Vorlage

Verordnung der BK über die elektronische Stimmabgabe AS …

ausführbare Code eine überprüfbare und getreue Darstellung des Quellcodes ist, der einer öffentlichen Kontrolle und unabhängigen Prüfungen unterzogen wurde. Die Kompilierung erlaubt es, eine Beweiskette für die Überprüfung der Software anzulegen, und umfasst insbesondere:

 den Nachweis, dass die Kompilierumgebung so ausgestaltet ist, wie

sie auf der öffentlichen Plattform beschrieben ist (Gesamtheit der Werkzeuge mit der jeweiligen Version, Betriebssystem und allfälligen Konfigurationen); allfällige Abweichungen sind zu dokumentieren und zu begründen;

 den Nachweis, dass die Software gemäss den auf der öffentlichen

Plattform verfügbaren Anweisungen kompiliert wurde; wird bei der Kompilierung ein Mangel in den Instruktionen festgestellt, so ist dieser zu protokollieren und die Dokumentation anschliessend anzupassen;

 den Nachweis, dass der zur öffentlichen Kontrolle vorgelegte und

geprüfte Quellcode tatsächlich derjenige ist, der zur Kompilierung verwendet wurde;

 den Nachweis, dass keine anderen als die in den Instruktionen vorge-

sehenen Elemente eingeführt wurden;

 den Nachweis, dass alle kryptografischen Signaturen der Abhängig-

keiten gegen eine bewährte, öffentliche und vertrauenswürdige Referenz (z. B. Maven Central Repository) verifiziert wurden;

 den Nachweis, dass eine Analyse der Schwachstellen in Bezug auf

Abhängigkeiten durchgeführt wurde und dass, sofern für die Software relevante Schwachstellen vorhanden sind, diese die Software nicht angreifbar machen;

 den Nachweis, dass die allenfalls eingeführten Parameter das System

nicht angreifbar machen.

24.3.4 Es ist ein zuverlässiges und überprüfbares Deployment mit angemessenen Sicherheitsmassnahmen durchzuführen. Damit ist sicherzustellen, dass:

1. der produktiv eingesetzte Code eine überprüfbare und getreue Darstellung des Quellcodes ist, der einer öffentlichen Kontrolle und unabhängigen Prüfungen unterzogen wurde; und

2. dass die Produktionsumgebung mit derjenigen übereinstimmt, die der öffentlichen Kontrolle und unabhängigen Prüfungen unterzogen wurde.

Das Deployment erlaubt es, eine Beweiskette für die Überprüfung der Software anzulegen, und umfasst insbesondere:

 den Nachweis, dass die Produktionsumgebung mit derjenigen überein-

stimmt, die der öffentlichen Kontrolle und unabhängigen Überprüfungen unterzogen wurde; allfällige Abweichungen (Firmware-Version, Konfigurationsdateien usw.) sind zu dokumentieren und zu begründen;