Abo
  • IT-Karriere:

Schweizer Post: Code von Schweizer Online-Wahl geleakt

Die Schweizer Post hatte dazu aufgerufen, ihr Online-Voting-System zu testen - allerdings nur gegen die Zusicherung, gefundene Sicherheitsprobleme nicht unabgesprochen zu veröffentlichen. Jetzt ist der Quellcode zugänglich gemacht worden.

Artikel veröffentlicht am , Hanno Böck
Die innovative Technologie "Stift und Papier" ist eine der sichersten Methoden, um Wahlen durchzuführen.
Die innovative Technologie "Stift und Papier" ist eine der sichersten Methoden, um Wahlen durchzuführen. (Bild: Rama, Wikimedia Commons/CC-BY-SA 2.0)

In der Schweiz können seit einiger Zeit Bürger an manchen Abstimmungen online teilnehmen. Für die Bürger ist das bequem, aber viele IT-Sicherheitsexperten kritisieren Online-Wahlen, denn sie halten eine sichere Durchführung für nahezu unmöglich.

Stellenmarkt
  1. IP Dynamics GmbH, Mitte Deutschland
  2. Vodafone GmbH, Frankfurt am Main

Um derartige Bedenken auszuräumen, hat die Schweizer Post, die eines der E-Voting-Systeme betreibt, Sicherheitsexperten dazu aufgerufen, ihr System zu untersuchen. In einer Art Bug Bounty können dort Sicherheitsprobleme gemeldet werden, wofür es im Fall einer validen Sicherheitslücke auch finanzielle Belohnung geben soll.

Die Schweizer Post wollte die Kontrolle über die Veröffentlichung von Sicherheitslücken behalten

Dafür lässt sich der Quellcode des Systems herunterladen, doch das ist an Bedingungen geknüpft. Wer den Code einsehen wollte, musste erst zusichern, dass gefundene Sicherheitsprobleme nicht ohne Absprache mit der Schweizer Post veröffentlicht werden. Doch inzwischen hat eine unbekannte Person den Code auf der Plattform Gitlab veröffentlicht. Damit ist der Code auch ohne Zustimmung einsehbar.

Die IT-Sicherheitsexpertin Sarah Jamie Lewis, die für die kanadische Organisation Open Privacy arbeitet, hat sich den Code angesehen und zeigt sich auf Twitter wenig begeistert. Konkrete Sicherheitslücken zeigt Lewis keine auf, sie schreibt jedoch, dass der Code unnötig komplex und schwer zu analysieren sei.

Der Kryptograph Matthew Green weist darauf hin, dass im Code Parameter für die Elgamal-Verschlüsselung zu finden seien, bei denen die Primzahl eine Größe von 255 Bit hat. Das sei völlig unsicher und könnte innerhalb von Sekunden geknackt werden; eine sichere Elgamal-Verschlüsselung sollte hierfür mindestens 2048 Bit verwenden.

Unsichere Parameter nur für Tests

Auf Nachfrage von Golem.de erklärte die Schweizer Post, dass es sich hierbei nur um Tests handele. In der Praxis würden längere Parameter eingesetzt. Matthew Green überzeugt das nicht: "Unsichere Parameter zu akzeptieren ist ein Sicherheitsproblem", sagte Green auf Nachfrage. "255-Bit-Parameter sollten einen Fehler im Code zurückgeben."

Green und Lewis haben nur einen kurzen Blick auf den Code geworfen, es wird sich zeigen, ob in Kürze noch mehr Probleme auffallen. Doch völlig unabhängig davon kritisieren viele IT-Sicherheitsexperten Online-Wahlen viel grundsätzlicher. Die Sicherheit hängt bei allen elektronischen Wahlen davon ab, dass die Hard- und Software auch das tut, was sie soll und die jeweilige Hardware nicht kompromittiert ist. Das lässt sich aber kaum überprüfen.



Anzeige
Spiele-Angebote
  1. 3,99€
  2. 2,22€
  3. 38,99€

tbxi 19. Feb 2019

Und damit das auch so kommt, werden Technische Systeme wie dieses veröffentlicht. Damit...

Flasher 19. Feb 2019

Sorry aber so mit so einem Argument die eigene Unfähigkeit zu begründen zeugt nur von...

Arsenal 19. Feb 2019

https://imgs.xkcd.com/comics/voting_software.png Mouseover: There are lots of very smart...

Noren 19. Feb 2019

Das ist zwar so, aber es macht die Source nicht weniger verfügbar.

ML82 18. Feb 2019

wenn ich die gefundene lücke besser an eine partei oder nicht eidgenossen verkaufen kann?


Folgen Sie uns
       


Mordhau Gameplay

Klirrende Klingen und packende Kämpfe mit bis zu 64 Spielern bietet das in einem mittelalterlichen Szenario angesiedelte Actionspiel Mordhau.

Mordhau Gameplay Video aufrufen
e.Go Life: Ein Auto, das lächelt
e.Go Life
Ein Auto, das lächelt

Das Auto ist zwar klein, bringt aber sogar gestandene Rennfahrer ins Schwärmen: Das Aachener Unternehmen e.Go Mobile hat seine ersten Elektroautos ausgeliefert. In einer Probefahrt erweist sich der Kleinwagen als sehr dynamisch.
Ein Bericht von Werner Pluta

  1. Eon-Studie Netzausbau kostet maximal 400 Euro pro Elektroauto
  2. EZ-Pod Renault-Miniauto soll Stadtverkehr in Kolonne fahren
  3. Elektromobilität EnBW will weitere 2.000 Schnellladepunkte errichten

Strom-Boje Mittelrhein: Schwimmende Kraftwerke liefern Strom aus dem Rhein
Strom-Boje Mittelrhein
Schwimmende Kraftwerke liefern Strom aus dem Rhein

Ein Unternehmen aus Bingen will die Strömung des Rheins nutzen, um elektrischen Strom zu gewinnen. Es installiert 16 schwimmende Kraftwerke in der Nähe des bekannten Loreley-Felsens.

  1. Speicherung von Überschussstrom Wasserstoff soll bei Engpässen helfen
  2. Energiewende DLR-Forscher bauen Kohlekraftwerke zu Stromspeichern um
  3. Erneuerbare Energien Wellenkraft als Konzentrat

Oneplus 7 Pro im Hands on: Neue Konkurrenz für die Smartphone-Oberklasse
Oneplus 7 Pro im Hands on
Neue Konkurrenz für die Smartphone-Oberklasse

Parallel zum Oneplus 7 hat das chinesische Unternehmen Oneplus auch das besser ausgestattete Oneplus 7 Pro vorgestellt. Das Smartphone ist mit seiner Kamera mit drei Objektiven für alle Fotosituationen gewappnet und hat eine ausfahrbare Frontkamera - das hat aber seinen Preis.
Ein Hands on von Ingo Pakalski

  1. Oneplus Upgrade auf Android 9 für Oneplus 3 und 3T wird verteilt
  2. Smartphones Android-Q-Beta für Oneplus-7-Modelle veröffentlicht
  3. Oneplus 7 Pro im Test Spitzenplatz dank Dreifachkamera

    •  /