnel vérifie-t-il la personne contre le registre du membre, contre le compte du portail ou au moyen d’un autre justificatif ? Une seconde personne approuve-t-elle l’opération ? Les anciens codes sont-ils annulés ? La nouvelle adresse coexiste-t-elle temporairement avec l’ancienne ? Le motif, l’approbateur et l’heure sont-ils enregistrés ? L’observateur reçoit-il un journal d’exceptions ?

On peut répondre publiquement sans exposer un seul nom. Un reçu agrégé pourrait distinguer les problèmes de livraison, les corrections d’adresse, les remplacements de justificatifs et les cas non résolus. Il pourrait attester que tout ancien accès a été révoqué, que les règles d’identité ont été appliquées uniformément et que l’observateur a examiné les exceptions. S’il reste une exception, elle peut être classée sans identifier le membre.

Le pouvoir décisif n’est pas toujours celui qui ouvre le scrutin. C’est aussi celui qui peut restaurer ou déplacer l’accès. Une récupération généreuse évite qu’un membre admissible soit exclu pour un incident de messagerie. Une récupération étroite empêche qu’une commodité administrative crée un nouvel électeur. La gouvernance se situe dans cet équilibre.

Cartographier jusqu’à la séparation du bulletin

La carte devrait commencer dans le registre des membres, pas dans la boîte de réception. Elle suivrait la personne autorisée, la session du LIR Portal, la décision de voter, le numéro d’inscription, le transfert vers le prestataire, la création du lien, les événements de livraison, l’activation, les échecs, l’assistance, le remplacement, la connexion, le dépôt du bulletin et la clôture.

Chaque objet recevrait un type et une fonction. Est-ce une preuve d’identité, une autorisation, un secret de possession, un identifiant ou une référence opaque ? Qui peut le produire et qui peut l’annuler ? Quelle autre donnée partage-t-il ? Quelle durée et quelle version lui sont applicables ? La carte ne publie pas la valeur ; elle publie le rôle.

Elle doit ensuite indiquer la frontière du secret. L’admissibilité exige d’identifier une personne. Le vote secret exige de ne pas relier son choix à cette identité. La vérifiabilité de bout en bout exige enfin qu’un électeur puisse vérifier l’inclusion ou le traitement sans recevoir une preuve transférable de son choix. Ces propriétés demandent une transition explicite : identité vérifiée, droit émis, justificatif consommé, lien d’identité protégé, bulletin chiffré inscrit, vérification offerte, observateur présent.

Le dossier de 2022 mentionnait le reçu, le tableau d’affichage et les cérémonies de clés. Le guide de 2026 explique le clic. Entre les deux manque un objet stable qui dise comment la procédure actuelle réalise encore les propriétés annoncées. Un manuel d’utilisation n’est pas un modèle de menace ; une présentation vieille de quatre ans n’est pas une attestation d’exploitation actuelle.

Publier les métadonnées, protéger les secrets

Une fiche publique peut rester sobre. Pour chaque étape, elle donnerait le responsable, le type de preuve, l’heure de référence, la règle de remplacement et l’attestation applicable. Les nombres de livraisons échouées, de renvois et d’exceptions peuvent être agrégés. Les adresses, les valeurs de code, l’entropie, la topologie, les documents d’identité et les traces exploitables restent protégés.

La version est essentielle. Une assemblée dispose de sa fiche ; la suivante conserve la précédente et publie les changements. Le passage de deux expéditeurs décrits à un expéditeur décrit devient alors une modification explicable, non un indice laissé à l’interprétation. La carte peut même préciser que le changement est uniquement rédactionnel.

Cette discipline correspond à une autorité limitée. Une assemblée de RIPE NCC n’est pas le suffrage de toute l’Europe numérique ; elle est un acte de l’association par ses membres admissibles. Les statuts confient au Conseil exécutif la réglementation de la procédure technique du vote électronique. L’acte est borné, mais il est réel. Il mérite donc un dossier de contrôle à sa mesure.

La leçon de Heng Lu est ici pratique : le vocabulaire institutionnel ne remplace pas le code qui s’exécute. Un vote formel est plus vérifiable qu’une invocation vague du consensus, à condition que le chemin qui transforme l’admissibilité en bulletin reste visible. RIPE NCC n’a pas besoin d’élargir son pouvoir. Il lui suffit de rendre inspectable le mécanisme étroit dont dépend son propre acte.

Sources