Prosjektpresentasjon SSA-konferanse Henrik Nore, prosjektleder Christian Bull, Sikkerhetsansvarlig

Transkript

1 Prosjektpresentasjon SSA-konferanse Henrik Nore, prosjektleder Christian Bull, Sikkerhetsansvarlig 1

2 Hvem er vi? Vi jobber i Kommunal og Regionaldepartementet som for at Norge får ett nytt e-valgsystem Christian Bull Sikkerhetsansvarlig Henrik Nore Prosjektleder 2

3 Hva er e-valg/i-valg? E-valg-prosjektet skal levere en løsning, som tillater velgerne i 11 kommuner å avgi sin stemme i kommune- og fylkestingsvalget 2011 over Internett Velgeren trenger altså ikke lenger å møte opp i valglokalet for å avgi sin stemme Hvis dette går bra skal Stortinget i 2012 beslutte om det blir full innføring 3

4 Hva skal vi snakke om? Kort prosjektstatus Gjennomføring av anskaffelsen Åpen kildekode, sikkerhet og demokratisk kontroll Utfordringer ved bruk av SSA-U og iterativ utvikling Spørsmål-svar 4

5 Hovedmilepæler jun 2009 Elektonisk avkryssing i mantall for p-valg i utvalgte kommuner Klar til bruk sep 2009 Stortingsvalg 2009 nov 2009 Kontrakts- Inngåelse E-valgsløsning sep 2010 Uttesting i Ikke-bindende e-valg Kommune x okt 2010 Uttesting i Ikke-bindende e-valg Kommune Y nov 2010 Uttesting i Ikke-bindende e-valg Kommune z 12 sep, 2011 Kommunestyre og fylkestingsvalg E-valg i utvalgte kommuner og for utvalgte grupper okt. 08 jan. 09 apr. 09 jul. 09 okt. 09 jan. 10 apr. 10 jul. 10 okt. 10 jan. 11 apr. 11 jul. 11 okt. 11 jan. 12 apr. 12 aug sep. 08 Prosjektplanlegging okt jan. 09 Bemanne mottakspeosjekt -Rammeavtaler -Ansettelser feb okt. 09 Anskaffe/Spesifisere løsning (konkurransepreget dialog) nov jul. 10 Utviklle eller tilpasse løsning aug des. 10 Uttesting (Aksept+pilot) jan sep. 11 Innføring/opplæring sep jun. 12 Evaluering og planlegging full innføring 5

6 Hvilke spesielle utfordringer har vi? Må følge tidsplanen (4 år til neste mulighet) Feil på anskaffelsesprosessen ville vært nær katastrofe Ingen rom for feil (må kåre riktig valgvinner) Black-box problematikk (innsyn vs. hemmelig valg) Få suksesshistorier (e-valg har gått dårlig i mange land) 6

7 Hvem hjalp oss: Vi har brukt belte og bukseseler Ekstern QA v/dnv Intern QA av anskaffelsen v/svein Mjåseth (Promis) Kontraktsjuridisk v/rolf Riisnæs (WR) Anskaffelsesjuridisk v/morten Goller (WR) DIFI DSS Innkjøp v/trond Amundsen 7

8 Anskaffelsen Konkurransepreget dialog Kjørte alt på engelsk, var det lurt? Brukte Web-tv, videokonferanse, telefonkonferanse og Sharepont Alle dialogmøter ble filmet Stor åpenhet i evalueringen, alt ligger på nettet 8

9 23 Mar. 09 Deadline(1) for qualification (+30 days) 20 Apr. 09 Deadline(2) Draft solution and budget-price Based on as-is 25 May. 09 Deadline(3) Detailed Solution (To-be) 10 Aug. 09 Deadline(4) Prototype Voting solutin 17 Aug. 09 Deadline(4) Proposed solution Oct. 09 Deadline(5) Final bids 03 Apr. 09 Notification+ Send out(2): Preliminary Spesification based on As-Is 04 May. 09 Send out(3): Specification Based on To-be Process model 30 Jun. 09 Send out (4) Specification (Use cases) and Scope for Oct. 09 Send out(5) Final tender spesification 15 Dec. 09 Contract signed 01 Feb Mar Apr May Jun Jul Aug Sep Oct Nov Dec Mar Apr. 09 Qualifying contractors 26 Oct Dec. 09 Evaluation of final bids. Clarifications. 07 May May. 09 First round of Dialogue Teleconfrence, video or in Oslo 30 Aug Sep. 09 Scond round of dialogue. In Oslo 16 Nov Dec. 09 Clarification Of bids In Oslo 9

10 Erfaringer (1) Prosessen meget godt egnet (vi viste hva vi ville ha men ikke hvordan det kunne løses) Ville ikke fått så god løsning uten Svært ressurskrevende for oss og leverandører (Kjørte vi for hardt) Bør vi betale leverandørene (premie til nr 2?) Leverandørene kunne brukt oss mer i dialogen Mange faller fra i prosessen (11->3) Vanskelig å likebehandle pris-guiding 10

11 Erfaringer (2) Pris er det eneste som skiller ved evalueringen når dialogen er kjørt grundig Kunne ha kuttet ut evalueringen av de to tapende tidligere (utilbørlig likebehandling?) Arbeidet med vedlegg til kontrakten i hele anskaffelsen (vi begynte for sent) Avklart admistrative App 4? før kontraktsunderskrivelse 11

12 Eksempel valg av fuksjonalitet Vi var usikker på sikkehetsløsningen Vi hadde ideer men ikke løsninger Leverandørene laget prototyper Hovedhypotesen ble forkastet 12

13 Vårt utgangspunkt: Zero Trust Foreslått av GESC i 2002 Forholdsvis enkelt for bruk i det engelske valgsystemet. Stemmen er forhåndskryptert og gir små muligheter for hackere å fange opp og oversette. 13

14 ZeroTrust Mitt forslag: Parti Partinummer Høyre 0123 Venstre 3210 Senterpartiet 5463 Hvordan endre på stemmeseddelen? Valgloven gir rom for personstemmer og slengere.

15 ZeroTrust Mitt forslag: Parti Partinummer Høyre 0123 Venstre 3210 Senterpartiet 5463 Høyre Venstre Senterpartiet 1 Anne 2 Bjørn 3 Cecilie 4 Daniel 5 Elise 1 Arne 2 Beate 3 Christian 4 Dina 5 Erik 1 Anette 2 Børge 3 Carine 4 David 5 Ella

16 Mitt forslag: ZeroTrust i Norske klær Parti Partinummer Høyre 0123 Venstre 3210 Senterpartiet 5463 Høyre Venstre Senterpartiet 1 Arne 2 Beate 3 Christian 4 Dina 5 Erik 1 Anne 2 Bjørn 3 Cecilie 4 Daniel 5 Elise 1 Anette 2 Børge 3 Carine 4 David 5 Ella Anta at jeg ønsker å stemme Høyre, gi en personstemme til Christian og ha med Elise fra Venstre som slenger:

17 ZeroTrust Mitt forslag: Parti Partinummer Høyre 0123 Venstre 3210 Senterpartiet 5463 Høyre Venstre Senterpartiet 1 Arne 2 Beate 3 Christian 4 Dina 5 Erik 1 Anne 2 Bjørn 3 Cecilie 4 Daniel 5 Elise 1 Anette 2 Børge 3 Carine 4 David 5 Ella Anta at jeg ønsker å stemme Høyre, gi en personstemme til Christian og ha med Elise fra Venstre som slenger: 0123

18 ZeroTrust Mitt forslag: Parti Partinummer Høyre 0123 Venstre 3210 Senterpartiet 5463 Høyre Venstre Senterpartiet 1 Arne 2 Beate 3 Christian 4 Dina 5 Erik 1 Anne 2 Bjørn 3 Cecilie 4 Daniel 5 Elise 1 Anette 2 Børge 3 Carine 4 David 5 Ella Anta at jeg ønsker å stemme Høyre, gi en personstemme til Christian og ha med Elise fra Venstre som slenger:

19 ZeroTrust Mitt forslag: Parti Partinummer Høyre 0123 Venstre 3210 Senterpartiet 5463 Høyre Venstre Senterpartiet 1 Arne 2 Beate 3 Christian 4 Dina 5 Erik 1 Anne 2 Bjørn 3 Cecilie 4 Daniel 5 Elise 1 Anette 2 Børge 3 Carine 4 David 5 Ella Anta at jeg ønsker å stemme Høyre, gi en personstemme til Christian og ha med Elise fra Venstre som slenger:

20 ZeroTrust Mitt forslag: Parti Partinummer Høyre 0123 Venstre 3210 Senterpartiet 5463 Høyre 1 Arne 2 Beate 3 Christian 4 Dina 5 Erik Venstre 1 Anne 2 Bjørn 3 Cecilie 4 Daniel 5 Elise Senterpartiet 1 Anette 2 Børge 3 Carine 4 David 5 Ella Anta at jeg ønsker å stemme Høyre, gi en personstemme til Christian og ha med Elise fra Venstre som slenger: Gjort riktig så er det ingenting en ytre angriper kan gjøre for å manipulere denne løsningen.

21 Zero Usability Forhåndskryptering gir svært god sikkerhet, men også en svært dårlig brukeropplevelse om e-valg skal være så vanskelig, så kan vi like godt la være! De eneste som reagerte positivt var Blindeforbundet Løsningen er relativt tilgjengelig for grupper som er vant til å bruke tekstbasert grensesnitt 21

22 22 Den klassiske konflikten

23 Hva vi gjorde Anskaffelsesformen ga oss gode muligheter til å utfordre de prekvalifiserte leverandørene. Vi kunne fire litt på konfidensialitetskravene, men ikke på integritet Sluttresultatets integritet 23

24 Resultatet I løpet av dialogprosessen klarte 2 av 7 prekvalifiserte leverandører å frembringe en løsning som forente brukervennlighet og sikkerhet Ergo Group m/underleverandør Scytl Et konsortsium av Computas, Acando, Cybernetica (Estland) og Opt2Vote (Irland) Indra klarte det ikke, og tok en råsjans 24

25 Løsningen Voter Client computer Submission of vote Vote Collection Server Administrative system Receipt Code Generator Air gap Verification of vote integrity Count E2E verification M of N parts of private key, distributed to parties with competing interests

26 Egenskaper Løsningen er i prinsippet transparent for brukeren. Du kan velge å kontrollere stemmens integritet eller ikke Vi oppnår det vi skal (å oppdage storskala angrep) selv om en relativt liten andel av velgerne kontrollerer Vi kan fokusere på brukeropplevelse 26

27 27 Åpen kildekode

28 Behovet for åpen kildekode Telling av papirstemmer oppfattes som en åpen og etterprøvbar prosess Papirstemmer kan telles på nytt Omtelling av elektroniske stemmer er absurd Når man flytter det som er en åpen og observerbar prosess inn i en datamaskin, introduseres et Black Box -problem 28

29 The Black Box Problem Vårt mål har vært å gjøre den sorte boksen så gjennomsiktig som mulig Åpen kildekode Men ikke fri programvare Common Criteria-sertifisering Et kompromiss mellom sikkerhet og åpenhet Men kompromisset er ikke åpen kildekode Kompromisset ligger i utstrakt bruk av kryptografi 29

30 30 Spillet om åpen kildekode

31 SSA-U og iterativ systemutvikling SSA-U oppleves ikke som tilpasset iterativ systemutvikling Vi gjentar 2.2 to 2.6 i SSA-U for hver delleveranse. Vi skjønner ikke helt hvorfor leverandøren er ukomfortabel med dette. De er tilsynelatende redde for at bordet fanger 3.1: Øvre grense på 15% change orders er tatt ut 31

32 Andre endringer 2.3.2: Leverandøren ut av styringsguppen 3.1: Øvre grense på 15% change orders er tatt ut 32

33 Spørsmål-Svar Finn oss på nett! E-valg.dep.no E-valgbloggen.no 33