Een ernstig beveiligingslek in een online stemsysteem dat Zwitserland wil uitrollen maakte het mogelijk om onopgemerkt stemmen aan te passen. Dat blijkt uit onderzoek (pdf) van een internationale groep onderzoekers en is door de Zwitserse overheid bekendgemaakt.

Via het e-votingsysteem dat door de Zwitserse Post is ontwikkeld kunnen Zwitserse burgers straks via hun smartphone of computer hun stem uitbrengen. De Zwitserse overheid heeft bepaald dat systemen die voor elektronisch stemmen worden gebruikt eerst een publieke penetratietest moeten ondergaan. Van 25 februari tot 24 maart vindt deze publieke penetratietest plaats. In totaal hebben iets meer dan 3.000 onderzoekers zich hiervoor aangemeld, waarvan 36 uit Nederland.

De kwetsbaarheid die de onderzoekers vonden, en volgens Zwitserse Post sinds 2017 bekend was en nu is verholpen, bevond zich in het gedeelte van het systeem dat moet verifiëren dat alle getelde stemmen gelijk zijn aan de stemmen die door de kiezers zijn uitgebracht. Het bleek echter mogelijk om alle legitieme uitgebrachte stemmen te verwijderen en ze door frauduleuze stemmen te vervangen, zonder dat dit werd opgemerkt.

"De kwetsbaarheid is verbazingwekkend", zegt Matthew Green, cryptograaf en hoogleraar aan de Johns Hopkins University, tegenover Vice Magazine. "In normale verkiezingen is er niemand die onopgemerkt met de hele verkiezing kan frauderen, maar in dit systeem is er een partij die dat kan."

Volgens de Zwitserse Post moet een aanvaller eerst controle over de it-infrastructuur van het bedrijf hebben, alsmede hulp van verschillende insiders met specialistische kennis van Zwitserse Post of de kantons. "Hun reactie verbergt dat zij de primaire dreiging in dit scenario zijn", zegt onderzoeker Sarah Jamie Lewis. "Zwitserse Post heeft controle over de eigen it-infrastructuur. Geen verkiezingssysteem zou een backdoor moeten hebben dat mensen die de verkiezingen organiseren de mogelijkheid geeft om de verkiezingsuitkomst onopgemerkt aan te passen."

Green en Lewis vinden dat de Zwitserse overheid het online stemsysteem niet moet uitrollen. De hoogleraar stelt dat het systeem zo ontworpen hoort te zijn dat zelfs wanneer de infrastructuur is gecompromitteerd, de verkiezing veilig is. De onderzoekers denken niet dat de backdoor opzettelijk is toegevoegd. Wel hebben ze grote twijfels aan de audits van het systeem die eerder zijn uitgevoerd en de kwetsbaarheid niet hebben opgemerkt. De Duitse hackerclub CCC wil nu dat de door KPMG uitgevoerde audits openbaar worden gemaakt.

Zwitserse Post heeft laten weten dat het informatie over dit beveiligingslek, alsmede andere gevonden problemen, openbaar zal maken. De Zwitserse overheid heeft het bedrijf opgeroepen om de processen aan te passen zodat dergelijke stemfraude voorkomen kan worden.