Security-expert vindt in minder dan een uur gaten in stemtelsoftware
Een beveiligingsonderzoeker heeft in juni kwetsbaarheden gevonden in de stemtelsoftware. In de installer zaten diverse risico's, die inmiddels verholpen zijn.
De kwetsbaarheden zijn gevonden in Ondersteunende Software Verkiezingen (OSV2020), en dan specifiek in de module Politieke Partijen. Deze module kan door politieke partijen worden gebruikt om hun kandidatenlijsten op te stellen en in te dienen bij de Kiesraad.
Beveiligingsonderzoeker Maarten Boone van Zerocopter ontdekte echter dat er meerdere beveiligingsproblemen zaten in de installer van de software, waarmee deze wordt geïnstalleerd op de computer. In de installer werden volgens de Kiesraad inloggegevens gevonden van de leverancier. Daarnaast kon Boone het pad naar de private sleutel op het interne netwerk van de leverancier en de gebruikersnaam en het wachtwoord hiervan vinden. De Kiesraad spreekt van een "risico voor de integriteit van de software".
Problemen verholpen
Boone, die ook een blog schreef over zijn bevindingen, stelt dat de ontdekking verbazend snel ging. Binnen 40 minuten na het downloaden van de software vond hij de inloggegevens al, nog geen 20 minuten later zocht hij contact met de CISO van de Kiesraad.
De Kiesraad meldt dat de kwetsbaarheden verholpen konden worden voordat de politieke partijen de software konden downloaden voor de Tweede Kamerverkiezingen op 22 november. "Er is geen indicatie dat dit het functioneren van andere modules van OSV2020 heeft beïnvloed", aldus voorzitter Wim Kuijken van de Kiesraad.
Boone zelf prijst de snelle reactie van de CISO van de Kiesraad. "Het oppakken en verhelpen hiervan was een vlekkeloos en supersnel proces", aldus de onderzoeker. Hij noemt het proces van het verantwoord melden van het lek en de manier waarop de Kiesraad ermee omging zelfs "een voorbeeld voor veel ander bedrijven en overheidsorganisaties."
Reacties
Om een reactie achter te laten is een account vereist.
Inloggen Word abonnee