La société qui a réalisé l’inspection des machines de vote de Géorgie a un long historique avec Dominion

La société engagée par le secrétaire d’État géorgien pour mener un « examen » de la technologie des systèmes de vote de Dominion, utilisée lors des élections présidentielles américaines de 2020, est la même que celle qui a précédemment certifié les systèmes de Dominion et a également approuvé un changement de logiciel de dernière minute à l’échelle du système, quelques semaines avant l’élection.

Dans sa déclaration du 17 novembre annonçant les résultats du contrôle, le secrétaire d’État Brad Raffensperger a omis de révéler que la société, Pro V&V, avait une relation préexistante avec Dominion qui remontait à plusieurs années.

M. Raffensperger a également omis de révéler que Dominion avait utilisé des conclusions techniques de Pro V&V dans un procès préélectoral en Géorgie qui mettait en doute la fiabilité des systèmes de Dominion lors d’un ajustement de dernière minute du logiciel avant l’élection du 3 novembre. Les tests de Pro V&V avaient été qualifiés de « superficiels » et de « tests rapides » par un expert cité dans des documents judiciaires.

Dans la déclaration largement citée, M. Raffensperger a déclaré que la vérification des machines de Dominion était complète, qu’il n’y avait « aucun signe d’acte criminel » et que « Pro V&V n’a trouvé aucune preuve » de truquage des machines :

« Nous sommes heureux, mais pas surpris, que le contrôle des machines de vote de l’État ait été un succès incontestable », a déclaré le secrétaire d’État Raffensperger. « La sécurité des élections a été une priorité absolue depuis le premier jour de mon administration. Nous avons établi des partenariats avec le ministère de la Sécurité intérieure, le Georgia Cyber Center, les experts en sécurité de Georgia Tech et un large éventail d’autres experts en sécurité électorale dans l’État et le pays afin que les électeurs géorgiens puissent être assurés que leur vote est sûr et sécurisé. »

M. Raffensperger a également inclus une description impressionnante de Pro V&V dans sa déclaration, mais il a une fois de plus omis de divulguer la relation de l’entreprise avec Dominion, et n’a pas non plus abordé le fait que Pro V&V semble être une très petite entreprise privée qui opère à partir d’un seul bureau.

« Pro V&V, basé à Huntsville, Alabama, est un laboratoire de test des systèmes de vote (VSTL) certifié par la Commission d’assistance électorale américaine, ce qui signifie que le laboratoire est ‘qualifié pour tester les systèmes de vote selon les normes fédérales’. La certification du VSTL est prévue par la loi Help America Votes Act de 2002. L’accréditation de Pro V&V par l’USEAC a également été recommandée par le National Institute of Standards and Technology (NIST), le laboratoire de sciences physiques du gouvernement américain dédié à la création de normes et de mesures qui aideraient les États-Unis à être le premier innovateur scientifique au monde. Le NIST contribue régulièrement à l’élaboration de normes de cybersécurité et de sécurité des élections pour les États-Unis et le monde. »

Selon le site web de la Commission d’assistance électorale (EAC), il semble que la commission fédérale ne dispose actuellement que de deux laboratoires d’essai accrédités pour l’ensemble du pays : Pro V&V et SLI Compliance. Il y a 7 laboratoires de test des systèmes de vote (VSTL) répertoriés sur le site de l’EAC, mais cinq d’entre eux ont des notes indiquant que leurs accréditations ont expiré.

En outre, bien que l’EAC indique que Pro V&V soit accrédité, le lien pour le certificat d’accréditation de Pro V&V mène à un avis de « page introuvable ». Un certificat d’accréditation plus ancien pour Pro V&V peut être trouvé séparément, sur l’aperçu du profil de l’entreprise. Il a été émis le 24 février 2015 et est en vigueur jusqu’au 24 février 2017. Il est difficile de savoir si l’accréditation de la société a expiré ou si la faute incombe au site web de l’EAC.

La description que fait M. Raffensperger de Pro V&V n’indique pas qu’il connaissait déjà la société, et on pourrait facilement croire qu’il n’y avait pas d’affiliation ou de liens de longue date entre Dominion et Pro V&V, bien que cette impression soit inexacte.

La déclaration de M. Raffensperger indique que le travail de vérification post-électorale de Pro V&V était assez limité. Selon la déclaration, il n’y aurait eu qu’une extraction « des composants du logiciel ou du micrologiciel, pour s’assurer que le simple logiciel ou micrologiciel avait la certification requise pour être utilisé par le bureau du secrétaire d’État ».

Le site de l’EAC contient une liste de systèmes de vote certifiés dans laquelle Dominion détaille 14 versions de systèmes de vote. Le 8 février 2017, Dominion a introduit sa suite logicielle « Democracy Suite version 5.0 » et simultanément, Pro V&V est apparemment devenu le principal laboratoire de test pour les nouveaux systèmes de vote de Dominion. À une seule exception importante – une modification (5.5-A) testée par SLI pour adapter à l’État de Pennsylvanie la suite logicielle « Democracy Suite 5.5 » de Dominion (la même version qui sera plus tard utilisée par la Géorgie) – Pro V&V a été le seul laboratoire de test pour les systèmes de vote de Dominion à ce jour.

En juillet 2019, la Géorgie a acheté un système électoral de 106 millions de dollars à Dominion. Dans un procès qui a débuté en 2017, les critiques ont soutenu que le nouveau système de Dominion était soumis à un grand nombre des mêmes vulnérabilités de sécurité que celui qu’il remplaçait. M. Raffensperger a été cité comme défendeur dans cette affaire, et les avocats de l’État et des comtés ont assisté à diverses audiences.

À la suite de l’achat du système Dominion par la Géorgie, deux employés de Pro V&V, Michael Walker et Wendy Williams, ont approuvé le rapport de test de Dominion Voting Systems Democracy Suite 5.5-A pour l’État de Géorgie le 26 novembre 2019. En outre, ce sont ces mêmes personnes qui ont fourni les tests du 13 avril et du 16 juin de cette année pour la suite modifiée 5.5-C du système Dominion pour la démocratie. Wendy Williams a également joué un rôle dans certains problèmes de certification de dernière minute pour Dominion.

Mais même là, il y avait un problème. La version 5.5-A du logiciel, utilisée par la Géorgie, a été testée par SLI pour la Pennsylvanie, et non par Pro V&V, ce qui sera noté par la suite par les tribunaux :

« La première déclaration sous serment de M. Cobb révèle que Pro V&V n’a elle-même procédé à aucune forme de test de pénétration ou de sécurité de la version 5.5-A du logiciel spécifiquement destinée à être utilisée en Géorgie (certifiée par Dominion en août 2019), mais s’est appuyée sur les tests de sécurité effectués par une autre société pour les versions antérieures du logiciel […]. »

Au lieu de cela, Pro V&V s’est appuyé sur ses premiers tests de la version 5.5 de la Dominion Suite. Et comme les tribunaux l’ont noté, « le Dr [Eric] Coomer a témoigné qu’il y a une différence entre les versions 5.5 et 5.5-A de la [suite logicielle] Dominion Democracy Suite – une modification du logiciel ICX qui n’a pas été jugée de minimis[insignifiante] ».

Dans une déclaration sous serment du 24 août, Harri Hursti, un expert reconnu en matière de sécurité du vote électronique, a fourni une description de première main des problèmes qu’il a observés avec les nouveaux systèmes de vote de la Géorgie lors des élections primaires du 9 juin et du second tour des élections du 11 août.

M. Hursti a fait part à la Cour d’une série de problèmes, notamment que « les paramètres du scanner et du logiciel de dépouillement utilisés pour déterminer quels votes doivent être comptés parmi les bulletins de vote en papier marqués à la main sont probablement à l’origine du fait que des votes clairement exprimés ne soient pas comptés ».

Puis, lors des tests préélectoraux des systèmes de vote de Dominion fin septembre, les responsables géorgiens ont découvert un problème lié aux affichages pour l’élection au Sénat américain, constatant que dans certaines circonstances, les noms de tous les candidats ne pouvaient pas être affichés correctement sur un seul écran.

Dominion s’est lancé dans une modification du logiciel pour résoudre le problème, ce qui a nécessité une validation de test de la part de Pro V&V, car le logiciel avait maintenant été modifié dans tous les systèmes de Dominion. Il y a eu un certain désaccord quant à l’ampleur des modifications apportées au logiciel et à la nécessité éventuelle d’une nouvelle certification du système résultant de ces modifications. En conséquence, une réunion par internet (via Zoom) a été organisée par le tribunal le 1er octobre pour traiter de cette question.

L’une des personnes présentes à cette réunion était Ryan Germany, avocat général du bureau du secrétaire d’État de Géorgie.

Au cours de la procédure judiciaire, les avocats de Dominion ont décrit le problème et la correction logicielle qui en résulte comme étant « de minimis » et n’invalidant pas la certification EAC précédemment délivrée. Les avocats des « activistes de l’intégrité du vote », déjà impliqués dans des procès concernant le nouveau système Dominion de la Géorgie, ont exprimé leurs inquiétudes sur « la gravité du problème et la sécurité d’une correction de dernière minute ».

Certaines de ces préoccupations ont été reprises par la cour, qui a noté que, en raison de la mise en œuvre de la modification du logiciel à l’échelle de l’État, il pourrait y avoir des « implications plus importantes ». Le problème n’était pas mince, comme l’a expliqué le Dr. J. Alex Halderman, un expert en sécurité présent à l’audience :

« Je voudrais réitérer la substance des préoccupations que j’ai en matière de sécurité. Nous devons être clairs sur le fait que même si la modification du code source est minime, comme le dit Dominion, le processus de mise à jour de ce logiciel nécessite le remplacement complet du noyau du logiciel Dominion sur chaque BMD [Dispositif de marquage des bulletins de vote]. »

Dominion avait soumis le correctif du logiciel à Pro V&V pour évaluation. Là encore, Pro V&V avait récemment fourni des tests de certification pour la Dominion Democracy Suite 5.5-C le 20 avril et le 16 juin, menant à la certification EAC du 9 juillet, mais n’avait pas encore détecté le problème du logiciel à ce moment-là.

Le Dr Eric Coomer, directeur de la stratégie et de la sécurité des produits pour Dominion Voting Systems, a déclaré à la cour que, selon lui, le changement de logiciel était « de minimis », mais que Dominion n’avait pas pris cette décision, mais avait plutôt « soumis ce changement à un laboratoire accrédité, en l’occurrence Pro V&V. Ils analysent le changement. Ils examinent le code. Et ils déterminent s’il est de minimis ou non ».

La désignation « de minimis » officielle du logiciel était importante, car cela aurait eu une incidence sur la nécessité ou non d’une recertification complète de l’EAC des Dominion Systems – ce qui, le cas échéant, pourrait demander plus de temps que ce qui était disponible avant l’élection présidentielle du 3 novembre.

Si la modification du logiciel était jugée de minimis, elle serait alors soumise à l’EAC sous la forme d’un ordre de modification technique, ou « ECO ». Le Dr Coomer a déclaré : « Ainsi, aucune nouvelle tentative de certification de l’EAC n’est entreprise. Il s’agit simplement de mettre à jour la certification actuelle pour cet ECO ».

En effet, le 2 octobre, une lettre de Wendy Owens de Pro V&V a été envoyée, confirmant « que cette version du logiciel ICX a corrigé le problème avec l’affichage des élections sur deux colonnes ». La lettre se terminait par une recommandation de Pro V&V selon laquelle le changement de logiciel pour les systèmes de Dominion devait être « considéré comme de minimis ».

La position de Pro V&V a été formellement contestée dans une déclaration de Halderman du 3 octobre, qui a déclaré que le « rapport indique clairement que Pro V&V n’a effectué que des tests superficiels de ce nouveau logiciel. La société n’a pas tenté de vérifier de manière indépendante la cause du problème d’affichage des bulletins de vote, ni de vérifier de manière adéquate que les modifications apportées constituent une solution efficace. Pro V&V semble également n’avoir fait aucun effort pour tester si les changements créent de nouveaux problèmes ayant un impact sur la fiabilité, la précision ou la sécurité du système BMD [Ballot Marking Device] ».

Néanmoins, le 11 octobre, le juge Amy Totenberg a rendu un jugement (pdf) dans l’affaire, notant que « malgré les questions profondes soulevées par les demandeurs, la Cour ne peut pas sauter le pas et déclencher potentiellement une perturbation majeure dans le processus primaire de l’État légalement établi ».

Le 3 décembre, au cours d’une réunion de la commission de surveillance du gouvernement du Sénat de Géorgie sur la fraude électorale, Ryan Germany, avocat du bureau du secrétaire d’État de Géorgie, a de nouveau abordé la question de la vérification des équipements de Dominion, notant que :

« C’est quelque chose que nous avons déjà fait. Nous avons fait venir un laboratoire indépendant de test des systèmes de vote après l’élection et avons vérifié un échantillon de nos machines […] Ils ont constaté que les machines fonctionnaient exactement comme il faut. Le logiciel [installé] sur les machines est exactement celui qui est censé y être. »

Ryan Germany a également déclaré que Pro V&V s’est rendu sur place pour « vérifier la valeur de hachage, s’assurer que c’est bien ce que nous attendons, et ça l’était dans tous les cas ».

Mais encore une fois, il n’y a eu aucune divulgation concernant l’affiliation de Pro V&V avec Dominion, ni aucune critique du travail de Pro V&V, même si Me Germany avait été personnellement impliqué dans le litige entourant les systèmes de Dominion et était conscient du rôle qu’a joué Pro V&V dans le fait d’avoir désigné l’affaire comme étant « de minimis », ce qui a eu un impact décisif.

Il est intéressant de noter que dans sa décision d’octobre, le juge Totenberg a noté que c’est le secrétaire d’État qui « a chargé Pro V&V de procéder à un examen de son système de vote BMD nouvellement adopté, comme l’exige la certification de l’EAC, pour le soumettre à l’approbation de l’EAC ».

Le juge Totenberg a également critiqué Jack Cobb, le directeur de Pro V&V, notant qu’il « prétend n’avoir aucune connaissance ou expérience spécialisée dans l’ingénierie de la cybersécurité et n’a lui-même effectué aucune analyse des risques de sécurité du système BMD [Ballot Marking Device] ».

Le juge Totenberg a observé que « M. Cobb a indiqué qu’il n’était pas familier avec le fait que les logiciels malveillants pouvaient vaincre ou désactiver les valeurs de hachage – une préoccupation abordée par tous les spécialistes de la cybersécurité des plaignants qui ont fourni des déclarations ou des témoignages dans cette affaire ».

Enfin, Mme Totenberg a souligné que « les défendeurs étatiques n’ont présenté aucun expert indépendant en cybersécurité pour traiter directement les questions de cybersécurité et les vulnérabilités du système de vote du code QR de Dominion soulevées par les demandeurs ».

Au lieu de cela, « les défendeurs étatiques se sont appuyés sur le témoignage du Dr Coomer, pour aborder – sur la base de son expérience professionnelle – certaines des questions importantes de cybersécurité soulevées par les plaignants ».

FOCUS SUR LA CHINE – La politique de Biden avec la Chine