'E-verkiezingen Estland onveilig'

Naar aanleiding van de online verkiezingen die vorige week in Estland zijn gehouden, is de nodige kritiek geuit. Hoewel de organisatoren prat gingen op het gebruik van open-sourcesoftware, was de code van de software die voor het stemmen werd gebruikt niet openbaar gemaakt, wat volgens diverse experts juist de hoeksteen van stemmen via internet is. 'Met uitzondering van de wachtwoorden mag niets geheim blijven', aldus Alan Dechert van het Open Voting Consortium. 'Stemmen is een publiek proces en het electoraat heeft het recht te weten hoe de stemmen verzameld en geteld worden.' Dechert, wiens organisatie werkt aan een op *BSD gebaseerd systeem, waarschuwde tegen proprietaire verkiezingssoftware die zich voordoet als open source. In het geval van Estland werd de software open source genoemd omdat de gebruikte webservers op Linux draaiden.

De Estse verkiezingen waren volgens diverse analisten onveilig en makkelijk beïnvloedbaar. 'Ik hoop dat niemand ze navolgt, want stemmen over het internet is nu nog een heel slecht plan vanwege heel veel redenen', valt Verified Voting Foundation-oprichter David Dill hem bij. 'Er zullen nog heel wat doorbraken moeten worden gerealiseerd voordat iemand zelfs maar weet hoe het systeem veilig gemaakt zou kunnen worden.' Hij benadrukte dat 'disclosed source' het belangrijkste is: de code van de stemsoftware moet publiek zijn. Het 'geheime' karakter van een democratische stemming - iedereen moet zich wel identificeren, maar de uitgebrachte stem mag in geen geval tot een persoon te herleiden zijn - was in Estland bijvoorbeeld niet verifieerbaar. Ook het traditionele voordeel van open source, de analyse van de code door de open-sourcecommunity zodat fouten vroegtijdig onderkend en hersteld kunnen worden, was in Estland afwezig. Of 'community development' daadwerkelijk tot bruikbare verkiezingssoftware kan leiden is nog de vraag, maar de deskundigen waren het over één ding roerend eens: zoals het in Estland ging, moet het dus niet.

Reacties (47)

[Bor]

ok het traditionele voordeel van open source, de analyse van de code door de open-sourcecommunity zodat fouten vroegtijdig onderkend en hersteld kunnen worden, was in Estland afwezig.

Dat is uitgaan van het goede in de mens. Natuurlijk leuk maar in het geval van een online systeem gaat dit niet meer op imho. Zeker niet als je bv door een exploit stil te houden de verkiezingsuitslagen kunt beinvloeden. Dat iets open source is wil niet zeggen dat alle fouten er zo maar uitgehaald worden. Dat is gewoon een foute aanname en typsiche open source reclame.

Open source is niet per definitie veiliger omdat mensen de code kunnen inzien.

[ATS]

Dat iets open source is wil niet zeggen dat alle fouten er zo maar uitgehaald worden. Dat is gewoon een foute aanname en typsiche open source reclame.

Nee, natuurlijk niet. Maar als open source is, dan heb je tenmiste de mogelijkheid te controleren of er fouten in zitten, en zo ja, welke en wat voor invloed die op het resultaat ((gehad) zouden kunnen) hebben. En laat juist die eigenschap - de mogelijkheid voor iedereen om te controleren - een belangrijke pijler van het democratisch bestel zijn...

[Bor]

En laat juist die eigenschap - de mogelijkheid voor iedereen om te controleren - een belangrijke pijler van het democratisch bestel zijn...

Alsof de gemiddelde stemmer de broncode uberhaubt maar zal begrijpen. De mogelijkheid voor iedereen om te controleren is er in deze dus reeel gezien ook niet. Laten controleren zou wellicht nog kunnen hoewel dit practisch gezien bij dit soort systemen ook al erg lastig word.

[JHS]

Alsof de gemiddelde stemmer de broncode uberhaubt maar zal begrijpen.

Alsof de gemiddelde stemmer het stemproces bij verkiezingen zal gaan controleren? Het gaat om de controleerbaarheid. Natuurlijk is het zo dat OS geen garanties geeft, en dat er net zo goed misbruik van gemaakt zou kunnen worden. Echter, als het controleerbaar is, kan vastgesteld worden door onafhankelijke personen of het stemproces wel eerlijk verloopt. Net zoals je bij de kleur-het-rondje-in verkiezingen het recht had bij het volledige proces aanwezig te zijn.

[ATS]

@Bor de Wollef:
Natuurlijk begrijpt de gemiddelde stemmer de broncode niet (laat staan dat hij er zin in heeft om zich erin te verdiepen), maar wat wél kan is dat een maatschappelijke organisatie (denk aan een politieke partij of een organisatie als Bit of Freedom) of de media een dergelijk onderzoek (laten) doen. Het gaat er dan ook niet om dat iedereen een dergelijke analyse doet, het gaat erom dat organisaties of mensen die dat willen doen dat ook kunnen doen en daarover kunnen publiceren. Dat is op zich al een heel aardige waarborg.

edit (reply): Open Source is voor mij in dit geval niet per definitie GPL of iets wat daar op lijkt (FOSS). Het gaat er alleen om dat de broncode beschikbaar en te controleren is dat de draaiende binairies ook daadwerkelijk de binairies zijn die gemaakt zijn uit die broncode. Daarvoor is het nodig dat a) de broncode beschikbaar is, en b) de compiler en -flags bekend zijn. De code kan gewoon beschermd blijven via copyrights. Open source wil niet zeggen dat de code willekeurig door anderen gebruikt mag worden.

[Gerco]

Dan moet je alsnog die anderen vertrouwen. Je kan niet als willekeurige burger de source (laten) onderzoeken. Bij OSS kan dat dus wel.

Het is een feit dat OSS beter inzichtelijk is, dat feit gebruiken CSS fans constant door te roepen dat het dan ook inzichtelijk is voor kwaadwillenden. Nu kunnen diezelfde mensen niet opeens gaan roepen dat het niet zo is als dat toevallig beter uitkomt.

Als bedrijf X niet wenst mee te werken sta je nergens met je onderzoekers, die situatie is met OSS bijvoorbeeld per definitie onmogelijk.

[Bor]

Hetzelfde kan ook met closed source door een inzage te geven (onder contract) in de source. Closed source wil niet zeggen dat de source niet door anderen (onder strenge voorwaarden) kan worden ingezien.

[Bor]

Maar is dat beter inzichtelijk in alle gevallen beter? Dat denk ik persoonlijk niet namelijk. Ik ben overigens geen tegenstander van open source zoals sommige mensen aan de modding te zien lijken te denken. Ik ben alleen kritisch wat betreft de applicatie van open source programma's en dezelfde niet veel zeggende reclame kreten die je bij oss vaak tegenkomt.

Overigens vind ik stemmen via internet uberhaubt geen goed idee omdat het met de huidige technieken niet mogelijk is om binnen beperkte kosten te voldoen aan de eisen voor het stemmen, namelijk het redelijk sluitend kunnen identificeren waarbij de stem op geen manier te herleiden is naar een persoon.

Dat laaste punt is namelijk al redelijk makkelijk te doen door ip adressen te loggen bij de stemmen.

[Maasluip]

Het gaat erom dat iedereen open source code kan controleren, en dus iedereen controle kan hebben op het proces. Dat maakt niet dat open source betere software levert, maar dat maakt dat je bij open source wel weet wat er geleverd wordt.

In het uiterste geval maakt een regering een dealtje met software bedrijf X dat er minstens 50% stemmen naar partij Y gaan. Dat kun je controleren bij open source, niet bij closed source. En "geselekteerde instellingen" inzicht bieden is dan ook een farce, die instellingen kunnen (zullen) dan ook aan de kant van de regering staan.

Nogmaals: het punt is niet dat open source betere software levert, maar beter controleerbare software.

[Gerco]

Wie garandeert dat medewerker X van het bedrijf wat de software heeft geschreven dat niet nu ook al doet? Precies, helemaal niemand. Wat dat betreft is het voor OSS en CSS precies hetzelfde, met het verschil dat het bij OSS op zijn minst controleerbaar is door derden en bij CSS per definitie niet.

[Gerco]

Of 'community development' daadwerkelijk tot bruikbare verkiezingssoftware kan leiden is nog de vraag, maar de deskundigen waren het over één ding roerend eens: zoals het in Estland ging, moet het dus niet.

Open Source is niet per definitie community development. In een geval als dit zou je als regering gewoon een bedrijf in de arm moeten nemen die de development voor je uitvoert met als eis dat het eindprodukt Open-Source moet zijn.

Op die manier hoef je niet te gaan zitten afwachten of de community een goed stemprogramma schrijft (tot sint-juttemis dus), maar kun je wel gebruik maken van de grote kracht van Open Source, openheid en controleerbaarheid.

Overigens lijkt het me triviaal om ervoor te zorgen dat elke persoon 1 stem uit kan brengen: Je stuurt iedereen een stemkaart met een unieke code erop. Je koppelt die codes vervolgens NIET aan de personen en controleert WEL of een bepaalde code al is ingevoerd voor je de stem toelaat.

Dan weet je niet wie welke stem heeft uitgebracht, maar je kan dus wel voorkomen dat mensen meerdere stemmen uitbrengen (je slaat natuurlijk alle uitgegeven codes wel op, alleen zonder persoonsgegevens erbij).

Een veilig manier om te zorgen dat de stemkaarten ook bij de goede personen aankomen moet natuurlijk wel bedacht worden, niet dat de postbode er een paar honderd kan jatten oid. Op laten halen bij een gemeentehuis na legitimatie ofzo.

[mashell]

Je hebt helemaal gelijk, maar als die mensen toch al naar het gemeentehuis gaan kunnen ze als daar dan toch zijn ook wel op een knopje drukje of een vakje rood kleuren en zo stemmen.

Dat hele electronische kiezen is zo link omdat de legitimatie wegvalt en er dus daardoor veel meer mogelijkheid is tot fraude.

[ATS]

Je mag nu ook per post stemmen hoor... Dan hoef je je ook niet te legitimeren.

[Gerco]

Zie mijn reply hierboven. Dat ophalen van de kaart kun je over een veel langer tijdsbestek uitsmeren dan het stemmen. Als iedereen op de stemdatum naar het gemeentehuis zou moeten om zo'n kaart te halen was er eigenlijk niets veranderd

[Aesculapius]

Een veilig manier om te zorgen dat de stemkaarten ook bij de goede personen aankomen moet natuurlijk wel bedacht worden, niet dat de postbode er een paar honderd kan jatten oid. Op laten halen bij een gemeentehuis na legitimatie ofzo.

Als de mensen naar het gemeentehuis moeten moeten ze alsnog het huis uit, dan kunnen ze net zo goed meteen daar stemmen natuurlijk;

Waarom is een postverzending (al dan niet aangetekend) niet voldoende voor die code? Zo krijg je nu toch ook je stemkaart?

[Gerco]

Waarom is een postverzending (al dan niet aangetekend) niet voldoende voor die code? Zo krijg je nu toch ook je stemkaart?

Een niet aangetekende zending is zowiezo niet goed genoeg. Aangezien de codes niet zijn gekoppeld aan personen kan de postbode er gewoon een duizendtal stelen en vrolijk gaan stemmen. De codes zijn niet te blokkeren als men aangeeft er geen ontvangen te hebben, vanwege het ontbreken van de koppeling tussen persoon en code.

Aangetekend versturen kan wel, maar daar moet je dan wel een jaar van tevoren mee beginnen omdat ze anders nooit allemaal op tijd binnen zijn. Als mensen in die tijd hun code kwijtraken kunnen ze geen nieuwe aanvragen vanwege het onblokkeerbare karakter van die codes.

Ophalen bij een gemeentehuis kun je doen wanneer je wilt binnen een bepaalde tijdperiode (een jaar bijvoorbeeld), stemmen moet op 1 bepaalde dag en het is is dus een groter probleem dan het ophalen van die stemkaart. Iedereen kan in een jaar wel een dagje vrijmaken om die kaart te gaan ophalen, niet iedereen kan op $verkiezingsdag aanwezig zijn.

[ATS]

Welk systeem je ook kiest om te gaan stemmen, geen enkel systeem (ook niet wat we nu gebruiken) is waterdicht. Er zijn altijd mogelijkheden voor fraude of stemmen onder dwang, en aan de andere kant is er altijd een zekere mate van vertrouwen nodig in de organisatie van de verkiezingen.
De vraag is op welke schaal het practisch mogelijk is te frauderen. In het huidige systeem is dat denk ik beperkt mogelijk. Om te garanderen dat dat ook het geval is bij stemmen via Internet, is het nodig om in ieder geval te kunnen controleren hoe het systeem in elkaar zit, zodat fraude op grote schaal minstens uit te sluiten is. Daar heb je open software voor nodig.

[Verwijderd]

Op zich is open source ook niet veiliger dan closed source.

Als bijvoorbeeld gestemt wordt via internet (website) dan kan dat een hele andere source zijn dan de source die is vrijgegeven lijkt me.

in de source die gebruikt wordt kan gewoon staan:

if(voteFor == "klaas")
voteFor = "Piet";

Terwijl in de vrijgegeven source dit niet staat. Zelfde geld voor een terminal met daarop een internet applicatie of iets dergelijks.

[ATS]

Het probleem dat je aanstipt geldt zowel voor closed als open source, dat is waar. Er kunnen echter ook andere problemen in de code zitten die wél ontdekt kunnen worden in geval van open code, en niet in geval van gesloten code.
Open code biedt meer mogelijkheden om op belangrijke plaatsen in het systeem garanties of tenminste checks in te bouwen. Zo zou je de binairies kunnen laten signen door wie dat wil (op basis van een audit van de broncode bijvoorbeeld) en steekproefsgewijs kunnen controleren of de servers ook daadwerkelijk de ondertekende code draaien. Ook scenario's waarbij het systeem gedistribueerd wordt opgezet en organisaties zelf een (deel van) het systeem kunnen draaien zijn denkbaar. Daarvoor heb je echter wel een open systeem nodig.

[wizzkizz]

of voor de stemmachine die bij ons in de stemlokalen staat

[DieterDHoker]

Broncode openbaar maken lijkt me geen oplossing, de gemiddelde burger kan toch niet controleren of wel degelijk die software met die broncode gebruikt wordt.
Laat iedereen een random cijfercombinatie invoeren bij het stemmen dat niet te traceren valt naar de identiteit van de stemmer (Hiervoor kunnen praktisch wel systemen bedacht worden, het zal echter nooit 100% alleen via internet kunnen) en publiceer de lijstparen met deze nummers en wat ze gestemd hebben dan publiek. Iedereen kan dan nakijken of zijn stem wel juist is, en of de optelling van de stemmen wel juist verlopen is. Als er echt heel veel klachten zijn dat hun stem niet klopt weet ge dat er iets mis is. (Dat een enkeling achteraf ten onrechte gaat klagen kun je niet vermijden natuurlijk).
Op dit systeem kun je gemakkelijk vele varianten bedenken waarmee in mijn ogen grootschalige fraude toch heel moeilijk is .. ?

[Verwijderd]

Het lijkt mij ook totaal onmogelijk om te controleren hoe de stemmen worden tesamen geteld. Bijgevolg dus niet eerlijk en veilig voor iedereen.

Laten we maar gewoon naar de stembus gaan met stembrieven, lijkt me de makkelijkste en meest betrouwbare methode.


edit:::
Ik denk er net aan dat er binnenkort digitale identiteitskaarten(met chipje op) komen, dat biedt dan weer nieuwe mogelijkheden mbt e-voting.

[trogdor]

Waarom is dat wel eerlijk en veilig?

[Verwijderd]

Eens je digitaal bezig bent, kan je zowieso gegevens manipuleren. Als je met papieren stembrieven werkt, heb je (bij ons in België toch) maar één stembrief per stemgerechtigde. Dus je kan niet zomaar ff (op pc) enkele stemmen toevoegen ten voordele van iemand.

En trouwens, lang niet iedereen heeft toegang tot het internet. Dus worden er mensen gediscrimineerd omdat ze beperkt zijn in hun mogelijkheden.

[mashell]

En papieren stembrieven zijn niet vervalsen?

In Nederland hebben we een andere beveiliging: de politiek is hier zo saai, dat niemand de energie zou kunnen opbrengen om de verkiezingen te manipuleren.

[Verwijderd]

En trouwens, lang niet iedereen heeft toegang tot het internet. Dus worden er mensen gediscrimineerd omdat ze beperkt zijn in hun mogelijkheden.

ik neem aan dat ze de mensen gewoon de keuze gaven: stemmen via internet of "old-skool" stemmen en met je papiertje en rode potlood naar het stemhok gaan

[Verwijderd]

Beter stuurt de overheid bij dit soort kiespraktijken gewoon user/password naar elke stemgerechtigde, zodat iedereen op een bepaalde website zijn stem kan uitbrengen. Die server waar die site op staat moet toch goed beveiligd kunnen worden neem ik aan...

[n4m3l355]

ongeacht wat je gebruikt het is onveilig.. of er nou gebruik gemaakt wordt van digitale stemmen zoals in estland, of men maakt bv gebruik van die pons machines zoals in amerika. BlackHat had een chimpansee toen getrained om zo'n ding te hacken met succes. of men doet gewoon handmatig stemmen het is altijd wel te beinvloeden. misschien dat het concept 'stemmen' dan ook gewijzigd moet worden naar een minder beinvloedbaar systeem

[xbassiex]

Zoals? Stemmen is de basis van de democratie, dat kun je niet vervangen...

[beany]

de webserver kan wel goed beveiligd worden... maar de programmatuur die daar op draait moet ook controleerbaar zijn. Als er open source op draait(en dus niet alleen linux, maar ook de vote-applicatie zelf) moet het ook te controleren zijn dat de productie omgeving GEEN aangepaste versie draait! Hoe wil je dat doen? Hoe weet iemand die gaat stemmen dat de software op de server de juiste software is?

Lastig probleem dit...

[maxxware]

Je kunt een soort checksum van de software die gebruikt is meesturen... Maar het is lastig...

[ATS]

Als de software veranderd is, wie zegt dan dat de gestuurde checksum ook van het draaiende programma is?

[BikkelZ]

- User/pass brieven kunnen onderschept worden (één corrupte postwerker kan duizenden stemmen onderscheppen zo)
- User/pass brieven worden naar een persoon gestuurd en de username waarmee gestemd wordt wordt geregistreerd. Zo is erg makkelijk uit te vinden wie voor welke partij heeft gestemd.

Altijd handig om te weten wie je op moet pakken en waar die woont, als de oppositie je niet bevalt.

[blouweKip]

Probleem is dat een stem niet herleidbaar mag zijn, wat he dus al moeilijker maakt een veilig systeem te maken, daarnaast word een nog veel belangrijkere vraag genegeerd: waarom zouden we uberhaupt via internet moeten stemmen, mensen met een handicap en ouderen krijgen voldoende mogelijkheden in de meeste landen en als je al geeneens zin hebt om naar de stembus te gaan dan maakt die stem imho ook niet zoveel uit.

maw: technisch moeilijk uitvoerbaar en niet noodzakelijk

[ATS]

Het idee van via Internet stemmen is natuurlijk dat meer mensen in de gelegenheid gesteld zouden worden om te stemmen (het is dan ook een toevoeging, geen vervanging van bestaaande mogelijkheden).
De vraag die je stelt is echter wel terecht denk ik: is het wel nodig om de drempel om te gaan stemmen nog lager te maken? Mag je niet verwachten van mensen die willen stemmen dat ze daar ook een klein beetje moeite voor doen, al is het maar om ze in te laten zien dat het uitbrengen van een stem een serieuze bezigheid is?

[GekkePrutser]

Ik denk dat ze daar zowiezo niet zo gewend zijn aan het 'geheime' karakter van een verkiezing. Stemblad van vroeger:

Lijst 1- Communistische Partij
Lijst 2- Communistische Partij
Lijst 3- Communistische Partij
enz..

Dus dat ze zich nooit erg druk gemaakt hebben over wie weet wat ze gestemd hebben, kan ik me voorstellen

On-Topic: Zo'n achtergrond speelt denk ik wel mee in de gemoederen van tegenwoordig over dit onderwerp, lijkt me. Ze zullen zich er toch minder druk over maken.

[gumkop]

Beter stuurt de overheid bij dit soort kiespraktijken gewoon user/password naar elke stemgerechtigde, zodat iedereen op een bepaalde website...

En daarbij vergeet je dat er absolute anonimiteit gewaarborgd moet worden, en dat is bij jou methode het verst te zoeken van allemaal !!

[Leftblank]

Zouden ze in Nederland ook moeten doen; wedden dat de partij die het idee uit om kopieerheffing te schrappen wint?