Erläuternder Bericht

Das kryptografische Protokoll besteht aus abstrakten, in mathematischer Sprache abgefassten Anweisungen an alle Systemteilnehmenden, welche Berechnungen sie beim Erhalt welcher Nachrichten vornehmen, welche Daten sie abspeichern und welche Nachrichten sie über welche Kanäle verschicken müssen. Das Protokoll ist dann konform mit der VEleS, wenn der Angreifer nach Ziffer 2.3 trotz seiner Kontrolle über die nicht vertrauenswürdigen Systemteilnehmenden und Kommunikationskanäle nach Ziffern 2.1, 2.2 und 2.9 die Ziele in Ziffern 2.5-2.8 unter den Bedingungen in Ziffern 2.11 und 2.12 nicht erreichen kann. Dabei müssen nach Ziffer 2.13 sichere kryptografische Bausteine (beispielsweise Verschlüsselungsalgorithmen) eingesetzt werden und die Handlungsanweisungen an die Systemteilnehmenden müssen klar und dürfen nicht unterspezifiziert sein. Nach Ziffer 2.14 werden mathematische Beweise über die Konformität des Protokolls gefordert, wie dies in der wissenschaftlichen Praxis üblich ist.

Das kryptografische Protokoll ist die Grundlage für die Systementwicklung. Es kann nur dann seine Wirkung entfalten, wenn die Handlungsanweisungen der vertrauenswürdigen Elemente als Software korrekt umgesetzt werden und die Komponenten, auf denen die Software läuft, hinreichend geschützt sind. Die VEleS enthält entsprechende Anforderungen. Vgl. dazu auch die Erläuterungen zu Ziffern 2.3 und 2.4.

Ziff. 2.1:

- Stimmberechtigte / stimmende Person: Stimmberechtigte erhalten vom Kanton oder von der Dru-

ckerei vorgängig zum Urnengang ihre vertraulichen clientseitigen Authentisierungsmerkmale sowie die Verifizierungsreferenz brieflich zugestellt. Um eine Stimme abzuschicken, geben sie ihre clientseitigen Authentisierungsmerkmale und ihre Stimme in die Benutzerplattform ein. Um von der individuellen Verifizierbarkeit nach Artikel 5 i.V.m. Ziffer 2.5 Gebrauch zu machen, prüfen sie anhand der Verifizierungsreferenz die Beweise, die die Benutzerplattform ihnen anzeigt.

- Benutzerplattform: Die Benutzerplattform erstellt die Authentisierungsnachrichten und schickt sie zu-

sammen mit der verschlüsselten Stimme und anderen Nachrichten, die für die Gewährleistung der Verifizierbarkeit nötig sind, an das NV-System. Dazu verwendet sie die Software inklusive öffentlicher Parameter, die sie vorgängig vom NV-System erhalten hat. Sie zeigt der stimmenden Person Nachrichten des NV-Systems an, wie beispielsweise die Beweise nach Ziffer 2.5.

- Nicht vertrauenswürdiges System (NV-System): Das NV-System dient als Knotenpunkt für die Kom-

munikation zwischen den übrigen Systemteilnehmenden. Es muss in Bezug auf alle Anforderungen an das kryptografische Protokoll als nicht vertrauenswürdig gelten (vgl. Ziff. 2.9).

- Setup-Komponente: Die Setup-Komponente wird in der Infrastruktur des Kantons betrieben (vgl. Ziff.

3.1). Mit Hilfe der Setup-Komponente bereitet der Kanton Daten für die Durchführung des Urnengangs auf. Dazu gehören insbesondere Daten, deren Zufälligkeit und Vertraulichkeit für die Erreichung der Anforderungen an das kryptografische Protokoll nach Ziffern 2.5, 2.7 und 2.8 massgeblich sind, wie beispielsweise die Verifizierungsreferenz der Stimmberechtigten. Auch dieser abstrakte Begriff kann mehrere technische Hilfsmittel wie Laptops und Datenträger umfassen.

- Eine oder mehrere Gruppen von Kontrollkomponenten: Die Kontrollkomponenten interagieren mit

den übrigen Kontrollkomponenten ihrer Gruppe so, dass die Anforderungen an das kryptografische Protokoll nach Ziffern 2.5, 2.6 und 2.7 auch das erfüllt sein müssen, wenn nur eine von ihnen vertrauenswürdig ist und damit korrekt funktioniert.

- Druckkomponente: Sie druckt die Verifizierungsreferenz zuhanden der Stimmberechtigten. Der abs-

trakte Begriff umfasst die Verpackung und den Versand an die Stimmberechtigten. Darüber hinaus umfasst er alle technischen Hilfsmittel, die beim Druck verwendet werden. Der Begriff kann damit – nebst der Druckmaschine selbst – auch einen Laptop zur Entschlüsselung der Druckdaten sowie einen USB-Stick zur Aufbewahrung der verschlüsselten Daten umfassen.

- Prüferinnen und Prüfer: Die Prüferinnen und Prüfer erhalten nach der Auszählung vom NV-System

einen Beweis nach Ziffer 2.6, der die korrekte Ergebnisermittlung bestätigt. Sie führen die Prüfung mindestens einmal mit einem technischen Hilfsmittel durch. Sie können auch während der Setup-Phase mit ihrem technischen Hilfsmittel allfällige Prüfaufgaben der Setup-Komponente übernehmen.

- Technisches Hilfsmittel der Prüferinnen und Prüfer: Die Prüferinnen und Prüfer benötigen zur Beur-

teilung des Beweises nach Ziffer 2.6 ein technisches Hilfsmittel.