Forscher finden weitere Sicherheitslücke im E-Voting der Post

Sarah Jamie Lewis von der kanadischen Open Privacy Research Society, Olivier Pereira von der belgischen Université catholique de Louvain und Vanessa Teague von der University of Melbourne haben erneut Kritik am Quellcode des E-Voting-Systems der Schweizerischen Post geäussert. Die drei IT-Cracks entdeckten eine weitere «kritische Sicherheitslücke», wie sie via Twitter am Sonntag bekannt gaben.

Es ist das zweite Leck im E-Voting-System des Software-Anbieters Scytl, das die drei Experten als «kritisch» bezeichnen. Lewis, Pereira und Teague stiessen bereits am 12. März auf eine Schwachstelle (Computerworld berichtete). Sie registrierten sich jedoch nicht für den offiziellen Intrusionstest, sondern arbeiteten mit dem geleakten Quellcode. Die Plattform des Intrusionstests, bei der Fehlermeldungen gemeldet werden können, sollte am Montag, dem 25. März, um Mitternacht schliessen.

Teague, die an der University of Melbourne als Professorin für Cybersicherheit arbeitet, postete den Link zu einem Paper, in dem das Trio die technischen Hintergründe zum neuen Sicherheitsleck erläutert. Ihren Ausführungen zufolge stiessen sie bei ihren Untersuchungen auf eine Schwäche in der Implementierung des Fiat-Shamir-Protokolls, ein sogenanntes Zero-Knowledge-Protokoll. Dies ermögliche es Angreifern, falsche kryptografische Beweise zu erzeugen, die vom System verifiziert werden, obwohl sie vom ursprünglich eingereichten elektronischen Stimmzettel abweichen. Damit betrifft der Fehler – wie auch im ersten Fall – die universelle Verifizierbarkeit.

Wie Lewis, Pereira und Teague in ihrem Paper schreiben, gibt es dabei allerdings Einschränkungen: Einerseits sei man mit dem Vorgehen nur in der Lage, eine gültige in eine ungültige Stimme umzuwandeln, die im Endeffekt nicht gezählt werde. Die Experten sind jedoch der Ansicht, dass der Angriff so dennoch eine politische Wirkung entfalten könnte. Angreifer müssten dazu lediglich wissen, welche Stimmen für eine bestimmte Partei abgegeben wurden, der man schaden wolle.

Andererseits muss man laut Lewis, Pereira und Teague jedoch auch wissen, wie eine abgegebene Stimme verschlüsselt wurde, damit der kryptografische Beweis gefälscht werden kann. Möglich sei dies, wenn etwa ein Voting-Client gehackt oder beim Verschlüsselungsverfahren ein schwacher Zufallszahlengenerator eingesetzt werde.