Informationen zum «Leak» des Quellcodes des E-Voting-Systems 18.02.2019
Die wichtigsten Fragen und Antworten zum «Leak» des Quellcodes.
Wurde der Quellcode des E-Voting-Systems geleakt?
Es wurde nichts «geleakt», das nicht bereits veröffentlicht war. Der Quellcode ist dafür gedacht, dass er offengelegt wird.
Den Quellcode ihres E-Voting-Systems hat die Post am 7. Februar eigenhändig veröffentlicht (www.post.ch/evoting-sourcecode).
Die Post kann nicht nachvollziehen, warum man einen Quellcode, der frei und legal zugänglich ist, als Raubkopie verbreitet.
Die Post kann auch nicht garantieren, dass der Quellcode, der an anderen Orten durch Unbekannte publiziert wurde, nicht manipuliert wurde.
Gibt es Zugangsbeschränkungen?
Es gibt keine Zugangsbeschränkungen: Jede und jeder kann den Quellcode und die dazugehörigen Dokumente herunterladen, analysieren und wissenschaftlich damit arbeiten, wenn er sich registriert und die Nutzungsbedingungen akzeptiert hat. Der Austausch des Quellcodes und der Dokumente zwischen verschiedenen Personen ist ebenfalls möglich, wenn alle Beteiligten die Nutzungsbedingungen akzeptiert haben und der Austausch in geschlossenen Gruppen stattfindet.
Gibt es eine NDA und eine Geheimhaltungsverpflichtung?
Nein, es gibt keine Geheimhaltungspflicht.
Es gibt die Verpflichtung einer verantwortungsvollen Offenlegung der Schwachstellen (sog. responsible disclosure). Dies bedeutet, dass die Post zuerst informiert werden muss, wenn Schwachstellen gefunden werden. Der Quellcode ist komplex und bei einer Beobachtung kann es sich um ein Missverständnis handeln.
Nach einer Wartefrist ist es erlaubt, die Schwachstelle des Quellcodes zu veröffentlichen. Dies ist üblich in der IT-Szene.
Auferlegen die Nutzungsbedingungen einen Maulkorb?
Nein. Studien über den Quellcode dürfen publiziert werden und dabei kann aus dem Quellcode zitiert werden.
Untersagt ist hingegen die Weitergabe des Quellcodes an Dritte, die die Nutzungsbedingungen nicht akzeptiert haben.
Lässt die Post keine Diskussion über den Quellcode zu?
Für die Einreichung von Hinweisen zum Quellcode besteht ein Standardprozess. Die Post analysiert alle eingereichten Hinweise und setzt alles daran, den Einreichern eine zeitnahe Rückmeldung zu geben.
Der Quellcode ist auf GitLab offiziell veröffentlicht. Dort können Hinweise eingereicht werden. Man bekommt Zugang zum Quellcode via www.post.ch/evoting-sourcecode.
Es gelten die Prinzipien der verantwortungsvollen Offenlegung, wenn Schwachstellen gefunden werden. Nach einer Wartefrist von 45 Tagen ist es erlaubt, den Befund zu veröffentlichen. Dies ist üblich in der IT-Szene.
Hat der Kryptograph Matthew Green wirklich eine Schwachstelle gefunden, wie einzelne Medien melden?
Es stimmt, dass Matthew Green öffentlich über eine Schwachstelle spekuliert hat.
Seine Beobachtung wurde vor einigen Tagen durch einen renommierten Schweizer IT-Spezialisten über den dafür vorgesehenen Prozess eingereicht.
Die Post hat die Beobachtung analysiert und kommt zum Fazit, dass es sich dabei um keine Schwachstelle handelt.
Das Analyseresultat für Spezialisten:
«As stated in chapter 4.2.2 of the document Scytl sVote Protocol specifications, in a productive environment we are working in the subgroup of quadratic residues of Zp, with p a prime of 2048 bits and q a prime of 2047 bits (p=2q+1). In certain unit tests, smaller values of p and q are used (they are in a folder called test).»
(Das referenzierte Dokument befindet sich auf GitLab und ist nach einer Registration zugänglich: www.post.ch/evoting-sourcecode)
Was passiert mit Hinweisen, die Spezialisten melden?
Die Post gibt den Spezialisten nach der Analyse Feedback. Sie wird über die eingereichten Inhalte und die Analyse dazu zu einem passenden Zeitpunkt Zwischenfazits veröffentlichen.
