Vorlage (Anhang)

Anhang des Technischen Reglements Vote électronique der Bundeskanzlei vom ... (SR ...)

Zusätzlich formalisiert die verwendete Abstraktion einen Angreifer. Er kann sämtliche unvertrauenswürdigen Systemteilnehmer und Kommunikationskanäle korrumpieren und unter seine Kontrolle bringen. Korrumpierte Systemteilnehmer teilen dem Angreifer alle geheimen Daten mit und handeln uneingeschränkt nach seinen Anweisungen. Ebenfalls kann er alle Nachrichten, die auf unvertrauenswürdigen Kanälen ausgetauscht werden, mitlesen oder abfangen und selbst beliebig Nachrichten einspeisen.

Vertrauensannahmen im abstrakten Modell (individuelle Verifizierbarkeit des Protokolls): Für

die individuelle Verifizierbarkeit wird in diesem Modell angenommen, dass vertrauenswürdige technische Hilfsmittel, das VE-System und die Druckerei vertrauenswürdig sind. Die Benutzerplattformen und ein signifikanter Anteil der Stimmberechtigten werden als unvertrauenswürdig angenommen. Unter den Kommunikationskanälen werden einzig Benutzerplattform ↔ VE-System und VE-System ↔ Druckerei als unvertrauenswürdig angenommen.

Sicherheitsziel im abstrakten Modell (individuelle Verifizierbarkeit des Protokolls): Der Angreifer

kann unter den gegebenen Vertrauensannahmen folgende Ziele nicht erreichen, ohne dass ein Stimmender die Möglichkeit hat, einen erfolgten Angriff mit grosser Wahrscheinlichkeit zu erkennen:

− Verändern der Stimme vor der Registrierung

− Unterschlagen der Stimme vor der Registrierung

− Abgeben einer Stimme

Zur Erreichung der Sicherheitsziels kommen im Protokoll ausschliesslich kryptographische Bausteine zum Einsatz, die als sicher gelten.

Individuelle Verifizierbarkeit des VE-Systems in der Umsetzung: Das VE-System setzt ein

kryptographisches Protokoll um, das das Sicherheitsziel zur individuellen Verifizierbarkeit im abstrakten Modell erfüllt. Wo notwendig wird die Annahme der Vertrauenswürdigkeit der Systemteilnehmer und Kommunikationskanäle durch entsprechende Sicherheitsmassnahmen gerechtfertigt.

Abschnitt 4.2 bezieht die Bestimmungen von Art. 3 auf das Sicherheitsziel im abstrakten Modell und führt sie wo nötig aus. Ausserdem enthält er Sicherheitsanforderungen zu den im abstrakten Modell als vertrauenswürdig angenommenen Systemteilnehmern und Kommunikationskanälen.

4.2. Ergänzende Bestimmungen zur individuellen Verifizierbarkeit

D2.05 (Zu Art. 3 Abs. 1) Der Beweis muss nicht in einer einzigen Transaktion erfolgen. Er kann auch auf mehrere Nachrichten, die der Stimmende während des Stimmabgabeprozesses erhält, verteilt sein. (In diesem Fall bestätigt die letzte dieser Nachrichten die

Registrierung als systemkonform abgegebene Stimme.) Falls der Stimmende sich vor der definitiven Stimmabgabe (und somit vor Erhalt der letzten Nachricht) entscheidet den

Prozess abzubrechen, muss ihm nach wie vor die konventionelle Stimmabgabe zur

Verfügung stehen.

D2.06 (Zu Art. 3 Abs. 2) Das Ziel liegt darin zu verhindern, dass unvertrauenswürdige Systemteilnehmer unbemerkt eine Stimme abgeben können. Die Bestimmung ist dahingehend zu interpretieren und das Protokoll dementsprechend zu prüfen.

D2.07 (Zu Art. 3 Abs. 4) Der Beweis ist stichhaltig, wenn er den Stimmenden dazu dient,

Manipulationen ihrer Stimme im Sinne des Sicherheitsziels und unter den gegebenen

Vertrauensannahmen erkennen zu können. Dadurch kann der Angreifer Stimmende nicht irreführen, indem er mithilfe der unvertrauenswürdigen Systemteilnehmer einen Beweis anfertigt, der die Stimmenden im Glauben lässt, dass ihre Stimme im Sinn ihrer Erfassung als gültige Stimme registriert wurde. Die Erfolgswahrscheinlichkeit des Angreifers einen solchen Beweis durch korrektes Raten erstellen zu können (analog für den Beweis zur Bestätigung, dass keine Stimme abgegeben wurde) darf höchstens 0.1% betragen.

D2.08 (Zu Art. 3 Abs. 4) Für Stimmberechtigte mit einer Behinderung dürfen Erleichterungen zur Überprüfung der Beweise vorgesehen werden. Ausschliesslich hinsichtlich dieses Falls darf vom Sicherheitsziel abgewichen werden. Namentlich darf die Stichhaltigkeit der Beweise in diesem Fall von der Vertrauenswürdigkeit der Benutzerplattform abhängen. Dies erlaubt beispielsweise das Einscannen der Verifizierungsreferenz vorgängig zur Stimmabgabe. Diese Erleichterungen dürfen sich ausschliesslich an eine kleine Gruppe von

Stimmberechtigten richten, die den Beweis ohne solche Erleichterungen nicht in seiner vollen Stichhaltigkeit interpretieren können. Stimmberechtigte, für die dies nicht zutrifft,

sollen grundsätzlich dazu animiert werden, Beweise gemäss der vorgesehenen Prozedur zu überprüfen.