Vorlage (Anhang)

Anhang des Technischen Reglements Vote électronique der Bundeskanzlei vom ... (SR ...)

D2.10 (Zu Art. 3 Abs. 4) Falls die Stimmenden zum Verifizieren ein technisches Hilfsmittel benutzen, muss dieses spezifisch für das sichere Speichern von Geheimelementen und

Ausführen von kryptographischen Operationen entwickelt worden sein, wie zum Beispiel Geräte, die zum sicheren Homebanking eingesetzt werden. Ausserdem müssen sich die Stimmenden durch die Abgabe von Teststimmen von der korrekten Funktionsweise des Hilfsmittels überzeugen können.

D2.20 (Zu Art. 3 Abs. 3 und 4) Zusätzlich zum Anforderungskatalog für Druckereien gilt die

folgende Bestimmung: Alle Maschinen, die in irgendeiner Form an der Bearbeitung von Daten der Verifizierbarkeitsreferenz beteiligt sind, müssen während der gesamten

Rechenzeit im Vieraugenprinzip physisch überwacht werden. Es sind nur

Netzwerkverbindungen zulässig, deren Teilnehmer über physische Kabel so verbunden sind, dass bis zur Vernichtung der vertraulichen Daten ersichtlicherweise keine weiteren Maschinen auf sie zugreifen können.

D2.30 (Zu Art. 3 Abs. 3 und 4) Für das serverseitige VE-System gelten keine zusätzlichen

Bestimmungen. Bei der Umsetzung der grundlegenden Anforderungen und der

Sicherheitsanforderungen (vgl. Art. 5 und 6) ist allerdings zu berücksichtigen, dass die

Vertraulichkeit der Daten, die mit der Verifizierungsreferenz in Verbindung stehen, für die Korrektheit des Ergebnisses, das Stimmgeheimnis und den Ausschluss vorzeitiger

Teilergebnisse entscheidend ist.

D2.40 (Zu Art. 3 Abs. 3 und 4) Die Vertrauenswürdigkeit des Kanals zwischen Druckerei und

Stimmberechtigten ist nur durch eine Instanzierung durch die physische Zustellung,

namentlichdurch die Schweizerische Post, oder durch die persönliche Übergabe

gerechtfertigt.

4.3. Vollständiges abstraktes Modell zu Art. 4

Das vollständige abstrakte Modell versteht das VE-System als unvertrauenswürdig. Stattdessen sieht es Prüfer vor, die auf der Grundlage eines vertrauenswürdigen Hilfsmittels und auf der Grundlage von unabhängigen „Kontrollkomponenten“ die korrekte Ergebisermittlung beurteilen.

Damit identifiziert es die folgenden zusätzlichen Systemteilnehmer:

Kontrollkomponente Sie interagiert mit dem VE-System und den übrigen Kontrollkomponenten so, dass dieses zum Schluss des Urnengangs einen stichhaltigen Beweis anfertigen kann, der die korrekte Ergebnisermittlung bestätigt.

Prüfer Sie erhalten nach der Auszählung vom VE-System einen Beweis zur

Bestätigung der korrekten Ergebisermittlung.

Technisches Die Prüfer können zur Beurteilung des Beweises ein technisches Hilfsmittel Hilfsmittel der verwenden.

Prüfer

Das kryptographische Protokoll kann die folgenden zusätzlichen Kommunikationskanäle zum Austausch von Nachrichten vorsehen:

− Kontrollkomponente ↔ VE-System

− VE-System ↔ technisches Hilfsmittel der Prüfer

− Technisches Hilfsmittel der Prüfer ↔ Prüfer

− Bidirektionale Kanäle für die Kommunikation zwischen den Kontrollkomponenten.

Vertrauensannahmen im abstrakten Modell (vollständige Verifizierbarkeit des Protokolls): Es

kommen mehrere Kontrollkomponenten zum Einsatz, die in einer oder wenigen Gruppen zusammengefasst sind. Eine einzelne Kontrollkomponente muss - gleich wie das VE-System - als unvertrauenswürdig angenommen werden. Es darf jedoch die Annahme gelten, dass mindestens eine Kontrollkomponente pro Gruppe vertrauenswürdig ist, allerdings ohne festzulegen um welche es sich dabei handelt. Die Menge der Gruppen von Kontrollkomponenten bildet den vertrauenswürdigen Systemteil. Seine Vertrauenswürdigkeit ist durch die Vertrauenswürdigkeit mindestens einer Kontrollkomponente in jeder seiner Gruppen definiert. Die Stichhaltigkeit des Beweises, den ein Prüfer infolge von Art. 4 erhält, darf nur von der Vertrauenswürdigkeit des vertrauenswürdigen Systemteils und seines technischen Hilfsmittels abhängen. Weiter wird angenommen, dass mindestens ein vertrauenswürdiger Prüfer mithilfe eines vertrauenswürdigen technischen Hilfsmittels den Beweis überprüft. Allfällige weitere Prüfer und deren technische Hilfsmittel gelten als unvertrauenswürdig. Unter den zusätzlichen Kommunikationskanälen darf einzig jener zwischen den Prüfern und ihrem technischen Hilfsmittel als vertrauenswürdig angenommen werden. Das VE-System ist als unvertrauenswürdig zu betrachten.