De stemmachine en het rode potlood
De gemeenteraadsverkiezingen in Nederland zijn voorbij en partijen schikken zich langzaam naar hun nieuwe positie. Wonden worden gelikt of portefeuilles verdeeld. Nee, ik ga het niet over de uitslag hebben. Daar is in de media al voldoende over verteld en tenslotte is dit niet een politieke weblog. Maar ik keek wel op van het kleine aantal gemeenten dat nog gebruik maakt van het rode potlood. 13, als ik het afgelopen dinsdag op de televisie goed gehoord heb. De overigen hebben het potlood ingeruild voor de stemmachine.
Als softwareprogrammeur en technisch onderlegd iemand heb ik altijd een vreemd gevoel bij een stemmachine. Wie heeft dat ding geprogrammeerd, zitten er misschien fouten in? Een dergelijk apparaat wordt minder dan één keer per jaar uit de mottenballen gehaald. Stel je nu voor dat een programmeur bij de laatste update een klein foutje heeft gemaakt en die komt er pas uit bij de stemming zelf—of erger, die fout komt er helemaal niet uit en wordt ongezien in de uitslagen meegenomen?
En dan is er nog het punt van terugverdientijd. Zo’n apparaat kost veel geld en dat is jammer voor iets dat minder dan één keer per jaar wordt gebruikt. En eeuwen meegaan doen ze ook niet. Een doosje rode potloden kun je op de plank leggen voor de volgende verkiezingen. Als de muizen er in de tussentijd niet aan knabbelen zijn ze bij de volgende stemronde weer als nieuw. Hooguit even een puntje er aan slijpen.
Ik was dan ook blij dat de gemeente Ooststellingwerf waar ik in Nederland nog woonachtig ben behoort tot de laatste groep die de zinloze investering in een stemmachine nog niet gedaan heeft. Ik heb afgelopen dinsdag mijn keuze kenbaar gemaakt door een vakje met een rood potlood in te kleuren. En ik hoop dat nog jarenlang op die manier te mogen blijven doen.
Lammert
Hoi Lammert,
Een stemmachine heeft toch ook z’n voordelen. Als het gaat om fouten in de programmatuur van zo’n machine dan kunnen we er gerust vanuitgaan dat er een risicoanalyse heeft plaatsgevonden waarbij beide stemmethoden met elkaar vergeleken zijn. Wat kan er allemaal niet fout gaan bij een handmatige telling van miljoenen ‘potlood’stemmen? We herinneren ons nog wel de verkiezingsstrijd in 2000 tussen Bush en Gore, waarbij er verscheidene keren hertellingen hebben moeten plaatsvinden en veel stempapiertjes ‘tegen het licht’ gehouden moesten worden omdat niet helemaal duidelijk waar met potlood het kruisje gezet was. Met een stemmachine zal je zoiets niet gebeuren. Natuurlijk kunnen daar ook dingen misgaan - daar zijn voorbeelden van - maar uiteindelijk heb ik toch meer vertrouwen in de stemmachine. Zo’n stemmachine heeft natuurlijk nog meer voordelen, zoals snel het eindresultaat weten. Verdient zo’n ding zich op (de wat langere) termijn niet gewoon terug? Ik heb toch het gevoel dat je bij deze afgelopen gemeenteraadsverkiezingen voor het laatst het rode potlood gehanteerd hebt.
Groeten van Ad, een (inmiddels) trouwe lezer
Reactie door Ad — 10 Maa 2006 @ 20:58
Hallo Ad,
Op het punt van de Florida hertelling moet ik je toch corrigeren. De mensen in Floride stemmen namelijk al jaren met stemmachines, de hertelling die met de hand gebeurde was om de stembriefjes die eerst door de stemmachine waren geteld na te tellen. De ponskaarten worden door de stemcomputer soms fout geinterpreteerd als ze gevouwen zijn, smerig of wanneer het papier niet helemaal uit het gaatje is gedrukt. Dat is waarom een handtelling als controle wordt toegestaan als de einduitslag discutabel is. De mensen in Florida hielden de stembriefjes niet tegen het licht om een kruisje te zien, maar om te zien bij welke presidentskandidaat het gaatje geponst was. Daarom is de Bush-Gore hertelling zo ongeveer het ideale voorbeeld om aan te tonen wat er met een stemmachine mis kan gaan. Bij het Amerikaanse systeem met ponskaarten KAN er nog handmatig nageteld worden en is elke stemming daarom onafhankelijk verifieerbaar. Bij het Nederlandse systeem kan dat niet, vandaar mijn twijfels.
Achtergronden over de hertelling in 2000:
www.salon.com/politics/feature/2000/11/11/tallahassee/print.html
De problemen waren overigens na vier jaar niet opgelost. Dit is een artikel over de nieuwe problemen met electronisch stemmen in Florida bij de presidentsverkiezingen van 2004:
www.fairelections.us/article.php?id=259
Reactie door lammert — 11 Maa 2006 @ 1:47
Allemaal plussen en minnen van elke stemmethode: potlood of machine. De techniek houden we echter niet tegen. Dus dat potlood, hou het melanchologische gevoel maar goed vast. Want het is echt de laatste keer geweest.
Brengt me wel op een aardige uitdaging (voor een softwareprogrammeur en technisch onderlegd iemand;)):
Hoe kunnen we stemmen laagdrempeliger (en betrouwbaar) maken met behulp van internettechnologie. Want momenteel is apathie van de kiezer de grootste uitdaging van de westerse democratien.
De drempel verlagen door vanuit elk willekeurige plek te kunnen stemmen, zal mogelijk helpen deze ontwikkeling te keren. Net als het openlijker voeren van het debat en het scherper formuleren cq uitvoeren van beleid. Alle beetjes helpen.
Als het technisch mogelijk is, kunnen we wellicht referenda ook eenvoudiger en vaker houden (en zitten we allemaal in zekere zin in de tweede kamer).
Groet,
Ed
Reactie door Ed — 12 Maa 2006 @ 20:05
Ed, ik had zelf dit jaar al verwacht in het stemhokje een computer aan te treffen en was daardoor positief verbaasd dat er nog een rood potlood lag. Het is een kwestie van tijd voordat dat potlood verdwijnt, misschien volgend jaar met de tweede kamer verkiezingen al.
Over dat stemmen via internet heb ik al eens zitten nadenken. Het grote probleem zit hem in authenticatie: hoe weet de centrale stemcomputer zeker dat ik het ben die de stem uitbrengt, en dat de volgende stem van een huisgenoot die ook via mijn computer stemt een ander is die zijn eigen stem uitbrengt. Wanneer je dat waterdicht weet te krijgen heb je daarmee ook praktisch automatisch een link gelegd tussen de kiezer en zijn uiteindelijke keuze, en dat is nou juist wat bij het anonieme stemprincipe zoals wij dat in Nederland kennen niet zou moeten kunnen.
Reactie door lammert — 12 Maa 2006 @ 22:46
Via de laatste internet techniek zag ik deze discussie en ik wil daar graag nog een bijdrage aan leveren.
Naar mijn mening kan met alle electronische techniek bij elkaar nimmer een apparaat gemaakt worden waarvan de werking inzichtelijk is voor alle stemgerechtigden. De controlemogelijkheid die stemgerechtigden hebben op de openbare telling bij de papier & potlood methode is niet te realiseren door electronica. Zelfs technisch onderlegde personen hebben geen inzicht in de werking van de stemcomputer want dat is bedrijfsgeheim. Laat staan dat de bakker en de verpleegkundige kunnen begrijpen hoe de telling in zijn werk gaat.
De zekerheid die de begrijpelijkheid en de controle-mogelijkheden van de stembus methode verschaffen is voor velen helaas vervangen door blind vertrouwen in de techniek van de stemcomputer.
Verder is er in Nederland niet eens een mogelijkheid van een hertelling. De stem wordt immers niet schriftelijk uitgebracht, maar “virtueel” - het is uiteindelijk niet meer dan een electrisch pulsje.
Uiteindelijk blijkt de oude vertrouwde manier met de omgebouwde melkbus ongelooflijk geraffineerd, gedegen en betrouwbaar. En er is geen deugdelijke reden om computers te gebruiken voor zo iets simpels als het tellen van een stapel stembiljetten.
Reactie door van drukken — 14 Maa 2006 @ 13:09
Van Drukken, Dacht ik bijna de enige roepende in de woestijn te zijn, blijk er zelfs iemand een blog volledig aan het begrip stemmachine en de potentiële gevaren gewijd te hebben. Controleerbaarheid door de burger is inderdaad een belangrijk punt.
In een “nette” maatschappij als in Nederland zal het mogelijk allemaal nog wel meevallen. De programmeur heeft waarschijnlijk voldoende plichtsbesef om de software zo accuraat mogelijk te houden. Maar dat is niet gezegd voor alle landen, en de betrekkelijke politieke rust die in ons land heerst hoeft er over een aantal jaren niet meer te zijn, waarbij manipulatie van een stemmachine plotseling wel een actueel onderwerp kan worden.
We kennen allemaal de manipulatie van verkiezingsuitslagen in verre landen waarbij dictators 99,7% van de stemmen krijgen. Het gebruik van stemcomputers maakt manipulatie op een veel gerafineerdere manier mogelijk. Als programmeur is het een fluitje van een cent om een stemprogramma zo te schrijven dat het totaal aantal stemmen gelijk blijft, maar de verhouding van de stemmen verschuift. Hier een paar stemmen erbij, daar een paar stemmen er af. Iets wat achteraf van buiten nooit meer te controleren valt omdat er geen enkele onafhankelijk controleerbare informatie is zoals die er nu nog wel is met stembriefjes.
In Kazachstan waar ik tegenwoordig half woon heb ik een jaartje geleden parlementsverkiezingen gemaakt. Ook daar maakten ze gebruik van de papieren stemming met zelfs nog een extra transparantie. De in Nederland gebruikte melkbus was daar vervangen door een grote plexiglazen doos. Zodat iedereen kon zien dat er van te voren niet een hoop ingevulde stembiljetten al ingegooid waren.
Reactie door lammert — 14 Maa 2006 @ 13:38
Wat leuk, er ontstaat een discussie!
In 2004 heeft er al een experiment plaatsgevonden met stemmen via Internet (zoeken op “Kiezen op Afstand”). Dit was politiek en technisch een succes. Zoals eerder opgemerkt is het daarbij belangrijk enerzijds te controleren of je met een stemgerechtigde te maken hebt die zijn/haar stem uitbrengt en anderzijds op het moment van stemmen de “identiteit” weet los te koppelen van de uitgebrachte stem. Vanuit BZK (de opdrachtgever) was dit vanzelfsprekend een harde eis voor het experiment. Of deze Internetstemming veilig en anoniem was? Dat valt (deels) door te burger te controleren omdat de software die voor dit experiment werd gebruikt is gepubliceerd. Daar moet je dan wel de juiste kennis voor bezitten. Lammert?
Groeten,
Ad
Reactie door Ad — 14 Maa 2006 @ 19:45
Hallo Ad,
Ik heb de broncode software van de “Kiezen op Afstand” proef inmiddels gevonden en gedownload. Het is een zip bestand van meer dan 24 megabyte. Ik hoop dat dat vooral documentatie is, want anders is alleen al de omvang van de software reden om aan te nemen dat er onopgemerkte of bewuste anomaliteiten in de software voorkomen.
Reactie door lammert — 14 Maa 2006 @ 23:45
Een eerste blik in de source geworpen. Opvallend is, dat het allemaal op vrije software draait. De basis is een Apache webserver, de stem- en telsoftware zelf is volledig in Java geschreven. Kennelijk wilde de overheid geen bemoeienis met Bill Gates zijn systemen.
Alle source is uitgegeven onder de GPL licentie, wat betekent dat een ieder het vrij mag gebruiken en modificeren zolang de oorspronkelijke auteurs vermeld blijven. Dat betekent dat ik het voor test ook op een webserver zou kunnen installeren. Ik zal mij hier eens in verdiepen. Misschien een leuke test om vingervlugheid te krijgen in het internet stemmen als ik volgend jaar in Kazachstan zit en via internet mijn stem op een kandidaat voor de Tweede Kamer uitbreng. Als ze dan dezelfde software gebruiken weet ik in ieder geval hoe mijn stem op de achtergrond verwerkt wordt.
Reactie door lammert — 15 Maa 2006 @ 0:07
Ik kan inmiddels iets meer vertellen over de programmatuur zoals die voor Kiezen op Afstand is gebruikt tijdens de verkiezingen voor het Europese parlement in 2004. De software bestaat uit twee delen die door onafhankelijke partijen zijn geschreven.
Een webapplicatie geschreven door LogicaCMG zorgt voor de identiteitscontrole van de kiezer en de registratie van de stemmen. Daarnaast is er een los programma dat nadat alle stemmen vergaard zijn de door het LogicaCMG deel aangemaakte uitvoerbestanden kan inlezen en een hertelling kan uitvoeren. Dit stuk software is geschreven door de Security of Systems groep van de Katholieke Universiteit Nijmegen. De bestandsuitwisseling tussen de twee programma’s vindt plaats met versleutelde bestanden en een publieke en private key, waarbij—naar ik aanneem—het wachtwoord slechts bij een enkeling bekend is. Dit is een algemeen toegepaste methode voor het waarmerken van bestanden.
De opdeling in twee stukken programmatuur met de mogelijkheid van natelling van versleutelde en gewaarmerkte bestanden maakt het principe zoals dat bij Kiezen op Afstand wordt toegepast veel beter controleerbaar dan de reguliere stemmachine. Bovendien is de kans dat er moedwillige software manipulatie plaatsvindt bij dit principe klein omdat de software voor vergaring en hertelling door twee onafhankelijke partijen zijn gemaakt. Bij de stemmachine zijn we afhankelijk van één private onderneming die bovendien zijn broncode niet openbaar heeft gemaakt.
Overigens, voor wie wil weten wie nu de Nederlandse stemmachines maakt, het is de N.V. Nederlandsche Apparaten fabriek Nedap. Bij mij houdt het laden van de eerste pagina van hun website over stemmachines er na 5% mee op. Ik hoop niet dat dit symptomatisch is voor de kwaliteit van de overige programmatuur die zij schrijven.
Reactie door lammert — 16 Maa 2006 @ 1:35
Lammert, Ad, Van Drukken,
Deze discussie gaat ergens toe leiden.
Even nog over dat probleem van authenticatie. Ik ben maar een simpele marketeer met weinig benul van techniek, maar waarom niet kijken naar de financiele industrie. Daar hebben ze met tokens dit issue toch ook (grotendeels) kunnen oplossen. Als het ergens om vertrouwen gaat, dan is het wel om de portemonnee van de Nederlandse Burger. AFM, DNB, Min.v.Fin., zijn allemaal akkoord gegaan. Nou is dat per definitie geen garantie, maar het helpt wel.
Iedere stemgerechtigde burger een stemtoken om vervolgens achter internet zijn stem uit te brengen voor verkiezingen en referenda ?
Groet,
Ed
Reactie door ed — 17 Maa 2006 @ 16:14
Sorry, iets te snel gereageerd (”simpele marketeer”). Het probleem zit hem deels in authenticatie, maar vooral in de consequentie voor anonimiteit (als een goede authenticatie is verzorgd). Tenminste als ik je goed begrijp, Lammert.
Waarom niet kijken naar de parallel met “analoog” stemmen: eerst identificeren (”slechts” de stemkaart, met uniek nummer), vervolgens in een anonieme omgeving stemmen (achter gordijntje). Kan dit ook niet in een Internetomgeving ?: authenticeren aan de poort om vervolgens in een geanonimiseerde omgeving (hoogstwaarschijnlijk samen met veel anderen) je stem uitbrengen.
Kortom: het virtueel scheiden van het gedegen authenticatie- en stemproces.
Groet,
Edser
Reactie door ed — 17 Maa 2006 @ 16:27