Vorlage (Anhang)

Anhang des Technischen Reglements Vote électronique der Bundeskanzlei vom ... (SR ...)

Sicherheitsziel im abstrakten Modell (vollständige Verifizierbarkeit des Protokolls):

• Der Angreifer kann unter den Vertrauensannahmen zur vollständigen Verifizierbarkeit des Protokolls folgende Ziele nicht erreichen, ohne dass ein Stimmender oder ein vertrauenswürdiger Prüfer die Möglichkeit hat, einen erfolgten Angriff mit grosser Wahrscheinlichkeit zu erkennen:

− Verändern der Stimme vor der Registrierung durch den vertrauenswürdigen Systemteil − Unterschlagen der Stimme vor der Registrierung durch den vertrauenswürdigen Systemteil

− Abgeben einer Stimme

− Verändern einer systemkonform abgegebenen Stimme, deren Abgabe durch den vertrauenswürdigen Systemteil registriert wurde

− Unterschlagen einer systemkonform abgegebenen Stimme, deren Abgabe durch den vertrauenswürdigen Systemteil registriert wurde

− Einfügen einer nicht-systemkonform abgegebenen Stimme

• Der Angreifer kann unter den Vertrauensannahmen zur vollständigen Verifizierbarkeit des Protokolls weder das Stimmgeheimnis brechen noch vorzeitige Teilergebnisse erheben, ohne dazu die Stimmberechtigten oder deren Benutzerplattformen zu korrumpieren.

Zur Erreichung der Sicherheitsziels kommen ausschliesslich kryptographische Bausteine zum Einsatz, die als sicher gelten.

Vollständige Verifizierbarkeit des VE-Systems in der Umsetzung: Es gelten dieselben

Bestimmungen wie für die individuelle Verifizierbarkeit.

Abschnitt D.4 bezieht die Bestimmungen von Art. 4 auf das Sicherheitsziel im abstrakten Modell und führt sie wo nötig aus. Ausserdem enthält er Sicherheitsanforderungen zu den im abstrakten Modell als vertrauenswürdig angenommenen Systemteilnehmern und Kommunikationskanälen.

4.4. Ergänzende Bestimmungen zur vollständigen Verifizierbarkeit

D4.10 (Zu Art. 4 Abs. 1) Der Einsatz von Prüfern dient der Transparenz. Die Stimmerechtigten sollen davon ausgehen können, dass Prüfer im Zweifelsfall auf Unregelmässigkeiten

aufmerksam machen würden. Es wird jedoch bewusst offen gelassen, aus welchen

Kreisen Personen mit der Rolle als Prüfer zu mandatieren sind.

D4.20 (Zu Art. 4 Abs. 2 Bst. a) Aufgrund der Informationen im vertrauenswürdigen Systemteil (darunter kann sich die verschlüsselte Stimme selbst befinden) können Prüfer feststellen, ob eine Stimme als Eingabe für die Ergebnisermittlung in unveränderter Form berücksichtigt wurde. Stimmende müssen somit darauf vertrauen können, dass die Daten im vertrauenswürdigen Systemteil nicht entfernt oder manipuliert werden. In der technischen Literatur finden sich dazu Vorschläge, die verschlüsselten Stimmen auf einem elektronischen

„schwarzen Brett“ (engl. public board) zu publizieren. Ein schwarzes Brett wird durch den Einbezug mehrerer vertrauenswürdigen Komponenten realisiert, so dass Einträge nur unbemerkt gestrichen oder verändert werden, wenn mehrere dieser Komponenten korrumpiert sind. Mithilfe einer vertrauenswürdigen Benutzerplattform können Stimmende zu jedem Zeitpunkt nachvollziehen, dass sich ihre Stimme in der Menge der abgegebenen

Stimmen befindet. Am Schluss der Abstimmung enthält das schwarze Brett das Ergebnis und den Beweis der korrekten Ergebnisermittlung, der im Rahmen der universellen Verifizierbarkeit angefertigt wird. Die Stimmenden könnten dadurch im Geist einer maximal

möglichen Transparenz die Rolle der „Prüfer“ einnehmen. Verschiedene Risikoerwägungen, die nicht zuletzt mit der praxisorientierten Annahme zusammenhängen, dass Benutzerplattformen als unvertrauenswürdig betrachtet werden müssen, können dafür sprechen, die für die Verifizierbarkeit relevanten Daten des vertrauenswürdigen Systemteils nicht uneingeschränkt zu veröffentlichen. Es ist daher zulässig die Daten einem eingeschränkten Kreis von Prüfern zur Verfügung zu stellen. In der Terminologie der technischen Literatur kann die Anforderung daher so verstanden werden: Stimmende erhalten von den für das schwarze Brett zuständigen Komponenten einen Beweis zur Bestätigung, dass sie ihre Stimme (bzw. Daten, die für die universelle Verifizierung ausreichend sind) erhalten haben. Seine Stichhaltigkeit darf nicht von der Vertrauenswürdigkeit einer unvertrauenswürdigen Benutzerplattform oder des VE-Systems abhängen. Die Prüfer erhalten spätestens nach der Ergebnisermittlung (aber vor der Publikation) Zugang zum schwarzen Brett und stellen fest, dass das Ergebnis jede Stimme auf dem schwarzen Brett gemäss den geltenden Regeln berücksichtigt.