NL1023861C2

NL1023861C2 - Systeem en werkwijze voor een elektronische verkiezing.

Info

Publication number: NL1023861C2
Application number: NL1023861A
Authority: NL
Inventors: Pieter Gerard Maclaine Pont
Original assignee: Pieter Gerard Maclaine Pont; Hoogheemraadschap Van Rijnland
Priority date: 2003-07-08
Filing date: 2003-07-08
Publication date: 2005-03-14
Also published as: WO2005004023A1; NL1023861A1; EP1642243A1; CA2531618A1; US20070267492A1

Description

Korte aanduiding: Systeem en werkwijze voor een elektronische verkiezing.

De uitvinding heeft betrekking op elektronische verkiezingen en in 5 het bijzonder op elektronische verkiezingen waarbij stemmen worden uitgebracht en verzameld via een openbaar datacommunicatienetwerk, zoals het Intranet

Onder verkiezing wordt hierna verstaan: een vorm van opinieonderzoek, zoals een openbare verkiezing voor een overheidslichaam, een referendum of een verkiezing voor een democratische vertegenwoordiging in een 10 organisatie of bedrijf, waaraan alleen vooraf geregistreerde personen (stemgerechtigden, kiezers) mogen deelnemen, waarbij hun opinie of keuze (hierna aangeduid als stem) gevraagd wordt uit vooraf volledig openbaar gemaakte tekst te kiezen kandidaten of referendumtekst (hierna aangeduid als kandidatenlijst), waarbij de door hun afgegeven stem vertrouwelijk is en zonder dwang kan worden ingediend 15 gedurende een beperkt tijdsperiode (hierna aangeduid als verkiezingsvenster) bij een vooraf aangekondigde vertrouwde partij, waarbij iedere door een kiezer ingediende stem als keuze voor een kandidaat tenminste en maximaal éénmaal telt en waarbij de uitslag van de verkiezing openbaar is en door onafhankelijke derden te controleren dient te zijn.

20 Een verkiezingssysteem via een openbaar datacommunicatienetwerk is een systeem, dat een kiezer in staat stelt deel te nemen aan een verkiezing vanaf een door hem zelf te kiezen plaats, van waaruit hij met de daartoe benodigde middelen of apparatuur via het openbare datacommunicatienetwerk zijn stem kan uitbrengen. Zo’n systeem zal hierna worden aangeduid als locatie-onafhankelijk verkiezingssysteem.

25 Een elektronisch verkiezingssysteem is een locatie-onafhankelijk verkiezingssysteem, waarbij de kiezer gebruikmaakt van digitale, elektronische middelen om zijn keuze kenbaar te maken en gebruik wordt gemaakt van een digitaal en elektronisch openbaar communicatienetwerk. Voorbeelden hiervan zijn: SMS via mobiele of vaste telefoon, WAP-telefoon en een personal computer via het Internet.

30 Uit de Europese octrooiaanvrage EP 1 291 826 Al is een elektronisch verkiezingssysteem bekend, waarbij het Internet wordt gebruikt als communicatiemiddel tussen de kiezers, die op afstand, bijvoorbeeld thuis, een stem uitbrengen en het stembureau dat de door de kiezers uitgebrachte stemmen verzamelt.

1023881-

I 2 I

I Hierbij worden maatregelen getroffen om de juiste identiteit van de kiezer te I

I waarborgen, fraude te voorkomen, en het gevaar van een virus of een kwaadwillende I

I hacker, die inbreekt op het stemproces om de elektronische stemmen te wijzigen, te I

I weren. Bij dit verkiezingssysteem kan de kiezer kiezen om eenmalig de stem uit te I

I 5 brengen langs elektronische weg of door het deponeren van een stembiljet (per post) I

I bij een stembureau. I

I Uit de afstudeerscriptie “Electronic elections employing DES I

I smartcards” door H. Robers, December 1998, IBM Student Chipcard Innovation I

I Team, is een elektronisch verkiezingssysteem met een verkiezingsprotocol voor I

I 10 locatie- onafhankelijk stemmen bekend, waarbij gebruik wordt gemaakt van het I

I Internet I

I In dit verkiezingssysteem wordt gewerkt met individuele, I

I onpersoonlijke (virtuele) stembiljetten, die pas bij het uitbrengt van de stem op de I

I locatie van de kiezer met een symmetrische cryptografische techniek, zoals Data I

I 15 Encryption Standard, DES, worden berekend met gebruikmaking van een persoonlijke I

I chipkaart, die is ingevoerd in een met een persoonlijke computer gekoppeld I

I chipkaartlezer. Aan iedere kiezer is daartoe vooraf, langs vertrouwelijke weg, een I

I unieke persoonlijke cryptografische 3DES-sleutel, die alleen voor de te houden I

I verkiezing kan worden gebruikt, in zijn/haar chipkaart verstrekt I

I 20 De voor de berekening van het stembiljet benodigde functionaliteit I

I voor de Intemet-browser van de met de chipkaartlezer gekoppelde personal computer, I

I wordt tijdens het verkiezingsvenster via het Internet verschaft, bij het opvragen van de I

I lijst van te kiezen onderwerpen. Met deze functionaliteit wordt met behulp van de I

I persoonlijke sleutel van de kiezer voor de verkiezing en het gekozen onderwerp het I

I 25 virtuele stembiljet van de kiezer berekend. I

Voorafgaand aan de verkiezing worden alle unieke persoonlijke I

I sleutels voor de ingeschreven kiezers gegenereerd en voor verzending klaar gemaakt. I

I Ook wordt een referentiebestand met de cryptografisch berekende referentie van alle, I

I door iedere kiezer mogelijk uit te brengen stemmen gegenereerd en openbaargemaakt. I

I 30 Na het sluiten van het verkiezingsvenster worden alle ontvangen I

I virtuele stembiljetten gepubliceerd in samenhang met het vooraf openbaargemaakte I

I referentiebestand voor algemeen onderzoek naar het verloop van de verkiezing. I

I 1023881- 3

In dit verkiezingssysteem kan de stem alleen langs elektronische weg worden ingediend door gebruikmaking van een unieke sleutel, die vooraf is vastgelegd in een persoonlijke chipkaart. Het gebruik van een chipkaart vergt dat een personal computer moet zijn voorzien van een chipkaartlezer om als stemapparaat in 5 een verkiezing te kunnen worden gebruikt

Voor een kansrijke invoering van elektronisch stemmen moet het verkiezingssysteem voldoen aan algemene formele voorwaarden voor een verkiezing van overheidswege, waarbij ook het uitbrengen van stemmen per post mogelijk moet zijn. Bovendien moeten de toe te passen technische middelen zodanig zijn, dat ten 10 minste 95% van de potentiële kiezers in staat is aan het verkiezingssysteem deel te nemen door middel van een met een datacommunicatienetwerk, zoals het Internet, gekoppelde personal computer zonder te moeten voldoen aan bijzondere aanpassingen of functievereisten, zowel wat betreft hardware- als softwarematig.

Daarnaast is het gewenst dat de kiezer bij twijfel over het welslagen 15 van het elektronisch verzenden van het stembiljet over een datanetwerk, opnieuw zijn/haar stem uit kan brengen door een nieuw stembiljet met dezelfde keuze te verzenden over hetzelfde datacommunicatienetwerk of een over een ander datacommunicatienetwerk dat voor de verkiezing is opengesteld. De mogelijkheid om een stem uit te brengen door de keuze te markeren op het vooraf ontvangen 20 stembericht en het stembericht vervolgens (per post) te deponeren bij het stembureau dient, ook na het elektronisch uitbrengen van de stem, te kunnen worden benut

Via bijvoorbeeld het Internet en betrokken Intemet-servers aan het stembureau overgedragen stemmen kunnen problemen ontstaan wanneer als gevolg van bijvoorbeeld technische storingen en onderbrekingen tijdens de overdracht, een 25 uitgebrachte stem door een server twee of meer keer wordt herhaald en als zodanig door het stembureau wordt ontvangen en verzameld.

Een en ander heeft tot gevolg dat vanwege verschillende oorzaken meer dan één stembiljet van dezelfde kiezer wordt ontvangen en verzameld, waar niet meer dan een geldige stem kan worden toegekend.

30 De hierboven aangeduide elektronische verkiezingssystemen kennen geen voorzieningen om de problemen van het ontvangen van twee of meer stemmen van dezelfde kiezer te ondervangen.

1023881* I 4

I De uitvinding beoogt te voorzien in een elektronisch I

I verkiezingssysteem dat de kiezer in staat stelt om zijn/haar stem met beschikbare I

I elektronische middelen naar het stembureau te verzenden door middel van een I

I datacommunicatienetwerk en om zijn/haar stem in de vorm van een fysiek stembiljet I

I 5 (per post) te deponeren bij het stembureau, waarbij de stem, die door de kiezer op I

I regelmatige wijze is uitgebracht als zodanig wordt onderkend en gewaardeerd, zodat I

I dubbeltelling wordt voorkomen. I

I Volgens een eerste aspect verschaft de uitvinding hiertoe een I

I elektronisch verkiezingssysteem voor het verzamelen en tellen van stemmen van I

10 individuele kiezers die gebruikmaken van een elektronisch stemapparaat in een I

verkiezing met een lijst van te kiezen onderwerpen waaruit een onderwerp wordt I

I gekozen door een individuele kiezer waarbij de stemmen worden verzonden door I

I middel van een datanetwerk, omvattende: I

I middelen voor het genereren van een unieke persoonlijke sleutel voor I

I 15 iedere kiezer op een lijst van voor de verkiezing ingeschreven kiezers, welke unieke I

I persoonlijke sleutel aan de individuele kiezer wordt verstrekt; I

I middelen voor het genereren van een unieke onderwetpcode voor I

I ieder onderwerp op de lijst van te kiezen onderwerpen; I

I middelen voor het genereren van een referentie-uitslag voor iedere I

I 20 individuele kiezer bevattende alle virtuele stembiljetten voor de individuele kiezer, , I

I waarbij een unieke kiezerreferentie-identiteit wordt berekend uit een unieke I

I verkiezingscode voor de verkiezing ai de unieke persoonlijke sleutel van de kiezer, I

I waarbij voor ieder onderwerp op de lijst van de door de kiezer te kiezen onderwerpen I

I een unieke onderwerpreferentie-identiteit wordt betekend uit de unieke I

I 25 onderwerpcodes en de unieke persoonlijke sleutel van de kiezer en waarbij de I

I berekende referentie-identiteiten deel uitmaken van de virtuele stembiljetten; I

I middelen voor het opslaan van de referentie-uitslagen van de I

I individuele kiezers; I

I middelen voor het laden van instructies in het stemapparaat van de I

I 30 individuele kiezer om het stemapparaat in te richten voor het berekenen van een I

I unieke kiezeridentiteit uit de unieke verkiezingscode voor de verkiezing en de unieke I

I persoonlijke sleutel van de kiezer die aan de kiezer is verstrekt, voor het berekenen I

I 10238613 5 van een unieke onderwerpidentiteit van het door de kiezer gekozen onderwerp uit de unieke onderwerpcode van het gekozen onderwerp en de unieke persoonlijke sleutel van de kiezer en voor het genereren van het virtuele stembiljet met de, met gebruikmaking van het stemapparaat berekende identiteiten; 5 middelen om het virtuele stembiljet door het stemapparaat te verzenden over het datanetwerk; middelen voor het ontvangen en verzamelen van het door het stemapparaat verzonden virtuele stembiljet; middelen voor het verifiëren van elk verzameld virtueel stembiljet 10 met betrekking tot de aanwezigheid in de referentieuitslagen van de kiezers; middelen voor het tellen van de stemmen; middelen voor het vaststellen van de verkiezingsuitslag, gekenmerkt door middelen voor het valideren van de stemmen van de ontvangen virtuele stembiljetten, welke middelen zodanig zijn ingericht dat, wanneer een stel van twee of 15 meer virtuele stembiljetten met een identieke kiezeridentiteit is verzameld, een virtueel stembiljet van het stel wordt gevalideerd als een geldige stem van de betreffende kiezer en de overige virtuele stembiljetten worden aangemerkt als duplicaat, mits de virtuele stembiljetten van het stel identiek zijn voor het door de kiezer gekozen onderwerp, anders worden alle virtuele stembiljetten van het stel 20 aangemerkt als ongeldig.

Volgens een tweede aspect van de utvinding is een werkwijze verschaft voor een elektronische verkiezing voor het verzamelen en tellen van de stemmen van individuele kiezers die gebruikmaken van een elektronisch stemapparaat in een verkiezing met een lijst van te kiezen onderwerpen waaruit een onderwerp 25 wordt gekozen door een individuele kiezer, en de stemmen worden verzonden door middel van een datanetwerk, omvattende de stappen van: het genereren van een unieke persoonlijke sleutel voor iedere individuele kiezer op een lijst van voor de verkiezing ingeschreven kiezers; het verstrekken van de unieke persoonlijke sleutel aan de individuele 30 kiezen het genereren van een unieke onderwerpcode voor ieder onderwerp op de lijst van in de verkiezing te kiezen onderwerpen; 10238013

6 I

het genereren van een referentie-uitslag voor iedere individuele I

kiezer bevattende alle mogelijke virtuele stembiljetten voor de individuele kiezer, I

waarbij voor ieder individuele kiezer een unieke kiezerreferentie-identiteit wordt I

berekend uit een unieke code voor de verkiezingen en de unieke persoonlijke sleutel I

S van de kiezer, voor ieder onderwerp op de lijst van te kiezen onderwerpen een unieke I

onderwerp referentie-identiteit wordt berekend uit de unieke onderwerpcodes en de I

unieke persoonlijke sleutel van de kiezer, waarbij de berekende referentie-identiteiten I

deel uitmaken van de virtuele stembiljetten; I

het opslaan van de referentie-uitslagen van de individuele kiezers; I

10 het laden van instructies in het stemapparaat van de kiezer; I

het kiezen van een onderwerp uit de lijst van te kiezen onderwerpen I

met gebruikmaking van het stemapparaat van de individuele kiezer door de unieke I

persoonlijke sleutel, die aan de kiezer is verstrekt, en de unieke onderwerpcode voor I

het gekozen onderwerp in te voeren in het stemapparaat; I

15 het genereren van een virtueel stembiljet met gebruikmaking van de I

in het stemapparaat geladen instructies, waarbij een unieke kiezeridentiteit wordt I

berekend uit de unieke code van de verkiezing en de unieke persoonlijke sleutel van I

de kiezer en een unieke onderwerpidentiteit wordt berekend uit de unieke I

onderwerpcode van het gekozen onderwerp en de unieke persoonlijke sleutel van de I

20 kiezer en waarbij de berekende identiteiten deel uitmaken van het virtueel stembiljet; I

het verzenden van het virtueel stembiljet over het datanetwerk; I

het ontvangen en verzamelen van het door het stemapparaat I

verzonden stembiljet; I

het verifiëren van het verzameld virtueel stembiljet met betrekking I

25 tot de aanwezigheid in de referentie-uitslagen van de kiezers; I

het tellen van de stemmen, en I

het vaststellen van de verkiezingsuitslag op basis de getelde stemmen I

van de kiezers, gekenmerkt door de stap van het valideren van de stemmen van de I

verzamelde virtuele stembiljetten op een zodanige wijze dat, wanneer een stel van I

30 twee of meer virtuele stembiljetten met een identieke kiezeridentiteit is verzameld, I

een virtueel stembiljet van het stel wordt gevalideerd als een geldige stem en de I

overige virtuele stembiljetten van het stel worden aangemakt als duplicaat, mits de I

1023881·; I

7 virtuele stembiljetten van het stel identiek zijn voor het door de kiezer gekozen onderwerp, anders worden alle virtuele stembiljetten van het stel aangemerkt als ongeldig.

De middelen respectievelijk de stap voor het valideren van de 5 stemmen van de ontvangen virtuele stembiljetten kunnen ook worden toegepast bij een systeem respectievelijk een werkwijze voor een elektronische verkiezing met een lijst van te kiezen onderwerpen, waaruit een combinatie van onderwerpen door een individuele kiezer wordt gekozen.

Door deze maatregelen is het verkiezingssysteem in staat meerdere 10 virtuele stembiljetten van deselfde kiezer als één stem te herkennen en zodanig te valideren dat dubbeltelling wordt voorkomen. Daarmee is de uitkomst van het verkiezingssysteem ongevoelig voor storingen en onderbrekingen tijdens het verkiezingsvenster en mogen de kiezers bij twijfel een zelfde stem met herhaling uitbrengen, zelfs met gebruikmaking van andere technieken.

15 Bij een elektronisch verkiezingssysteem kan gebruik worden gemaakt van een symmetrisch cryptografisch algoritme, waarbij de voor een vercijferingsbewerking gebruikte sleutel gelijk is aan de sleutel die voor de ontcijfering nodig is. Deze sleutel dient geheim te worden gehouden (behalve voor de partijen die de vercijfer- en ontcijferbewerkingen dienen uit te voeren). Een 20 bijzondere eigenschap van dit soort algoritmen is, dat de daarbij toé te passen sleutels relatief kort zijn, de berekeningen relatief snel kunnen worden uitgevoerd en de bewerkingen van het algoritme relatief eenvoudig en compact zijn te realiseren in programmatuur. Met een symmetrisch cryptografisch algoritme kan men informatie vercijferen. Om de betrouwbaarheid ervan te waarborgen, kan men de informatie 25 voorzien van een Message Authentication Code (MAC) om deze informatie te beschermen tegen wijzigingen door anderen dan de oorspronkelijke verzender of ontvanger en van een Modification Detection Code (MDC), ook wel “hash” genoemd, om zonder gébruik van een geheime sleutelde integriteit van van de gegevens te controleren en beschermen.

30 Tenslotte kan men met een symmetrisch cryptografisch algoritme een beheerssysteem maken voor de opslag en distributie van symmetrische cryptografische sleutels. Ziet men kans de geheime sleutels inderdaad geheim te 1023881-

I 8 I

I houden, dan zijn de diverse, publiek gestandaardiseerde cryptografische algoritmen I

I veilig toepasbaar voor de hierboven beschreven functies. In de praktijk betekent dit I

I dat symmetrisch cryptografische algoritmen goed toepasbaar zijn, als één enkele partij I

I optreedt als hoofdverantwoordelijke en de basisopzet en inrichting van de te I

5 beveiligen toepassing geheel kan bepalen. I

Verdere uitvoeringsvormen van het systeem en de werkwijze volgens I

I de uitvinding zijn in de afhankelijke conclusies geformuleerd. I

I De werking van een elektronisch verkiezingssysteem voor locatie- I

I onafhankelijk stemmen met gebruikmaking van een virtueel stembiljet, waarbij I

I 10 middelen worden toegepast om de geldigheid van ontvangen virtuele stembiljetten I

I van dezelfde kiezer te onderzoeken en zodanig vast te stellen dat dubbeltelling wordt I

I voorkomen wordt hierna toegelicht I

I Bij een verkiezing met een elektronisch verkiezingssysteem I

I onderscheiden we de volgende partijen en functies: I

I 15 · Centrale verkiezingscommissie: een openbare, daartoe ingestelde partij, die de I

I voor de elektronische verkiezingen noodzakelijke voorbereidingen treft, I

I waaronder: I

I o De vaststelling en publicatie van een kiezersregister (waarin vastligt I

I welke kiezers aan de verkiezing mogen deelnemen) I

I 20 o De vaststelling en publicatie van de informatie waarover de opinie of I

I keuze van de kiezer gevraagd (de kandidatenlijst) I

I o De organisatorische en technische voorbereiding van de elektronische I

I verkiezingen, waaronder het voorzien van alle kiezers van specifieke I

I informatie, die het hun mogelijk moet maken veilig en zonder I

I 25 persoonlijk bekend te worden (onpersoonlijk) aan de elektronische I

I verkiezingen deel te nemen, waaronder: I

I Een document, zoals een poststembiljet, met een onpersoonlijke I

I identiteit voor een specifieke kiezer om aan deze verkiezing I

I mee te mogen doen, waarop de persoonlijke sleutel Kp van de I

I 30 kiezer is vermeld op een manier, die intoetsen met een I

I toetsenbord mogelijk maakt; men zou dat bijvoorbeeld in twee I

I alfanumerieke groepen kunnen doen, respectievelijk de I

I 1023861*· 9 (vertrouwelijke) Verkiezing Pseudo Identiteit of VPID en een geheim wachtwoord (PW); eventueel kan men er voor kiezen de voor Internet stemmen te gebruiken data elementen op een apart document (de Stemkaart) te vermelden, of 5 Een geheime, persoonlijke sleutel Kp voor iedere individuele kiezer, die op veilige wijze geladen wordt op diens smartcard of SEM-kaart van zijn GSM-telefoon

De daartoe noodzakelijke regelingen en afspraken met derde partijen, zoals dienstverleners, telecommunicatiebedrijven en 10 anderen.

o De vaststelling en publicatie van alle informatie die noodzakelijk is om op veilige en betrouwbare wijze het resultaat van de verkiezingen te kunnen vaststellen.

• Kiezer (hiervoor reeds gedefinieerd), in het bezit van een instrument om aan 15 de elektronische verkiezing mee te doen, waaronder: o Een document met de voor hem bestemde onpersoonlijke identiteit (zoals het eerder beschreven Poststembiljet of de Stemkaart met daarop zijn Pseudo Verkiezing Identiteit of VPID en zijn wachtwoord (PW) om aan deze verkiezing mee te mogen doen), of 20 o Een persoonlijke smartcard (zoals bijvoorbeeld zijn Studenten

ChipKaart, een hem door de overheid verstrekte identiteit smartcard, of een hem door zijn bank verstrekte smartcard zoals de ChipKnip) of o De smartcard (SIM) in zijn persoonlijke GSM telefoon • Stem Unit (of stemapparaat waarmee de kiezer zijn stem kan indienen, 25 bijvoorbeeld: o Zijn PC met Intemet-browser o Zijn PC met smartcardlezer o Zijn GSM-telefoon o Zijn pen, om daarmee zijn stemkeuze aan te kunnen geven op zijn 30 poststembiljet 1023801*;

I 10 I

I · Stembureau (of wel de Stemverwerking centrale): de instantie waar de kiezer I

I zijn stem via een netwerk moet indienen tijdens het verkiezingsvenster I

I · Toezichthoudend en controlerend orgaan: een openbaar en van de I

I verkiezingen volledig onafhankelijk orgaan, belast met het toezicht op de I

I S verkiezing I

I · Terugvalsysteem: systeem dat in geval van een storing (of andere vorm van I

I interruptie) die deelname door de kiezer aan de verkiezing onmogelijk maakt, I

I deze toch in staat stelt op andere wijze (bijvoorbeeld per post) zijn stem uit te I

I brengen. I

I 10 Bij een verkiezing met een elektronisch verkiezingssysteem I

I onderscheiden we de volgende fitsen: I

I · Voorbereidingsfase I

I o Centrale verkiezingscommissie stelt het volgende samen: I

I · Veikiezingsnaam of-identiteit (E1ID) I

I 15 · Kiezersregister (dat bevat de kiezers VI.. .Vn) I

I · Publicatie daarvan en mogelijke aanpassingen door de kiezer I

I · Kandidatenlijst (dat bevat de kandidaten Cl...Cm) I

I «Na vaststelling en bevriezing van kiezersregister en I

I kandidatenlijst in een afgeschermd, vertrouwelijk proces: I

20 · Per kiezer de generatie van Kp of VPID en PW (in dat I

I geval is Kp = functie {VPID, PW}) I

I · Berekenen of bepalen van een veilige transportvorm I

I naar de kiezer van Kp of van VPID en PW I

I o Ingeval Kp door cryptografische vercijfering I

I 25 onder een transportsleutel KERt, die uitsluitend I

I transport naar en laden van Kp in de smartcard I

I of SIM van de kiezer t mogelijk maakt I

I o Ingeval VPID en PW door productie van set I

I veririezingsbescheiden in gesloten enveloppe I

I 30 (waaronder het voor deze kiezer bedoelde I

I onpersoonlijk Poststembiljet, eventueel met een I

I 1023881*1 I

11 aparte Stemkaart), waarbij identiteit en adres van de kiezer alleen buiten op de enveloppe staat en VPID en PW, samen met algemene informatie over de verkiezing, zich binnen de enveloppe 5 bevindt. Zoals eerder gesteld, kan het

Poststembiljet ook worden gebruikt voor briefstemmen door die kiezers, die daar voorkeur aan geven of als terugvalsysteem. Op dit Poststembiljet zijn VPID, PW en E1ID in 10 ieder geval in machineleesbare vorm gecodeerd en is een overzicht van alle kandidaten vermeld met de mogelijkheid er één als stem te kunnen markeren.

• Berekening van een uitslagreferentiebestand en wel als 15 volgt: o Voor iedere kiezer wordt een referentie-uitslag berekend RnPotVote o Per kiezer n bestaat RnPotVote uit

Een kiezerreferentie-identiteit RnPED = 20 MDC [DESmac (Kp, functie {E1ID}]

Voor iedere kandidaat m uit de kandidatenlijst een onderwerpreferentie-identiteit RnCm = MDC [DESmac (Kp, functie {Cm, EUD}] 25 Transport naar buiten het afgeschermde, vertrouwelijke proces van • Het uitslagreferentiebestand • De veilige transportvorm van Kp (of VPID en PW) voor transport 30 naar de kiezer 1023801¾

I 12 I

I Het wissen van alle vertrouwelijke, I

I kiezersgerelateerde informatie waaronder I

I Kp (of VPID en PW)), dan wel opslag I

I daarvan onder een uitsluitend aan het I

I S Toezichthoudend en controlerend orgaan I

I bekende cryptografische sleutel KEKctrl I

I MDC staat voor een cryptografische I

I hash-functie, zoals de op DES I

I gebaseerde Modification Detection Code I

10 DES staat voor een symmetrisch I

I cryptografisch algoritme, zoals DES, I

I 3DES of EAS I

I DESmac staat voor een Message I

I Authentication Code berekening met een I

I 15 symmetrisch cryptografisch algoritme, I

I zoals de in ANSI gestandaardiseerde I

I MAC met DES I

I · Het veilig verzenden van Kp of het Poststembiljet naar de juiste I

I kiezer I

20 · Publicatie (via een openbaar netwerk) voor de start van de I

I verkiezing van I

I · De identiteit van de te houden verkiezing (E1ID) I

I · Het bevroren kiezersregister I

I · De vastgestelde kandidatenlijst I

I 25 · Het referentieuitslagbestand RnPotVote voor alle I

I kiezers I

I * Bij gebruik van GSM-telefoons: automatische installatie bij alle I

I kiezers van de noodzakelijke extra functionaliteit voor I

I stemberekening in hun GSM-telefoon (m.b.v. SIM Tool Kit I

I 30 functionaliteit) I

I 1023801- I

13 o De kiezer stelt (tijdig) vast of hij daadwerkelijk en correct in het kiezersregister is opgenomen, of hij vooraf de beschikking krijgt over de informatie (Kp of VPID en PW, de kandidatenlijst en de E1ID) en middelen (afhankelijk van het geboden systeem: PC-browser, 5 smartcardlezer, smartcard, correcte versie SIM en GSM-telefoon), noodzakelijk om aan de verkiezing deel te nemen • Het Stembureau (of wel de Stemverwerkingcentrale) installeert een aantal netwerkservers om tijdens de verkiezingen de stem van iedere kiezer te kunnen ontvangen en wel zodanig, dat de toekomstige verbinding met de Stem 10 Unit van iedere kiezer zal worden beschermd met SSL (of een functioneel vergelijkbare techniek bij gebruik van SMS via GSM-telefoons), waarbij de kiezer eveneens eenduidig zal kunnen vaststellen werkelijk zijn stem bij het Stembureau in te leveren; tevens installeert het Stembureau het referentie-uitslagbestand. Daarnaast voorziet het Stembureau in mogelijkheden om de 15 belasting en het gebruik van het netwerk tussen de Stem Units van kiezers en het Stembureau te kunnen bewaken. Daarnaast installeert het Stembureau een aparte Stemontvangstbevestigingserver, die aan hetzelfde netwerk is verbonden en ook alleen via SSL toegang van kiezers toestaat o Het Toezichthoudend en controlerend orgaan controleert 20 steekproefsgewijs en via klachtprocedures of de kiezer vooraf van de juiste informatie is voorzien o Het Toezichthoudend en controlerend orgaan en ieder ander controleert of omvang en structuur van het referentie uitslagbestand overeenkomen met het kiezersregister en de kandidatenlijst 25 · Het verkiezingenvenster zelf o De kiezer (n) zelf • Stelt vast wat de identiteit van de verkiezing is (EUD) • Bepaalt zijn keuze op grond van de publieke kandidatenlijst (Cx) 30 · Maakt met zijn Stem Unit verbinding met het Stembureau 1023361-

I 14 I

I · Overtuigt zich ervan dat aan de andere zijde, van het netwerk I

I werkelijk het stembureau aanwezig is en de verbinding is I

I beveiligd (standaardfuncties van SSL) I

I · Afhankelijk van zijn Stem Unit: I

I 5 · Bij een PC-browser, al dan niet in combinatie met een I

I smartcard: ontvangt automatisch als onderdeel van een I

I normale webpagina de noodzakelijke functionaliteit I

I voor het berekenen van zijn stem (als script-taal) I

I · Bij een GSM-telefoon: schakelt het vooraf ontvangen I

I 10 SIM Tool Kit programma in om deel te nemen aan deze I

verkiezing I

I · Geeft zijn keuze voor Cx aan zijn Stem Unit Zijn Stem Unit I

I berekent zijn stem, die uit de volgende twee elementen bestaat I

I en zo samen zijn virtuele stembiljet vormen: I

I 15 ♦ zijn kiezeridentiteit VnPID = DESmac (Kp, functie I

I {EHD}) I

I · zijn specifieke keuze voor kandidaat Cx: VnCx = I

I DESmac (Kp, functie {Cx, E1ID}) I

I · Zorgt dat zijn Stem Unit zijn virtuele stembiljet daadwerkelijk I

I 20 doorgeeft aan het Stembureau door aanklikken van de juiste I

I functie of intoetsen van de juiste toets I

I · Controleert of zijn virtuele stembiljet is aangekomen, door I

I (automatisch) te kijken op de Stemontvangst bevestigingserver; I

I is dat zo, dan is hij zeker dat zijn stem tijdig is uitgebracht (zijn I

I 25 stemunit berekent RnPID = MDC (VnPID), die weer gelijk is I

I aan MDC [DESmac (Kp, functie {E1ID}], en kijkt of dezelfde I

I RnPID op de Stemontvangst bevestigingserver aanwezig is); hij I

I bewaart een door de Stemontvangst bevestigingserver voor hem I

I berekende ontvangstbevestiging (Sign (Kconf, RnPID). I

30 · Herhaalt bij twijfel of storingen van het proces of enig I

I onderdeel daarvan zijn stemprocedure als hiervoor beschreven I

I 1023881 - 15 • Stemt eventueel bij onmogelijkheid dit via het netwerk te doen per post met behulp van zijn Poststembiljet.

• Weet, dat bij het meermalen indienen van zijn virtuele stembiljet deze als één telt als allen voor dezelfde kandidaat Cx 5 zijn uitgebracht en als ongeldig als ze voor verschillende kandidaten zijn uitgébracht o Stembureau (ofwel de Stemverwerkingcentrale, eventueel als taak uitbesteed aan een Onafhankelijke Vertrouwde Derde Partij (TTP))

Vervult de rol in de communicatie met de kiezer als hiervoor 10 beschreven

Ontvangt ieder virtuele stembiljet als vertrouwelijke informatie, ontdoet deze van iedere tijd- en netwerkinformatie, berekent RnPID = MDC (VnPID), geeft RnPID met het ontvangen virtuele stembiljet door aan de Stemontvangst- 15 bevestigingserver en slaat het virtuele stembiljet zelf als vertrouwelijke informatie op in een vertrouwelijk Ontvangen Netwerk Stemmen bestand

Zorgt dat de Stemontvangst-bevestigingserver voortdurend alle ontvangen RnPID’s na een (kort) tijdsinterval publiceert en 20 kwiteert bij opvragen

Verwerkt de (tijdig) binnengekomen Poststembiljetten met dezelfde berekening als die voor de elektronisch uitgebrachte stemmen, voegt deze poststemmen toe aan een vertrouwelijk Ontvangen Post Stëmmen-bestand 25 o Het Toezichthoudend en controlerend orgaan stelt vast of het

Stembureau zijn taken correct vervult en bereikbaar is voor alle kiezers o De Centrale verkiezingscommissie heeft geen specifieke taak tijdens het verkiezingsvenster zelf • Uitslagfase 30 o Het Stembureau (of wel de Stemverwerkingcentrale) 1023861a

16 I

Sluit de toegang tot het Ontvangen Netwerk Stemmen bestand I

aan het eind van de verkiezingen en publiceert dit I

Sluit de toegang tot het Ontvangen Post Stemmen-bestand aan I

het eind van de verkiezingen of de tijdige inzendtermijn en I

5 publiceert dit I

Publiceert statistische informatie over ontvangen stemmen, I

kiezers, RnPED’s en Poststembiljetten I

o De Centrale verkiezingscoxnmissie (en ieder ander) I

berekent nu de uitslag als volgt: I

10 · Berekent alle Ontvangen Post Stemmen en Ontvangen I

Netwerk Stemmen om naar Ontvangen Stem-referenties I

RnRecVote, door ieder virtuele stembiljet om te I

rekenen volgens de berekening RnRecVote = [MDC I

(VnPID)] // [MDC (VnCx)] I

15 · Zoekt in het uitslagreferentiebestand met RnRecVote de I

daar aanwezige RnPotVote gegevens I

• Ontdubbelt (dezelfde RnPID en RnCx combinatie komt I

meerdere malen voor) en verwijdert onduidelijke keus I

stemmen (twee of meer RnPED’s met verschillende, op I

20 zich geldige RnCx combinaties komen voor) I

• Zoekt in het uitslag referentiebestand met RnRecVote I

de daar aanwezige RnPotVote gegevens op en bepaalt I

zo voor welke Kandidaat deze stem telt I

Publiceert de verkiezingsuitslag en start daarmee de uitslag I

25 beroepstermijn (om kiezers en derden in staat te stellen de I

uitslag zelf te berekenen en daarna eventueel protest aan te I

tekenen) I

Ontvangt tijdens de uitslag beroepstermijn klachten van kiezers I

over door hun uitgebrachte stemmen die niet voorkomen in de I

30 Ontvangen Stemmen bestanden, terwijl ze wel over een geldige I

ontvangstbevestiging van de stem bevestigingserver beschikken I

1023861- I

17

Verklaart de uitslag als correct na afloop van de uitslag beroepstermijn, indien geen geldige klachten zijn binnengekomen

Verklaart de uitslag als ongeldig na afloop van de uitslag 5 beroepstermijn, indien geldige klachten zijn binnengekomen (de verkiezingen zullen opnieuw moeten worden gehouden) o De kiezer zelf controleert - desgewenst - of zijn sten, waarvoor hij een ontvangstbevestiging heeft ontvangen, daadwerkelijk voorkomt in de gepubliceerde Ontvangen Stemmen bestanden; indien onjuist, dan 10 dient hij een klacht in o Derden en de kiezer zelf controleren de uitslagberekening met behulp van de gepubliceerde informatie; indien onjuist, dan dienen zij een klacht in.

o Het Toezichthoudend en controlerend orgaan 15 Controleert de berekeningen van het stembureau op correctheid en plausibiliteit

Controleert de juiste afwikkeling van de klachten tijdens de uitslagberoepstermijn

Verklaart op grond daarvan of een door de Centrale 20 veridezingscommissie correct bevonden uitslag ook daadwerkelijk bindend is.

Een uitvoeringsvorm van het elektronische verkiezingssysteem volgens de uitvinding is zodanig ingericht dat de Stemontvangst-bevestigingserver de anonimiteit van de kiezer beschermt door op ieder verzoek van een kiezer een groep 25 RnPID’s te verstrekken i.p.v. alleen de RnPID van de kiezer.

Een andere uitvoeringsvorm van het elektronische verkiezingssysteem volgens de uitvinding is voorzien van middelen voor iedere individuele kiezer om, voorafgaand aan de verkiezing, de faciliteiten te testen met behulp van een teststem en een verdere controle door de kiezer in de vooraf 30 gepubliceerde referentie-uitslag van de kiezer.

Asymmetrisch sleutelgebruik van geheime DES- of 3DES-transportsleutels en KEKctrl kan worden toegepast op basis van de Control Vector- 1023861-

18 I

architectuur voor DES of een vergelijkbare oplossing. Daarmee kunnen risico’s over I

het in verkeerde handen raken van Kp aanzienlijk worden beperkt en beheerst I

Elektronische verkiezingssystemen op basis van een DES-virtueel I

stembiljet aangeduid met DVSS, met de hierboven beschreven opbouw hebben de I

5 volgende eigenschappen: I

1. Relatief eenvoudig verkiezingssysteem, dat volledig is te realiseren binnen op I

dit moment op grote schaal aanwezige technische voorzieningen (Internet- I

browsers, DES en 3DES smartcards, GSM-telefoons met SIM-kaarten die I

DES- en 3DES-berekeningen doen en eenvoudig met SIM Tool Kit van I

10 nieuwe functies kunnen worden voorzien). I

2. Verkiezingsprotocol is gebaseerd op bekende, reeds gestandaardiseerde I

cryptografische functionaliteit (MAC en MDC) van een symmetrische I

algoritme. Door toepassing van deze functies op een andere wijze, dan tot nu I

voorzien, worden voor dit verkiezingsprotocol functies gecreëerd, waarvoor I

15 normaal publieke sleutel algoritmen toegepast zouden moeten worden. I

Aangezien de laatste technische faciliteiten vereisen, die grootteorden liggen I

boven die voor een symmetrisch algoritme, is toepassing daarvan binnen de

huidige infrastructuren praktisch onmogelijk of ongewenst I

3. Door de eenvoudige opzet is het systeem geheel als “store-and-forward” I

20 systeem op te zetten (via SMS bij GSM-telefoon of eenvoudige server I

contacten bij gebruik van Intemetservers en -clients). Daarmee is het systeem I

met eenvoudige middelen op grote schaal inzetbaar, is extra of reserve I

capaciteit eenvoudig te realiseren en is het systeem inherent ongevoelig voor I

aanvallen of allerlei vormen van misbruik. I

25 4. Gestemd wordt met behulp van een virtueel stembiljet dat alleen door de I

kiezer zelf kan worden berekend. Het systeem is in staat meerdere virtueel I

stembiljetten van dezelfde kiezer als één stem te herkennen. Daarmee is het I

mogelijk om op eenvoudige wijze het systeem ongevoelig te maken voor I

storingen of interrupties en mag de kiezer bij twijfel zijn (zelfde) stem I

30 nogmaals uitbrengen, zelfs met een andere techniek als waarmee hij het de I

eerste maal deed. I

5. Openbare controle op het verkiezingssysteem is (op grote schaal) mogelijk. I

1023861- I

19 6. Er is een volledige scheiding tussen bij de verkiezing betrokken partijen, zoals die van organisator, stembureau, controleorgaan, kandidaat en kiezer.

7. Het systeem voldoet aan alle eisen, die daaraan bij verkiezingen voor overheidsorganen worden gesteld of kan daar op eenvoudige wijze aan 5 voldoen.

8. Individuele cryptografische stemberekening per stemgerechtigde wordt uitgevoerd door de standaard Intemetbrowser zonder verdere bijzondere Internet technologie, anders dan toepassing van een script-taal in die browser, waarbij alle geheime, individuele, maar onpersoonlijke informatie uitsluitend 10 door hemzelf via het toetsenbord wordt ingegeven en de betrokken Internet server, die de verkiezingen verzorgt, uitsluitend algemene, niet vertrouwelijke informatie verstrekt.

9. Controle op voorbereiding, plausibiliteit, telling en uitslag door een ieder, onafhankelijk van de organisator van de verkiezingen.

15 10. Controle voor individuele stemgerechtigde op correcte verwerking van zijn stem in de uitslag, onafhankelijk van de organisator van de verkiezingen.

11. Het verkiezingssysteem maakt combinaties met andere vormen van stemmen (zoals bijvoorbeeld stemmen per stembus, per post, per (GSM) telefoon met SMS mogelijk, zonder dat de stemgerechtigde vooraf zijn keuze kenbaar 20 maakt;· het systeem staat toe, dat een stemgerechtigde zijn stem langs verschillende kanalen uitbrengt, waarbij - als dat correct is gebeurd - dat toch maar als één stem telt 12. De stemgerechtigde stemt op basis van een hem verstrekt Poststembiljet of Stemkaart (hierna aangeduid als “stembescheiden”), waarop zich alle geheime, 25 individuele, maar onpersoonlijke informatie bevindt die hij nodig heeft om zijn stem uit te brengen; de stembescheiden kunnen de stemgerechtigde per post worden toegezonden.

13. Het verkiezingssysteem heeft sterke eigenschappen, die de invloed van storingen of onderbrekingen van of aanvallen op Internet of netwerk of cliënt 30 of server componenten minimaliseren, dan wel eenvoudige vormen van back- up/vervanging toestaan.

1023861-

20 I

14. Het verkiezingssysteem staat toe dat een stemgerechtigde zijn keuze voor een I

kandidaat meer dan éénmaal doorgeeft, bijvoorbeeld om te compenseren voor I

storingen of overbelasting van Internet; daarbij kan deze ook besluiten zijn I

keuze d.m.v. een andere techniek kenbaar te maken (die voor deze verkiezing I

S is toegestaan, bijvoorbeeld een poststem). I

• Het systeem biedt daarmee een hoge weerstand tegen storingen en I

onderbrekingen van een netwerk als Internet. I

• Het systeem staat toe dat de servers, die belast zijn met het ontvangen van I

de stemmen op meerdere plaatsen en netwerklocaties kunnen worden I

10 ingericht, zonder dat daartoe speciale voorzieningen nodig zijn om de I

uitgebrachte stemmen na afloop te kunnen consolideren I

• Het systeem staat toe dat bij storingen, onderbrekingen of herstarts van I

enig bij de verkiezing betrokken server men niet hoeft te voorkomen dat I

individuele stemmen dubbel voorkomen; alle reeds in buffers van servers I

15 aanwezige stemmen kunnen eenvoudig worden doorgezonden naar de I

server(s) waarin alle stemmen worden verzameld; er is namelijk geen I

risico van dubbeltellingen. I

15. Het verkiezingssysteem kent een kritische initialisatiefase, maar deze is I

eenvoudig te isoleren op een aparte, off-line server of PC in een geïsoleerde I

20 ruimte, eventueel uitbesteed aan of bediend door een Onafhankelijke I

Vertrouwde Derde Partij (TTP); zowel de invoer als de uitvoer van dit I

initialisatie proces omvatten geen vertrouwelijke gegevens, anders dan de I

gegevens van de af te drukken stembescheiden na. Deze dienen volgens de bij I

poststemmingen gebruikelijke procedures aan een vertrouwde drukker, die I

25 normaal diensten aanbiedt bij poststemmen, ter hand te worden gesteld. I

16. Het Verkiezingssysteem staat toe meerdere kanalen voor de stemgerechtigde I

te implementeren om zijn stem uit te brengen, waaronder I

o zijn Intemet-PC met toetsenbord en beeldscherm, via een hem I

toegezonden stembescheiden I

30 o zijn Intemet-PC met toetsenbord, beeldscherm en gekoppelde I

chipkaartlezer, via een 3DES chipkaart, die reeds in zijn bezit is en die I

f023861·* I

21 automatisch wordt voorzien van de voor de verkiezing noodzakelijke geheime, individuele, maar onpersoonlijke gegevens o zijn Intemet-PC met toetsenbord, beeldscherm en niet gekoppelde chipkaartlezer, via zijn bankkaart met ChipKnip-technologie en hem 5 toegezonden stembescheiden o Via zijn GSM-telefoon, een daarmee te maken SMS-bericht en hem toegezonden stembescheiden o Via zijn moderne telefoon die SMS toestaat, een daarmee te maken SMS-bericht en hem toegezonden stembescheiden 10 o Via zijn GSM-telefoon, een daarmee uit te voeren WAP-conversatie en hem toegezonden stembescheiden o Via een hem vooraf verstrekt, individueel stembiljet, dat door hem per \ post kan worden ingezonden o Via een hem vooraf verstrekt, individueel stembiljet, dat door hem in 15 een stembus kan worden gedeponeerd.

i | 1023861“

Claims

22 I CONCLUSIES I I. Elektronisch verkiezingssysteem voor het verzamelen en tellen van I stemmen van individuele kiezers die gebruikmaken van een elektronisch stemapparaat I S in een verkiezing met een lijst van te kiezen onderwerpen waaruit een onderwerp I wordt gekozen door een individuele kiezer waarbij de stemmen worden verzonden I door middel van een datanetwerk, omvattende: I middelen voor het genereren van een unieke persoonlijke sleutel I voor iedere kiezer op een lijst van voor de verkiezing ingeschreven kiezers, welke I 10 unieke persoonlijke sleutel aan de individuele kiezer wordt verstrekt; I middelen voor het genereren van een unieke onderwerpcode voor I ieder onderwerp op de lijst van te kiezen onderwerpen; I middelen voor het genereren van een referentie-uitslag voor iedere I individuele kiezer bevattende alle virtuele stembiljetten voor de individuele kiezer, I 15 waarbij een unieke kiezerreferentie-identiteit wordt berekend uit een unieke I verkiezingscode voor de verkiezing en de unieke persoonlijke sleutel van de kiezer, I waarbij voor ieder onderwerp op de lijst van de door de kiezer te kiezen onderwerpen I een unieke onderwerp-referentie-identiteit wordt berekend uit de unieke I onderwerpcodes en de unieke persoonlijke sleutel van de kiezer en waarbij de I 20 berekende referentie-identiteiten deel uitmaken van de virtuele stembiljetten; I middelen voor het opslaan van de referentie-uitslagen van de I individuele kiezers; I middelen voor het laden van instructies in het stemapparaat van de I individuele kiezer om het stemapparaat in te richten voor het berekenen van een I 25 unieke kiezeridentiteit uit de unieke verkiezingscode voor de verkiezing en de unieke I persoonlijke sleutel van de kiezer die aan de kiezer is verstrekt, voor het berekenen I van een unieke onderwerpidentiteit van het door de kiezer gekozen onderwerp uit de I unieke onderwerpcode van het gekozen onderwerp en de unieke persoonlijke sleutel I van de kiezer en voor het genereren van het virtuele stembiljet met de, met I 30 gebruikmaking van het stemapparaat berekende identiteiten; I middelen om het virtuele stembiljet door het stemapparaat te I verzenden over het datanetwerk; I 1023861- I middelen voor het ontvangen en verzamelen van het door het stemapparaat verzonden virtuele stembiljet; middelen voor het verifiëren van elk verzameld virtueel stembiljet met betrekking tot de aanwezigheid in de referentieuitslagen van de kiezers; ! 5 middelen voor het tellen van de stemmen; middelen voor het vaststellen van de verkiezingsuitslag, gekenmerkt door middelen voor het valideren van de stemmen van de ontvangen virtuele stembiljetten, welke middelen zodanig zijn ingericht dat, wanneer een stel van twee of meer virtuele stembiljetten met een identieke kiezeridentiteit is verzameld, een 10 virtueel stembiljet van het stel wordt gevalideerd als een geldige stem van de betreffende kiezer en de overige virtuele stembiljetten worden aangemerkt als duplicaat, mits de virtuele stembiljetten van het stel identiek zijn voor het door de kiezer gekozen onderwerp, anders worden alle virtuele stembiljetten van het stel aangemerkt als ongeldig.
2. Elektronisch verkiezingssysteem voor het verzamelen en tellen van stemmen van individuele kiezers die gebruikmaken van een elektronisch stemapparaat in een verkiezing met een lijst van te kiezen onderwapen waaruit een combinatie van onderwerpen wordt gekozen door een individuele kiezer waarbij de stemmen worden verzonden door middel van een datanetwerk, omvattende 20 middelen voor het genereren van een unieke persoonlijke sleutel voor iedere kiezer op een lijst van voor de verkiezing ingeschreven kiezers, welke unieke persoonlijke sleutel aan de individuele kiezer wordt verstrekt; middelen voor het genereren van een unieke combinatiecode voor iedere combinatie van onderwerpen op de lijst van te kiezen onderwerpen; 25 middelen voor het genereren van een referentie-uitslag voor iedere individuele kiezer bevattende alle virtuele stembiljetten voor de individuele kiezer, waarbij een unieke kiezerreferentie-identiteit wordt berekend uit een unieke veririezingscode voor de verkiezing en de unieke persoonlijke sleutel van de kiezer, waarbij voor iedere combinatie van onderwerpen op de lijst van de door de kiezer te 30 kiezen onderwerpen een unieke combinatiereferentie-identiteit wordt berekend uit de unieke combinatiecode en de unieke persoonlijke sleutel van de kiezer en waarbij de berekende referentie-identiteiten deel uitmaken van de virtuele stembiljetten; 1023881-
24 I middelen voor het opslaan van de referentie-uitslagen van de I individuele kiezers; I middelen voor het laden van instructies in het stemapparaat van de I individuele kiezer om het stemapparaat in te richten voor het berekenen van een I 5 unieke kiezeridentiteit uit de unieke verkiezingscode voor de verkiezing en de unieke I persoonlijke sleutel van de kiezer die aan de kiezer is verstrekt, voor het berekenen I van een unieke combinatie-identiteit van de door de kiezer gekozen combinatie van I onderwerpen uit de unieke combinatiecode van de gekozen combinatie van I onderwerpen en de unieke persoonlijke sleutel van de kiezer en voor het genereren I 10 van het virtuele stembiljet met de, met gebruikmaking van het stemapparaat I berekende identiteiten; I middelen om het virtuele stembiljet door het stemapparaat te I verzenden over het datanetwerk; I middelen voor het ontvangen en verzamelen van het door het I 15 stemapparaat verzonden virtuele stembiljet; I middelen voor het verifiëren van elk verzameld virtueel stembiljet I met betrekking tot de aanwezigheid in de referentie-uitslagen van de kiezers; I middelen voor het tellen van de stemmen; I middelen voor het vaststellen van de verkiezingsuitslag, gekenmerkt I 20 door middelen voor het valideren van de stemmen van de ontvangen virtuele I stembiljetten, welke middelen zodanig zijn ingericht dat wanneer een stel van twee of I meer virtuele stembiljetten met een identieke kiezeridentiteit is verzameld, een I virtueel stembiljet van het stel wordt gevalideerd als een geldige stem van de I betreffende kiezer en de overige virtuele stembiljetten worden aangemerkt als I 25 duplicaat, mits de virtuele stembiljetten van het stel identiek zijn voor de door de I kiezer gekozen combinatie van onderwerpen, anders worden alle virtuele I stembiljetten van het stel aangemerkt als ongeldig. I
3. Elektronisch verkiezingssysteem volgens conclusie 1 of 2, met het I kenmerk, dat de middelen voor het valideren van de stemmen deel uitmaken van de I 30 middelen voor het verifiëren van de ontvangen virtuele stembiljetten. I 1023061- I
4. Elektronisch verkiezingssysteem volgens conclusie 1 of 2, met het kenmerk, dat de middelen voor het valideren van de stemmen deel uitmaken van de middelen voor het tellen van de stemmen.
5. Elektronisch verkiezingssysteem volgens een van de voorgaande 5 conclusies, gekenmerkt door middelen voor het genereren van een ontvangstbewijs waarin is aangeduid dat een virtueel stembiljet van het stemapparaat van de kiezer is ontvangen en middelen voor het leveren van het ontvangstbewijs met een unieke ontvangstbevestigingswaarde in leesbare vorm aan het stemapparaat van de kiezer.
6. Elektronisch verkiezingssysteem volgens een van de voorgaande 10 conclusies, gekenmerkt door middelen voor het openbaar maken van de lijst van voor de verkiezing ingeschreven kiezers, de lijst van te kiezen onderwerpen en de referentie-uitslagen van de individuele kiezers om gelegenheid te geven voor algemeen onderzoek voorafgaand aan de verkiezing en middelen voor iedere individuele kiezer om de referentie-uitslag van de individuele kiezer te onderzoeken.
7. Elektronisch verkiezingssysteem volgens conclusie 5 of 6 in afhankelijkheid van conclusie 5, gekenmerkt door middelen voor het openbaar maken van de verkiezingsuitslag bevattende de geldige stemmen die na het verifiëren en het valideren zijn toegekend voor de verzamelde virtuele stembiljetten om gelegenheid te geven voor algemeen onderzoek, en middelen voor iedere individuele kiezer om met 20 gebruikmaking het verkregen ontvangstbewijs dé aanwezigheid van het door het stemapparaat van de kiezer verzonden virtueel stembiljet te onderzoeken.
8. Elektronisch verkiezingssysteem volgens een van de voorgaande conclusies, gekenmerkt door communicatiemiddelen voor het communiceren van de unieke persoonlijke sleutel naar iedere kiezer op de lijst van voor de verkiezing 25 ingeschreven kiezers, welke communicatiemiddelen tenminste een uit de groep bevattende middelen voor het elektronisch opslaan van de unieke persoonlijke sleutel in een chipkaart van de kiezer, data-communicatiemiddelen voor het communiceren van de unieke persoonlijke sleutel naar de kiezer zoals het Internet of een vast en/of mobiel datacommunicatienetwerk, waaronder een Short Message Service, en 30 middelen voor het verschaffen van de unieke persoonlijke sleutel in een voor mensen en/of machines leesbare vorm op een fysieke drager, zoals een tekstbericht op papier voor communicatie per post naar de kiezer, omvatten. 1023861-
26 I
9. Elektronisch verkiezingssysteem volgens conclusie 8, met het I kenmerk, dat het stemapparaat is ingericht om werkzaam te zijn verbonden met I middelen voor het invoeren van data, welke invoermiddelen tenminste een uit de I groep bevattende een chipkaartlezer, een toetsenbord, een muis, een scherm, een I 5 streepjescode-lezer en spraakomzettingsmiddelen, omvatten. I
10. Elektronisch verkiezingssysteem volgens een van de voorgaande I conclusies, met het kenmerk, dat de middelen voor het ontvangen en verzamelen van I virtuele stembiljetten zijn ingericht voor het ontvangen en verzamelen van virtuele I stembiljetten die anders dan door het stemapparaat van de kiezer zijn verzanden, zoals I 10 fysieke stembiljetten die per post zijn ontvangen en in virtuele stembiljetten zijn I omgezet door middelen voor het automatisch lezen en omzetten van stembiljetten. I
11. Elektronisch verkiezingssysteem volgens een van de voorgaande I conclusies in afhankelijkheid van conclusie 1, met het kenmerk, dat de middelen voor I het genereren van een unieke onderwerpcode voor ieder onderwerp op de lijst van te I 15 kiezen onderwerpen voor de verkiezing, de middelen voor het genereren van een I unieke persoonlijke sleutel en de middelen voor het genereren van een referentie- I uitslag voor iedere kiezer op de lijst van de voor de verkiezing ingeschreven kiezers I zijn voorzien van middelen voor het uitvoeren van cryptografische bewerkingen en I berekeningen. I
12. Elektronisch verkiezingssysteem volgens een van de voorgaande I conclusies in afhankelijkheid van conclusie 2, met het kenmerk, dat de middelen voor I het genereren van een unieke combinatiecode voor iedere combinatie van I onderwerpen op de lijst van te kiezen onderwerpen voor de verkiezing, de middelen I voor het genereren van een unieke persoonlijke sleutel en de middelen voor het I 25 genereren van een referentie-uitslag voor iedere kiezer op de lijst van voor de I verkiezing ingeschreven kiezers zijn voorzien van middelen voor het uitvoeren van I cryptografische bewerkingen en berekeningen. I
13. Elektronisch verkiezingssysteem volgens conclusie 15 of 16, met I het kenmerk, dat de middelen voor het uitvoeren van cryptografische bewerkingen en I 30 berekeningen zijn ingericht voor symmetrische encryptie. I
14. Elektronisch verkiezingssysteem volgens een van de voorgaande I conclusies, met het kenmerk, dat middelen voor het bij het stemapparaat van de kiezer I 1023861- I aanbieden van de lijst onderwerpen waarvan een onderwerp of combinatie van onderwerpen door de kiezer wordt gekozen met het stemapparaat, de middelen voor het laden van de instructies in het stemapparaat van de kiezers, de middelen voor het ontvangen en verzamelen van het door het stemapparaat verzonden virtuele stembiljet 5 en de ontvangstbevestigingsmiddelen worden ondersteund door een computersysteem met tenminste een computerserver.
15. Elektronisch verkiezingssysteem volgens een van de voorgaande conclusies, met het kenmerk, dat de middelen voor het laden van de instructies in het stemapparaat van een kiezer, de middelen voor het ontvangen en verzamelen van het 10 door het stemapparaat verzonden virtuele stembiljet, de ontvangstbevestigingsmiddelen en het stemapparaat, zijn ingericht om met elkaar of afzonderlijk te voorzien in beveiligde datatransmissie over het datanetwerk.
16. Elektronisch verkiezingssysteem volgens een van de voorgaande conclusies, met het kenmerk, dat de middelen voor het genereren van de unieke 15 persoonlijke sleutel voor iedere individuele kiezer, de middelen voor het genereren van de unieke onderwerpcode of de unieke combinatiecode voor ieder onderwerp of combinatie van onderwerpen van de lijst van in de verkiezing te kiezen onderwerpen, de middelen voor het genereren van de referentie-uitslag voor iedere kiezer op de lijst van de voor de verkiezing ingeschreven kiezers, de middelen voor het verifiëren van 20 het verzamelde virtuele stembiljet van de kiezer met betrekking tot de aanwezigheid in de referentie-uitslag van de kiezer, de middelen voor het. valideren van de verzamelde virtuele stembiljetten, de middelen voor het tellen van de stemmen en de middelen voor het vaststellen van de verkiezingsuitslag op basis van de getelde stemmen worden ondersteund door een computersysteem dat is ingericht om te 25 worden bedreven onder supervisie van een onafhankelijke toezichthouder.
17. Elektronisch verkiezingssysteem volgens een van de voorgaande conclusies, met het kenmerk, dat het stemapparaat tenminste een uit de groep bevattende een persoonlijke computer en vaste en mobiele communicatie-apparaten voor het verschaffen van toegang tot het datanetwerk, omvat
18. Werkwijze voor een elektronische verkiezing voor het verzamelen en tellen van de stemmen van individuele kiezers die gebruikmaken van een elektronisch stemapparaat in een verkiezing met een lijst van te kiezen onderwerpen >23861*
28 I waaruit een onderwerp wordt gekozen door een individuele kiezer, en de stemmen I worden verzonden door middel van een datanetwerk, omvattende de stappen van: I het genereren van een unieke persoonlijke sleutel voor iedere I individuele kiezer op een lijst van voor de verkiezing ingeschreven kiezers; I 5 het verstrekken van de unieke persoonlijke sleutel aan de I individuele kiezer, I het genereren van een unieke onderwerpcode voor ieder onderwerp I op de lijst van in de verkiezing te kiezen onderwerpen; I het genereren van een referentie-uitslag voor iedere individuele I 10 kiezer bevattende alle mogelijke virtuele stembiljetten voor de individuele kiezer, I waarbij voor ieder individuele kiezer een unieke kiezerreferentie-identiteit wordt I berekend uit een unieke code voor de verkiezingen en de unieke persoonlijke sleutel I van de kiezer, voor ieder onderwerp op de lijst van te kiezen onderwerpen een unieke I onderwerp referentie-identiteit wordt berekend uit de unieke onderwerpcodes en de I 15 unieke persoonlijke sleutel van de kiezer, waarbij de berekende referentie-identiteiten I deel uitmaken van de virtuele stembiljetten; I het opslaan van de referentie-uitslagen van de individuele kiezers; I het laden van instructies in het stemapparaat van de kiezer, I het kiezen van een onderwerp uit de lijst van te kiezen onderwerpen I 20 met gebruikmaking van het stemapparaat van de individuele kiezer door de unieke I persoonlijke sleutel, die aan de kiezer is verstrekt, en de unieke onderwerpcode voor I het gekozen onderwerp in te voeren in het stemapparaat; I het genereren van een virtueel stembiljet met gebruikmaking van de I in het stemapparaat geladen instructies, waarbij een unieke kiezeridentiteit wordt I 25 berekend uit de unieke code van de verkiezing en de unieke pasoonlijke sleutel van I de kiezer en een unieke onderwerpidentiteit wordt berekend uit de unieke I onderwerpcode van het gekozen onderwerp en de unieke persoonlijke sleutel van de I kiezer en waarbij de berekende identiteiten deel uitmaken van het virtueel stembiljet; I het verzenden van het virtueel stembiljet over het datanetwerk; I 30 het ontvangen en verzamelen van het door het stemapparaat I verzonden stembiljet; I 1023861- I het verifiëren van het verzameld virtueel stembiljet met betrekking tot de aanwezigheid in de referentie-uitslagen van de kiezers; het tellen van de stemmen, en het vaststellen van de verkiezingsuitslag op basis de getelde 5 stemmen van de kiezers, gekenmerkt door de stap van het valideren van de stemmen van de verzamelde virtuele stembiljetten op een zodanige wijze dat, wanneer een stel van twee of meer virtuele stembiljetten met een identieke kiezeridentiteit is verzameld, een virtueel stembiljet van het stel wordt gevalideerd als een geldige stem en de overige virtuele stembiljetten van het stel worden aangemerkt als duplicaat, mits 10 de virtuele stembiljetten van het stel identiek zijn voor het door de kiezer gekozen onderwerp, anders worden alle virtuele stembiljetten van het stel aangemerkt als ongeldig.
19. Werkwijze voor een elektronische verkiezing voor het verzamelen en tellen van de stemmen van individuele kiezers die gebruikmaken van een 15 elektronisch stemapparaat in een verkiezing met een lijst van te kiezen onderwerpen waaruit een combinatie van onderwerpen wordt gekozen door een individuele kiezer, en de stemmen worden verzonden door middel van een datanetwerk, omvattende de stappen van: het genereren van een unieke persoonlijke sleutel voor iedere 20 individuele kiezer op een lijst van voor de verkiezing ingeschreven kiezers; het verstrekken van de unieke persoonlijke sleutel aan de individuele kiezer; het genereren van een unieke combinatiecode voor iedere combinatie van onderwerpen op de lijst van in de verkiezing te kiezen onderwerpen; 25 het genereren van een referentie-uitslag voor iedere individuele kiezer bevattende alle mogelijke virtuele stembiljetten voor de individuele kiezer, waarbij voor ieder individuele kiezer een unieke kiezerreferentie-identiteit wordt berekend uit een unieke code voor de verkiezing en de unieke persoonlijke sleutel van de kiezer, voor iedere combinatie van onderwerpen op de lijst van te kiezen 30 onderwerpen een unieke combinatiereferentie-identiteit wordt berekend uit de unieke combinatiecodes en de unieke persoonlijke sleutel van de kiezer, waarbij de berekende referentie-identiteiten deel uitmaken van de virtuele stembiljetten; 1023861-
30 I het opslaan van de referentie-uitslagen van de individuele kiezers; I het laden van instructies in het stemapparaat van de kiezer, I het kiezen van een combinatie van onderwerpen uit de lijst van te I kiezen onderwerpen met gebruikmaking van het stemapparaat van de individuele I 5 kiezer door de unieke persoonlijke sleutel, die aan de kiezer is verstrekt, en de unieke I combinatiecode voor de gekozen combinatie van onderwerpen in te voeren in het I stemapparaat; I het genereren van een virtueel stembiljet met gebruikmaking van de I in het stemapparaat geladen instructies, waarbij een unieke kiezeridentiteit wordt I 10 berekend uit de unieke code van de verkiezing en de unieke persoonlijke sleutel van I de kiezer en een unieke combinatie-identiteit wordt berekend uit de unieke I combinatiecode van de gekozen combinatie van onderwerpen en de unieke I persoonlijke sleutel van de kiezer en waarbij de berekende identiteiten deel uitmaken I van het virtueel stembiljet; I 15 het verzenden van het virtueel stembiljet over het datanetwerk; I het ontvangen en verzamelen van het door het stemapparaat I verzonden stembiljet; I het verifiëren van het verzameld virtueel stembiljet met betrekking I tot de aanwezigheid in de referentie-uitslagen van de kiezers; I 20 het tellen van de stemmen, en I het vaststellen van de verkiezingsuitslag op basis de getelde I stemmen van de kiezers, gekenmerkt door de stap van het valideren van de stemmen I van de verzamelde virtuele stembiljetten op een zodanige wijze dat, wanneer een stel I van twee of meer virtuele stembiljetten met een identieke kiezeridentiteit is I 25 verzameld, een virtueel stembiljet van het stel wordt gevalideerd als een geldige stem I en de overige virtuele stembiljetten van het stel worden aangemerkt als duplicaat, mits I de virtuele stembiljetten van het stel identiek zijn voor de door de kiezer gekozen I combinatie van onderwerpen, anders worden alle virtuele stembiljetten van het stel I aangemerkt als ongeldig. I
20. Werkwijze voor een elektronische verkiezing volgens conclusie 18 I of 19, gekenmerkt door de stap van het genereren van een ontvangstbewijs met een I unieke ontvangstbevestigingswaarde in leesbare vorm om aan te duiden dat een over I f023801- I het datanetwerk verzonden virtueel stembiljet is ontvangen en waarbij het ontvangstbewijs wordt geleverd aan het stemapparaat van de kiezer.
21. Werkwijze voor een elektronische verkiezing volgens een van de conclusies 18 tot en met 20, gekenmerkt door de stap van het openbaar maken van de 5 lijst van voor de verkiezing ingeschreven kiezers, de lijst van de te kiezen onderwerpen in de verkiezing, de referentie-uitslagen van de individuele kiezers om gelegenheid te geven voor algemeen onderzoek voorafgaand aan de verkiezing en de stap van het verschaffen van middelen voor iedere individuele kiezer om de referentie-uitslag van de individuele kiezer te onderzoeken.
22. Werkwijze voor een elektronische verkiezing volgens een van de conclusies 20 of 21 in afhankelijkheid van conclusie 20, gekenmerkt door de stap van het openbaar maken van de verkiezingsuitslag bevattende de geldige stemmen die na het verifiëren en het valideren zijn toegekend voor de verzamelde virtuele stembiljetten om gelegenheid te geven voor algemeen onderzoek, en de stap van het IS verschaffen van middelen voor iedere individuele kiezer om met gebruikmaking van het verkregen ontvangstbewijs de aanwezigheid van het door het stemapparaat van de kiezer verzonden virtueel stembiljet te onderzoeken.
23. Werkwijze voor een elektronische verkiezing volgens een van de voorgaande conclusies 18 tot en met 22, gekenmerkt door de stap van het ontvangen 20 en verzamelen van virtuele stembiljetten die anders dan door het stemapparaat van de kiezer zijn verzonden, zoals stembiljetten die per post worden ontvangen, waarbij de ontvangen fysieke stembiljetten met gebruikmaking van middelen voor het automatisch lezen worden omgezet in virtuele stembiljetten.
24. Werkwijze voor een elektronische verkiezing volgens een van de 25 conclusies 18 tot en met 23, met het kenmerk, dat de unieke identiteit voor ieder onderwerp of iedere combinatie van onderwerpen van de te kiezen onderwerpen, de unieke kiezeridentiteit en de referentie-uitslag voor iedere individuele kiezer op de lijst van voor de verkiezing ingeschreven kiezers cryptografisch worden gegenereerd en berekend.
25. Werkwijze voor een elektronische verkiezing volgens conclusie 24, met het kenmerk, dat de identiteiten en de referentie-uitslag worden gegenereerd en berekend voor symmetrische encryptie. 1023861" I 32 I
26. Werkwijze voor een elektronische verkiezing volgens een van de I I conclusies 18 tot en met 25, met het kenmerk, dat de stappen van het genereren van I I een unieke persoonlijke sleutel voor iedere individuele kiezer op de lijst van voor de I I verkiezing ingeschreven kiezers, de unieke identiteit voor ieder onderwerp of iedere I I 5 combinatie van onderwerpen op de lijst van te kiezen onderwerpen, de referentie- I I uitslag voor iedere individuele kiezer en de stappen van het verifiëren van een I I verzameld virtueel stembiljet van een individuele kiezer met betrekking tot de I I aanwezigheid in de referentie-uitslag van de kiezer, het valideren van de verzamelde I I virtuele stembiljetten, het tellen van de stemmen en het vaststellen van de I I 10 verkiezingsuitslag worden uitgevoerd onder supervisie van een onafhankelijke I I toezichthouder. I
27. Werkwijze voor een elektronische verkiezing volgens een van de I I conclusies 18 tot en met 26, met het kenmerk, dat de stap van het verstrekken van de I I unieke persoonlijke sleutel aan de individuele kiezer op de lijst van voor de verkiezing I I 15 ingeschreven kiezers tenminste een stap omvat uit een groep van stappen omvattende I I het elektronisch opslaan van de unieke persoonlijke sleutel in een chipkaart van de I I kiezer, het aan de kiezer verstrekken van de unieke persoonlijke sleutel door middel I I van een datanetwerk zoals het Internet of een vast en/of mobiel I I datacommunicatienetwerk, waaronder een Short Message Service, SMS, en het I I 20 verschaffen van de unieke persoonlijke sleutel in een voor mensen en/of machines I I leesbare vorm op een fysieke drager, zoals een tekstbericht op papier voor toezending I I per post naar de kiezer. I
28. Werkwijze voor een elektronische verkiezing volgens conclusie 27, I met het kenmerk, dat de fysieke drager geschikt is om te worden gebruikt als fysiek I I 25 stembiljet met de lijst van te kiezen onderwerpen of combinaties van onderwerpen, I I welk stembiljet, nadat de kiezer een keus heeft gemaakt, wordt gedeponeerd bij een I I stembureau. I
29. Werkwijze voor een elektronische verkiezing volgens een van de I I conclusies 18 tot en met 28, met het kenmerk, dat het stemapparaat tenminste een I I 30 omvat van een groep omvattende een persoonlijke computer en vaste en mobiele I I datacommunicatie apparatuur die is ingericht om met gebruikmaking van browser- I I 1023861“ software toegang te verschaffen tot het datanetwerk en waarbij de instructies automatisch van het datanetwerk in het stemapparaat worden geladen.
30. Werkwijze voor een elektronische verkiezing volgens conclusie 29, met het kenmerk, dat het datanetwerk het Internet omvat en het stemapparaat een 5 persoonlijke computer omvat die werkzaam is gekoppeld met het Internet waarbij de instructies in de persoonlijke computer worden geladen door middel van een Java-applet dat is opgenomen in een web-pagina die door de kiezer wordt geselecteerd om deel te nemen aan de verkiezing.
31. Werkwijze voor een elektronische verkiezing volgens conclusie 30, 10 met het kenmerk, dat het stemapparaat GSM-communicatieapparatuur met een Subscriber Identity Module-SIM-kaart omvat en waarbij de instructies in de SIM-kaart van de communicatieapparatuur worden geladen voor een kiezer die met gebruikmaking van genoemde communicatieapparatuur deelneemt aan de verkiezingen.
32. Computerprogramma-product omvattende programmacodemiddelen die zijn opgeslagen op een voor een computer leesbaar medium voor het verrichten van de of een deel van de stappen van de werkwijze volgens conclusies 18 tot en met 31, indien geladen in het intern werkgeheugen van de computer en uitgevoerd door de computer.
33. Computerprogramma-product omvattende programmacodemiddelen die zijn opgeslagen op een voor een computer leesbaar medium, ingericht als een stel instructies die worden geladen in een computerprogramma dat werkzaam is op een door een computer gestuurd stemapparaat voor het verrichten van de stappen volgens een van de conclusies 18, 19 en 29 tot en met 31, indien geladen in een intem 25 werkgeheugen van de computer en uitgevoerd door de computer. 1023801-