Stemprogramma lijsttrekkersverkiezing CDA was geautomatiseerd te manipuleren

Het stemprogramma waarmee het CDA de nieuwe lijsttrekker wilde kiezen, gebruikte een willekeurige stemcode die te raden was. Daardoor was de verkiezing eenvoudig te manipuleren met een programma. Het CDA herstart de verkiezing en vraagt partijleden nu om hun postcode.

Dat de stemwebsite van het CDA te manipuleren was, viel TU Delft-promovendus Jordy San Jose Sanchez op. Hij tipte het CDA en de NOS. Om een stem uit te kunnen brengen op Hugo de Jonge, Mona Keijzer of Pieter Omtzigt, moesten CDA-leden een zevencijferige stemcode invoeren op de stemwebsite. Volgens San Jose Sanchez waren er 'veel te weinig mogelijke combinaties', waardoor er een kans van een op de 250 was om een correcte stemcode in te voeren.

De promovendus schreef een computerprogramma dat willekeurige stemcodes invoerde in het stemsysteem en wist zo drie keer valse stemmen uit te brengen op Mona Keijzer. Met zijn zelfgeschreven programma had hij naar eigen zeggen binnen 30 uur alle stemmen uit kunnen brengen. Met de stemcode kan een CDA-lid één keer stemmen.

Toen het CDA door de promovendus werd ingelicht, losten ze dinsdagavond het probleem op door een Captcha in de stemwebsite te plaatsen die het geautomatiseerd stemmen onmogelijk moest maken. Toen twee beveiligingsonderzoekers volgens de NOS ontdekten dat deze aanpassing eenvoudig te omzeilen was, besloot het CDA op woensdagmiddag de verkiezing opnieuw te doen.

Het CDA schrijft dat de stemming nu donderdagochtend om 09.00 uur opnieuw start. Bij het stemmen moet een partijlid 'bijvoorbeeld' de vier cijfers van zijn of haar postcode invoeren. Een notaris toetst achteraf of de stemcode en postcode met elkaar matchen. Bij deze nieuwe stemronde gebruiken de CDA-leden dezelfde stemcode als voorheen. Volgens de NOS kijkt beveiligingsbedrijf Fox-IT mee of er verdachte stemmen worden uitgebracht. De partij zegt de situatie te betreuren en San Jose Sanchez te bedanken dat hij de fout onder de aandacht bracht.

Op hun site zegt het CDA dat ze voor de tip van San Jose Sanchez al doorhadden dat er iets fout was, door 'verdachte bewegingen in het systeem'. De partij startte naar eigen zeggen direct een onderzoek. Volgens het CDA is het gebruiken van een langere cijfercode ongewenst, omdat de kans dan groter is dat iemand een fout maakt tijdens het invoeren. Voor het stemprogramma in gebruik werd genomen, heeft een ethische hacker volgens de partij 'checks' gedaan. De aanbevelingen van deze hacker werden volgens de partij overgenomen.

Reacties (103)

[shiftesc]

Als er een zeven cijferige stemcode moet worden ingevoerd, dan begrijp ik niet dat er maar 250 mogelijke stemcodes zijn.

[Jerrythafast]

Dat komt omdat er 40.000 CDA-leden zijn. Er zijn 10.000.000 7 cijferige codes, waarvan 40.000 aan een CDA'er toebehoren. Dat is 1 op de 250. Aangezien er verder geen authenticatie plaatsvindt hoef je alleen maar één van de 40.000 echt bestaande codes in te tikken om als buitenstaander toch een stem uit te brengen. De kans dat de website jouw random geselecteerde code slikt is dus 1 op 250. En met een scriptje kun je heel veel random codes in korte tijd proberen, waarvan er dus statistisch gezien bij elke 250e poging een succesvolle stem wordt uitgebracht.

[Reactie gewijzigd door Jerrythafast op 22 juli 2024 21:46]

[.oisyn]

Afgezien van het feit dat de kans veel te groot is, is het natuurlijk ook van den zotte dat er geen enkele vorm van rate limiting plaatsvindt. Waarom is het überhaupt mogelijk om honderden pogingen in een korte tijd vanaf hetzelfde ip te doen?

[Zoijar]

Ja precies, het is vrij simpel wat dat betreft, als je 2x een verkeerde code invoert mag dat account een uur niet meer stemmen, klaar. Dan wil je misschien nog 8 cijfers, maar op zich wel al ok. Wellicht nog oplopend, volgende keer 2 uur, dan 4 uur... dan hoef je ook niet moeilijk te doen met IPs en mogelijk gespoofde ips etc.

[Reactie gewijzigd door Zoijar op 22 juli 2024 21:46]

[.oisyn]

als je 2x een verkeerde code invoert mag dat account een uur niet meer stemmen, klaar

Wélk account? Je code was verkeerd . Verder heb je helemaal gelijk natuurlijk, maar dan iets met IP ipv account.

[Zoijar]

Ja, goeie. Ik dacht meer dat je stemde met je naam bijvoorbeeld en dan een verificatie-code (username/password...) Maar dan kan je wel weer iemand locken door gewoon bogus codes op bekende namen te sturen, dat is ook irritant. Anyway... zo iets ja We hebben dus in 5 minuten al iets beters haha

[Reactie gewijzigd door Zoijar op 22 juli 2024 21:46]

[Helium-3]

Tja, dan zetten we toch even de /64 IPv6 blokken in die je bij elke goedkope VPS complementary erbij krijgt? Heb je 2^64 verschillende IP(v6) addressen om te gebruiken, ééntje per poging! Welke ratelimiting houd ons nu nog tegen, huh?

^{Niet dat ik iets geef om de partij CDA verder hoor, zal mij een worst wezen welke drol ze kiezen}

[.oisyn]

Bij IPv6 is het dan ook niet bijzonder nuttig om te filteren op volledige IP. Ken jij een partij die zo werkt?

[CAPSLOCK2000]

Afgezien van het feit dat de kans veel te groot is, is het natuurlijk ook van den zotte dat er geen enkele vorm van rate limiting plaatsvindt. Waarom is het überhaupt mogelijk om honderden pogingen in een korte tijd vanaf hetzelfde ip te doen?

Het "open deur" antwoord is dat dit zo is omdat het de default instelling van de meeste webservers is.
Het klinkt een beetje flauw, maar de meeste mensen zijn gewoon niet op deze manier met dingen bezig. Die willen een webite die er mooi uit ziet en goed werkt, over ratelimiters en andere vormen van beveiliging denkt bijna niemand na.
Natuurlijk zijn er een paar goede professionals die dat wel doen, maar de meesten volgens mij niet. Die gebruiken over de default instellingen en veranderen niet meer dan strict noodzakelijk om hun website werkend te krijgen.

Ik vind dat (netwerok)applicaties standaard ratelimiters moeten inbouwen en streng afstellen. Laat de beheerder de poort maar verder open zetten als dat moet. 99.9% van de websites heeft minder dan 1 bezoeker per uur, waarom moeten die draaien op een systeem dat geoptimaliseerd is voor duizenden hits per seconde?

Een belangrijk verschil tussen IT-beveiliging en andere vormen van beveiliging is hoe snel alles in de IT gaat. Geen enkele dief kan in 1 seconde een hele winkel leegroven. Als je hard genoeg kan rennen om dat wel te doen dan zou je door de wrijving met de lucht verbranden. Je kan het wel wat versnellen met goed gereedschap, zoals een bulldozer, maar dat heeft altijd forse neveneffecten, zoals een hoop lawaai, hitte en geweld.

In de IT bestaat er geen wrijving. Een moderne computer kan miljarden handelingen per seconde uitvoeren. Als je eenmaal ergens bent ingebroken is het razendsnel en geruisloos weghalen van de buit een fluitje van een cent. Als er opeens honderd vrachtwagens op je parkeerplaats staan die met heftrucks worden volgeladen dan valt dat op. Als je data op gigabitsnelheid naar buiten vliegt dan valt dat niet op.

Een ratelimiter kun je als een vorm van kunstmatige wrijving zien. Als je het goed doet merk je er nomaal niks van, maar als dingen verkeerd gaan beperkt een ratelimiter de schade enorm.

[YangWenli]

Nederlandse politieke partijen zijn straat arm, het hele jaar budget van de CDA is wat Trump binnenhaalt in een uur. Dus dan moet je het met vrijwilligers doen en het CDA is nou niet echt een partij voor ICTers.

[supersnathan94]

Ja en in plaats van dat in te bouwen doen ze het meest gebruiksonvriendelijke alternatief: een captcha

Ook niet even de code langer maken en de kans op collisions vergroten nee.

[alexiooo]

Rate limiting op basis van IP is een goed begin, maar voorkomt het probleem niet.

Je kan op het Internet genoeg werkende proxies vinden die vrij te gebruiken zijn (er bestaan hele lijsten die je direct in je programma kan voeren), dus je kan elke volgende poging van een ander IP laten komen.

[.oisyn]

"Afgezien van het feit dat de kans te groot is..."

[.oisyn]

Het is onzin om te stellen dat ze over die kennis moeten beschikken. Die app hebben ze gewoon uitbesteed. Wat je ze wel kunt aanrekenen is dat ze geen onafhankelijke experts hebben geraadpleegd om dit te kunnen toetsen. En de bouwer van de app is natuurlijk weldegelijk compleet incompetent. Ze hebben duidelijk totaal geen ervaring en kunde op het gebied van beveiliging en moeten dus ver van dit soort projecten vandaan blijven.

[Pietervs]

Voor het stemprogramma in gebruik werd genomen, heeft een ethische hacker volgens de partij 'checks' gedaan. De aanbevelingen van deze hacker werden volgens de partij overgenomen.

Vraag me af wat die hacker gevraagd is om te testen. Want ik neem toch aan dat die hacker hier ook tegenaan gelopen is. Heeft hij wel alle informatie gehad of was het voor zijn testen nog zoveel slechter dat dit het minimale is wat eruit is gekomen?

[latka]

Ik heb dit soort discussies wel eens mogen voeren met een klant. Klant zegt: ik wil een laagdrempelige oplossing. Ikke: maar dat kan gehacked worden, een beetje beveiliging is echt beter. Klant meld dat er eigenlijk helemaal geen beveiliging op zou moeten want wie raad het adres nou helemaal. Dat is het niveau waar je tegenaan moet boksen: mensen met geld maar geen verstand.

[GeoBeo]

Het is onzin om te stellen dat ze over die kennis moeten beschikken. Die app hebben ze gewoon uitbesteed. Wat je ze wel kunt aanrekenen is dat ze geen onafhankelijke experts hebben geraadpleegd om dit te kunnen toetsen. En de bouwer van de app is natuurlijk weldegelijk compleet incompetent. Ze hebben duidelijk totaal geen ervaring en kunde op het gebied van beveiliging en moeten dus ver van dit soort projecten vandaan blijven.

Oftewel exact wat ik ook typte maar dan in andere woorden?

Voor het kunnen inschatten van de kennis en kunde van die "onafhankelijke experts" heb je zelf ook enige kennis van IT nodig lijkt me.

En dit valt daarmee toch gewoon onder incompetent IT-leiderschap? Ook als je iets inkoopt dat totaal niet blijkt te werken ben je natuurlijk een incompetente leider he.

Het feit dat het ingekocht is, maakt niet dat dan ineens de initiatiefnemer van het hele falende software project daarmee buiten schot blijft. In tegendeel: per definitie ben je als leider/initiatiefnemer (in dit geval het CDA als partij) volledig 100% verantwoordelijk voor de uitkomst van het project.

Of het nou een project voor je partij is of een project voor de staat Nederland is.

Conclusie: falende politieke leiders zonder enige kennis of kunde van (het leiden van) IT projecten.

[.oisyn]

Oftewel exact wat ik ook typte maar dan in andere woorden?

Helemaal niet. Jij doet namelijk overkomen alsof leiderschap meteen als incompetent kan worden aangeduid op het moment dat je peers, op wie je vertrouwt wat betreft specialistische kennis, je in de steek laten. Ik bestrijdt dat ten zeerste.

[Tc99m]

De RIjksoverheid heeft hier niks mee te maken; het CDA is een zelfstandige vereniging en de interne lijsttrekkersverkiezingen worden door het eigen partijbureau georganiseerd.

[doeternietoe]

De RIjksoverheid heeft hier niks mee te maken; het CDA is een zelfstandige vereniging en de interne lijsttrekkersverkiezingen worden door het eigen partijbureau georganiseerd.

Je hebt natuurlijk gelijk dat dit zo is, maar toch bekroop me de afgelopen dagen bij het CDA een beetje een gevoel van deja vu richting het debacle van die "appathon".

Het begon al met de voorzitter van zowel de appathon als het lijsttrekkersdebat, een professionele, inhuurbare dagvoorzitter / debatleider met de naam Donatello Piras. Wat mij betreft een ongelukkige keuze om de dagvoorzitter van dat tot fiasco verworden prestigeproject van minister Hugo de Jonge in te huren bij het debat dat wat het partijkader betreft diezelfde Hugo de Jonge in het zadel helpt om lijsttrekker te worden bij het CDA. Heel raar voor de beeldvorming dat de man die ik mij kan herinneren als presentator bij een overheidsevent ook leider is bij een debat waarbij de minister die verantwoordelijk was voor dat event lijsttrekker van zijn partij kan worden. En hoe ironisch dat ook hier een ict-project aan verbonden was dat nogal te wensen overlaat.

Tussen haakjes: stemmen bij partijcongressen is hoe dan ook niet altijd even professioneel geregeld. Kan iemand zich nog het CDA-congres herinneren waarin gestemd moest worden over wel of niet samenwerken met de PVV? Toen zijn een aantal stemmingen overgedaan omdat voor de leden (toen in een zaal) niet duidelijk was op welk moment zij eigenlijk voor welk voorstel stemden...

Voor de duidelijkheid, formeel is er natuurlijk niets mis mee om een professionele dagvoorzitter in te huren. De beste man verdient met dit soort dingen zijn brood (en hoeft dus helemaal geen CDA'er te zijn) en verschijnt daarnaast ook soms op TV.

[fruitbakje]

Nee, er was een kans van 1 op de 250 dat je een juiste code zou invoeren. Van de 9.999.999 mogelijkheden waren er dus blijkbaar 40.000 correcte codes.

[P.Mouse]

Laten we lekker over details gaan soebatten.


https://en.wikipedia.org/wiki/Fermi_problem
Feit is dat zelfs met een factor groter of meer, het mogelijk is om via manier (scripts) stemmen uit te brengen.
Hoe dan ook is er simpelweg een zeer onveilige manier uitgekozen.
Ook met de nieuw voorgestelde methode kun je de hele stemprocedure zo om zeep helpen dat het ondoenlijk wordt om na te gaan of de stemmen kloppen.
Zeg maar een bepaalde situatie zoveel overspoelen met valse uitkomsten, dat het niet meer te doen is om de juiste eruit te vissen.


Persoonlijke noot, is dat het vooral zorgwekkend is hoe laag het niveau is bij de overheid als het om beveiligingen gaat. Met name het gebrek aan algemene kennis hiervan.

[kodak]

Wat jij beschouwd als een onveiliger manier hoeft voor de groep niet onveilig te zijn maar een systeem met acceptabele risico's. Er bestaat namelijk geen 100% veilig en dus komt het op dat soort details aan. En dan staat het iedereen vrij om te beslissen.

Een politieke vereniging is daarbij niet hetzelfde als de overheid. Als een politieke vereniging aan een lijsttrekkersverkiezing doet dan beslissen de leden waarschijnlijk met of via het bestuur over de wat wenselijk is. Die leden of het bestuur zijn niet automatische betrokken bij de overheid, daarvoor zullen ze er dus eerst een relatie mee moeten hebben. Een relatie die er niet zomaar is, juist omdat het verenigingen zijn waar iedereen lid van kan worden. Dus tenzij je kan aantonen dat de personen die besloten hebben dat dit een goed idee was een directe relatie met de overheid hebben denk ik dat je beter kan stellen dat het een zorg is dat leden van een vereniging niet zomaar algemene kennis over beveiliging hebben. Al betwijfel ik of dat ook stand zal houden als je kijkt welke moeite er lijkt te zijn gedaan om bijvoorbeeld extern te laten beoordelen of het systeem zou voldoen en het in de gaten houden van afwijkingen. Dat zie ik leden van een willekeurige vereniging niet zomaar doen als die online gaan stemmen.

[oltk]

Zover ik weet is een politieke partij geen overheid. Er zijn veel dingen zorgwekkend in het leven, en bij overheden in het bijzonder. Maar dit is geen voorbeeld hiervan.

[Pietervs]

Persoonlijke noot, is dat het vooral zorgwekkend is hoe laag het niveau is bij de overheid als het om beveiligingen gaat. Met name het gebrek aan algemene kennis hiervan.

"De overheid" heeft hier niks mee te maken. Dit gaat om 1 "bedrijf" die actief is in de politiek.
Politici zijn geen IT-ers. De kans dat het CDA dit zelf geschreven heeft is 0: ze zullen dit wel uitbesteed hebben, net als het testen ervan.
Er zal dus kritisch gekeken moeten worden naar het bedrijf die dit broddelwerk opgeleverd heeft: was de vraagstelling zo onduidelijk, waren de randvoorwaarden zo slecht ingevuld of heeft het CDA "het zoontje van de buurman van de achterneef van..." ingehuurd omdat die wel eens iets met computers doet?

[Helium-3]

(gelukkig) is het CDA geen overheidsinstelling maar een zelfstandige organisatie met zelfstandige ICT-blunders

[FilipSP]

Dat aantal komt dan weer exact overeen met het aantal leden van het CDA.....43.000 op 1/1/2019.

[zonder.h]

Het citaat op NOS.nl is als volgt: .

"Er waren veel te weinig mogelijke combinaties." Daardoor waren de codes te raden. "Als je willekeurig cijfers intikte, was er een kans van één op de 250 dat je een correcte stemcode invoerde", zegt San Jose Sanchez.

Edit: Is inmiddels gewijzigd in het artikel.

[Reactie gewijzigd door zonder.h op 22 juli 2024 21:46]

[lucatoni]

250 geldige stemcodes uit de 10 miljoen mogelijke combinaties? Zo lees ik het in ieder geval.

[Krulliebol]

Nee, 10 miljoen mogelijke combinaties en 40 duizend CDA leden, dus 40 duizend geldige combinaties. Dat betekent dat 1 op de 250 combinaties geldig is.

[Niemand_Anders]

Maar als je je werkt met 7 cijferige codes, hoef je 0 t/m 999.999 niet meer te proberen!
Dus eigenlijk zijn het 9 miljoen codes verdeelt over 40.000 leden, dus eigenlijk 1 op 225..

Maar hebben leden dan geen login op de CDA website?
Zonder geldige login token kun je je stemcode niet invoeren..

[Tweekzor]

00100394 is geen geldige code dan?

[jerrycan92]

1/250 werkende codes op 10.000.000 mogelijkheden.

Edit: niet goed gelezen

[Reactie gewijzigd door jerrycan92 op 22 juli 2024 21:46]

[Krulliebol]

Waarschijnlijk wel goed gelezen, het is later aangepast.

[r03n_d]

Volgens het CDA is het gebruiken van een langere cijfercode ongewenst, omdat de kans dan groter is dat iemand een fout maakt tijdens het invoeren.

De cijferreeks van een IBAN rekeningnummer is 10 cijfers lang. Het lijkt me dat dat toch op zijn minst een optie moet zijn geweest. Dat lost het probleem niet op, maar maakt (geautomatiseerd) misbruik wel lastiger. Of maak een koppeling met Digid of iets dergelijks.

[walteij]

Want met Iban of digid login is zo heerlijk anoniem je stem uitbrengen....

</sarcasm>

[Pathogen]

Nee, je stemcode voorzien van je postcode is lekker anoniem

[Sharkoon]

Niet stemmen is dus beter

[Reactie gewijzigd door Sharkoon op 22 juli 2024 21:46]

[.oisyn]

Het feit dat dit achteraf gecontroleerd kan worden zonder nieuwe stemcodes uit te delen impliceert dat de stemcode sowieso al te herleiden was naar een persoon. De postcode maakt het niet minder anoniem.

Maar goed, die stemcode hoeft natuurlijk niet tezamen met je daadwerkelijke stem worden uitgebracht. Met de stemcode markeer je jezelf alleen maar aan als "ik heb gestemd". De postcode ter verificatie geeft dan aan of je stem valide was. Maar welke stem je deed (en hem dus ongeldig maken) is dan niet per se mogelijk. Hij dient dan vooral als controle om te zien of er niet op grote schaal is gefraudeerd.

Wel een makkelijke manier om de hele procedure te torpederen, trouwens. Fraude kan dan weliswaar ontdekt worden, maar als daardoor elke keer alles opnieuw moet schiet je er weinig mee op.

[Reactie gewijzigd door .oisyn op 22 juli 2024 21:46]

[Niemand_Anders]

Waarom zou een CDA lid anoniem moeten kunnen stemmen op de CDA website??

[kodak]

Ik lees nergens dat het stemmen anoniem zou moeten zijn. Dat het van toepassing is op verkiezingen van volksvertegenwoordiging wil nog niet zeggen dat andere stemmingen dus ook anoniem horen te zijn. Kijk bijvoorbeeld naar het stemmen in je gemeente of het parlement. Die stemmingen zijn juist niet anoniem.

[Reactie gewijzigd door kodak op 22 juli 2024 21:46]

[Boomtopper]

Jouw gemeente stemt niet anoniem?

[kodak]

Dat hangt er vanaf welk stemmen je bedoelt. Ik bedoel dat er meer stemmingen zijn dan alleen het kiezen van een volksvertegenwoordiging en dat je bijvoorbeeld in je gemeente in de raadszaal daar een voorbeeld van terug kan vinden.

[reddevi009]

De leden van de raad of kamer dienen op hun keuzes afgerekend te kunnen worden. Daar is bij burgers geen sprake van.

[kodak]

Dat is van toepassing op de raad of kamer. Maar dat zegt niets over hoe het bij een (politieke)vereniging moet. Daar beslist men zelf of en waarom ze wel of niet anoniem stemmen. Net als ze zelf kunnen beslissen hoe die stemmen verhouden tot een resultaat en wat mag of moet om wel of niet mee te laten tellen.

[blissard]

Klopt. Veel verenigingen stemmen gewoon met handopsteken bij de algemene ledenvergadering.

[Alex3]

Het is bij verenigingen wel gebruikelijk dat stemmen over personen anoniem gebeurt.

[kodak]

Het is bij verenigingen wel gebruikelijk dat stemmen over personen anoniem gebeurt.

Dat hangt van de vereniging af. En dan nog. Zelfs als het gewoon zou zijn omdat de meeste verenigingen het zouden doen dan staat het bijna iedere vereniging vrij om daarin zelf een beslissing te nemen.

[Reactie gewijzigd door kodak op 22 juli 2024 21:46]

[Anoniem: 310408]

Jouw gemeente stemt niet anoniem?

Nee, die van jou ook niet. Stemmingen van gemeenteraden in Nederland zijn openbaar en nooit geheim. Dat zou totaal illegaal zijn.

[Boomtopper]

Ik kan gewoon anoniem stemmen voor de gemeenteraad hoor.

[Krulliebol]

Hij bedoelt dat stemmingen in de gemeenteraad zelf openbaar zijn: als de gemeenteraadsleden voor of tegen iets stemmen, is dat openbaar en kun jij dat als burger zien/horen/lezen/nagaan.

[Boomtopper]

Ok dan hebben we het over iets anders

[Countess]

IBAN heeft een intern verificatie (een soort ECC zeg maar) waardoor het fout invoeren van 1 of 2 karakters altijd zal leiden tot een waarschuwing dat het IBAN niet klopt.

https://nl.wikipedia.org/...ount_Number#Controlegetal

En iets dergelijks had CDA hier ook kunnen/moeten implementeren om menselijke fouten eruit te vissen.

[Pathogen]

Nee joh, als je eenmaal weet hoe het controlegetal wordt berekend is het veel makkelijker om correcte codes te raden! Het aantal mogelijkheden gaat dan drastisch omlaag

[SED]

Niet als je cijfers en letters of leestekens door elkaar gebruikt.

[supersnathan94]

Maar met 10 cijfers is het prima mogelijk 1 controlegetal te hebben en dan nog steeds 100 keer meer mogelijkheden te hebben. Doe je er iets van leestekens bij dan kun je zelfs nog groter gaan.

[Countess]

Het ging er om dat ze dan een veel langer getal konden gebruiker en het excuus van het CDA van menselijke fouten konden omzeilen.

[Reactie gewijzigd door Countess op 22 juli 2024 21:46]

[Krulliebol]

IBAN heeft inderdaad een check, maar als je 2 onjuiste karakters invoert, is het mogelijk dat ze elkaar opheffen. Het resultaat lijkt dat een geldig rekeningnummer te zijn, terwijl het dat juist niet is.

Maar dat is hier helemaal niet het probleem. Het probleem is juist dat men (na genoeg pogingen) een code kon gebruiken die wél geldig is, maar aan iemand anders toebehoort.

[walteij]

DIe controle is de zogenaamde ELF-proef. Daar is erg veel over bekend.
Is iets dat ook wel eens voorbij komt bij de iets betere programmeer cursussen.

[Niemand_Anders]

Het Nederlandse IBAN heeft 2 check gedeeltes. Niet alleen de oude 11 proef (laatste cijfer van het oude rekeningnummer, met uitzondering van gironummers), maar tussen NL en de BIC Code van je bank staan ook twee controle cijfers..

[Countess]

Het probleem was dat het CDA zei dat een langer getal onwenselijk was vanwege de mogelijkheid op menselijke fouten bij invoeren.

Door 2 controle cijfers toe te voegen hadden ze wel een veel langer getal kunnen gebruiken en toch de kans op menselijke fouten kunnen minimaliseren.

(en 2 fouten die elkaar opheffen is behoorlijk uitzonderlijk.)

[Reactie gewijzigd door Countess op 22 juli 2024 21:46]

[kodak]

Als een vereniging stelt dat iets ongewenst is wil dat nog niet zeggen dat iets wat niet gewenst is geen optie is geweest. Daarnaast betwijfel ik of het een optie moet zijn geweest omdat een ander systeem wel langere cijfercodes gebruikt. Dat een ander over de sloot springt wil toch ook niet zeggen dat jij dat moet doen?

Een koppeling met digid kan overigens niet. Daar is digid niet voor bedoeld. Behalve dat een politieke vereniging niet hetzelfde is als een organisatie waar digid wel voor bedoeld is heeft het authenticeren verder niet zomaar invloed op de betrouwbaarheid van een stem. Daarbij vraag ik me af of het gewenst is dat de overheid inzicht krijgt in wie lid is van welke politieke vereniging. Waarschijnlijk niet want daar heeft digid of de overheid niet zomaar iets mee te maken.

[Tc99m]

Het kan natuurlijk dat er in een gezin meerdere gezinsleden lid zijn van het CDA, die hun lidmaatschap van dezelfde rekening betalen.

En een koppeling met Digid is niet realistisch (of wenselijk). Politieke partijen zijn zelfstandige verenigingen en geen (semi)overheidsinstellingen en dus niet aangesloten op Digid.

[drake7707]

Captcha's zijn even nutteloos. Er zijn verschillende captcha services zoals 9kw.eu waar je voor een paar euro credits aankoopt en dan via een API andere mensen jouw captcha's laat oplossen. Dit wordt vooral gebruikt voor het automatiseren van downloads van file locker websites maar niets staat iemand in de weg om dit voor stem manipulatie te gebruiken.

[Unsocial Pixel]

Meestal is er ook een captcha code die altijd geaccepteerd word. Althans dit was v2 toen ik nog een tester was

[Sharkoon]

Precies als zoals je het zegt, als een tester.

[kodak]

Dat hangt er toch vanaf wat je acceptabel ziet als risico's. Het bedrag zorgt er niet voor dat je dus meer tijd hebt of dat het snel genoeg is. Het is een extra verdediging, geen algemene oplossing. Als je dat vergelijkt met niets doen kan niet gezegd worden dat het nutteloos is. Of het voldoende helpt is dus eerder de vraag.

[ZwolschBalletje]

Bij de nieuwe opzet heb ik ook nog zo mijn twijfels als ik lees

Een notaris toetst achteraf of de stemcode en postcode met elkaar matchen.

Zouden ze echt bedoelen dat dat (alleen) achteraf wordt gecheckt en niet tijdens het stemmen?

Ook stond in de e-mail met de stemcode (en vandaag in de vervolg e-mail) heel duidelijk

Raak uw stemcode niet kwijt, want die kunnen wij niet opnieuw verstrekken.

Maar achteraf ongepland de stemcode alsnog matchen met de postcode kan dus wel?

Ik probeer me even voor te stellen hoe dat werkt. Ze hebben mijn lidmaatschapsnummer door een hash gegooid en daar komt die stemcode uit. Dat zou je nog een keer kunnen doen maar dat willen ze niet of dat kunnen ze niet (omdat die hash een tijd-gevoelige salt heeft bijvoorbeeld).
Nu moet achteraf de (anonieme) stemcode gematcht worden met een postcode die is ingevoerd.

Zoek je dan achteraf alle lidmaatschapsnummers op die postcode erbij, haal je die allemaal nogmaals door de hash en zeg je dan “ah, die stemcode matcht met dat lidmaatschap, ok, stem geldig”? Daar gaat je stemgeheim uit het raam...

Niet gek natuurlijk, want dat is de eeuwige spagaat van online stemmen: security van stemgeheim. Maar voor mij wel een heel goede reden om zelfs in Corona-tijden heftig tegenstander te zijn van stemmen op afstand, als we straks de Tweede Kamer mogen kiezen.

[Reactie gewijzigd door ZwolschBalletje op 22 juli 2024 21:46]

[Tc99m]

Ik vroeg me precies hetzelfde af.

En ik vroeg me ook af, als die notaris achteraf de stemmen toetst, waar leg je dan de grens? Want als iemand de verkiezingen wil manipuleren, zorgt hij of zij er natuurlijk voor dat hij postcodes kiest die in gebieden liggen waar veel CDA-ers wonen. Mismatches zul je sowieso hebben omdat mensen invoerfouten maken, maar wanneer is er dan fraude gepleegd? Bij 10 verkeerde stemmen? Bij 100? Dat terwijl op verkiezingen op zo'n kleine schaal (lang niet alle 40.000 leden zullen stemmen) een paar honderd stemmen het verschil kunnen maken.

[dakka]

gewoon honeypots gebruiken

[StephanVierkant]

Dat helpt wellicht tegen hele domme spambots, maar bij gerichte targets zoals in dit geval zal het niet helpen. Rate limiting zal al iets meer helpen, maar ook dat is niet feilloos.

De 'root cause' is simpelweg dat de cijfercode te kort is en/of dat er geen extra verificatie (postcode, email, geboortedatum, lidmaatschap-nummer, etc.).

En waarom geen letters gebruikt? Zelfs als je de I en de O (want lijkt op 1 en 0) zou negeren heb je alsnog meer dan keer zoveel opties. Alle kleine beetjes helpen.

Edit: @wouterbult, ik bedoel inderdaad twee keer meer opties per teken. Dat gaat dus exponentieel.

[Reactie gewijzigd door StephanVierkant op 22 juli 2024 21:46]

[wouterbult]

Veel en veel meer dan 2x zo veel opties!

[.oisyn]

Dat gaat dus exponentieel

Polynomiaal (O(n⁷) in dit geval). Het aantal tekens vergoten is exponentieel

[Anders]

Eens. Ik heb twintig jaar geleden gewerkt bij een internetbureau dat veel actiesites maakte voor de levensmiddelenbranche. Heb toendertijd veel codes gegenereerd en aangeleverd. Lessons learned:

• Cijfers én letters gebruiken: 374BZ01 is sneller te onthouden/over te typen dan 3746301
• Alleen hoofdletters gebruiken
• Tekens die ook maar enigzins verwarrend kunnen zijn niet gebruiken: 1-I-L / C-G / 2-Z / 8-B / 0-O / 5-S. Scheelt een hoop gedoe naar klantenservice.

Je houdt dan netto 23 opties per karakter ipv 10.

[Cowamundo]

Snap nog steeds niet waarom er keer op keer geprobeerd wordt om elektronisch stemmen er door heen te drukken als keer op keer blijkt dat het niet secure genoeg is!? Gewoon pen en papier mensen.. ook niet geheel foutloos maar waarschijnlijk minder makkelijk te manipuleren.

[Anoniem: 310408]

Omdat je bij een verkiezing van een lijsttrekker niet makkelijk tientallen stem bureaus door het hele land kan organiseren? De meeste zouden dan 14 uur open moeten zijn voor twee stemmen.

[Japie07]

Maar hoe kregen de leden hun code? Per mail? Waarom dan niet een eenmalig te gebruiken link met meerdere codes in de URL? Bijna onmogelijk om te raden maar niet een extra probleem voor de stemmer: die hoeft de code niet te onthouden.

Ook bestaan er open source programma's die hierin kunnen ondersteunen. Volgens mij heeft bijvoorbeeld Helios Voting (https://heliosvoting.org/) de boel wel voor elkaar: het is hier wél mogelijk om te achterhalen of iemand gestemd heeft, maar niet wat diegene heeft gestemd door een open source algoritme. Het lijkt mij een goede optie maar ik ben geen beveiligingsonderzoeker.

[Waarnemer]

dus krijgen ze een code in de post die ze moeten gebruiken om te stemmen.

net ff gekeken.

die captcha is natuurlijk volkomen flauwekul.. neem dan een hashcash method (plugins in Joomla en Drupal gebruiken dit en wellicht nog wat andere CMS-en)

stemcode, lidnummer, postcode en de kandidaat. nou ja met IP en session ID zijn er door de notarsi wel wat dingetjes uit te vissen.. vast wel.

Maar waarom hebben deze CDA leden niet gewoon een account op de site van het CDA. Met loginnaam en password desnoods met 2FA... en dan pas kunnen stemmen...

[michaelkamen]

Het vreemde vind ik dat in de eerste e-mail stond dat je je code niet opnieuw kon opvragen, omdat de bronbestanden vernietigd zouden zijn.
Nu kan je nogmaals stemmen met dezelfde code, en die kunnen ze matchen aan je postcode.
Dus de bronbestanden waren nog niet vernietigd!

[biomass]

Vanaf de eigen postcode een briefje op de post doen, briefjes na sluitingsdatum een minuut in de magnetron, tellen welke postcodes als afzender zijn opgegeven, daarna stemmen tellen, klaar?

Het volgens een random internet persoon ondertussen een trilogie (Why Electronic Voting Is A GOOD Idea), maar nog niet in de YT bubbels van enig CDA lid belandt?

2014 - Why Electronic Voting is a BAD Idea - Computerphile
2019 - Why Electronic Voting is Still a BAD Idea - Computerphile

[kodak]

Als je je er werkelijk zorgen om maakt staat waarschijnlijk weinig je in de weg om lid te worden van de politieke vereniging of een andere vereniging waar ze stemmen op een manier die volgens jou geen goed idee is. Anders lijkt je verkondigingen meer bedoelt voor het kunnen mopperen zonder een verband te hoeven leggen met de redenen waarom er kritiek op is en een lijsttrekkersverkiezing van een willekeurige politiek vereniging. Het stemmen binnen een vereniging is niet hetzelfde als stemmen voor een volksvertegenwoordiging. Binnen een vereniging bepalen de leden met/via het verkozen bestuur. Als niet-leden daar moeite mee hebben is dat waarschijnlijk hun eigen probleem.

[t link]

Dat het mopperen is maakt het nog niet onterecht of minder waar.

[kodak]

Of het onterecht is hangt af van de omstandigheden. Het recht laat het vrij om als vereniging zelf te kiezen hoe men wenst te stemmen. In die zin kan dus niet gezegd worden dat de opmerking terecht is. Iemand kan er een mening over hebben, maar als de persoon vervolgens geen deelnemer is in die vereniging heeft dat weinig waarde. Dan gaat het voorbij aan de vrijheid die men heeft en wat de betekenis van een vereniging is. Dat is dan erg makkelijk klagen als iemand dat als buitenstaander doet. De opmerkingen over online stemmen gaan daarbij met name over verkiezen van volksvertegenwoordiging en de anonimiteit die daarbij ook hoort te gelden. Dat is hier niet aan de orde. De vereniging blijkt niet volledig anoniem te willen stemmen en dat is hun goed recht. Dan is het niet gepast om aan te komen zetten met waarom online stemmen als er stemming met anonimiteit gewenst is geen goed idee is. Het wekt bij mij de indruk dat iemand dan niet snapt wat het punt van de maker van die youtube content is: dat het uit maakt wat de omstandigheden zijn om een bepaalde stemmethode een slecht idee te vinden. Niet dat het zomaar een slecht idee is omdat iemand er tegen is.

[t link]

Of iemand een deelnemer is van die vereneging of niet heeft 0 invloed op of hun opmerking terrecht is of niet. als niet nederlander kan je ook nederland terrecht critiseren ookal heb je geen inspraak. niemand zegt dat het niet mag. niemand ontneemt het recht van die vereneging noch speculeren ze daarover. ze zeggen puur dat het een dom systeem is om te gebriuken om reden xyz.

[kodak]

Waar jij op lijkt te reageren is het recht hebben wat dan ook te kunnen zeggen. Dat is wat mij betreft geen onderdeel van de discussie. Als iemand hier iets stelt gaat het om het onderwerp en hoe relevant het daarbij is. Daarop voeren we dan een discussie, op inhoud en hoe dat wel of niet past.

Iemand komt aanzetten met argumenten tegen een systeem waarbij de argumenten niet blijken te horen bij het systeem waar het hier over gaat. En daarbij geeft de persoon niet aan wat hoe die mening wel relevant is bij het systeem, bijvoorbeeld omdat hij er een relatie mee heeft en daarom graag ziet dat anderen anders stemmen. Als iemand op zo'n manier komt verkondigen het ergens niet mee eens te zijn dan valt er ook te verwachten dat er kritiek op komt. Kritiek op de inhoud, op relevantie, niet of iemand wel of geen mening op zich mag hebben.

[t link]

of je er een relatie mee hebt of niet is irrelevant over of het boeit als diegene wilt dat ze anders stemmen.

[kodak]

Je legt helaas niet uit waarom het irrelevant zou zijn. Kom dan graag met een onderbouwing. Je komt nu niet verder dan iemand heeft een mening en dat moet kunnen. Dat draagt niet bij aan een discussie en is ook niet de bedoeling van discussie voeren op tweakers.

[t link]

Je hebt netzogoed geen argumenten aangedragen waarom het wel zou boeien of ze er een relatie mee hebben of niet . maar goed k zal voor de vorm een argument geven. omdat het een verkeerd signaal afgeeft.

[kodak]

Deze en deze reacties hebben meerdere argumenten.
Als je geen enkele moeite wenst te doen om er argumenten in te zien of ze misschien liever negeert omdat ze je niet uitkomen heeft een discussie verder weinig zin.

[Krulliebol]

Waarom niet gewoon gewoon fysiek stemmen?
Gaat altijd foutloos, makkelijk en zonder problemen, daar bij het CDA: https://www.youtube.com/watch?v=35w-xNL0z38

[Reactie gewijzigd door Krulliebol op 22 juli 2024 21:46]

[K-aroq]

Als Pieter Omtzigt wint levert dat bij de eerste verkiezingen heel veel stemmen op maar de kans is erg groot dat het aantal stemmen bij de verkiezingen daarna, de boel helemaal instort omdat hij de verwachtingen niet heeft kunnen waarmaken.

Omtzigt is het best op z'n plaats in z'n huidige rol. Problemen signaleren, de regering flink aan de tand voelen en zorgen dat er maatregelen worden genomen. Aangezien hij nu maar een paar portefeuilles heeft is hij vrijwel volledig vrij om daar vol op in te gaan zonder rekening te houden met andere belangen en factoren. Als partijleider of minister heeft hij met veel meer belangen te maken. Stel je voor dat hij als bestuurder verantwoordelijk wordt voor de belastingdienst. Dan heeft hij opeens niet alleen meer te maken met de inhoudelijke problemen, maar is hij ook verantwoordelijk voor personeelsbeleid. En dat gaat bijten. Resultaat: geen resultaat na 4 jaar besturen en een roemloos einde.

Conclusie: hij moet gewoon blijven doen waar hij erg goed in is.

[Tiny]

Je wordt hier dan wel meteen bestraft met negatieve scores, ik had inderdaad hetzelfde idee.