CDA, SP en VVD wil opheldering over inzet optelsoftware bij verkiezingen
Het CDA, de SP en de VVD hebben minister Ollongren van Binnenlandse Zaken om opheldering gevraagd over het gebruik van de Ondersteunende Software Verkiezingen (OSV2020) bij de komende Tweede Kamerverkiezing. De OSV wordt al ruim tien jaar gebruikt bij het berekenen en vaststellen van de verkiezingsuitslagen in Nederland. OSV2020 is de technisch vernieuwde versie van de optelsoftware.
Bij de verkiezingen wordt door middel van pen en papier gestemd. Vervolgens worden de uitgebrachte stemmen per stembureau opgeteld en de totalen opgeschreven in een proces-verbaal. De processen-verbaal van alle stembureaus worden dan naar het stadhuis gebracht. Daar worden de uitslagen van de processen-verbaal in de OSV2020 ingevoerd. Het programma print vervolgens de uitslag die door de burgemeester wordt ondertekend en zo definitief is.
De stichting Tegen Hackbare Verkiezingen, bestaande uit beveiligingsexperts, ethische hackers en hoogleraren cybersecurity, kwamen maandag met een rapport waarin ze stellen dat de overheid op hackbare computers vertrouwt om in maart 2021 de Tweede Kamer-verkiezingsuitslag uit te rekenen. Buitenlandse inlichtingendiensten en "opportunistische, afgeperste of omgekochte" gemeentelijke systeembeheerders zouden in staat kunnen zijn om de optelsoftware aan te passen en zo de verkiezingsuitslag te manipuleren.
Volgens de stichting zijn computers dan ook niet veilig genoeg om bij een verkiezing te gebruiken en kan het "hackrisico" eenvoudig worden weggenomen door uitgebrachte stemmen handmatig op te tellen. "Om twijfel over de uitslag weg te nemen moet onafhankelijke verificatie van de resultaten verplicht worden", aldus de experts, die stellen dat de kosten van het optellen of laten verifiëren door derden in het niet vallen bij de totale kosten en impact van een gemanipuleerde verkiezing.
Het rapport van de stichting is aanleiding voor CDA, SP en VVD om opheldering aan de minister te vragen. "Bent u het ermee eens dat als de verkiezingssoftware hackbaar blijkt een extra controle moet worden ingesteld, zodat de uitslag boven elke twijfel verheven is? Zo nee, waarom niet?", vraagt SP-Kamerlid Van Raak. Hij vraagt ook aan Ollongren een toezegging om, naast het gebruik van de OSV2020, de uitgebrachte stemmen handmatig op te tellen.
VVD-Kamerleden Van Gent en Middendorp en CDA-Kamerlid Van der Molen willen een reactie van de minister op de waarschuwing van de beveiligingsexperts. "Is het waar dat de uitslag wordt ingevoerd in de optelsoftware, de Ondersteunende Software Verkiezingen (OSV), zonder dat daarop een handmatige controle wordt uitgeoefend? Deelt u de conclusie van de cyberexperts dat hiermee de betrouwbaarheid en de geloofwaardigheid van de verkiezingsuitslag in het geding kan zijn? Zo nee, waarom niet?", zo vragen ze.
Ollongren moet daarnaast haar mening geven over het voorstel van de experts om uitslagen handmatig op de stembureaus na te laten tellen door ambtenaren en welke maatregelen ze neemt om te garanderen dat het proces van de uitslagberekening transparant en controleerbaar is. De minister heeft drie weken de tijd om de vragen te beantwoorden. De Kiesraad maakte maandag bekend dat het de resultaten van de optelsoftware tijdens de herindelingsverkiezingen op 18 november extra gaat controleren
Flikker dat software weg, en doe met het handje.... 3 dagen wachten op een verkiezingsuitslag maakt ook niets uit als de vorming van de coalitie daarna maanden duurt.
TheYOSH
Flikker dat software weg, en doe met het handje.... 3 dagen wachten op een verkiezingsuitslag maakt ook niets uit als de vorming van de coalitie daarna maanden duurt.
TheYOSH
Mee eens.
Dat zelfs ijskoud de key-generator uit Java elementen is opgebouwd en dat die generator door gebruik te maken van Java elementen op zich al een enorme risico factor is?
Hiervoor had dus sowieso een risico voorkomende maatregel moeten worden geadviseerd, namelijk dit deel uit de OVS verwijderen!
Maar dat advies liet het bureau achterwege.
En het is nogal karige inschatting om op basis van een enkelvoudige invalshoek te claimen dat met "de code niet gebruikt lijkt te worden" in ruime mate de potentiële mogelijkheden voor compromitteren van de OVS zijn afgedekt.
De beveiliging is getest vanuit het perspectief van de insider (een aanvaller met een geldig gebruikersaccount). Omdat we de applicatie zelf hebben geïnstalleerd hebben wij deze zelf aangemaakt. We hebben getest met vijf testaccounts per rol in de applicatie. Er bevonden zich vier rollen in de applicatie; lezen, invoer, verkiezingsleider en beheerder.
Op welke hardware zijn de testen uitgevoerd?
Dat zie ik namelijk niet zo snel terug in de rapporten.
En het is wel gewoon een standaard vraag van een serieuzere applicatie beheerder bij gemeentes die met een software pakket te maken krijgt.
Al naar gelang het moederbord en extra caches en chips zijn de mogelijkheden voor exploits op hardware-access niveau - laag dieper dan de gebruikerstechten waar dit rapport op test - altijd legio divers.
Er is bij eerdere verkiezingen al door computer beheerders doorgegeven aan de burgemeesters dat bij security analyses en gebruik er een selecte set van hardware moet worden genoemd en beschreven.
Niet elk stembureau zal namelijk per definitie de OVS op exact dezelfde hardware installeren.
In Californie wordt er namelijk wel gewoon in hun test-rapporten melding van gemaakt.
Hier zou zeker de kiesraad ook van verkiezing analyses van Californie hebben moeten afkijken wat die bijkomend ook in hun rapporteren opnemen.
Staff Report
Prepared by:
Secretary of State’s Office of Voting Systems Technology Assessment August 18, 2017
Bijkomende is de uitgevoerde test misschien uitgebreid van opzet maar is met een vrij beperkt palet aan scenario-invalshoeken belicht.
Namelijk slechts 1 invalshoek.
Dus geen scenario testen op onvoorziene work-arounds via hardware niveau toegang of op andere niveau's.
Bijvoorbeeld die toegang bieden tot de opslag media, duplicaten na tussentijds optellingen kunnen generen et cetera.
Hetzij doordat de OVS op locaties op andere hardware draait dan waarop is getest.
Maar ook bijvoorbeeld een scenario waarbij bepaalde hardware of software onderdelen die niet erop hoeven staan toch niet worden verwijderd.
De test van de Ondersteunende Verkiezing Software is volgens Hackdefense zelf namelijk slechts op 1 van de meerdere behoorlijk STANDAARD invalshoeken gedaan.
De kiesraad heeft in eerdere evaluaties zelf al meer leerpunten getrokken en naar nu dus lijkt die vervolgens nagelaten toe te passen bij testen en security-analyses anno 2019-2020.
Er zijn vele statistische methodes die fraude kunnen opsporen. Dit is eerder gebruikt om stemfraude aan te tonen in Rusland.
Kan men niet van alle stembureaus een sample nemen om statistische afwijking aan te tonen. Door bijvoorbeeld elke 5e stem apart te nemen en die handmatig te tellen. Deze sample-groep moet statistisch overeenkomen (binnen marges) met het geautomatiseerd tellen (vanwege Central Limit Theorem). Indien deze groepen afwijken, alles opnieuw handmatig tellen.
Flikker dat software weg, en doe met het handje.... 3 dagen wachten op een verkiezingsuitslag maakt ook niets uit als de vorming van de coalitie daarna maanden duurt.
TheYOSH
Als de stemlokalen de resultaten zouden publiceren dan leidt dat gegarandeerd tot een met van herleidbaarheid waar misbruik van gemaakt wordt. Dat is is voorgekomen het is: - geen peil-.
Je hoeft niet een enkele weg voor het uitvoeren van de optellingen af te lopen. Waarom zou je niet meerdere wegen hanteren.
Ooit als je rekenen leerde, lange geleden was dat nog een vak, leerde je ook kruiscontroles te doen.
Zie https://www.security.nl/posting/677577/Microsoft%3A+stop+met+gebruik+van+multifactorauthenticatie+via+sms
Dan weet iedereen waar hij aan toe is en kan er zorgvuldig geteld worden zonder fraude gevoelige apparatuur.
Niemand heeft interesse in die dingen, maar een vriendje van een vriendje die toevallig die dingen heeft staan enz enz...
Bananenrepublieken zijn minder doorzichtig...
En de zittende overheid wil maar graag die stemcomputers, immers, controle over de stemcomputers is controle over de verkiezingen..
en dan niet achterdeurtjes inbouwen zoals in Amerika, waar stemmen via de post alleen was toegestaan voor overzeesche militairen en met Biden ineens voor iedereen, en ja, als je een briefje kunt onderscheppen, dan heb je zo honderdduizende stemmen gekaapt. Doe je natuurlijk alleen als laatste redmiddel voor het geval je gesnapt wordt, vandaar dat al die staten waar Trump voor stond met 40% ineens de andere kant op gingen... Het viel wel op dat er ineens 250% stemmers waren ten opzichte van vorig jaar. Nog nooit zoveel mensen hadden gestemd... Zou me niets verbazen als er meer mensen gestemd hebben dan er leven in de VS.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
