NL1021632C2 - Systeem voor het kiezen op afstand met stemmaskering. - Google Patents

Description

-1- 5

Systeem voor het kiezen op afstand met stemmaskering.

De uitvinding betreft een systeem voor het kiezen op afstand waarbij de uitgebrachte stemmen zodanig gemaskeerd 10 worden dat het onmogelijk is een verband te leggen tussen de kiezer en de door deze kiezer uitgebrachte stem of stemmen. Het verkiezingssysteem volgens de uitvinding kan worden gebruikt voor bijvoorbeeld landelijke, provinciale of gemeentelijke verkiezingen, waarbij de stemmen op afstand 15 dus bijvoorbeeld via internet, via een point to point modemverbinding, via een telefoonlijn of met behulp van stemzuilen op openbare locaties kunnen worden uitgebracht.

Een van de belangrijkste eisen die gesteld worden aan verkiezingssystemen is waarborging van het stemgeheim.

20 Dit wil zeggen dat het onmogelijk moet zijn om een verband te leggen tussen de kiezer en een uitgebrachte stem. Bij het kiezen op afstand via bijvoorbeeld internet is dit een lastig probleem, omdat tezamen met de uitgebrachte stem ook de identiteit van de betreffende kiezer moet worden overge-25 bracht om te kunnen vaststellen dat deze kiezer gerechtigd is en dat slechts één stem door deze kiezer wordt uitgebracht. Dit laatste wordt ook wel uniciteit genoemd. Verder moet het verkiezingssysteem integer zijn, waarbij de uitslag niet door de beheerders van de verschillende deelsystemen 30 kan worden beïnvloed en uitsluitend wordt bepaald door rechtmatig uitgebrachte stemmen afkomstig van kiezers. Het gehele systeem moet ook controleerbaar zijn zonder dat het stemgeheim in gevaar komt. Tenslotte moet de kiezer het stemproces kunnen begrijpen en vertrouwen.

35 De onderhavige uitvinding voldoet aan al deze eisen en zal aan de hand van vijf figuren van proces- en data-diagrammen in het vervolg worden verduidelijkt.

10?1 R 3? -2-

Figuur 1 toont globaal het totale proces- en data-flowdiagram van het verkiezingssysteem volgens de uitvinding.

Figuur 2 toont het proces- en dataflowdiagram 5 betreffende de informatie van en naar de kiezer en de verwerking van deze informatie door de computer (PC) van de kiezer.

Figuur 3 toont het proces- en dataflowdiagram en de verwerking van de informatie door een eerste centrale 10 computer 1.

Figuur 4 toont het proces- en dataflowdiagram en de verwerking van de informatie door een tweede centrale computer 2.

Figuur 5 toont het proces- en dataflowdiagram en de 15 verwerking van de informatie door een derde en eventueel een vierde computer 3 en 4.

Aangezien de steminformatie die via een netwerk, zoals bijvoorbeeld internet, wordt verzonden ten behoeve van uniciteit gekoppeld moet worden aan informatie betreffende 20 de identiteit van de kiezer is in het verkiezingssysteem volgens de uitvinding gekozen voor het gebruik van minimaal drie onafhankelijke centrale computers (servers) 1-3, eventueel aangevuld met een vierde computer 4 om de telling te controleren waarbij, zoals aangegeven in figuur 1, compu-25 ter 1 en computer 2 via het voornoemde netwerk (internet) zijn verbonden met de computer van de kiezer en waarbij alle centrale computers onderling zijn verbonden via een beschermd netwerk zoals bijvoorbeeld intranet. In de beschrijving zal in het vervolg worden uitgegaan van vier 30 centrale computers, omdat dit de beste bescherming tegen frauduleus handelen biedt.

De vier centrale computers worden in het verkiezingssysteem volgens de uitvinding beheerd door vier onafhankelijke partijen, die niet met elkaar over de informatie 35 in de door deze partijen beheerde computers zullen communiceren. Één of enkele van deze partijen zou bijvoorbeeld kunnen worden aangevuld met een internationale waarnemers- / ” -3- groep. Het systeem is verder zodanig ingericht dat het, met gebruikmaking van alle informatie die, met uitzondering van de computer (PC) van de kiezer, per computer beschikbaar is, onmogelijk is om te bepalen op wie een willekeurige kiezer 5 heeft gestemd. Ook worden malversaties bij zowel de kiezer als bij één van de partijen die de computers beheren opgemerkt door één of meer van de andere partijen.

Een belangrijk kenmerk van het systeem volgens de uitvinding is dat encryptietechnieken worden toegepast om de 10 communicatielijnen te beveiligen en om digitale waarmerken aan te brengen op de informatie tussen de kiezer en de vier computers. De verzonden informatie blijft echter in alle gevallen zowel voor de zendende als voor de ontvangende partij leesbaar, hetgeen de controleerbaarheid en de trans-15 parantie vergroot.

Een ander belangrijk kenmerk van de uitvinding is, dat de uitgebrachte stem van iedere kiezer wordt gemaskeerd door een relatief groot aantal stemmen op kandidaten die niet door de betreffende kiezer worden gekozen maar wel 20 voorkomen op het stembiljet van de betreffende kiezer. De kiezer zendt twee lijsten met willekeurige kandidaten in, waarbij de ene lijst één kandidaat meer bevat dan de andere lijst. Deze lijsten zijn volkomen identiek op de ene extra kandidaat na die door de betreffende kiezer gekozen wordt.

25 De lijst met de extra kandidaat wordt in het vervolg de plus-lijst genoemd en de andere lijst de min-lijst. Door bij de verwerking alle min-lijsten af te trekken van alle plus-lijsten blijven de gekozen kandidaten over. De plus-lijsten worden tezamen met de identiteiten van de kiezers verwerkt 30 door computer 2, de min-lijsten worden tezamen met de identiteiten van de kiezers verwerkt door computer 1 en de computers 3 en 4 verrichten de telling zonder te beschikken over de identiteit van de kiezers en genereren onafhankelijk van elkaar dezelfde einduitslag van de verkiezing, die op 35 deze wijze ook controleerbaar is.

Bij het systeem volgens de uitvinding beschikt de kiezer over een geheime code, die uit twee delen bes-taat, te -4- weten, één persoonlijk deel dat de kiezer, voorafgaande aan de verkiezingsdag heeft gegenereerd en aan de verkiezings-instantie heeft bekend gemaakt en een tweede deel in de vorm van een stemcode die aan de kiezer wordt toegezonden en 5 alleen aan de betreffende kiezer bekend is. Deze stemcode kan bijvoorbeeld op de oproepkaart onzichtbaar onder een kraslak worden aangebracht, waarbij de kiezer bij beschadiging van deze laklaag om een andere stemcode kan verzoeken.

10 De eerste stap die de kiezer moet doen om via inter net te kunnen stemmen is het laden van de verkiezings-applicatie die op de PC van de kiezer kan draaien. Alle informatie van en naar de kiezer wordt uitgewisseld via een standaard SSL (Secure Sockets Layer) protocol verbinding 15 waarmee de authenticiteit van de verbindingen via internet wordt gewaarborgd. De verkiezingsapplicatie kan bijvoorbeeld bestaan uit een zogenaamde JAVA-applet die kan draaien onder standaard internet browsersoftware, maar kan ook een applicatie zijn die wordt gedownload via internet of die 20 vooraf aan de kiezer wordt verstrekt via een digitaal medium.

Nadat de kiezer de voornoemde applicatie gestart heeft, wordt deze kiezer verzocht zijn of haar persoonlijke identiteit bekend te maken, bijvoorbeeld aan de hand van 25 naam en adresgegevens of aan de hand van een oproepnummer en de twee delen van de geheim code in te toetsen. Tezamen vormt dit de informatie (ID) omtrent de identiteit en de authenticiteit van de kiezer.

Met behulp van deze informatie wordt zoals aange-30 geven in figuur 2 een stembiljet opgehaald bij computer 1. Dit stembiljet bevat de lijst met digitaal gewaarmerkte kandidaten, die voor het stemdistrict van de betreffende kiezer van toepassing zijn, waarbij alle kandidaten voorzien zijn van een uniek kandidaatnummer, dat voor de gehele 35 verkiezing slechts éénmaal voorkomt. Voornoemd digitaal waarmerk (Wl) wordt op bekende wijze gegenereerd met behulp van een asymmetrisch encryptiealgoritme met een publieke en 1 02i632 -5- een geheime sleutel waarbij de publieke sleutel met de informatie meegezonden wordt en de mogelijkheid biedt om deze informatie te lezen, maar voorkomt dat deze informatie ook door de ontvangende partij gegenereerd zou kunnen 5 worden.

Voordat computer 1 het gevraagde gewaarmerkte stembiljet (Wl[L]) verstrekt, wordt zoals aangegeven in figuur 3, aan de hand van de identiteit (ID) gecontroleerd of de betreffende kiezer voorkomt in het kiesregister, of de 10 betreffende kiezer al eerder gestemd heeft, een stembiljet heeft ontvangen en of de geheime persoonlijke code klopt.

Als de betreffende kiezer reeds gestemd heeft, dan wordt deze kiezer daarvan in kennis gesteld en het proces beëindigd. Indien al eerder een gewaarmerkt stembiljet 15 (Wl[L]) is verstrekt, dan wordt hetzelfde biljet opnieuw verstrekt.

Nadat de kiezer het gewaarmerkte stembiljet, tezamen met de publieke sleutel van waarmerk (Wl), heeft ontvangen wordt, zoals aangegeven in figuur 2, met behulp van de ver-20 kiezingsapplicatie één kandidaat (s) gekozen door de kiezer.

Het gebruikersinterface van deze applicatie kan bijvoorbeeld worden uitgevoerd zoals aangegeven in de Nederlandse octrooiaanvrage nr. 1019945 (Dynamisch gebruikersinterface voor stemsystemen) van aanvraagster.

25 Van alle overblijvende kandidaten (Wl[L-s]) wordt vervolgens willekeurig "at random" ongeveer de helft uit de lijst verwijderd, waarna de gekozen kandidaat (s) weer aan de resterende lijst (Wl[L-R-s]) wordt toegevoegd. De lijst (W1[L-R]) die op deze wijze overblijft is de plus-lijst van 30 de betreffende kiezer, waarin de gekozen kandidaat (s) voorkomt.

Deze plus-lijst (Wl[L-R]) wordt vervolgens door de applicatie naar computer 2 gezonden tezamen met de identiteitsinformatie (ID) van de kiezer, waarin ook de 35 geheime persoonlijke code is verwerkt. Op dezelfde wijze als computer 1 controleert, zoals aangegeven in figuur 4, computer 2 aan de hand van het kiesregister, of de „ / / / ' I betreffende kiezer al eerder gestemd heeft, een gewaarmerKce I plus-lijst heeft ontvangen en of de geheime persoonlijke I code klopt.

I Als de betreffende kiezer reeds gestemd heeft, dan I 5 wordt deze kiezer daarvan in kennis gesteld en het proces I beëindigd. Indien al eerder een gewaarmerkte plus-lijst is I verstrekt, dan wordt dezelfde gewaarmerkte plus-lijst I opnieuw verstrekt.

I Het digitaal waarmerken van de plus-lijsten door I 10 computer 2 geschiedt eveneens op bekende wijze met een I asymmetrisch encryptiealgoritme, waarbij de publieke sleutel I met de lijst wordt meegezonden, zodat deze lijst leesbaar I blijft voor de ontvangende partij(en) doch niet geproduceerd I kan worden door deze ontvangende partij(en).

I 15 Computer 2 slaat de ontvangen plus-lijst (Wl[L- I R]+ID) op in een tijdelijk geheugen en brengt twee digitale I waarmerken (W2) en (W3) aan, waarbij waarmerk (W2) wordt I aangebracht over de ingezonden plus-lijst (Wl[L-R]) en I waarmerk (W3) over de met (W2) gewaarmerkte ingezonden plus- I 20 lijst (W2[Wl[L-R]]) inclusief de identiteitsgegevens (ID) I van de kiezer (W3 [W2 [Wl [L-R] ]+ID]). Vervolgens wordt deze I dubbel gewaarmerkte informatie (W3[W2[W1[L-R]]+ID]) terug- I gezonden naar de kiezer tezamen met de publieke sleutels van I de waarmerken (W2) en (W3).

I 25 Nadat de computer van de kiezer de door computer 2 I dubbel gewaarmerkte plus-lijst (W3[W2[Wl[L-R]]+ID]) heeft I ontvangen genereert deze, zoals aangegeven in figuur 2, de I min-lijst voor de betreffende kiezer (W3[W2[Wl[L-R-s]]+ID]), I door de uitgebrachte stem (s) uit de ontvangen gewaarmerkte I 30 plus-lijst te verwijderen. Deze dubbel gewaarmerkte min- I lijst (W3[W2[Wl[L-R-s]]+ID]) wordt vervolgens, tezamen met I de publieke sleutels van de waarmerken (W2) en (W3), naar I computer 1 gezonden. Aangezien de kandidaten elk apart I gewaarmerkt zijn, kan eenvoudig een gewaarmerkte kandidaat I 35 gewist worden uit de lijst maar kunnen er geen nieuwe I kandidaten aan toe worden gevoegd.

I Computer 1 ontvangt de door computer 2 dubbel -7- gewaarmerkte min-lijst (W3[W2[W1[L-R-s]]+ID]), controleert aan de hand van de waarmerken of de ontvangen min-lijst authentiek is, verwijdert waarmerk (W3) en slaat, zoals aangegeven in figuur 3, het restant (W2[Wl[L-R-s]]+ID) op in 5 een tijdelijk geheugen.

Dit restant van de min-lijst (W2[Wl[L-R-s]]+ID) wordt door computer 1 voorzien van een digitaal waarmerk (W4), dus als (W4[W2[Wl[L-R-s]]+ID]), teruggezonden naar de computer van de kiezer ter bevestiging van de ontvangst van 10 deze min-lijst. De kiezer beschikt nu over gewaarmerkte bewijzen met betrekking tot de uitgebrachte stem, die bijvoorbeeld via de applicatie op de PC van de kiezer met behulp van een door de kiezer te bedenken versleuteling kunnen worden opgeslagen, zoals aangegeven in figuur 2.

15 Computer 1 meldt vervolgens via het onderlinge netwerk aan computer 2 dat een min-lijst met (n-1) kandidaten is ontvangen van een kiezer met de identiteitsgegevens (ID) en ontvangt een bevestiging met het aantal kandidaten in de plus-lijst van de kiezer met dezelfde identiteits-20 gegevens (ID) van computer 2. Na ontvangst van voornoemde bevestiging wordt de data verwerkt door computer 1 en worden de min-lijst stemmen (W2[Wl[L-R-s]) zoals aangegeven in figuur 3 zonder identiteit van de kiezer toegevoegd aan het min-lijst geheugen en gewist uit het voornoemd tijdelijk 25 geheugen.

Op dezelfde wijze verwerkt computer 2 zoals aangegeven in figuur 4, na ontvangst van de melding van computer 1 met betrekking tot de betreffende kiezer, de plus-lijst uit het tijdelijk geheugen en plaatst deze stemmen eveneens 30 zonder de identiteit van de kiezer in het plus-lijst geheugen.

Na ontvangst van een vast te stellen minimum aantal stemmen zendt computer 2, zoals aangegeven in figuur 4, "at random" een willekeurig aantal met (Wl) gewaarmerkte stemmen 35 uit het plus-lijst geheugen, dus zonder identiteitsgegevens van de kiezers naar de computers 3 en 4. Op dezelfde wijze zendt computer 1, zoals is aangegeven in figuur 3, "at iaiiuuiu ecu wiiieiveui. xy aaiiuax met \W6/ eu \ vvx / ^^nuuAu»j.nww stemmen uit het min-lijst geheugen, dus zonder identiteitsgegevens van de kiezers naar de computers 3 en 4.

Deze gegevens worden door beide computers 3 en 4 bewaard in 5 respectievelijk een plus-lijst geheugen en in een min-lijst geheugen.

Alle kandidaten met hetzelfde unieke kandidaatnummer die zowel in het plus-lijst geheugen als in het min-lijst geheugen voorkomen worden tegen elkaar weggeschrapt en uit 10 de betreffende geheugens verwijderd.

Het plus-lijst geheugen bevat op deze wijze een globale tussenuitslag die afhankelijk van de soort verkiezing, al dan niet bekend gemaakt kan worden.

Nadat de termijn voor het uitbrengen van stemmen is 15 verstreken worden de overblijvende restanten van het plus-lijst geheugen in computer 2 en het min-lijst geheugen in computer 1 ook naar de computers 3 en 4 gezonden, waarna deze computers beide de einduitslag kunnen bepalen door de resterende kandidaten met hetzelfde unieke kandidaatnummer 20 in hun plus-lijst geheugen en in hun min-lijst geheugen tegen elkaar weg te schrappen, waarna de min-lijst geheugens dus leeg moeten zijn en het plus-lijst geheugen de einduitslag bevat.

Nadat de computers 3 en 4 de einduitslag vergeleken 25 hebben en gelijk bevonden, kan deze worden bekendgemaakt.

Het geven van een uniek kandidaatnummer aan elke kandidaat wordt gedaan om te voorkomen dat kopieën kunnen worden gemaakt van de records van de gewaarmerkte kandidaten.

30 Een bijkomend voordeel hiervan is, dat hetzelfde verkiezingssysteem ook kan worden toegepast voor een duale verkiezing of voor een verkiezing met heel weinig kandidaten, waarbij de kiezer een gewaarmerkt stembiljet ontvangt waarop dezelfde kandidaten meerdere malen voorkomen met 35 telkens een ander uniek kandidaatnummer. De applicatie op de computer van de kiezer geeft in dit geval uiteraard alleen een keuzemogelijkheid tussen de verschillende kandidaten, ' / n .? ? -9- waarbij elke kandidaat slechts éénmaal voorkomt.

Omdat alle gekozen kandidaten in de einduitslag een uniek kandidaatnummer hebben is het mogelijk een controleprocedure in te stellen, waarbij de kiezer door een onafhan-5 kelijke beroepscommissie kan laten controleren of de door de betreffende kiezer uitgebrachte stem heeft meegeteld in de einduitslag. Hiervoor geeft de kiezer in eerste instantie het door deze kiezer gekozen kandidaatnummer aan de beroepscommissie, die hiermee bij computer 3 of 4 kan nagaan of dit 10 kandidaatnummer meegeteld heeft in de einduitslag zonder dat de naam van de betreffende kandidaat bekend gemaakt hoeft te worden. Is dit niet het geval, dan kan de kiezer via de gewaarmerkte plus-lijst en de gewaarmerkte min-lijst bewijzen dat de betreffende stem door deze kiezer is uitgebracht, 15 waarbij deze stem wel bekend gemaakt moet worden aan de beroepscommissie.

Indien alle centrale computers de gecommuniceerde informatie bewaren tot na het verstrijken van de beroepstermijn, dan is een volledige audit van het verkiezings-20 proces mogelijk en kunnen hertellingen worden gedaan.

• ·: 9 ~

Claims (17)

1. Een verkiezingssysteem voor het kiezen op afstand met het kenmerk, dat het stemgeheim wordt gewaarborgd door een uitgebrachte stem te maskeren, doordat de kiezer 5 een plus-lijst met een willekeurig aantal kandidaten, inclusief de te kiezen kandidaat, samenstelt uit een voor deze kiezer geldend stembiljet met, door een eerste computer digitaal gewaarmerkte, kandidaten en vervolgens de kandidaten op deze plus-lijst door een 10 tweede computer digitaal laat waarmerken, waarna de kiezer de te kiezen gewaarmerkte kandidaat uit deze plus-lijst verwijdert en de zo ontstane min-lijst verzendt naar de eerste computer, waarna beide computers, na controle en verwijdering van de identiteit van de 15 kiezer, de ontvangen lijsten doorzenden naar een derde en eventueel een vierde computer, die elk de uitslag kunnen berekenen door per kandidaat het aantal uitgebrachte stemmen via de min-lijsten af te trekken van het aantal uitgebrachte stemmen via de plus-lijsten. 20

2. Een verkiezingssysteem voor het kiezen op afstand volgens conclusie 1 met het kenmerk, dat het met gebruikmaking van alle informatie die, uitgezonderd de computer van de kiezer, per computer beschikbaar is voor de 25 partij die de betreffende computer beheert, onmogelijk is om te bepalen op wie een kiezer heeft gestemd.

3. Een verkiezingssysteem voor het kiezen op afstand volgens één of beide vorige conclusie(s) met het kenmerk, 30 dat weliswaar encryptietechnieken worden toegepast om de communicatielijnen te beveiligen en om digitale waarmerken aan te brengen op de informatie tussen de computer van de kiezer en de drie of vier centrale computers, maar dat de verzonden informatie in alle 35 gevallen zowel voor de zendende als voor de ontvangende partij leesbaar blijft, hetgeen de controleerbaarheid en de transparantie vergroot. 1021632 -11-

4. Een verkiezingssysteem voor het kiezen op afstand volgens één of meerdere vorige conclusie(s) met het kenmerk, dat malversaties bij zowel de kiezer als bij één van de partijen die de centrale computers beheren 5 opgemerkt worden door tenminste één van de andere partijen.

5. Een verkiezingssysteem voor het kiezen op afstand volgens één of meerdere vorige conclusie(s) met het ken- 10 merk, dat de kiezer over een geheime code beschikt, die uit twee delen bestaat, te weten één persoonlijk deel dat de kiezer, voorafgaande aan de verkiezingsdag heeft gegeneréerd en aan de verkiezingsinstantie heeft bekend gemaakt en een tweede deel in de vorm van een stemcode 15 die aan de kiezer wordt toegezonden en alleen aan de betreffende kiezer bekend is.

6. Een verkiezingssysteem voor het kiezen op afstand volgens conclusie 5 met het kenmerk, dat deze stemcode op 20 de oproepkaart onzichtbaar onder een kraslak wordt aangebracht, waarbij de kiezer bij beschadiging van deze laklaag eventueel om een andere stemcode kan verzoeken.

7. Een verkiezingssysteem voor het kiezen op afstand volgens één of meerdere vorige conclusie(s) met het kenmerk, dat alle informatie van en naar de kiezer wordt uitgewisseld via een standaard "Secure Sockets Layer" protocol verbinding, waarmee de authenticiteit van de 30 verbindingen via internet wordt gewaarborgd.

8. Een verkiezingssysteem voor het kiezen op afstand volgens één of meerdere vorige conclusie(s) met het kenmerk, dat de verkiezingsapplicatie bestaat uit een 35 zogenaamde JAVA-applet die kan draaien onder standaard internet browsersoftware. -12-

9. Een verkiezingssysteem voor het kiezen op afstand volgens één of meerdere vorige conclusie(s) met het kenmerk, dat de verkiezingsapplicatie door de kiezer wordt 5 gedownload via internet.

10. Een verkiezingssysteem voor het kiezen op afstand volgens één of meerdere vorige conclusie(s) met het kenmerk, dat de verkiezingsapplicatie vooraf aan de kiezer 10 wordt verstrekt via een digitaal medium.

11. Een verkiezingssysteem voor het kiezen op afstand volgens één of meerdere vorige conclusie(s) met het kenmerk, dat alle gewaarmerkte kandidaten op het stem- 15 biljet voorzien zijn van een uniek kandidaatnummer, dat voor de gehele verkiezing slechts éénmaal voorkomt waarmee kopieën van de records van de gewaarmerkte kandidaten kunnen worden ondervangen.

12. Een verkiezingssysteem voor het kiezen op afstand vol gens één of meerdere vorige conclusie(s) met het kenmerk, dat dit verkiezingssysteem ook kan worden toegepast voor een duale verkiezing of voor een verkiezing met heel weinig kandidaten, waarbij de kiezer een ge-25 waarmerkt stembiljet ontvangt waarop dezelfde kandi daten meerdere malen voorkomen met telkens een ander uniek kandidaatnummer.

13. Een verkiezingssysteem voor het kiezen op afstand vol-30 gens één of meerdere vorige conclusie(s) met het ken merk, dat de kiezer beschikt over gewaarmerkte bewijzen met betrekking tot de uitgebrachte stem, die bijvoorbeeld met behulp van een door de kiezer te bedenken versleuteling kunnen worden opgeslagen, waardoor een 35 beroepsprocedure tot de mogelijkheden behoort. -13-

14. Een verkiezingssysteem voor het kiezen op afstand volgens één of meerdere vorige conclusie(s) met het kenmerk, dat de eerste en de tweede computer na ontvangst van een vast te stellen minimum aantal stemmen "at 5 random" een willekeurig aantal verwerkte gewaarmerkte stemmen uit hun geheugens, zonder identiteitsgegevens van de kiezers naar de derde en eventueel een vierde computer zenden om de telling te verrichten en eventueel een globale tussenuitslag te bepalen. 10

15. Een verkiezingssysteem voor het kiezen op afstand vol-gans één of meerdere vorige conclusies) met het kenmerk, dat nadat de termijn voor het uitbrengen van stemmen is verstreken de overblijvende restanten van 15 het min-lijst geheugen van de eerste computer en de overblijvende restanten van het plus-lijst geheugen van de tweede computer naar de derde en eventueel naar de vierde computer worden gezonden, waarna de derde en de vierde computer beide de einduitslag kunnen bepalen. 20

16. Een verkiezingssysteem voor het kiezen op afstand vol-gans één of meerdere vorige conclusies) met het kenmerk, dat de derde en de vierde computer de einduitslag vergelijken alsvorens deze bekend te maken. 25

17. Een verkiezingssysteem voor het kiezen op afstand vol-gans één of meerdere vorige conclusies) met het kenmerk, dat een volledige audit van het systeem mogelijk is.