Vorlage (Anhang)

Anhang des Technischen Reglements Vote électronique der Bundeskanzlei vom ... (SR ...)

4. Verifizierbarkeit

Die Artikel 3 und 4 legen die Bestimmungen zur Verifizierbarkeit fest. Dieser Anhang gibt die Bestimmungen auf formellere Weise wieder, um die Kriterien für beide Formen der Verifizierbarkeit zu verdeutlichen.

Dazu wird unter Abschnitt 4.1 ein reduziertes abstraktes Modell zur Beschreibung eines Urnengangs bestimmt. Auf der Grundlage jenes Modells enthält Abschnitt 4.2 Ausführungen und weiterführende Bestimmungen zu Artikel 3. Abschnitt 4.3 zeigt das vollständige abstrakte Modell auf. Abschnitt 4.4 enthält Ausführungen und weitergehende Bestimmungen zu Artikel 4.

4.1. Reduziertes abstraktes Modell zu Art. 3

In der verwendeten Abstraktion ist ein Urnengang durch ein kryptographisches Protokoll definiert. Es besteht aus dem Nachrichtenaustausch zwischen den folgenden Systemteilnehmern:

Stimmberechtigte/ Stimmberechtigte erhalten vom VE-System oder von der Druckerei vor-

Stimmende gängig zum Urnengang ihr clientseitiges Authentisierungsmerkmal. Um

eine Stimme abzuschicken teilen sie der Benutzerplattform ihr clientseitiges Authentisierungsmerkmal und ihre Stimme mit.

Benutzerplattform Sie erstellt die Authentisierungsnachricht und schickt sie zusammen mit

der verschlüsselten Stimme ans serverseitige VE-System. Dazu

verwendet sie öffentliche Parameter, die sie vorgängig vom VE-System

erhalten hat. Sie zeigt den Stimmenden Nachrichten vom serverseitigen

VE-System bei Bedarf an.

Vertrauenswürdiges Stimmende können als Alternative ihre Stimme und/oder ihr clientseitiges technisches Authentisierungsmerkmal auch einem vertrauenswürdigen technischen

Hilfsmittel der Hilfsmittel mitteilen. Dieses kann beliebige Aufgaben der

Stimmberechtigten Benutzerplattform übernehmen.

VE-System (hier Es generiert und schickt den Stimmberechtigten vorgängig zum

immer serverseitig) Urnengang (eventuell über die Druckerei) ihr clientseitiges

Authentisierungsmerkmal und der Benutzerplattform öffentliche

Parameter, damit diese die Authentisierungsnachricht und die

verschlüsselte Stimme erstellen kann. Es beurteilt nach den bekannten

Regeln die Gültigkeit von Stimmen, entschlüsselt sie unter Wahrung des Stimmgeheimnisses und berechnet das Ergebnis des Urnengangs.

Druckerei Sie kann zum Druck des clientseitigen Authentisierungsmerkmals und der vertraulichen Daten, mit deren Hilfe die Stimmenden von der individuellen Verifizierbarkeit Gebrauch machen können (Verifizierbarkeitsreferenz),

eingesetzt werden. Sie erhält die entsprechenden Daten vom VE-System und schickt sie weiter an die Stimmberechtigten.

Das Protokoll kann zum Austausch von Nachrichten folgende Kommunikationskanäle vorsehen:

− Stimmende ↔ Benutzerplattform

− Stimmende ↔ vertrauenswürdiges technisches Hilfsmittel

− Vertrauenswürdiges technisches Hilfsmittel ↔ Benutzerplattform

− Benutzerplattform ↔ VE-System

− VE-System ↔ Druckerei

− Druckerei → Stimmberechtigte

Systemteilnehmer und Kommunikationskanäle sind entweder vertrauenswürdig oder unvertrauenswürdig. Vertrauenswürdige Systemteilnehmer halten geheime Daten ohne Ausnahme unter Verschluss und führen ausschliesslich jene Operationen durch, die durch das Protokoll vorgegeben sind. Vertrauenswürdige Kanäle stellen sicher, dass die übertragenen Nachrichten geheim bleiben. Ausserdem kann der Nachrichtenempfänger darauf vertrauen, dass der Absender einer Nachricht jenem Systemteilnehmer entspricht, der durch die Definition des Kanals vorgegeben ist.