Vrouw stopt verkiezingsbiljet in de stembus

Kiesraad: ‘Verkiezingssoftware voor vaststellen verkiezingsuitslag is veilig’

Laatst bijgewerkt: 20 oktober 2020
Leestijd: 3 minuten, 51 seconden

Het programma Ondersteunende Software Verkiezingen (OSV) is bestudeerd door een onafhankelijk onderzoeksbureau: HackDefense. Deze is positief over de beveiliging van de software. Volgens de onderzoekers van het bedrijf hebben de ontwikkelaars een oplossing bedacht voor vrijwel alle kritiekpunten die uit eerdere testrapporten naar voren kwamen. Gemeenten kunnen met een gerust hart OSV2020-U gebruiken om verkiezingsuitslagen vast te stellen.

Dat schrijft de Kiesraad, een onafhankelijk adviesorgaan en informatiecentrum op het gebied van verkiezingen en kiesrecht, in het adviesrapport ‘Rapport beveiligingstest OSV2020-U’.

Technologie als middel om de verkiezingsuitslag te bepalen

Gemeenteraadsverkiezingen, Provinciale Statenverkiezing, Tweede Kamerverkiezingen, verkiezingen voor het Europees Parlement: Nederlandse kiesgerechtigden mogen zich regelmatig bij de stembus melden om hun stem uit te brengen. Jarenlang ging dat met een velletje papier en een roodgekleurd potlood, wat ervoor zorgde dat de verkiezingsuitslag op zich laat wachten.

Om het vaststellen van de verkiezingsuitslag te versnellen en nauwkeuriger te maken, kan technologie een rol spelen. Daarvoor is het programma Ondersteunende Software Verkiezingen, of kortweg OSV, bedacht. De software kan alle stemmen bij elkaar optellen en de zetelverdeling berekenen.

OSV is onder een microscoop gelegd

Op papier klinkt het mooi, maar uit praktijk blijkt dat de software de nodige kinderziektes heeft. In 2017 stelde veiligheidsexpert Sijmen Ruwhof vast dat het mogelijk is om de verkiezingsuitslag te manipuleren door kwetsbaarheden in de software te misbruiken. Hij zei destijds dat “de gemiddelde iPad beter [is] beveiligd dan het Nederlandse verkiezingssysteem”.

Een jaar later constateert Ruwhof opnieuw dat de beveiliging van OSV verre van optimaal is. Hij ontdekte ruim vijftig beveiligingsrisico’s, waarvan hij er tien aanmerkte als ‘hoog risico’. De verkiezingssoftware wordt sindsdien opnieuw grondig onder handen genomen om de beveiligingsgaten te dichten.

Beveiligingsexperts positief over beveiliging

Om te controleren of de ontwikkelaars hun werk goed hebben gedaan, koos de Kiesraad ervoor om HackDefense als onafhankelijk onderzoeksbureau in te schakelen. Medewerkers hebben geprobeerd om kwetsbaarheden in de software te vinden. Tevens keken ze naar de broncode van de software en de configuratie van de gebruikte onderliggende standaard-infrastructuursoftware. Tot slot hebben beveiligingsonderzoekers gekeken of het programma voldoet aan de richtlijnen van het Nationaal Cyber Security Centrum (NCSC). Hun bevindingen hebben ze vastgelegd in het adviesrapport ‘Rapport beveiligingstest OSV2020-U’.

In het rapport lezen we dat de onderzoekers “over het geheel genomen positief [zijn] over de beveiliging van de applicatie”. De beveiligingsexperts constateren dat er “duidelijk aandacht is besteed aan de veiligheid” en dat vrijwel alle kritiekpunten uit eerdere onderzoeken zijn opgelost. De onderzoekers hebben 16 aanbevelingen geformuleerd.

Slechts één kwetsbaarheid als ‘hoog risico’ aangemerkt

In de analyse van het rapport -dat is uitgevoerd op een virtuele server met Ubuntu Linux 20.04 en Windows Server 2019 als besturingssysteem en een virtuele client op basis van Kali Linux- staat dat er geen grote kwetsbaarheden als cross site scripting of SQL injections zijn geconstateerd. Het enige punt dat de onderzoekers als ‘hoog risico’ typeren, is het feit dat er na de installatie standaard kan worden ingelogd met de gebruikersnaam admin en wachtwoord admin. “Dat is letterlijk het eerste dat een aanvaller zal proberen, en als er tijd zit tussen installatie en eerste gebruik dan is in de tussentijd sprake van een kwetsbare situatie”, aldus de medewerkers van HackDefense.

Daarbij merkt het bedrijf dat deze kwetsbaarheid waarschijnlijk niet misbruikt kan worden, omdat de echte beheerder niet meer met het wachtwoord admin kan inloggen. Nadat hij de eerste keer is ingelogd, moet hij dit wachtwoord namelijk veranderen.

Dit zijn enkele opmerkingen en aanbevelingen van HackDefense

Belangrijkste voorwaarde om OSV2020-U veilig te kunnen gebruiken om de verkiezingsuitslag vast te stellen, is dat de software “uitsluitend in een geïsoleerde omgeving” wordt gebruikt. Dat betekent onder meer dat de computer waar de applicatie op draait niet verbonden mag zijn met internet. Ook de toegang tot het systeem moet aan banden worden gelegd: als iedereen zomaar de kamer kan binnenlopen waar de computer met verkiezingssoftware staat, kan de verkiezingsuitslag in theorie worden beïnvloed.

Een ander aspect waar HackDefense een opmerking over maakt, is over het ontbreken van meerfactorauthenticatie. Deze beveiligingsmaatregel wordt vaak genoemd als het gaat om het beschermen van webapplicaties. “Echter, we begrijpen dat deze applicatie echt bedoeld is om geïsoleerd gebruikt te worden, zonder internetverbinding of andere mogelijke ingangen voor kwaadwillenden. Voor extra authentiatiefactoren zoals sms is toegang met de buitenwereld nodig. Daarom snappen we de afweging om dit niet te doen”, zo schrijft het bedrijf. Wel adviseert HackDefense om in de toekomst na te denken over aanvullende authenticatiemiddelen, zoals OTP-generators of smartcards.

De Kiesraad neemt deze aanbevelingen mee in de doorontwikkeling van de software voor de Tweede Kamerverkiezing in 2021. Ook laat de Kiesraad de beveiliging na de doorontwikkeling opnieuw onderzoeken.

Privacy en security redacteur
Techliefhebber pur sang: Anton is gek op alles wat met technologie en internet te maken heeft. Cybersecurity, privacy en internetcensuur hebben dan ook zijn volle aandacht. 

Meer artikelen uit het ‘Nieuws’ dossier

Reacties
Plaats een reactie
Een reactie plaatsen