Welke verbeteringen zijn doorgevoerd in de software ten opzichte van de gemeenteraadsverkiezingen in 2018?

Vier-ogen-principe afgedwongen

Er zijn aanpassingen in de Ondersteunende Software Verkiezingen (OSV) doorgevoerd die technisch voorkomen dat dezelfde gebruiker zowel de eerste als de tweede invoer uitvoert.

Aanscherping beleid wachtwoorden binnen OSV

Een minimale wachtwoordlengte van 9 karakters wordt door de software afgedwongen. Daarnaast wordt in de voorwaarden voor de gebruikers aangegeven dat bij de rol van verkiezingsleider een wachtwoord van minimaal 12 karakters dient te worden toegepast. Hierbij wordt als advies meegegeven om een wachtwoordzin te gebruiken.

Toegankelijkheid papieren uitslagen

Het proces-verbaal van het stembureau en de opgave van de totalen van de gemeenten moeten nu als gevolg van wijziging van de Kieswet op internet beschikbaar worden gesteld . Voorheen lagen deze documenten enkel ter inzage. Hierdoor wordt het voor burgers en instanties beter mogelijk om de uitslagen vanaf het laagste niveau na te rekenen en te vergelijken met de resultaten uit OSV. Met de aanpassing in de wetgeving is het, meer dan voorgeen, mogelijk om de optellingen die uit OSV komen te controleren met de gegevens die niet met de software tot stand zijn gekomen.

Bijwerken standaard softwarecomponenten en technische verbeteringen

Een aantal standaardsoftwarecomponenten die in de software wordt toegepast, zijn bijgewerkt. Het gaat hierbij met name om Java, Derby en jQuery. Door het bijwerken van deze componenten kunnen de kwetsbaarheden die in de oudere versie van deze componenten aanwezig waren niet meer worden uitgebuit in relatie tot de software. In relatie tot het bijwerken van met name Java naar versie 1.8 zijn ook enkele andere technische kwetsbaarheden weggenomen. Het gaat daarbij om de ondersteuning van TLS (in plaats van SSL 3.0) en elementen als het toepassen van HTTP Strict Transport Security, Content Security Policy, Integer overflow protection, XML schema validation en XML External Entity Injection.

Afschermen van de communicatiepoorten

De afscherming van de communicatiepoorten in relatie tot de OSV-computer is verbeterd. Dit is deels gedaan door betere instructies te geven over het instellen van de systeem firewall, waarbij de toegangspoort wordt beperkt tot de noodzakelijk communicatiepoort. Naast de aanvullende instructie is de technische configuratie van OSV aangepast, waarmee ook in technische zin bepaalde communicatiepoorten niet meer voor externe toegang beschikbaar zijn.

Recente aanpassingen OSV

Naar aanleiding van het recent uitgevoerde beveiligingsonderzoek zijn kwetsbaarheden naar voren gekomen die nog bijtijds voor de verkiezingen in 2019 zijn verholpen. Het gaat daarbij om de mogelijkheid willekeurige bestand-typen te uploaden naar de OSV-server computer. Een ander punt dat is verholpen, betreft de voorheen bestaande mogelijkheid om de hashcode-controle te omzeilen die wordt uitgevoerd bij het inlezen van gegevensbestanden. Tevens wordt bepaalde beveiligingsgevoelige informatie (zoals session id en wachtwoord-hash) niet meer volledig in het log-bestand vermeld.

Niet opgeloste bevindingen

Er zijn ook bevindingen van Fox-IT die nog niet zijn opgelost. Het gaat dan om mogelijkheden om met een technische ingreep de autorisatie-controle van OSV te omzeilen. Het gaat hierbij om het verkrijgen van een Hashed Message Authentication Code (HMAC) waarmee toegang verschaft kan worden tot bepaalde OSV-functionaliteiten die voorbehouden zijn aan de verkiezingsleider. In het verlengde hiervan ligt de constatering dat binnen de software beter zou kunnen worden gecontroleerd of een gebruiker geautoriseerd is om toegang te hebben tot bepaalde programmaonderdelen.

Een andere technische kwetsbaarheid betreft de verouderde JBoss software die wordt gebruikt voor OSV. Ondanks dat op enkele onderdelen de mogelijkheid van het toepassen van Cross-Site Scripting (XSS) is weggenomen, zijn niet alle bekende XSS-mogelijkheden uitgesloten. Een minder hoog geclassificeerde kwetsbaarheid is de mogelijkheid om programmaonderdelen op te vragen zonder de aanwezigheid van een geldige autorisatie (hierbij is direct toegang tot de jsp pagina’s).