De Kiesraad is overvallen door de kritiek op de beveiligingslekken in de software die gebruikt wordt voor het tellen van uitslagen bij verkiezingen. Het orgaan blijkt niet in staat in te kunnen gaan op de kritiek van security-experts en vragen daarover van journalisten. Die experts stellen dat de beveiliging van het softwarepakket Ondersteunende Software Verkiezingen (OSV) zwak is. Manipulatie van de uitslagen van verkiezingen ligt volgens hen op de loer.
De raad liet in een korte reactie aan Computable weten dat het onderzoek van een security-expert, waarover onder meer RTL Nieuws publiceerde, ‘onvolledige gegevens bevat en berust op aannames.’ Welke dan, dat kon de woordvoerster nu niet aangeven. Wel meldt zij dat de Kiesraad er in een later stadium op terugkomt, nadat de drukte van de kandidaatstelling van politieke partijen voor de komende Tweede Kamer-verkiezingen voorbij is.
Maandag 30 januari meldde RTL Nieuws de kwetsbaarheden. Het onderzoek, uitgevoerd door zelfstandig security-expert Sijmen Ruwhof en daarna gecheckt door twee andere onderzoekers, spitste zich toe op de risico’s van fraude rondom verkiezingen in Nederland. Ruwhoff stuitte na het doorspitten van ontwerpdocumenten en broncode en instructievideos over OSV op 23 kwetsbaarheden. Volgens de onderzoeker is de beveiliging van de software, waarmee lokale stembureaus en twintig kieskringen in het land uitslagen doorgeven aan het centraal stembureau, erg zwak.
Het gaat om het product Ondersteunende Software Verkiezingen (OSV) van de Duitse leverancier Traffic Technologies. Zowel de beveiliging (authenticatie) als processen zouden rammelen, waardoor er mogelijkheden zijn om de verkiezingsuitslag te manipuleren. In een korte reactie melden vertegenwoordigers van de leverancier aan Computable dat de software voldoet aan alle door de Kiesraad gestelde eisen. Volgens hen koos RTL Nieuws bewust voor publicatie in de week dat de Kiesraad het erg druk heeft met de kandidaatstellingen van politieke partijen. Voor een verdere toelichting verwijzen ze door naar de Kiesraad.
Masterscriptie en SQS
RTL Nieuws meldde in een later bericht dat de beveiligingsrisico’s van OSV al langer bekend waren. Al in 2011 zou een student van de Nijmeegse Radboud Universiteit zwakheden in de software hebben aangetoond. Het is op dit moment onduidelijk wat de Kiesraad met die bevindingen heeft gedaan.
Ook softwaretester SQS, dat periodiek functionele tests loslaat op verschillende onderdelen van de software van de Kiesraad, waarschuwde in 2015 de organisatie al dat het risico bestaat dat gebruikers uitslagen in de overzichten kunnen aanpassen zonder dat te achterhalen is wie die wijzigingen heeft doorgevoerd. SQS testte verschillende onderdelen van OSV in de aanloop naar het referendum over Oekraïne, dat begin 2016 werd gehouden.
Duitsland
Volgens Ruwhof wordt in Duitsland dezelfde soort ondersteunende software gebruikt, maar dient de software daar als controle voor de telling van de stemmen op papier. In Nederland zou de situatie precies andersom zijn. De software wordt gebruikt om handgetelde uitslagen die per district op een usb-stick worden gezet, via één van de twintig kiesdistricten naar het centrale stembureau van De Kiesraad te sturen.
Daarmee vindt er op een zeker moment een conversie plaats van de handgetelde aantallen naar een digitale uitslag. Alleen bij vermoedens van fraude wordt tot een handmatige steekproef overgegaan.
Door gebrekkige authenticatie zou niet na te gaan zien wie bepaalde uitslagen heeft aangepast in de digitale overzichten. Volgens die beveiligingsexperts is door de zwakke beveiliging die uitslag aan te passen met het gemak waarmee iemand in een Excel-tabel een cijfer kan veranderen.
Oké, dan wachten wij een dagje langer op de uitslag met grotere tel – en rekenfouten kans. Wat mij betreft is het verspereiden van desinformatie en zelfs goed bedoelde, maar niet juist gefundeerde, onvolledige informatie een grotere bedreiging voor onze democratie.
Het dunkt mij dat minister Plasterk de enige juiste beslissing neemt hier, aan onze democratische waarden mag niet worden getwijfeld of getornd.
Oké, dan wachten wij een dagje langer op de uitslag met grotere tel – en rekenfouten kans. Wat mij betreft is het verspreiden van desinformatie en zelfs goed bedoelde, maar niet juist gefundeerde, onvolledige informatie een grotere bedreiging voor onze democratie.
Het dunkt mij dat minister Plasterk de enige juiste beslissing neemt hier, aan onze democratische waarden mag niet worden getwijfeld of getornd.
Beste Pieter. Het spijt mij heel erg maar Nederland is geen democratie. We doen met zijn allen wel heel goed alsof maar de echte belangrijke beslissingen hebben wij als volk absoluut niets over te zeggen.
Het stuk laat wel tenenkrommende beveiligingsfouten zien. Ik had eerst gedacht dat het om een stand-alone netwerk dan wel een aantal computers zou gaan, maar het hangt dus direct aan het internet.
Aan de andere kant vind ik het ook weer heel dom dat overal gepretendeerd wordt dat er iets veilig zou zijn aan potlood-en-papier. Daar kan net zo goed keihard mee gerommeld worden.
@Technicus – Waaruit maak je op dat de telling computers op het internet zijn aangesloten? Dat zijn ze namelijk niet. Dat maakt het ook zo lastig voor een eventuele hacker om deze te beïnvloeden.
Het is jammer dat de software niet gebruikt gaat worden – Ik zou graag elke hacker ter wereld willen uitdagen de officiële uitslag na alle controles te willen beïnvloeden.
En inderdaad kan met papier ook gerommeld worden. Het gaat erom dat de mensen die betrokken zijn bij de verkiezingen netjes en volgens protocol hun werkzaamheden moeten verrichten. Dan is gerommel met de uitslag onmogelijk.
Dat staat in het verhaal onder de tweede link.