Vorlage (Anhang)

Anhang des Technischen Reglements Vote électronique der Bundeskanzlei vom ... (SR ...)

5. Prüfkriterien (für individuell und vollständig verifizierbare Vote-électronique-Systeme)

Jede der Abschnitte 5.1 – 5.6 entspricht einer externen Prüfung des VE-Systems. Die Zuständigen Organisationen erstellen im Erfolgsfall einen Beleg zuhanden des Kantons, der die Prüfung in Auftrag gibt. Der Kanton legt den Beleg seinem Gesuch um Zulassung durch die BK bei. Die einzureichenden Belege sind unter Kapitel 6 zusammengefasst.

5.1. Prüfung des kryptographischen Protokolls

E1.10 Prüfkriterien: Das Protokoll muss das Sicherheitsziel unter den Vertrauensannahmen im abstrakten Modell gemäss Ziffer 4 erfüllen. Dazu müssen ein kryptographischer und ein symbolischer Beweis vorliegen. Die Beweise dürfen bezüglich kryptographischer Grundkomponenten unter allgemein akzeptierten Sicherheitsannahmen geführt werden (beispielsweise random oracle model, decisional Diffie-Hellman assumption, Fiat-Shamir heuristic). Das Protokoll soll sich möglichst auf existierende und bewährte Protokolle abstützen.

E1.20 Zuständigkeiten: Die Beweise müssen von hochspezialisierten Institutionen erbracht oder geprüft werden. Die Wahl einer Organisation muss vorgängig von der BK gutgeheissen werden. Konkretes Vorgehen:

1. Der Kanton meldet der BK eine Änderung am Protokoll. Der Kanton kann Vorschläge machen, welche Institution, allenfalls welche Person, die Prüfung vornehmen soll.

2. Die BK beurteilt den Vorschlag.

3. Die BK informiert den Kanton über ihren Entscheid.

Im Fall von individuell verifizierbaren VE-Systemen können infolge der starken Vertrauensannahmen simple Protokolle zum Einsatz kommen. In diesem Fall kann die BK vom Beizug einer externen Organisation absehen.

E1.30 Dauer der Gültigkeit eines Belegs: Eine komplette Überprüfung muss vor der ersten Inbetriebnahme erfolgen. Das Protokoll muss bei jeder Änderung des Protokolls und bei gravierendenden neuen Erkenntnissen der Forschung bezüglich der Sicherheit von verwendeten kryptographischen Elementen neu überprüft werden.

5.2. Prüfung der VE-Funktionalität

E2.10 Prüfkriterien: Die VE-Funktionalität muss die in Kapiteln 2, 3 und 4 aufgeführten

Anforderungen erfüllen, beziehungsweise die vorgegebenen Zielsetzungen adäquat unterstützen. Allenfalls soll ein Protokoll gemäss Art. 3 oder Art. 4 umgesetzt sein. Es soll sichergestellt sein, dass die im Protection Profile (PP) des deutschen Bundesamtes für Sicherheit in der Informationstechnik (BSI) aufgeführten Security Functional Requirements (SFR) oder gleichwertige Mittel als Sicherheitsmassnahmen umgesetzt sind. Die VE-Funktionalität ist in Anlehnung an den Formalismus der Common Criteria (CC) nach den EAL2 Hauptkriterien zu prüfen.

E2.20 Zuständigkeiten: Die Prüfung erfolgt durch eine von der schweizerischen Akkreditierungs-

stelle (SAS) akkreditierte Institution.

E2.30 Dauer der Gültigkeit eines Belegs: Die VE-Funktionalität ist bei jeder relevanten Änderung,

wie beispielsweise nach einer Änderung am kryptographischen Protokoll, neu zu prüfen.