De manier waarop de Ondersteunende Software Verkiezingen (OSV) bij vorige verkiezingen werd gebruikt kende kwetsbaarheden, zo heeft minister Plasterk van Binnenlandse Zaken aan de Tweede Kamer laten weten. Eind januari onthulden onderzoekers al allerlei problemen met de verkiezingssoftware.

Een onderzoek dat de Kiesraad naar de software liet instellen bevestigt dat de wijze waarop OSV bij eerdere verkiezingen is gebruikt kwetsbaarheden kent. Zo draait de OSV-software op sterk verouderde ondersteunende software. "Dit is in ieder geval van toepassing op software componenten zoals de gebruikte Java-versie en de gebruikte Jboss-versie", aldus de onderzoekers. Ze stellen dat de software lekken kan bevatten die niet meer door de leverancier zullen worden opgelost en dat de software zodoende kwetsbaar blijft. Ook blijkt er een "poort" aanwezig te zijn die via het netwerk benaderbaar is en niet direct noodzakelijk lijkt te zijn voor het correct functioneren van de software.

Voor wat betreft de beveiliging van de OSV-webapplicatie zijn verschillende technische kwetsbaarheden gevonden die de beveiliging in gevaar kunnen brengen. Doordat de software op een "stand-alone systeem" of afgeschermd netwerk moet worden gebruikt is de mogelijkheid om de kwetsbaarheden uit te buiten beperkt, merken de onderzoekers op. "Wanneer de OSV-omgeving echter benaderbaar is, bijvoorbeeld doordat deze op enigerlei wijze gekoppeld is aan de reguliere kantooromgeving, dan is de impact van de tekortkomingen aanzienlijk groter."

Zo wordt er onder andere geen gebruik gemaakt van beveiligde verbindingen, is er onvoldoende validatie van (gebruikers)invoer, worden wachtwoorden onveilig opgeslagen, is de integriteitscontrole van EML-bestanden ontoereikend, wordt beleid met betrekking tot de sterkte van gebruikerswachtwoorden niet afgedwongen en zijn verschillende gangbare maatregelen die te maken hebben met beveiligingshygiëne niet geïmplementeerd, zo stelt het onderzoeksrapport (pdf).

Plasterk besloot eerder al om de OSV-software niet bij de aankomende Tweede Kamerverkiezingen te gebruiken. Wel mogen gemeenten computers voor het optellen van de stemmen gebruiken. "Het rekenhulpmiddel wordt alleen gebruikt op computers die niet met het internet zijn verbonden", laat de minister aan de Tweede Kamer weten. Daarnaast geldt voor alle stappen het vier ogen principe. Dat wil zeggen dat wat er wordt ingevoerd, en uitgerekend altijd door iemand anders wordt gecontroleerd en geverifieerd. Verder worden er geen usb-sticks gebruikt om de uitkomsten over te brengen.

"Het proces van het totaliseren van de uitgebrachte stemmen dient transparant en controleerbaar te zijn. Dat is het geval als het papieren proces in alle stappen die moeten worden doorlopen om de uitslag te berekenen, daadwerkelijk leidend is", schrijft Plasterk (pdf). Als extra controle op de juiste werking van de gebruikte rekenhulpmiddelen zal daarom in alle stappen van het proces het totaal van de uitgebrachte stemmen per partij handmatig en zonder gebruik van een digitaal rekenhulpmiddel worden uitgerekend.