70.622 nordmænd stemte over internettet - men sikkerheden får kritik
Mens e-valg blev skudt ned af et flertal uden om regeringen i Danmark i marts måned, har nordmændene kastet sig over muligheden. Til det netop afholdte valg kunne borgerne i 12 kommuner således vælge at stemme over internettet, og det tilbud tog 28 procent af de stemmeberettigede imod. Mere præcist valgte 70.622 nordmænd at stemme hjemmefra, via en computer og internettet og med MinID, Norges svar på NemID, i hånden.
Men søndag - efter fristen for internetstemmer udløb fredag aften - blev der igen rejst kritik af løsningen, denne gang fra en schweizisk professor, som deltog ved et seminar om e-valgsforsøget. Det skriver Teknisk Ukeblad.
Når en stemme var blevet afgivet via internettet, modtog vælgeren en sms-kvittering med en kode, der kunne bruges til at stemme igen senere og ændre stemmen. Men den form for to-faktor-sikkerhed er ikke nok, mente professor Reto E. Koenig, som forsker i e-valg på Bern universitet.
Bliver e-valg brugt i stor skala, vil en hacker kunne gå efter både borgernes computere og deres telefoner, så sms’en med kode kan blokeres, når hackeren stemmer igen. Det kan ske ved at lave falske basestationer for telefonerne, eller mindre krævende ved at hacke en smartphone og sørge for, at sms’en aldrig bliver vist, lyder vurderingen.
Allerværst er det, hvis en smartphone eller tablet med telefonfunktion bliver brugt også til at afgive stemmen, for så er to-faktor-sikkerheden forsvundet, lød advarslen. Se hele seminaret og oplægget.
Usikker kryptering afsløret undervejs
Tirsdag den 3. september, få dage før e-valgets afslutning om fredagen, viste det sig, at krypteringen af stemmerne i valget, som havde kørt siden 12. august, havde været usikker, skriver Teknisk Ukeblad. En ny, mere effektiv kryptering med en bedre tilfældighedsgenerator blev derfor indført i al hast samme dag, men de 44.000 stemmer, som allerede var afgivet, var altså stadig kun beskyttet af en svag kryptering.
Problemet blev opdaget af Computas, som er hyret til at kontrollere sikkerheden i valget, og fejlen lå hos den spanske leverandør af it-systemet til e-valg, Scytl, som tidligere har fået kritik for at levere ’spaghettikode’, som er svær at overskue og sikkerhedsgodkende.
Den tekniske leder af e-valgsforsøget, Christian Bull fra de norske valgmyndigheder, siger til Teknisk Ukeblad, at fejlen ’utvivlsomt er svært kedelig, men ikke en katastrofe.’ Stemmerne bliver nemlig uanset svag kryptering ikke behandlet på en måde, så det er muligt at se, hvad folk har stemt, lyder forklaringen. Der er heller ingen tegn på uregelmæssigheder i systemets logs.
Internetvalgrådet, som består af både folkevalgte medlemmer og eksperter, tog sagen op, og kryptolog Håvard Raddum anbefalede, at alle afgivne stemmer indtil da skulle slettes og afgives på ny. Det forslag blev dog nedstemt. Hans begrundelse var, at man ikke skulle risikere mistillid til resultatet, men han forstår også godt resten af rådets beslutning, forklarer han.
Ud over at fejlen i krypteringen blev rettet op, er sikkerheden i e-valgs-forsøget også blevet skærpet ved at begrænse den fysiske adgang til serverne. Tidligere havde 10-12 personer adgang, men det blev begrænset til to til tre personer, som kun har adgang sammen med en vagt.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
