Kiesraad overvallen door kritiek op stemsoftware

De Kiesraad is overvallen door de kritiek op de beveiligingslekken in de software die gebruikt wordt voor het tellen van uitslagen bij verkiezingen. Het orgaan blijkt niet in staat in te kunnen gaan op de kritiek van security-experts en vragen daarover van journalisten. Die experts stellen dat de beveiliging van het softwarepakket Ondersteunende Software Verkiezingen (OSV) zwak is. Manipulatie van de uitslagen van verkiezingen ligt volgens hen op de loer.

De raad liet in een korte reactie aan Computable weten dat het onderzoek van een security-expert, waarover onder meer RTL Nieuws publiceerde, ‘onvolledige gegevens bevat en berust op aannames.’ Welke dan, dat kon de woordvoerster nu niet aangeven. Wel meldt zij dat de Kiesraad er in een later stadium op terugkomt, nadat de drukte van de kandidaatstelling van politieke partijen voor de komende Tweede Kamer-verkiezingen voorbij is.  

Maandag 30 januari meldde RTL Nieuws de kwetsbaarheden. Het onderzoek, uitgevoerd door zelfstandig security-expert Sijmen Ruwhof en daarna gecheckt door twee andere onderzoekers, spitste zich toe op de risico’s van fraude rondom verkiezingen in Nederland. Ruwhoff stuitte na het doorspitten van ontwerpdocumenten en broncode en instructievideos over OSV op 23 kwetsbaarheden. Volgens de onderzoeker is de beveiliging van de software, waarmee lokale stembureaus en twintig kieskringen in het land uitslagen doorgeven aan het centraal stembureau, erg zwak.

Het gaat om het product Ondersteunende Software Verkiezingen (OSV) van de Duitse leverancier Traffic Technologies. Zowel de beveiliging (authenticatie) als processen zouden rammelen, waardoor er mogelijkheden zijn om de verkiezingsuitslag te manipuleren. In een korte reactie melden vertegenwoordigers van de leverancier aan Computable dat de software voldoet aan alle door de Kiesraad gestelde eisen. Volgens hen koos RTL Nieuws bewust voor publicatie in de week dat de Kiesraad het erg druk heeft met de kandidaatstellingen van politieke partijen. Voor een verdere toelichting verwijzen ze door naar de Kiesraad.

Masterscriptie en SQS

RTL Nieuws meldde in een later bericht dat de beveiligingsrisico’s van OSV al langer bekend waren. Al in 2011 zou een student van de Nijmeegse Radboud Universiteit zwakheden in de software hebben aangetoond. Het is op dit moment onduidelijk wat de Kiesraad met die bevindingen heeft gedaan.

Ook softwaretester SQS, dat periodiek functionele tests loslaat op verschillende onderdelen van de software van de Kiesraad, waarschuwde in 2015 de organisatie al dat het risico bestaat dat gebruikers uitslagen in de overzichten kunnen aanpassen zonder dat te achterhalen is wie die wijzigingen heeft doorgevoerd. SQS testte verschillende onderdelen van OSV in de aanloop naar het referendum over Oekraïne, dat begin 2016 werd gehouden.

Duitsland

Volgens Ruwhof wordt in Duitsland dezelfde soort ondersteunende software gebruikt, maar dient de software daar als controle voor de telling van de stemmen op papier. In Nederland zou de situatie precies andersom zijn. De software wordt gebruikt om handgetelde uitslagen die per district op een usb-stick worden gezet, via één van de twintig kiesdistricten naar het centrale stembureau van De Kiesraad te sturen.

Daarmee vindt er op een zeker moment een conversie plaats van de handgetelde aantallen naar een digitale uitslag. Alleen bij vermoedens van fraude wordt tot een handmatige steekproef overgegaan.

Door gebrekkige authenticatie zou niet na te gaan zien wie bepaalde uitslagen heeft aangepast in de digitale overzichten. Volgens die beveiligingsexperts is door de zwakke beveiliging die uitslag aan te passen met het gemak waarmee iemand in een Excel-tabel een cijfer kan veranderen.