In Nederland worden stemmachines sinds eind jaren negentig op grote schaal gebruikt bij verkiezingen. In vrijwel alle districten wordt tegenwoordig electronisch gestemd. De broncode van van de software is echter niet openbaar, en er is geen mogelijkheid om de tellingen buiten de stemmachine om te controleren. Onderzoek moet uitwijzen of het in de toekomst mogelijk kan worden online te stemmen (zie deze pagina), dat wil zeggen zonder naar een stembureau te komen. Deze pagina geeft een overzicht van de belangrijkste aspecten van het gebruik van stemmachines bij verkiezingen in Nederland. Er wordt puntsgewijs weergegeven wat er belangrijk is en hoe een en ander in wetgeving geregeld is.
Door Wolter Pieters, Security of Systems groep, Katholieke Universiteit Nijmegen
Laatste update 20 december 2004
Geschiedenis van electronisch stemmen in Nederland
De Nederlandse overheid wil bij de Europese verkiezingen van 2004 Nederlanders die in het buitenland verblijven de mogelijkheid bieden via Internet te stemmen. De veiligheid van een dergelijk systeem is erg belangrijk, maar vanwege het openbare karakter van het Internet niet makkelijk te garanderen. Er wordt dus kritisch gekeken naar de mogelijkheden, en mogelijke gevaren worden geidentificeerd. De Security of Systems groep van de Universiteit Nijmegen is nauw betrokken bij deze ontwikkelingen.
Nederland loopt al enige tijd voorop met electronisch stemmen. Sinds eind jaren negentig worden stemmachines op grote schaal gebruikt bij verkiezingen. Destijds is er opvallend weinig aandacht besteed aan veiligheid en controlemogelijkheden. De grootste aandachtspunten hielden verband met de bedienbaarheid van de machines, met name door ouderen. Hoe de stemmen werden opgeslagen en hoe de uitslag werd berekend leek niemand te interesseren.
Sinds 1997 bestaat er een uitgebreide lijst van eisen waaraan stemmachines dienen te voldoen. Eisen aan de controleerbaarheid van de berekeningen ontbreken echter grotendeels. De mogelijkheid van hertelling wordt in het betreffende document niet genoemd. Bovendien zijn er voor de software voor de uitslagberekening nog geen criteria vastgelegd. In 1999 bleek nog dat er gemeenten voor de uitslagberekening van zelfgeschreven software gebruik maakten.
Stemmachines in Nederland dienen goedgekeurd te worden door een keuringsinstelling. Hoewel in principe verschillende instanties als keuringsinstelling zouden kunnen worden aangewezen, ligt het monopolie tot nog toe bij TNO. Alleen TNO krijgt de broncode te zien van de software die op de stemmachines draait, en ook de evaluatierapporten zijn niet openbaar. Dit betekent dat het voor de burger vrijwel onmogelijk is om het verkiezingsproces te controleren.
De meest gebruikte stemmachines zijn afkomstig van het bedrijf Nedap. De enige controlemogelijkheid die deze machines bieden is het vergelijken van de stemmen per kandidaat met de stemmen per partij, en met het totaal aantal uitgebrachte stemmen. Deze controle is echter gebaseerd op stemmen die reeds door de machine verwerkt zijn. Er wordt geen afdruk van de stem gemaakt voor hertellingsdoeleinden. De "originele" keuze van de kiezer is daardoor niet meer beschikbaar.
Vanwege het niet beschikbaar zijn van broncode en evaluatierapporten, en vanwege het ontbreken van een papieren versie van de stemmen voor hertellingsdoeleinden, ontstaat er ook in Nederland steeds meer kritiek op de ondoorzichtigheid van de verkiezingsprocedure wanneer van stemmachines gebruik wordt gemaakt. Pogingen om de broncode via de "Wet Openbaarheid van Bestuur" in te zien mislukten, omdat de broncode intellectueel eigendom van de fabrikant is. Nu echter ook Ierland de Nedap stemmachines wil gaan gebruiken, en daar grote discussie is ontstaan, worden ook in de Nederlandse politiek vragen gesteld over de veiligheid en controleerbaarheid van dergelijke machines. Wellicht dat in de toekomst hierdoor wezenlijke veranderingen doorgevoerd worden.
Online stemmen
Tijdens de Europese verkiezingen van 2004 heeft de Nederlandse regering een experiment gestart met online stemmen. Nederlanders die tijdens de verkiezingen in het buitenland verbleven konden via Internet of telefoon stemmen. Het systeem is ontworpen door Logica CMG. De regering heeft echter geeist dat de intellectuele eigendomsrechten met het systeem overgedragen werden. Dit maakte het mogelijk de broncode na de verkiezingen te publiceren.
De zip-file met de broncode, gepubliceerd op www.ososs.nl, bevat alle Java klassen die specifiek voor het online stemmen zijn geschreven. Klassen die onderdeel uitmaken van algemene technologie van Logica CMG zijn niet open source. Dit betekent dat het alleen mogelijk is de (gedeeltelijke) broncode te inspecteren, niet om deze te compileren en uit te voeren. Men kan dit beschouwen als een ernstige beperking van een open source systeem. Het belangrijkste doel van de overheid (transparantie) wordt hierdoor echter niet al te zeer aangetast. Men wil immers ook niet de broncode bijvoegen van het operating systeem van de server waar de software op draait.
Een ander punt is hoe te garanderen dat de gepubliceerde broncode overeenkomt met het programma dat tijdens de verkiezingen op de server draaide. Een suggestie van onze groep was het berekenen van een hash (unieke "vingerafdruk") van de broncode voor de verkiezingen, en deze na de verkiezingen samen met de broncode te publiceren. Dit maakt het voor burgers mogelijk te controleren dat de code niet veranderd is na de verkiezingen. Het blijkt echter dat delen van de broncode gewijzigd zijn voor publicatiedoeleinden (sleutellengtes, vaste sleutels, etc.). Dus zelfs als een hash zou zijn gepubliceerd zou controle onmogelijk zijn.
Natuurlijk bewijst het onveranderd zijn van de broncode niet dat de gecompileerde code die op de server draaide overeenkomt met deze broncode. Daartoe zou de gecompileerde code moeten worden meegenomen in de hash-berekening, en zou iemand moeten controleren dat deze hash inderdaad berekend is op de server waarop deze gecompileerde code uitgevoerd werd tijdens de verkiezingen.
Vragen die dit experiment oproept zijn:
- Willen we volledige open source voor toekomstige IT-projecten bij de overheid (alle code die in het project gebruikt wordt moet open source zijn)?
- Hoe kunnen we zeker weten dat de broncode overeenkomst met het daadwerkelijk draaiende programma?
