Verbeteringen Ondersteunende Software Verkiezingen (verkiezingen Europees Parlement 2019)

Formulier | 28-05-2019

De papieren uitslagen van het stembureau zijn toegankelijker geworden

Het proces-verbaal van het stembureau en de opgave van de totalen van de gemeenten worden op internet beschikbaar gesteld. Voorheen lagen deze documenten enkel ter inzage. Hierdoor wordt het voor burgers beter mogelijk om de uitslagen vanaf het laagste niveau na te rekenen en te vergelijken met de resultaten uit OSV. Documenten ten behoeve van de vaststelling van de uitslagen worden met OSV opgesteld. Met de aanpassing in de wetgeving is het, meer dan voorheen, mogelijk om de optellingen in de documenten uit OSV te controleren met de gegevens die niet met de software tot stand zijn gekomen.

Bijwerken van standaardsoftwarecomponenten en technische verbeteringen

Een aantal standaardsoftwarecomponenten die in de OSV-software wordt toegepast zijn bijgewerkt. Het gaat hierbij met name om Java, Derby en jQuery. Door het bijwerken van deze componenten kunnen de kwetsbaarheden die in de oudere versies van deze componenten aanwezig zijn niet meer worden uitgebuit in relatie tot de OSV-software. In relatie tot het bijwerken van met name Java naar versie 1.8 zijn ook enkele andere technische kwetsbaarheden weggenomen. Het gaat daarbij om de ondersteuning van TLS (in plaats van SSL 3.0) en elementen als het toepassen van HTTP Strict Transport Security,  Content Security Policy,  Integer overflow protection, XML schema validation en XML External Entity Injection.
 

Afschermen van de communicatiepoorten op de OSV-computer

De afscherming van de communicatiepoorten in relatie tot de OSV-computer is verbeterd. Dit is deels gedaan door betere instructies te geven over het instellen van de systeem firewall, waarbij de toegangspoort wordt beperkt tot de noodzakelijke communicatiepoort. Naast de aanvullende instructie is de technische configuratie van OSV aangepast,  waarmee ook in technische zin bepaalde communicatiepoorten niet meer voor externe toegang beschikbaar zijn.

Het wachtwoordbeleid binnen OSV is aangescherpt

Een minimale wachtwoordlengte van 9 karakters wordt door de OSV-software afgedwongen. Daarnaast wordt in de voorwaarden die de gebruikers krijgen aangegeven dat bij de rol van verkiezingsleider een wachtwoord van minimaal 12 karakters dient te worden toegepast. Hierbij wordt als advies meegegeven om een wachtwoordzin te gebruiken. De codering (Base64) voor hashing van het wachtwoord is aangepast zodat volledige set van karakters voor het wachtwoord mogelijk is.

Autorisatie

Gebruikers dienen op basis van de ingestelde autorisatieprofielen geautoriseerd te zijn om gebruikte kunnen maken van bepaalde functionaliteit in OSV. Door aanvullende autorisatiecontrole op te nemen in de JavaServer Pages (JSP) vindt er een striktere controle plaats of een gebruiker geautoriseerd is voor een bepaalde functionaliteit. Ook de mogelijkheden om de Hashed Message Authentication Code (HMAC) controle te omzeilen zijn ingeperkt. Het is echter nog niet gelukt om alle varianten van een HMAC-bypass uit te sluiten.

Het vier-ogen-principe wordt meer afgedwongen

Er zijn aanpassingen in OSV doorgevoerd die technisch voorkomen dat dezelfde gebruiker zowel de eerste als de tweede invoer uitvoert. Daarnaast is het niet meer mogelijk dat de verkiezingsleider uitslagen invoert. Hiermee wordt de rol van verkiezingsleider beter gescheiden van de gebruiker die de invoer doet.

Andere technische opgeloste constateringen

Naar aanleiding van het recent uitgevoerde beveiligingsonderzoek zijn de volgende kwetsbaarheden naar voren gekomen die in de uiteindelijke versie zijn verholpen. Het gaat daarbij om de mogelijkheid willekeurige bestandstypen te uploaden naar de OSV-server computer. Een ander punt dat is verholpen is de mogelijkheid om de hashcode-controle die wordt uitgevoerd bij het inlezen van gegevensbestanden te omzeilen. Tevens wordt bepaalde beveiligingsgevoelige informatie (zoals session id en wachtwoord-hash) niet meer volledig in het log-bestand vermeld. Er worden bij foutmeldingen geen stacktraces meer getoond en er wordt bij de installatie op de door OSV gebruikte database een wachtwoord ingesteld. Tot slot is het niet meer mogelijk om via de “back” optie van de browser web-pagina's van eerdere gebruikers te bekijken.

Niet opgeloste bevindingen

Er zijn ook bevindingen die nog niet (volledig) zijn opgelost en er zijn een aantal nieuwe bevindingen naar voren gekomen naar aanleiding van het recent uitgevoerde beveiligingsonderzoek. Een van de onderdelen waarvan het bijwerken tot op heden niet mogelijk was is het verouderde JBoss onderdeel dat met OSV wordt gebruikt. Het veranderen van de huidige gebruikte JBoss versie naar een nieuwere versie is niet zondermeer mogelijk aangezien dat tevens een nieuwe JBoss standaard (EJB) inhoudt. Het wijzigen van de standaard heeft gevolgen voor meerdere onderdelen van de OSV-software en daarmee een grote impact op het goed functioneren van OSV. Ten aanzien van kwetsbaarheden die verband hebben met de mogelijkheden van Cross-Site Scripting (XSS) zijn er verscheidene verholpen. Er zijn echter nog  XSS-mogelijkheden aanwezig die nog niet verholpen zijn. Met betrekking tot de mogelijkheid om de Hashed Message Authentication Code (HMAC) controle te omzeilen is gebleken dat deze nog niet voor alle situaties verholpen is. Echter, door de nieuwe aut  orisatiecontrole op de pagina's is het niet meer mogelijk om pagina's te openen met functionaliteit waarvoor men niet geautoriseerd is. Tot slot is gebleken dat de een striktere autorisatiecontrole met betrekking tot de “Werkmap” binnen OSV niet zonder meer mogelijk is. De aanpassing in JSP, zoals dat voor andere functionaliteiten is gedaan, blijkt voor de Werkmap niet mogelijk te zijn.