'Stemmen via internet is risicovol'

Wanneer kiezers in het buitenland zouden moeten stemmen via internet in plaats van via de post, zou dat risico's met zich meebrengen. Dat schrijft een consultancykantoor in een onderzoek dat in opdracht van het kabinet is uitgevoerd.

Een van de risico's is dat stemmen en daardoor de uitslag worden gemanipuleerd, schrijven de onderzoekers in het rapport. Het onderzoek werd uitgevoerd in opdracht van het kabinet, dat wilde laten onderzoeken of het invoeren van stemmen via internet voor Nederlanders in het buitenland haalbaar is. Op dit moment stemmen zij per post.

Volgens de onderzoekers is het onmogelijk voor de overheid om computers van gebruikers te beschermen tegen manipulatie. De onderzoekers, van het consultancykantoor Verdonck, Klooster & Associates, stellen zich een scenario voor waarbij malware op een computer de uitgebrachte stem wijzigt, zonder dat de gebruiker dat doorheeft. Een dergelijke aanval is 'bijzonder lastig te detecteren', schrijven de onderzoekers.

Daarnaast is de stemvrijheid, het recht van kiezers om zelf hun stem uit te brengen, niet te controleren. De omgeving waarin de stem wordt uitgebracht, wordt immers niet gecontroleerd door het stembureau, en dus zouden kiezers kunnen worden beïnvloed bij hun stem of zelfs kunnen worden gedwongen om een bepaalde stem uit te brengen. Dat is overigens ook een gevaar bij de huidige stemmethode per post, beseffen de onderzoekers.

Een ander gevaar is dat het stemproces wordt verstoord, bijvoorbeeld door ddos-aanvallen, die steeds makkelijker zijn uit te voeren. Het lastige bij digitaal stemmen is dat de integriteit van het stemsysteem in gevaar kan komen zonder dat iemand dat doorheeft, benadrukken de onderzoekers. Mocht internetstemmen desondanks worden ingezet, dan moeten daarvoor voorzorgsmaatregelen worden genomen.

Het onderzoek gaat alleen over internetstemmen voor Nederlanders in het buitenland; voor binnenlandse stemmers zijn nog geen plannen om internetstemmen in te voeren. Wel raadde een commissie het kabinet onlangs aan om elektronisch stemmen weer in te voeren, in de vorm van een stemprinter met een paper trail. Sinds de Tweede Kamerverkiezingen van 2006 wordt het stempotlood weer gebruikt, nadat de groep Wijvertrouwenstemcomputersniet.nl had aangetoond dat de gebruikte apparatuur onveilig was.

Reacties (151)

[w0w]

Voor mensen die het echt interessant vinden en er meer over willen weten, wetenschappers hebben dit probleem opgelost in de vorm van een e-voting protocol. Totaal anoniem, gegarandeerde integriteit en confidentialiteit, en stemmers kunnen hun stem controleren dmv een receipt terwijl dit ook nog eens volledig anoniem is.

http://www.cs.ut.ee/~lipmaa/papers/voting4hb.pdf

Natuurlijk kunnen computers nog steeds gehackt worden maar als je nu een echte risico analyse maakt? Wat is de kans dat hackers die computers binnen een dag hacken? of de kans dat een stemmenteller gemanipuleerd wordt? Ik vertrouw computers en technische oplossingen toch meestal wat meer, zeker als ik zie wat voor mensen er typisch bij zo'n stembureau werkzaam zijn.

[ANW]

Bijna iedereen kan begrijpen hoe het papieren systeem werkt en waarom dit redelijk veilig (controleerbaar, anoniem, met vrije keus en niet manipuleerbaar) is.
Hoeveel mensen kunnen dit proces begrijpen en dus vertrouwen?

[litebyte]

Met organisaties zoals NSA die vrijwel al het intercontinentale data verkeer onderscheppen, filteren en analyseren zou ik me kunnen voorstellen dat via internet stemmen voor bepaalde functies in het buitenland uitermate risicovol kunnen zijn. Dat het hacken van data binnen 1 dag misschien niet lukt en dus minder kwaad kan vind ik een naieve opmerking

Ik ga de komende Europese verkiezingen gewoon op de ambassade het briefstembewijs inleveren.

[Ortep]

Ik vertrouw computers en technische oplossingen toch meestal wat meer, zeker als ik zie wat voor mensen er typisch bij zo'n stembureau werkzaam zijn.

Ik vertrouw computers wel, maar niet de mensen die ze plaatsen beheren ontwerpen. Dat is een relatief klein aantal en er hoeft er maar één op een cruciale plaats te zitten die je kan omkopen en je hebt het hele systeem te pakken. Dan kan je op grote schaal dingen aanpassen. Natuurlijk moet je de SGP niet in één keer 81 zetels geven. Dat valt op, maar het is heel goed te doen dat bv bij een nek aan nek race tussen de PvdA en de VVD (Zoals we hebben gehad) het flink invloed gehad zou hebben als je wat stemmen van de SP en Groen Links naar de PvdA kan schuiven en wat van de VVD naar bv D66 of PVV. Als dat maar een paar % is valt dat niemand op. Maar 1-2 zetels weg bij de VVD en 1-2 er bij bij de PvdA en we hadden een totaal andere regering gehad terwijl de ver4deling Links-Rechts niet eens anders zou zijn.

De mensen die op een stembureau zitten hebben niets met elkaar te maken, het zijn vrijwilligers die elkaar soms niet eens kennen. Die zijn dus niet op grote schaal om te kopen of te manipuleren.

[blb4]

Uit dat document blijkt in elk geval 1 probleem dat onopgelost is:

"Human-oriented verifiability.
One huge problem with all described e-voting protocols is that they are hardly verifiable by an average Joe. To increase the trust in e-voting, it should be possible for every voter to verify that their own vote is counted correctly. There are yet no completely satisfying solutions to this problem."

[mrlammers]

Verdonck, Klooster & Associates, stellen zich een scenario voor waarbij malware op een computer de uitgebrachte stem wijzigt, zonder dat de gebruiker dat doorheeft.

Oplossing: tunneling en asymmetrische encryptie. Je weet dan zeker of er met de stem geknoeid is of niet. Achteraf bevestigen via een ander kanaal kan ook nog. Probleem opgelost.

Stemvrijheid is een non-argument. Bij stemmen via de post weet je dat ook niet, en ook aan het stemhokje weet je nooit of de persoon niet omgekocht of afgeperst wordt...

Ddos aanvallen kun je minder kans geven door off-rampen en server side het aantal requests te beperken.

Maar bovenal moeten we misschien helemaal niet digitaal WILLEN stemmen, alleen al vanwege het kostenaspect.
Kosten landelijke stemming met potlood en papier: ca. €42 miljoen
Stemcomputer met printer: (schatting) >€250 miljoen
Online stemmen: kosten landelijke stemming: >€160 miljoen

[Reactie gewijzigd door mrlammers op 23 juli 2024 08:51]

[atillav]

Wat een vreemde discussie over techniek. Als er mogendheden zijn die verkiezingen willen saboteren doen ze dat toch wel. Wel eens een verkiezing in Rusland of Zimbabwe gezien? Allemaal papieren verkiezingen. De enige discussie die overrblijft is of op elektronisch stemmen meer risico's met zich meebrengt dan op de "ouderweste" papieren vorm? Ja in Rusland en Zimbabwe zal ook op elektronische grootschallig gefraudeerd worden (Poetin of Mugabe maakt dat niet zo veel uit), maar gaat de kans in "relatief normale landen" als NL etc... dan in ene omhoog.Ik vraag me dat af.

[LOTG]

Dus, stemmen via Internet is te risicovol maar voor de rest moeten we onze overheids zaken wel via internet regelen?

Ik heb liever dat ze zich druk maken over mijn persoons- en financiële gegevens die ze beheren veilig zijn dan of 3 stemmen op een partij die toch weer wat anders doet dan belooft worden gemanipuleerd.

[PetervdM]

het gegeven dat stemmen anoniem MOET zijn, en tegelijkertijd bestand moet zijn tegen manipulatie, is op z'n minst een uitdaging. die twee gaan niet goed samen in de digitale wereld.

[Kurai Hoshi]

Kunnen we daar niet ook een blockchain voor gebruiken?

[Enai]

Bitcointransacties zijn eeuwig traceerbaar tot een bepaalde wallet. De enige anonimiteit is dat je niet gemakkelijk kunt nagaan van wie de wallet is, en de arm der wet heeft hier weinig moeite mee.

[Kurai Hoshi]

Dus bij het stemmen krijg je een willekeurig niet aan jou gekoppelde 'wallet' of private key, alias het stembiljet, dan is je stem niet te traceren

[Enai]

Juist.

[ATS]

En het wordt pas echt een ingewikkelde puzzel als je wil dat het average Joe ook uit te leggen is hoe het werkt, en waarom het veilig is.

[bed76]

Die average joe bankiert ook via internet. En vertrouwt dus zijn geld toe aan de digitale wereld. En volgens mij hechten de meeste mensen meer waarde aan hun geld dan aan hun privacy wat betreft op wie ze gestemd hebben.

En hoe groot is de kans nu daadwerkelijk dat de stemmen gemanipuleerd worden op grote schaal èn dat we daar niet achter komen? We hebben het over risico's en dat is kans x impact. Impact is alleen hoog als we er niet achter komen. Kans is al heel klein dat iemand het op grote schaal voor elkaar krijgt.

[Enai]

De average joe moet maar meegaan met zijn tijd.

Elektronisch stemmen in België hangt aan een zijden draadje wegens "nonstop technische problemen".

Versta:
"Ik drukte twee keer op OK en de tweede keer kwam ik op de kandidaat terecht op dezelfde plaats op het volgende scherm, en in plaats van deze vergissing recht te zetten, heb ik op Volgende gedrukt en mijn stem bevestigd. Het is duidelijk dat de stemcomputer de resultaten manipuleert!" (in de krant: stemcomputers bevoordelen bepaalde kandidaten!)

"De stemcomputer werkt niet zoals een gewone Windows-computer en de toezichthouder van het stembureau weet niet wat hij er niet mee mag doen!" (dit was letterlijk het excuus voor technische problemen vorig jaar. Maw een bijzitter kon er niet afblijven, hielp het systeem naar de knoppen en stak de schuld op de computer)

Van een stemgerechtigde mag verwacht worden dat hij of zij een touchscreen kan gebruiken. Vooral omdat een stemcomputer niet moeilijker is dan een gewone ATM, integendeel. Maar in deze salonsocialistische knuffeldictatuur is het perfect ok om in het verleden te blijven hangen om enkele leeronwilligen niet voor het hoofd te stoten.

[bbob]

Stemmen is de basis en peiler van een democratie (voor zover we die nog hebben).
Een stem moet dus altijd controleerbaar zijn aangezien manipulatie daarvan de basis van de democratie weghaald.

Overige overheidszaken kun je best via internet doen, je kan daar ook vragen hebben over veiligheid maar ik zou ze niet met stemrecht vergelijken. Stemrecht en de controle daarop is het hoogste goed dat wij hebben en moet volledig transparant zijn.

[Verwijderd]

Wat daarnaast de democratie ondermijnt is dat ik degene waarop ik stem eigenlijk helemaal niet ken. Deze persoon kan gewoon, na te zijn gekozen, gewoon zijn eigen gang gaan, en helemaal niet naar mij en de andere kiezers luisteren.

Democratie betekent nu: stemmen, en dan een ambtstermijn je kop houden.

[verzenden]

Dat consultancykantoor heeft dus niet gekeken naar de technologie achter Bitcoin, hiermee zou je een veilige stemcomputer over internet kunnen bouwen.

[.oisyn]

Aan alleen de technologie achter bitcoin heb je niets. Die tech staat of valt bij globale acceptatie, het netwerk van miners. De enige oplossing is het Bitcoin netwerk zelf gebruiken. Daarnaast is ook daarmee het stemgeheim niet gegarandeerd, want de transacties zijn openbaar. In het slechtste geval kan iedereen zien wat jij hebt gestemd, in het beste geval alleen de mensen die jouw unieke stemnummer oid weten.

[cyberstalker]

Dan kan de private key van iemand toch nog steeds in verkeerde handen raken? In welk opzicht is dat veiliger dan?

[Kurai Hoshi]

Het is veiliger omdat de controle decentraal bij meerdere partijen ligt, net zoals dat nu bij de papieren stembussen gaat, met een enkele private key haal je niet veel uit. De private key hoeft niet aan je persoon gekoppeld te zijn, zoals ook de bitcoin anoniem is totdat je het koppelt aan een bankrekening of ander account

[Bschnitz]

DigiD plus bevestiging via post op de gekozen stem en klaar, zelfde als belasting doen.

[stewie]

Tja, lekker, weet de overheid precies wat je stemt... (denkt terug met weelde aan Stasi Duitsland)
(zet maar direct een negatieve stempel op iedereen waar je tegen bent)

[Reactie gewijzigd door stewie op 23 juli 2024 08:51]

[Bschnitz]

"Het onderzoek gaat alleen over internetstemmen voor Nederlanders in het buitenland"

Dit gaat dus over een kleine groep mensen, wij hebben het hier niet over heel Nederland, mochten ze er problemen mee hebben kunnen ze niet stemmen of in Nederland gaan stemmen.

[HMC]

Dan geldt dat nog steeds. Dus de stemmer in het buitenland hoeft niet anoniem te zijn?
Dat is een probleem.

Het huidige systeem van naar ambassade (of consulaat) gaan is voorlopig het beste. Gewoon anoniem.

[Verwijderd]

Het huidige systeem gaat via de post. Komt geen ambassade aan te pas. (Bij mij niet in ieder geval in Duitsland!)

[HMC]

Dat zal dan inderdaad zijn omdat je in de EU zit. Dat weet ik niet zeker.

Hier (Indonesie) gaat het ook per post, maar die post gaat slechts enkelt en alleen via de ambassade, waar ik het zelf moet inleveren.
De consulaten sturen het eerst op naar ambassade, als je daar je enveloppe inlevert.

[Belgar]

En hoe is dat anoniem?

Er zijn andere eisen aan stemmen dan aan andere overheidszaken (overigens ook zo vastgelegd in internationale verdragen e.d.)

[tweaker2010]

DigiD plus bevestiging via post op de gekozen stem en klaar, zelfde als belasting doen.

Bevestiging via de post is ook niet veilig. Anderen kunnen dan onder jouw identiteit je stem wijzigen zoals nu al met toeslagen op rekeningnummers gebeurd. DigiD is verre van veilig te noemen.
http://www.volkskrant.nl/2013/12/12/Enkele-tonnen-gestolen-door-identiteitsfraude-via-DigiD.dhtml

[Reactie gewijzigd door tweaker2010 op 23 juli 2024 08:51]

[martijnve]

Allemaal Valide argumenten, maar post kan niet gemanipuleerd worden?

[tweaker2010]

Kan wel, maar dat is makkelijker te controleren omdat het op papier staat. Digitaal is alles te wijzigen zonder dat er iemand achter hoeft te komen. Zeker als het een kleinschalige aanval betreft.

[Verwijderd]

Je hebt zeker nog nooit van checksums gehoord?

[.oisyn]

Domme opmerking, alsof je dat niet kunt wijzigen zodat het weer klopt.

[w0w]

is helemaal geen domme opmerking, signed checksums zijn dé manier om te checken of iets gewijzigd is en als dit goed geimplementeerd is is dit veel veiliger dan welke andere analoge manier dan ook.

[.oisyn]

Waarbij je uitgaat van de premisse dat de private key waarmee de boel is ondertekend daaadwerkelijk veilig is opgeborgen.

Er zijn twee situaties denkbaar: ofwel het ondertekenen gebeurt live op het systeem dat de data vergaart, en daarmee is de private key dus in feite ook onveilig op het moment dat ze dat systeem binnendringen. Ofwel het ondertekenen gebeurt door een aparte partij op een bepaald moment, wat impliceert dat die gegevens eerst ergens opgeslagen moeten worden voor ze getekend worden, in welk tijdsbestek ze dus aangepast kunnen worden.

Een derde mogelijkheid, ondertekening door de verzender, behandel ik expliciet niet want dan is de stemmer niet meer anoniem.

[Reactie gewijzigd door .oisyn op 23 juli 2024 08:51]

[Verwijderd]

Hoe denk je dat al je bankzaken wordt gecontroleerd?

Misschien is een P2P cryptografie en analyse wel een goede oplossing, zoals Bitcoin het nu doet. Zo heb je meerdere nodes die de validiteit van een checksum kunnen verifiëren.

[.oisyn]

Hoe denk je dat al je bankzaken wordt gecontroleerd?

Bankzaken zijn niet anoniem, dat is het hele punt. Zie .oisyn in 'nieuws: 'Stemmen via internet is risicovol''

[locke960]

Een kleinschalige aanval is per definitie zinloos als het je doel is de uitslag beslissend te beïnvloeden.

Ik kan niet echt inschatten wat het grootste risico is, stemmen in het buitenland via de post of het internet. Ik zou zeggen dat beide hun eigen, specifieke, risico's hebben en dat het netto niet zoveel uitmaakt.

Het aantal buitenland-stemmers is zeer klein, ik kan me niet herinneren dat een verkiezings- uitslag ooit verandert is nadat de buitenlandse stemmen geteld waren. Het zal wel eens gebeurd zijn, een restzetel die over gaat naar een ander oid, maar het heeft nooit grote invloed gehad.

Nee, het echte grote risico aan het invoeren van internet stemmen voor Nederlanders in het buitenland is dat dit tot het onzalige voorstel gaat leiden om het maar voor iedereen in te voeren. En dan wordt het wel een reëel probleem.

[jaapenstaart]

Ja wel, alleen via het internet kan eenvoudiger op grote schaal.

[misterbennie]

Om iets te kunnen manipuleren moet je van tevoren weten hoe je moet manipuleren.
Omdat stemmen maar 1 dag kan, is er dus een heel klein tijdsframe waarin iemand deze manipulatie voor elkaar kan krijgen.

• Allereerst moet er dus gekeken worden hoe je kunt manipuleren
• Daarna moet je deze hack op de computers van de stemmers in het buitenland weten te krijgen
• etc

Ik denk dat dit onderzoek bureau gelijk heeft dat het kan, maar dit is mijn inziens een theoretische mogelijkheid met een zeer kleine kans van slagen.

[Ortep]

• Allereerst moet er dus gekeken worden hoe je kunt manipuleren

Dat kan je dus al maanden of jaren van te voren bedenken als je weet hoe het systeem werkt

• Daarna moet je deze hack op de computers van de stemmers in het buitenland weten te krijgen

Nope...die stemmen komen ergens binnen en daar moet je je hack gaan uitvoeren

Ik denk dat dit onderzoek bureau gelijk heeft dat het kan, maar dit is mijn inziens een theoretische mogelijkheid met een zeer kleine kans van slagen.

Die kans is dus groter dan dat jij denkt en omdat het belangrijk is en grote gevolgen kan hebben moet je er dus rekening mee houden.
Ik maak me ook geen zorgen om het falen van mijn koffie apparaat, maar wel om het falen van een dijk, ook al is die kans veel kleiner

[Reactie gewijzigd door Ortep op 23 juli 2024 08:51]

[misterbennie]

Hoe zou je van tevoren kunnen bedenken hoe het systeem werkt?
Dan moet je van tevoren al inzicht in programmatuur hebben.

Op deze manier kun je niets op het internet (enigzins) veilig maken.
En natuurlijk is alles relatief, maar toch.

En indien je de hack op een server uit moet gaan voeren, moet je daar dus toegang toe hebben. Dat is ongeveer vergelijkbaar met het onderscheppen van de stembussen. Dat is ook mogelijk, maar gebeurt het ook?

De menselijke factor bij het manueel tellen is waarschijnlijk onbetrouwbaarder dan het stemmen via het internet.

Ik vraag me af wat de uitkomst van een onderzoek zou zijn als die zou onderzoeken wat de gevaren en risico's zijn van "het stemmen op papier".

[Ortep]

Hoe zou je van tevoren kunnen bedenken hoe het systeem werkt?
Dan moet je van tevoren al inzicht in programmatuur hebben.

Natuurlijk zijn er mensen die die info hebben. Of denk je echt dat als de verkiezingen op woensdag zijn, ze op dinsdag pas gaan bedenken hoe dat geregeld moet worden? Dat systeem moet eindeloos getest worden en daar zijn uiteindelijk honderden mensen bij betrokken. Daar is er vast weel eentje bij die iets onhandigs op een verjaardag zegt, of die gewoon om te kopen is. En daar komt dan ook nog bij dat er gewoon een lek in het systeem kan zitten. Die worden nu nog met regelmaat gevonden in allerlei software die soms al meer dan 10-15 jaar in gebruik is.

En indien je de hack op een server uit moet gaan voeren, moet je daar dus toegang toe hebben.

Ze hacken regelmatig grote bedrijven, dat verschijnt ongeveer iedere week in het nieuws. En dan zijn er natuurlijk ook nog de hacks waarbij het niet eens wordt opgemerkt. Dat zal hier dus ook wel lukken.

Dat is ongeveer vergelijkbaar met het onderscheppen van de stembussen. Dat is ook mogelijk, maar gebeurt het ook?

Die bussen worden geteld in het stemlokaal en er zijn doorlopend meerdere mensen aanwezig. Die zou je dus allemaal moeten omkopen. Bovendien zou het wel raar zijn als er ergens plotseling een bus niet meer is, of eentje extra. Of op de stemlijst staat dat er 1567 mensen gestemd hebben in dat kantoor en er zitten 1671 biljetten in die bus. Dat zijn fysieke dingen.
Het 'afluisteren' of alleen een heel klein beetje aanpassen van digitale gevens is veel lastiger te traceren.

De menselijke factor bij het manueel tellen is waarschijnlijk onbetrouwbaarder dan het stemmen via het internet.

Mensen maken vast meer fouten. Maar die zijn wel 'random' dus die beïnvloeden iedereen min of meer in gelijke mate. elektronisch kan je dingen doen als: Iedere 50ste stem gaan van party X naar partij Y. Dat kan bij een nek aan nek race tussen partijen net voldonde zijn

Ik vraag me af wat de uitkomst van een onderzoek zou zijn als die zou onderzoeken wat de gevaren en risico's zijn van "het stemmen op papier".

Dat onderzoek is geweest. Over stemcomputers...daar won papier met vlag en wimpel. En die computers zijn nog lastiger te beïnvloeden dan iets wat over internet loopt. Daar kan je immers maar een enkele machine te pakken nemen. En als die een echt gekke uitslag geeft wordt iedereen wakker.

[misterbennie]

Natuurlijk zijn mensen te kopen, maar voor elk systeem heb je enige tijd nodig om deze te hacken. Zolang je geen toegang tot het systeem hebt (en dat is prima te regelen, tot de dag van verkiezingen) valt er weinig te hacken/onderzoeken. Ook als je 1 jaar aan het ontwikkelen bent.

Bovendien hoeven deze systemen niet dag in dag uit online te zijn (x aantal uur op de dag van de verkiezing). Dus erg veel tijd om je lek/gat/hack te vinden zal je niet hebben.

Hierbij ga ik er maar even vanuit dat dezelfde software onveranderd meerdere keren gebruikt zal gaan worden. Maar ook dat is niet gezegd. Ook zal het, buiten de security, geen hele complexe applicatie zijn.

Dit systeem zou een vervanging/alternatief voor het stemmen via de post zijn. Het zou zomaar veiliger kunnen zijn.

[robertpNL]

Plus valt volgens niet te controleren of de persoon die de stem mag uitbrengen ook daadwerkelijk de persoon is die achter de computer zit. Misschien heeft de persoon zijn brief/code gegeven aan geheel iemand anders.

[egnappahz]

Als ze een toepassing uitbrengen zijnde een bepaalde voorafgecontroleerde browser in een soort sandboxsysteem, die bij elke launch zijn omgevingsvariabelen en dergelijke controleert, is de moeilijkheid van een geslaagde clientside manipulatie toch vrij hoog. (ik zie dit voorbeeld af van een tool die wij hebben voor een bepaalde provider, waar ook gevoelige persoonlijke info in rond circuleert)

Het is maar een voorbeeld; risicovol, ja, maar niet onmogelijk om uiteindelijk volledig te stroomlijnen...