Ingen krav til manuell kontroll: Maskinene som teller opp valget er koblet direkte til internett

[Gjest Slettet-Pqy3rC]

Nei det må man ikke anta...

...Det som er viktig er at systemet er revidert av et organ de fleste stoler på...

Jo, det må man.

 

Dersom valglokalet mangler avlukker skal man ikke stole forsikringer om "vi skal ikke titte". Selv om beskjeden kommer fra en fyr i securitas uniform.

 

Jeg kjenner ikke til noen teknisk innretning/design som kan forsikre velgeren at det ikke finnes kobling mellom innlogging og stemmegiving i en digital/nettstyrt prosess.

[Bolson]

Det kan godt tenkes at dette er ett sikkert og robust, men det virker naivt å anta at selv om det ligger inne siste fra windows update er PC'en trygg og sikker. Dersom noen har ønske om å påvirke valget har det også kompetanse til å unngå alt at alment tilgjengelig sikkerhetsprogrammvare.

 

Jeg antar at e-tjenesten har dedikerte folk til å overvåke trafikk til og fra disse pc'ene; hvis ikke må noen få sparken i morgen.

 

Det er også overraskende naivt at en kontrolltelling skjer med det samme systemet. Dersom en kontrolltelling gir ett annet resultat en hovedtellingen når ett automatisk system brukes er systemet for svakt. Tellesystemet skal ta rett på 100% av stemmesedlene, hvis ikke må noen få sparken i morgen.

 

Nei! Tellesystemet skal ikke ha 100 % rett - det er faktisk ikke mulig. Blant annet fordi en del telles manuelt og fordi det er stemmer som godkjennes som ikke skulle vært godkjent og så vice versa. Systemet skal dog være så nært 100 % som mulig, derfor telles stemmene flere ganger. Kontrolltelling må skje med samme systemet, da vi bare har et system i bruk i Norge, men det bør skje med ulike "maskiner", slik at en maskin ikke kan manipuleres. Da vi telte manuelt var det alltid to personer som telte de samme stemmene (i realiteten 4, fordi stemmene ble telt både i kommune og fylkeskommune).

 

Man må også være klar over at i store kommuner er det ikke 2 maskiner som teller, det kan være 10 - 20 tellestasjoner.

 

OS har i realiteten ingen betydning for sikkerhet her. PC-ene blir satt opp og konfigurert på nytt for hvert eneste valg etter spesifikke krav. Så Windows, Linux eller OSX gjør ingen forskjell. Det er eventuell koblingen mot internett som er svakhet, og den svakheten vil i dette tilfellet gjelde uansett OS.

 

Som nevnt tidligere så kjenner jeg til systemet slik det var ved manuell telling, og mitt største ankepunkt er mangelen på åpen informasjon om systemene og prosedyrene. Vi har da liten mulighet til selv å vurdere dette, noe som var enkelt tidligere.

[RattleBattle]

 

 

Hvorfor ikke stemme via sikker innlogging på nettet? Kan man logge inn sikkert i banken, så kan det være sikkert nok for å avgi stemme også.

Fordi vi har hemmelig valg.

 

For å utdype dette, så er ikke problemet at man identifiserer seg når man logger på (man identifiserer seg jo også i valglokalet), men at folk kan stå bak en og utilbørlig kikke og/eller påvirke.

 

 

Helt korrekt. Det kan være familiemedlemmer og bekjente som ønsker å påvirke hva en annen stemmer, eller man kan rett og slett selge stemmen sin, dersom man ikke kontrollerer personlig oppmøte. Sistnevnte er nok ikke så sannsynlig, men likefullt mulig. 

Endret 28. august 2017 av RattleBattle

[XIFXEGLO]

Har lest dokumentasjonen.

 

Systemet baserer seg på en konfigurasjonfil som lastes ned fra nettet. Denne filen innholder f.eks partikoder.

 

Ett "man in the middle" angrep vil kunne endre konfigrasjonfilen slik at alle arbeiderparti stemmer går til høyre.

 

Kommuner oppfordres til å sette ut drift av systemet til en tredjepart.

[7KAKXXR7]

Jeg skjønner heller ikke poenget med at maskinen er koblet til nettet.

Det eneste som registreres er vel antallet stemmer per parti?

Det er jo ikke akkurat SÅ mange partier i Norge.

Følgende burde være en like enkel og mye sikrere måte:

1. En "sertifisert ren/plombert" maskin UTEN nettilgang gjør selve tellingen.

2. Steg 1 gjentas på en annen maskin

3. Hvis avvik -> Manuell håndtering

4. Antallet stemmer per parti legges så manuelt inn i et annet system via en annnen maskin

5. Dette resultatet må signeres av minst to uavhengige valgfunksjonærer som representerer hver sin "blokk"

6. Den siste maskinen sender så resultatet til det sentrale tellingskontoret (eller hva det nå heter)

7. De ovennevnte valgfunksjonærene kontrollerer resultatet via et offentlig tilgjengelig grensesnitt som sier hvor mange stemmer som ble registrert. (Dette finnes vel per i dag, da man mange steder kan se antallet stemmer ned på krets-nivå)

 

Steg 4 og 5 vil vel da være det eneste manuelle ekstrasteget? Dette kan umulig ta mange minuttene.

[Gjest Slettet-Pqy3rC]

... dersom man ikke kontrollerer personlig oppmøte...

Det er igrunn ikke personlig oppmøte som er sentralt, men heller forsikringen om at at stemmen er avgitt anonymt. Altså at ingen kan overvåke det øyeblikket hvor valget tas.

[RattleBattle]

 

... dersom man ikke kontrollerer personlig oppmøte...

Det er igrunn ikke personlig oppmøte som er sentralt, men heller forsikringen om at at stemmen er avgitt anonymt. Altså at ingen kan overvåke det øyeblikket hvor valget tas.

 

Nei. Jeg jobber med valg, så jeg vet hvorfor . 

 

Eksempelvis vil utenbys stemmer i forhåndsvalgperioden legges i konvolutt sammen med valgkort. Noe som gjør at man lett kan se hvem som har stemt hva, dersom man ikke har gode rutiner som påser at ingen gjør det.

Endret 28. august 2017 av RattleBattle

[tommyb]

 

Dersom valglokalet mangler avlukker skal man ikke stole forsikringer om "vi skal ikke titte". Selv om beskjeden kommer fra en fyr i securitas uniform.

 

Jeg kjenner ikke til noen teknisk innretning/design som kan forsikre velgeren at det ikke finnes kobling mellom innlogging og stemmegiving i en digital/nettstyrt prosess.

 

 

Dette er en kjerne i problemstillingen hemmelig valg på internett. 

 

I ytterste konsekvens kan alt som skjer etter man logger på gå inn på et alternativt system der alt skjer i klartekst og er helt åpent for manipulasjon, eller algoritmen som lagrer stemmer kan manipulere 5% av stemmene, og bare én person trenger vite om dette hvis han har full systemtilgang. Med valgurner kan man kontrollere det som går inn og ut, og det skjer lite spennende inni urna. Med et datasystem kan man gjøre mye spennende inni, enten det er manipulering av lagring i software-lag og hardware-lag, opptelling, optisk lesning eller pipet datatrafikk... Mulighetene er svimlende.  

 

Jeg mener vi aldri bør ha elektronisk valg.

[Zoso87]

 

Lurer på hvordan de sikrer seg mot at folk får fysisk tilgang til en av pc-ene som er koblet til dette "sikre" nettverket. Tipper at hvis man møter opp og sier man kommer fra avdeling x, for å titte på en av pc-ene, så vil nok mange ikke reagere på det.

 

Faktisk så vil de nok det. Om det ikke har endra seg siden jeg var med på opptelling av stemmer så er det forholdsvis streng adgangskontroll.

 

Ellers så betyr ikke nødvendigvis tilgang til en PC særlig mye, det er programvaren for scanning og opptelling man må klare å fikle med. Og det skal ikke være enkelt så vidt jeg har forstått.

 

Dog er ikke forsikringene fra Direktør Berg noe som gjør meg særlig beroliget. Det kan godt være at systemet er sikkert nok, men ingenting av det ha framlegger indikerer dette. Selv med dokumentet (som er sladdet utrolig mye), føler jeg meg sikker.

Ja, det samme var det nok ved uranutvinnings anlegget i Iran også. Men skulle ikke mer til enn noen få minnepenner som var "mistet" på strategiske steder, for å infisere nettverket.

 

Får man tilgang til nettverket så kan man utrettet en god del. Med tanke på at man har funnet store svakheter i et av programmene til det firmaet som leverer programmet skanneren bruker, så skal man ikke se bort i fra at det mest sannsynligvis finnes noen svakheter som kan utnyttes.

http://www.securityfocus.com/archive/1/533024?fref=gc

[Gjest Slettet-Pqy3rC]

Nei. Jeg jobber med valg, så jeg vet hvorfor . 

 

Eksempelvis vil utenbys stemmer i forhåndsvalgperioden legges i konvolutt sammen med valgkort. Noe som gjør at man lett kan se hvem som har stemt hva, dersom man ikke har gode rutiner som påser at ingen gjør det.

Mmm...

 

Hadde jeg fått bestemme ville alle stemmer som ikke kan garanteres anonymt avgitt måtte regnes som manipulerte, og dermed avvises. Det sier seg selv at jeg missliker metodene som benyttes ved forhåndsstemming en del steder. Anonymitet bør være et absolutt krav ved anonyme valg.

[O9P6Y50T]

Torgeir Waterhouse mener mye og ofte, men det er allikevel ikke sikkert at han er fasiten på informasjonssikkerhet i Norge...

[StormEagle]

Hva er poenget med å ha nettilgang på tellemaskinene? Er ikke mye jobb å putte stemmene på en minnepinne og slenge dem inn i systemet etter at tellingen er ferdig. Å tillate en så stor risiko når det koster ca. 5 minutter å fjerne den blir for dumt. Selv om risikoen hadde vært forsvinnende liten så rettferdiggjør ikke det de få minuttene med spart arbeid.

 

Og å putte en minnepinne inn i maskinen ser du ikke noe sikkerhetsproblem med?

[iceLord73]

Hvorfor ikke stemme via sikker innlogging på nettet? Kan man logge inn sikkert i banken, så kan det være sikkert nok for å avgi stemme også.

 

Fordi at man da av andre kan bli tvunget til å stemme på noe man ikke selv ønsker, jfr. mishandling (eller sterk kontroll) i nære relasjoner. Da har man plutselig ikke hemmelig valg lenger, som er en av de viktigste bærebjelkene i demokratiet vårt.

[bojangles]

Ja da blir jo valget ren lotto uansett. Trenger ikke min stemme nå, siden resultatet alt er bestemt av noen med dype lommer, ressurser og kunnskap til å ta valget for oss alle sammen. 

 

</Democracy>

[XIFXEGLO]

 

 

Lurer på hvordan de sikrer seg mot at folk får fysisk tilgang til en av pc-ene som er koblet til dette "sikre" nettverket. Tipper at hvis man møter opp og sier man kommer fra avdeling x, for å titte på en av pc-ene, så vil nok mange ikke reagere på det.

Faktisk så vil de nok det. Om det ikke har endra seg siden jeg var med på opptelling av stemmer så er det forholdsvis streng adgangskontroll.

 

Ellers så betyr ikke nødvendigvis tilgang til en PC særlig mye, det er programvaren for scanning og opptelling man må klare å fikle med. Og det skal ikke være enkelt så vidt jeg har forstått.

 

Dog er ikke forsikringene fra Direktør Berg noe som gjør meg særlig beroliget. Det kan godt være at systemet er sikkert nok, men ingenting av det ha framlegger indikerer dette. Selv med dokumentet (som er sladdet utrolig mye), føler jeg meg sikker.

Ja, det samme var det nok ved uranutvinnings anlegget i Iran også. Men skulle ikke mer til enn noen få minnepenner som var "mistet" på strategiske steder, for å infisere nettverket.

 

Får man tilgang til nettverket så kan man utrettet en god del. Med tanke på at man har funnet store svakheter i et av programmene til det firmaet som leverer programmet skanneren bruker, så skal man ikke se bort i fra at det mest sannsynligvis finnes noen svakheter som kan utnyttes.

http://www.securityfocus.com/archive/1/533024?fref=gc

 

 

Fra linken du postet:

 

Therefore, attackers can not only gain access to sensitive data such as passwords in

cleartext (SAP backend connection, database), scanned invoices, log &

licensing files etc. but potentially manipulate configuration files /

invoices or replace existing executables with malicious code.

 

Nå er riktig nok ikke dette samme programvare, (svakheten er i Readsoft Invoice, valglokalene bruker Readsoft Forms) men ett firma som lagrer passord i klartekst skulle vært svartelistet fra nasjonale system.

 

Fin artikkel dette; løfter opp naiviteten og uvitenheten innen datasikkerhet i det offentlige opp enda ett nivå.

 

Hvis e-tjensten kommer med en pressemelding og sier de har kvalitetssikret systemet som brukes i valget blir jeg beroliget, ordene til direktøren i valgdirektoratet er null verd - vi så det sist med fadesen med pasientjornalene der ledesen enten løy til media eller var fullstendig uvitende.  

Endret 28. august 2017 av XIFXEGLO

[Gjest Slettet-OvFPdyiZ]

 

 

... dersom man ikke kontrollerer personlig oppmøte...

Det er igrunn ikke personlig oppmøte som er sentralt, men heller forsikringen om at at stemmen er avgitt anonymt. Altså at ingen kan overvåke det øyeblikket hvor valget tas.

 

Nei. Jeg jobber med valg, så jeg vet hvorfor . 

 

Eksempelvis vil utenbys stemmer i forhåndsvalgperioden legges i konvolutt sammen med valgkort. Noe som gjør at man lett kan se hvem som har stemt hva, dersom man ikke har gode rutiner som påser at ingen gjør det.

Sist jeg stemte utenbys var riktignok noen år siden, men da ble stemmen lagt i en konvolutt, og deretter ble valgkortet og den konvolutten lagt i en annen.

 

Ja, det er fortsatt mulig for noen å åpne begge konvoluttene og kikke dersom man ikke har robuste systemer på plass, men hadde det vært meg som satte opp rutinene ville jeg jo bare hatt som steg 1 at valgkort og konvolutt med stemmen skilles ved mottak i rett kommune, alle forhåndsstemmer går i en haug, og at en deretter verifiserer forsegling av samtlige konvolutter.

Dette ville jo ivareta både konfidensialitet og integritet, altså at ingen har kikket eller byttet om stemmeseddelen.

 

Faktisk ville det overrasket meg mye om den reelle rutinene ikke er noe a la det der.

[Gnarfer]

Ellers så betyr ikke nødvendigvis tilgang til en PC særlig mye, det er programvaren for scanning og opptelling man må klare å fikle med. Og det skal ikke være enkelt så vidt jeg har forstått.

 

Så trenger man ikke gjøre noe med selve programvaren - kun forbindelsen mellom scanner og når data blir lagret (+ kryptert & signert) første gangen.

 

Slik jeg forstår at disse maskinene for innlesing av data er satt opp, er det i prinsippet den enkleste veien til målet å bytte scannerdriveren med sin egen (med forbehold om at programvaren ikke snakker direkte med selve scanneren).

[kjeita]

Det var mye morro ved DefCon i år med 'sertifiserte'* maskiner

https://twitter.com/VotingVillageDC/status/891445496622874624/video/1

 

For noe så målrettet som dette, så vil nok ikke et oppdatert system være nok.
De som er tjent med dette vil neppe bruke noe som allerede er kjent.

 

*problemet over der er at det kun er krav til 'sertifisering', men ikke når. Dermed kunne enkelte maskiner som var sist 'seritifisert' for over ti år siden bli benyttet ved siste valg.

Endret 28. august 2017 av kjeita

[1P4XZQB7]

Disse [Window-maskiner] er sikkert av nyere dato både OS og maskinvare?

Du mener, et slikt operativsystem som spionerer og en maskinvare med bakdør?

Endret 30. august 2017 av 1P4XZQB7

[3VOEADCN]

Her er tweets fra noen som har gjort en innsats for å finne ut hva som skjer:

 

https://twitter.com/pati_gallardo/