Antworten auf technische Fragen zu den im Schweizer Fernsehen behaupteten Schwachstellen im Genfer E-Voting System

Wie funktioniert der demonstrierte Angriff technisch?

Wie könnte man nun das Stimmgeheimnis brechen?

Wie könnte man die Stimme manipulieren?

Welche Schutzmassnahmen hat der Kanton Genf ergriffen?

  • Fehlen von DNS SEC
  • Fehlen von HSTS
  • Fehlen von permanenten Weiterleitungen (HTTP Status Code 301)

Weshalb funktioniert der Angriff denn überhaupt beim ersten Mal?

  • Die Preload-Liste ist eine inoffizielle Erweiterung ausserhalb der RFC Standards. Sie besitzt deshalb nicht denselben Stellenwert, wie der Rest des Standards.
  • Wer auf der Liste eingetragen ist, hat praktisch keine Möglichkeit, die Liste wieder zu verlassen. Zwar ist für ein E-Voting System kein triftiger Grund absehbar, die Liste jemals wieder zu verlassen, aber die Unumkehrbarkeit des Eintrages veranlasst viele Webseiten-Betreiber zur Zurückhaltung.
  • Dass ein WWW-Service einen Security-Test ohne HSTS passieren könnte, ist 2018 kaum denkbar. Schliesslich gilt der HSTS als der wichtgste einer ganzen Reihe von HTTP Response Headern. Wer Sicherheits-Testberichte liest, stösst wiederholt auf Einträge, die das fehlende HSTS als gravierende Schwäche qualifizieren. Den fehlenden Eintrag auf der Preload-Liste übersehen die Tester aber gerne oder taxieren ihn als Nice-to-Have.

Unterstützt das Genfer System diesen Standard wirklich?

Ein GitHub Issue wies den Kanton Genf 2017 auf eine nützliche Verbesserung der HSTS Unterstützung hin.
2018–02–08 04:23:39 Strict-Transport-Security: max-age=31536000
2018–02–19 05:38:59 Strict-Transport-Security: max-age=31536000
2018–02–21 02:10:59 Strict-Transport-Security: max-age=31536000
2018–02–21 10:26:29 Strict-Transport-Security: max-age=31536000
2018–02–22 17:15:26 Strict-Transport-Security: max-age=31536000
2018–02–22 22:50:31 Strict-Transport-Security: max-age=31536000
2018–02–24 11:13:01 Strict-Transport-Security: max-age=31536000
2018–03–02 03:14:25 Strict-Transport-Security: max-age=31536000

Wie sieht es mit dem Redirect-Status-Codes aus?

Volker Birk insistiert, die Genfer hätten die Server bis zum Kontakt durch das Fernsehen fehlerhaft konfiguriert.
2018–09–30 16:53:32 HTTP/1.1 301 Moved Permanently
2018–10–11 03:57:50 HTTP/1.1 301 Moved Permanently
2018–10–17 04:24:28 HTTP/1.1 301 Moved Permanently
2018–10–28 15:51:44 HTTP/1.1 301 Moved Permanently
2018–11–18 05:14:55 HTTP/1.1 301 Moved Permanently

Wie konnte so eine Fehlleistung auf Seiten des CCCs und auf Seiten des Fernsehens geschehen?

Welche weiteren Schutzmassnahmen sind denkbar?

--

--

--

Love podcasts or audiobooks? Learn on the go with our new app.

Get the Medium app

A button that says 'Download on the App Store', and if clicked it will lead you to the iOS App store
A button that says 'Get it on, Google Play', and if clicked it will lead you to the Google Play store
Christian Folini

Christian Folini

More from Medium

“Cold Enough For Snow” by Jessica Au

SAFETY, CONFORMITY ARE NO WHERE NEAR GROWTH.

Is the American dream real?

Nathan Chen Goes for Gold in Men’s Figure Skating: Live Updates

Photo byThe New York Times