Gaming the system - eValg i Danmark

Det lader til at eValg er kommet for at blive, ihvertfald kan man ikke undgå at læse om det alle steder.

Desværre er eValg noget som alle kan have en mening om, uden dog at have sat sig ind i dette store område - desværre.

Idag har vi således en situation hvor de blinde leder de døve og politikerne er ekstremt faktaresistente, men alle gør det formentlig i bedste mening. Den bedste mening giver ofte det værste resultat :-(

I den forbindelse skal jeg måske bemærke at udtrykket ikke er ment nedsættende om hverken blinde eller døve, MEN det er altså ikke en speciel komptence at være blind - ligesom det ikke giver en kompetencer indenfor eValg at være politiker. Det er således alle tiders at spørge blinde, døve og handicappede om deres mening. Blot skal man undgå at det bliver den falske ekspert.

Den falske ekspert er et begreb jeg bruger når man tager en ekspert indenfor et felt og spørger vedkommende som om han/hun var ekspert indenfor et andet området. I bedste fald får man et lægmands svar på et komplekst spørgsmål - som ikke har nogen reel vægt i argumentationen. Hvis man er ekspert er det indenfor et område hvor man har sat sig godt ind i det område, og blot fordi man har gjort dette ved man ikke alt. Det betyder at man bør have en vis respekt for andres ekspertområder - men også en stolthed indenfor eget område, det man ved.

Hov, siger du at alle har en mening om eValg og mener det godt, ja. Siger du at alle kan sætte sig ind i det, ja - hvis man lyster og har +100timer til rådighed vil de fleste kunne sætte sig ind i eValg. (Bemærk: jeg siger ikke vi kun skal lytte til eksperter, men du er altså ikke ekspert hvis du har læst 3 artikler på version2.dk!)

Hvis du ikke har +100timer til projekt eValg er du ikke opdateret med teknologierne, metoderne, erfaringerne og således ikke kvalificeret til overhovedet at diskutere dette komplekse emne.

• her kan jeg indskyde at Mogens Nørgaard tydeligvis ikke engang har forsøgt at sætte sig ind i problematikkerne før han på pinlig vis hælder vand ud af ørerne, jeg er lidt flov over at han findes i vores branche. Bemærk alle må deltage i debatten, men det lyder så dumt Mogens når du i de første sætninger viser din uvidenhed så tydeligt.

Når jeg siger dette er det måske værd at bemærke at jeg selv ikke er specielt aktiv indenfor eValg - jeg har ikke +100timer lige pt. til at opdatere min viden. Jeg har ellers forsøgt at følge det nogenlunde henover årene. Jeg har eksempelvis fulgt emnet når det blev diskuteret i Login; (Usenix blad med tekniske/akademiske artikeler), læst diverse artikler som jeg stødte på undervejs - læs eksempelvis The Cocaine Auction Protocol: On The Power Of Anonymous Broadcast og andre artikler fra Ross Anderson og venner.

Godt så, vi har altså en masse diskussioner om eValg og i yderste konsekvens ender vi med valg der skal foretages over internet, formentlig med NemID login - fordi nogen siger det fint kan gøres sikkert, hemmeligt og transparant. (Jeg tvivler, men det skal jo "prøves" før vi kan beslutte os.)

Jeg vil således gerne opfordre til at vi begynder at tænke konstruktivt - unit test er konstruktivt fordi slutresultatet bliver bedre. Vi skal allesammen igang med at faile eValg.

NemID kan lægges i ruiner

Der er flere tekniske måder at faile eValg/NemID på - overbelastning, DDoS, SYN flooding, HTTP request mod siderne der bruger NemID. Specielt ville et udkast til strategi nok inkludere:

Planlægning:

• Undersøg så vidt muligt hvilke teknologier der benyttes - hvilken type loadbalancer, servere, programmeringssprog, dette bliver formentlig et gæt medmindre portalerne er offentlige i en periode op til eValg.
• Undersøg metoder til at ødelægge en web-baseret service - DDoS, SQL injection
• Undersøg markedet for DDoS services, læg et budget for angreb, gerne med flere parter
• ...

Eksekvering:

• Først og fremmest - lad være med at starte angreb fra morgenstunden.
• Start med nogle simple angreb hen på formiddagen. Scriptkiddie stuff
• Vent til midt på dagen og lav et stort angreb - gerne med simple metoder som nemt kan fjernes. Formålet her er at vise at det kan lade sig gøre, skabe en smule panik, men få det til at se ud som et lille angreb der bliver slået ned og alting virker - de siger nok pheeeeew hos driftfolkene.
• Når systemet når peak hours - flest der formentlig vil ind og stemme, efter normal arbejdstid ophør sættes ind med alt - spred gerne lidt information bredt, tag ansvar for det med flest mulige afsendere på flest mulige platforme. Formålet er at der skal være så få timer til valget slutter og det skal være så svært som muligt at ændre på miljøet.
• ... kom gerne med flere forslag, eller jeres bud på at lægge NemID ned i 3-5 timer

NB: vil ovenstående ikke hjælpe dem som vil os det ondt, nej - for dem som bestyrer NemID og eValg BØR brainstorme og nå frem til nogle af de samme resultater, hvis de ikke er inkompetente.

Ovenstående er ikke komplet, men blot et første udkast efter en kort brainstorm inde i mit hovede, tænk hvis man afsætter ressourcer til at dræbe NemID. Jeg vil postulere at jeg for meget få 1.000 kroner ville kunne lægge NemID ned en uge - hvilket i sig selv er skræmmende nok.

eValg uden strøm

Et andet område som jeg ikke mener har været behandlet ret grundigt er det helt basale at eValg kræver strøm.

Når en valghandling begynder at forudsætte at der er strøm, udover et par lamper der kan lyse, får vi en hel bunke nye problemer.
Der burde faktisk allerede idag være nødlamper med batterier på valgstederne, svarende til hvad vi finder i serverrum!

Nogle af de problemer jeg forudser - som skal være behandlet - og som er dejligt håndgribelige er:

• Tordenvejr og tilsvarende hændelser risikerer at ødelægge udstyret
• Strømafbrydelser over flere timer vil kunne influere valget uhensigtsmæssigt

Kort konklusion er at strømmen skal være stabil, de fleste systemer har boot og skal læse noget operativsystem/programmel for at virke og en enhed med en almindelig strømforsyning vil være sårbar overfor diverse strømstød. Hvad gør man hvis et tordenvejr slår 50% af enhederne ud samme dag?

Hvad gør man hvis et længere strømudfald på et eller flere valgsteder blokerer for afgivelse af stemmerne - det er her du kan vise din uvidenhed ved at sige der bare skal være gammeldags stemmesedler til rådighed, for så er besparelsen og gevinsterne jo væk.

Er det tænkt med ind i eValg forsøgene? Er det blot tilsidesat i forsøgene, fordi det rigtige system skal håndtere dette - hvorefter det nye system engang fejler hårdt, fordi det aldrig blev overvejet efter at forsøgene jo gik godt ...

Dernæst er en ting jo force majeure og en helt anden ting er at man skal tage højde for bevidste forsøg på at påvirke valget - ellers er man jo naiv. Et godt gammelt eksempel er Cyclic Redundancy Check som man brugte i WEP "kryptering" som er fint til at fange tilfældige fejl, men ikke er godt nok til bevidst manipulation af data.

Således må man udtænke hvorledes en eller flere "angribere" kan forsøge at påvirke valget ved at slukke strømmen, eller måske endda ødelægge maskinerne.

Jeg tænker blandt andet på HPFI-relæ - som jeg selv tester i mit hus jævnligt. Formålet med et HPFI-relæ eller en fejlstrømsafbryder som Wikipedia fortæller mig det hedder er en vigtig bestanddel af strømforsyningen - et vigtigt sikkerhedselement. Se http://da.wikipedia.org/wiki/Fejlstr%C3%B8msafbryder

Kan jeg forårsage en fejlstrøm, jeps det kræver nok få komponenter. Kan jeg sågar fjernbetjene et sådant stykke elektronik - jeps, Harald Nyborg sælger sæt med "FJERNBETJENT STIKKONTAKT ALU" til 99kr

Kan I se det for jer? En flok valgtilforordnede der står med 5-10 maskiner som er slukkede og skal startes, fordi strømmen er røget?
og en pedel som tænder for strømmen uden problemer ... for at den så ryger igen på et uforudsigeligt tidspunkt?

Det giver så vidt jeg kan se yderligere behov for sikring af maskinerne - industriudgaver af PSU mv., sikring af strømmen (power conditioner http://en.wikipedia.org/wiki/Power_conditioner ), måske UPS backup forsyning (batterier som kun bruges sjældent, det skal nok give en god økonomi), mere personale til at starte systemerne, genstarte systemerne, gen-validering - forestiller mig en længere procedure for at sikre at en maskine kan godkendes til at blive brugt igen.

Altsammen noget som man i Danmark ikke er vant til, fordi vi har en dejlig stabil forsyning normalt. Samtidig har vi jo kun kradset lidt i overfladen af den kæmpe mængde af problemer man skal analysere, før vi kommer til alle de mange andre kritikpunkter som mine medbloggere og debatører har nævnt på alle de andre niveauer.

Jeg ser det som en ny NemID - hvor vi kan diskutere om NemID overhovedet har succes på noget som helst niveau, så kommer vi til at diskutere eValg fordele og ulemper i mange år fremover hvis man kører videre på dette fantasiprojekt.

Jeg kan som sikkerhedsmand der opvejer fordele og ulemper ved en løsning ud fra sikkerhedsforanstaltninger ikke se en gevinst ved eValg som står mål med det apparat man skal sætte i værk for at det overhovedet kan prøves. Dernæst vil en udrullet løsning til valget på landsplan bare i udgangspunktet formentlig give flere fejl end de nuværende ugyldige stemmer - grundet maskineproblemer, forvirring, ventetid osv.

PS Digitale valglister og Digital vælgerregistrering er en klar succes og har været med til at forbedre valghandlingen uden diskussion. Her hjælper IT-systemerne med at identificere vælgeren, sikre at vedkommende kun stemmer en gang - ting som IT kan. Det er altså ikke fordi vi er maskinstormere uden at overveje fordele ved IT!

Efterskrift

Jeg håber ovenstående tankeeksperimenter giver en anden vinkel på problemerne og var interessant.

Et mere grundlæggende problem ved NemID er at det er single point of failure. Når NemID er utilgængelig er der således mange portaler og logins som ikke virker - hvilket leder mig til en konklusion:

Pas på med at bruge NemID til tidskritiske opgaver Det er OK at NemID bruges til Skat.dk hvor vi allesammen klumper sammen og vil logge ind samtidig. Vores skat ændrer sig ikke hvadenten vi ser vores opgørelse idag, imorgen eller næste uge.